Comment nous protégeons vos documents

Les documents et les chantiers appartiennent à une organisation, et les gens y ont accès selon leur place dans celle-ci.

• Chaque demande est vérifiée sur nos serveurs selon le rôle de la personne.
• Les administrateurs gèrent les personnes, les rôles et le forfait. Les employés ne voient pas le courriel ni le cellulaire des gens d’autres entreprises, sauf s’ils gèrent un chantier où ces personnes travaillent.
• Les chantiers du forfait Gratuit sont publics : toute personne qui a le lien, le code ou le code QR peut les ouvrir. Les forfaits payants permettent de garder un chantier privé.
• Un journal d’audit indique qui a fait quoi aux personnes, aux rôles et aux chantiers.

WorkOS gère la connexion et les sessions. Les codes envoyés par cellulaire viennent de nous.

• Vous vous connectez avec un code à usage unique envoyé à votre courriel ou à votre cellulaire.
• Les codes expirent après 10 minutes et se bloquent après cinq essais erronés.
• Vous pouvez voir où vous êtes connecté et fermer vos autres sessions.
• Les forfaits Entreprise peuvent ajouter l’authentification unique, sur entente.

Vos renseignements sont chiffrés pendant leur transfert et là où ils sont stockés.

• En transit, avec TLS.
• Au repos, avec AES-256, par Convex pour la base de données et Cloudflare R2 pour les fichiers.
• Les liens vers les fichiers expirent en une heure au plus, la plupart après 15 minutes.
• Stripe traite votre carte. Nous ne voyons ni ne conservons jamais le numéro complet.
• Chaque fichier téléversé est analysé avec ClamAV avant d’être traité ou ouvert par qui que ce soit. ClamAV détecte les logiciels malveillants connus, pas tous les logiciels malveillants.

La plupart sont à l’étranger, et nous préférons vous le dire dès le départ.

• La base de données principale est aux États-Unis (Convex, sur AWS).
• Les fichiers sont dans Cloudflare R2. Nous privilégions sa région Océanie, sans garantie d’emplacement.
• Les fichiers préparés pour la conversion sont traités sur AWS à Sydney.
• Vos données doivent rester dans un pays précis? Nous n’offrons pas encore le choix de la région. Écrivez au soutien pour nous dire où. Cela nous aide à décider quoi bâtir ensuite.

Voir chaque fournisseur et son emplacement

L’IA aide avec les documents. Elle ne décide rien au sujet des personnes.

• Elle ne travaille sur un document que si une personne de votre organisation le demande ou active une étape qui le fait.
• Nous utilisons seulement des fournisseurs qui ne conservent aucune copie de ce que nous envoyons et qui ne s’en servent pas pour l’entraînement.
• Nous conservons les demandes et les réponses pour vérifier la qualité. Seuls nos employés ayant un accès administrateur aux dossiers d’IA peuvent les lire.

Lire comment les fonctions d’IA traitent votre contenu

Nos employés n’accèdent qu’à ce dont ils ont besoin pour leur travail.

• Les employés ont des rôles limités : soutien, facturation, contenu et administration.
• Certains employés peuvent se connecter en tant que client, pour régler un problème que vous avez signalé ou un incident de sécurité.
• Les secrets sont gardés hors de notre code, et notre code passe des vérifications automatiques avant sa mise en ligne.

Ce sont les certifications de nos fournisseurs, pas les nôtres. Leurs rapports couvrent leur partie du service.

• Convex et WorkOS : SOC 2 Type 2.
• Vercel : SOC 2 Type 2 et ISO 27001.
• Cloudflare et AWS : rapports de sécurité indépendants, publiés dans leurs centres de confiance.
• Stripe : fournisseur de services PCI de niveau 1.

Nous vous dirons ce que nous savons et ce que vous pourriez avoir à faire.

• Nous aviserons les clients touchés sans retard injustifié, et dans les 72 heures lorsque c’est possible.
• Si une atteinte risque de causer un préjudice grave, nous aviserons les personnes touchées et l’autorité compétente, comme la loi l’exige.

SafetyDocs est nouveau. Écrivez-nous si vous avez besoin d’un élément de cette liste.

• SafetyDocs n’a pas sa propre certification SOC 2 ou ISO 27001, et celles de Mitti ne s’y appliquent pas.
• SafetyDocs n’a pas encore fait l’objet d’un test d’intrusion indépendant.
• Nous ne pouvons pas garder vos données uniquement en Australie. Écrivez-nous si vous en avez besoin
• Les forfaits en libre-service n’ont pas de garantie de disponibilité. Voir notre page d’état

Vous avez trouvé quelque chose? Nous voulons le savoir.

• Envoyez-nous par courriel ce que vous avez trouvé et comment le reproduire. Nous répondrons dès que possible. Écrire à notre équipe de sécurité
• N’accédez pas à plus de données d’autrui qu’il n’en faut pour montrer le problème, ne perturbez pas le service, et laissez-nous le temps de le corriger avant d’en parler à d’autres.
• Si vous respectez ces règles, nous n’intenterons aucune poursuite pour une recherche de bonne foi. Nous n’offrons pas encore de prime aux bogues, mais nous étudions cette possibilité à mesure que nous grandissons.