Confiance et sécurité

Ce que nous faisons de vos données, où elles sont stockées, et ce que nous ne détenons pas encore. Écrit pour la personne dont le métier est de dire non.

Contrôles

Ce qui est réellement en place

Vert signifie que c'est en service aujourd'hui. Nous avons aussi listé les manques, parce qu'une page couverte de coches, personne n'y croit.

  • Données isolées par clientEn place

    Chaque table porte un identifiant d'organisation et chaque requête est limitée par celui-ci, ce qu'impose la row level security dans la base de données et pas seulement le code applicatif. Un bug dans une page ne peut pas renvoyer les lignes d'un autre client.

  • Chiffrement en transit et au reposEn place

    TLS sur chaque connexion. Les données au repos sont chiffrées en AES-256 par notre fournisseur de base de données et de stockage.

  • Identifiants jamais stockés sous forme lisibleEn place

    Les clés API et les jetons d'ingestion sont stockés sous forme d'empreintes SHA-256. Le texte en clair est affiché une seule fois à la création et ne peut être récupéré par personne, nous compris.

  • Moindre privilège sur les colonnes secrètesEn place

    Les colonnes contenant des identifiants de tiers sont retirées des droits dont dispose votre session, elles sont donc illisibles même pour un membre connecté de votre propre organisation.

  • Journalisation des accèsEn place

    Les événements d'authentification et l'utilisation des clés API sont enregistrés. Les accès à la base de données sont journalisés par notre fournisseur.

  • Sauvegardes et restaurationEn place

    Sauvegardes automatiques quotidiennes conservées par notre fournisseur de base de données, avec restauration à un instant précis disponible sur l'offre de production.

  • Authentification unique (SSO) avec SAMLDisponible sur demande

    L'application traite déjà l'identité comme externe et lit les rôles dans la fiche de votre organisation, donc ajouter SAML relève de la configuration et non d'une réécriture. Il faut un fournisseur d'identité d'entreprise de votre côté et une offre payante du nôtre. Demandez-le et nous l'activerons pour votre compte.

  • SOC 2 Type IIPas encore

    Nous ne l'avons pas. SOC 2 est un audit indépendant sur une période d'observation, pas une fonctionnalité : il faut un auditeur, plusieurs mois de preuves et un budget à cinq chiffres. Nous le lancerons quand la demande des grandes entreprises le justifiera, et nous préférons le dire plutôt que de laisser entendre le contraire sur une page comme celle-ci. En attendant, les contrôles ci-dessus sont réels et nous répondrons en détail à tout questionnaire.

  • Test d'intrusionPas encore

    Aucun test par un tiers n'a encore été réalisé. Une revue interne adverse fait partie de la manière dont les changements sont livrés, mais ce n'est pas la même chose et nous ne la présenterons pas comme telle.

Où sont stockées vos données

L'hébergement de l'application et la base de données sont fournis par nos sous-traitants ultérieurs, listés en intégralité sur la page des sous-traitants ultérieurs, qui nomme chaque tiers pouvant accéder aux données des clients et ce que fait chacun. Nos conditions de traitement des données figurent dans le DPA.

QUORIAN - F.Z.E est immatriculée dans l'Ajman Free Zone, Ajman, United Arab Emirates.

Signaler un problème

Si vous pensez avoir trouvé une vulnérabilité, écrivez à info@quorian.com. Dites-nous ce que vous avez trouvé et comment le reproduire. Nous accuserons réception sous deux jours ouvrés. Nous n'avons pas de programme de bounty rémunéré pour le moment, et nous ne poursuivrons personne qui signale de bonne foi un vrai problème sans accéder aux données d'autres clients.

Un point qui n'est pas traité ici ? Écrivez à info@quorian.com et posez votre question. Quorian répond aux questionnaires de sécurité.