Sécurité de la plateforme

Notre approche

Skopira héberge les contenus professionnels de ses clients et les accès à leurs comptes de réseaux sociaux. Une compromission ne signifierait pas seulement une fuite de données : elle permettrait de publier au nom d'une entreprise. C'est cette perspective qui guide nos choix techniques.

Nous appliquons trois principes simples : ne collecter que ce qui est nécessaire, restreindre l'accès à ce qui est indispensable, et considérer qu'un incident finira par survenir — donc être en mesure de le détecter et d'y répondre.

Hébergement et localisation

Notre base de données est hébergée dans l'Union européenne, en Allemagne. L'application est déployée sur l'infrastructure de Google Cloud.

Certains de nos prestataires sont établis aux États-Unis ou relèvent d'une société mère américaine. Les transferts correspondants sont encadrés par les garanties prévues par le RGPD — cadre de protection des données UE–États-Unis ou clauses contractuelles types adoptées par la Commission européenne —, complétées par le chiffrement des flux et la limitation des données transmises. La liste complète de nos prestataires, leur rôle et leur localisation sont publiés.

Chiffrement

• Toutes les communications avec le Service sont chiffrées, sans exception, et notre domaine impose l'usage de connexions sécurisées.
• Les données sont chiffrées au repos, tant en base de données que sur le stockage des fichiers.
• Les jetons d'accès à vos comptes de réseaux sociaux font l'objet d'un chiffrement applicatif supplémentaire : même en cas d'accès à la base, ils ne sont pas exploitables sans la clé correspondante.
• Vos mots de passe ne sont jamais stockés en clair ni réversibles : ils sont hachés au moyen d'un algorithme à coût de calcul élevé.

Accès et authentification

• Une politique de complexité des mots de passe est appliquée côté serveur.
• Les tentatives de connexion sont limitées en fréquence et, après plusieurs échecs, temporairement bloquées, afin de protéger votre compte contre les attaques par force brute.
• Au sein de Skopira, l'accès aux données de production est limité aux personnes qui en ont besoin, sur des comptes nominatifs.

Développement et environnements

• Les environnements de développement, de test et de production sont strictement séparés.
• Aucune donnée réelle de client n'est utilisée en développement ou en test. Nos environnements de travail fonctionnent sur des jeux de données factices.
• Chaque évolution fonctionnelle fait l'objet d'une revue de sécurité avant mise en production.
• Les dépendances logicielles font l'objet d'une veille automatisée des vulnérabilités.

Sauvegardes et continuité

La base de données fait l'objet d'un mécanisme de restauration permettant de revenir à un état antérieur.

Détection et gestion des incidents

En cas de violation de données susceptible d'engendrer un risque pour vos droits, nous notifions l'autorité de contrôle dans les meilleurs délais et au plus tard dans les soixante-douze heures suivant la prise de connaissance, et nous vous informons directement lorsque le risque est élevé.

Lorsque l'incident porte sur des données que nous traitons pour votre compte, nous vous en informons dans un délai maximal de quarante-huit heures afin de vous laisser le temps d'accomplir vos propres obligations.

Une procédure interne encadre la détection, le confinement, la qualification et la notification. Toutes les violations sont consignées, y compris celles qui ne donnent pas lieu à notification.

Articles 32, 33 et 34 du Règlement (UE) 2016/679.

Ce qui relève de vous

La sécurité de votre compte dépend aussi de vos pratiques :

• utilisez un mot de passe unique, que vous n'employez sur aucun autre service ;
• ne communiquez vos identifiants qu'aux membres de votre personnel qui en ont besoin, et changez votre mot de passe dès que l'un d'eux quitte l'entreprise ;
• déconnectez les comptes de réseaux sociaux que vous n'utilisez plus depuis Skopira ;
• signalez-nous sans délai toute activité inhabituelle sur votre compte.

Signaler une vulnérabilité

Si vous découvrez une faille de sécurité, écrivez-nous à securite@skopira.com. Nous accusons réception sous deux jours ouvrés et vous tenons informé du traitement.

Nous n'engagerons aucune action à l'encontre d'une personne qui nous signale de bonne foi une vulnérabilité, dès lors qu'elle n'a ni exploité la faille au-delà de ce qui est nécessaire à sa démonstration, ni accédé à des données de tiers, ni divulgué l'information avant que nous ayons pu y remédier.

Évolution

Nos mesures de sécurité évoluent avec le produit et l'état des menaces. Ce document est revu au moins une fois par an. Il décrit des mesures effectivement en place et non des intentions.