Sécurité

Dans des centres de données de niveau 3 opérés par de grands fournisseurs cloud, répartis sur plusieurs zones de disponibilité dans chaque région. L'accès physique est réservé au personnel audité des fournisseurs.

Chaque service tourne dans sa propre instance isolée, avec un système de fichiers dédié. Les espaces de travail sont séparés au niveau du réseau, et le réseau privé ne traverse jamais leurs frontières.

Les images de base et les hôtes sont reconstruits chaque semaine, et les failles critiques sont corrigées sous 72 heures. Les mises à jour utilisent les mêmes déploiements zero-downtime que vos services.

Oui. Les données sont chiffrées en transit avec TLS 1.2 ou plus récent, et au repos avec AES-256. Les clés de chiffrement tournent automatiquement et sont stockées dans un service de clés géré.

Dans la région que vous choisissez pour chaque service et base de données. Les sauvegardes sont chiffrées et restent dans la même région : un espace de travail européen peut garder toutes ses données dans l'UE.

Les volumes et les bases de données sont supprimés immédiatement. Les sauvegardes expirent sous 30 jours, après quoi les données ne peuvent plus être récupérées.

Uniquement les ingénieurs d'astreinte, via un accès temporaire que vous pouvez soumettre à votre approbation. Chaque session est journalisée, limitée dans le temps et revue.

Oui. Les offres Team et Entreprise prennent en charge le SSO SAML, l'authentification à deux facteurs obligatoire et le provisionnement SCIM des membres et des rôles.

Les clés d'API peuvent être limitées à un espace de travail, un projet ou un service, et avoir une date d'expiration. Les variables d'environnement marquées comme secrets sont chiffrées et n'apparaissent jamais dans les journaux.

Les événements d'infrastructure et d'audit alimentent un pipeline de détection central, avec des alertes traitées jour et nuit par l'équipe sécurité d'astreinte.

Oui. Les clients concernés sont prévenus sans délai injustifié, et sous 72 heures pour les incidents touchant des données personnelles, avec un rapport post-incident public.

Un cabinet indépendant teste la plateforme chaque année et après chaque changement majeur. Une synthèse du dernier rapport est disponible pour les clients sous accord de confidentialité.