Sécurité

1. Notre engagement en matière de sécurité

Chez Leniqo, la sécurité est au fondement de tout ce que nous construisons. Notre plateforme traite des données sensibles de location, financières et d'identité : nous appliquons donc des mesures techniques et organisationnelles rigoureuses pour protéger la confidentialité, l'intégrité et la disponibilité de toutes les données traitées par nos systèmes.

Cette page présente un aperçu de nos pratiques de sécurité. Elle a une vocation de transparence et ne constitue pas un engagement contractuel.

2. Infrastructure et hébergement

Notre infrastructure est conçue pour la sécurité, l'évolutivité et la résilience :

• Hébergement sur une infrastructure cloud de niveau entreprise au sein de l'Union européenne ;
• Résidence des données dans des régions conformes aux exigences de l'EEE ;
• Systèmes redondants avec basculement automatique et reprise après sinistre ;
• Isolation réseau avec pare-feu, VPC et contrôles d'accès restreints ;
• Surveillance de l'infrastructure en temps réel et alertes automatisées.

3. Chiffrement des données

Toutes les données sont protégées par un chiffrement conforme aux standards du secteur :

• Données en transit : chiffrement TLS 1.2+ pour toutes les communications entre clients et serveurs ;
• Données au repos : chiffrement AES-256, y compris pour les bases de données et le stockage de fichiers ;
• Gestion des clés de chiffrement via des services cloud managés, avec rotation régulière des clés.

4. Contrôle des accès

Nous appliquons des contrôles d'accès stricts sur l'ensemble de nos systèmes :

• Contrôle d'accès basé sur les rôles (RBAC) selon le principe du moindre privilège ;
• Authentification multifacteur (MFA) obligatoire pour tous les comptes internes ;
• Gestion des sessions avec expiration automatique et verrouillage en cas d'inactivité ;
• Revues d'accès régulières et révocation rapide des accès du personnel ayant quitté l'entreprise ;
• Journalisation d'audit de toutes les actions d'administration.

5. Sécurité applicative

Nos pratiques de développement intègrent la sécurité à chaque étape :

• Cycle de développement sécurisé (SDLC) avec revues de sécurité ;
• Validation des entrées, requêtes paramétrées et protection contre les vulnérabilités du Top 10 de l'OWASP ;
• Content Security Policy (CSP) et autres en-têtes de sécurité HTTP ;
• Analyse des dépendances et surveillance des vulnérabilités des paquets tiers ;
• Limitation du débit et prévention des abus sur tous les points de terminaison de l'API.

6. Protection des données et vie privée

Chez Leniqo, sécurité et protection de la vie privée vont de pair :

• Minimisation des données : nous ne collectons et ne traitons que les données nécessaires à nos services ;
• Limitation des finalités : les données ne sont traitées que pour des finalités déterminées et légitimes ;
• Politique de conservation : les données sont supprimées ou anonymisées dès qu'elles ne sont plus nécessaires ;
• Protection de la vie privée dès la conception et par défaut dans toutes les fonctionnalités de la plateforme.

Pour tout savoir sur la manière dont nous traitons les données personnelles, consultez notre politique de confidentialité (Privacy Policy, en anglais).

7. Réponse aux incidents

Nous appliquons une procédure documentée de réponse aux incidents pour traiter les événements de sécurité rapidement et efficacement :

• Surveillance 24 h/24 et 7 j/7 avec détection et alertes automatisées ;
• Procédures d'escalade et rôles de l'équipe de réponse clairement définis ;
• Processus de confinement, d'investigation, de correction et de rétablissement ;
• Analyse post-incident et retour d'expérience ;
• Notification des personnes concernées et des autorités de contrôle dans les délais prévus aux articles 33 et 34 du RGPD.

8. Continuité d'activité

Nos mesures de continuité d'activité garantissent la disponibilité de la plateforme :

• Sauvegardes automatisées avec restauration à un instant donné (point-in-time recovery) ;
• Infrastructure répartie géographiquement pour la redondance ;
• Plan de reprise après sinistre avec des objectifs RTO et RPO définis ;
• Tests réguliers de restauration des sauvegardes.

9. Sécurité des fournisseurs et des tiers

Nous évaluons avec soin chaque prestataire tiers avant toute intégration :

• Examen préalable (due diligence) de leurs pratiques de sécurité et de leurs certifications ;
• Accords de traitement des données (DPA) avec tous les sous-traitants ;
• Suivi continu du niveau de sécurité des fournisseurs ;
• Préférence pour des prestataires établis dans l'UE ou couverts par le Privacy Shield ou une décision d'adéquation.

10. Conformité et normes

Notre programme de sécurité s'aligne sur des normes et réglementations reconnues :

• Règlement général sur la protection des données (RGPD) ;
• Directive ePrivacy ;
• Principes de la norme ISO 27001 (management de la sécurité de l'information) ;
• Standards de sécurité applicative de l'OWASP.

11. Divulgation responsable

Nous apprécions le travail de la communauté des chercheurs en sécurité. Si vous découvrez une vulnérabilité potentielle sur notre plateforme, merci de nous la signaler de manière responsable à security@leniqo.com. Nous nous engageons à :

• Accuser réception sous 2 jours ouvrés ;
• Analyser le signalement et communiquer un calendrier de correction ;
• Ne pas engager de poursuites contre les chercheurs agissant de bonne foi.

12. Contact

Pour toute question relative à la sécurité, contactez :

Leniqo Limited, équipe Sécurité E-mail : security@leniqo.com