Version 1.0, date d’entrée en vigueur à fixer
Sommaire
Chiffrement des échanges en transit et des données au repos. Authentification individuelle, mot de passe soumis à une politique de robustesse, authentification à deux facteurs disponible. Habilitations par rôle et cloisonnement par portefeuille. Journalisation des accès et des actions, conservée [cinq] ans. Sauvegardes [quotidiennes] avec test de restauration [semestriel]. Séparation des environnements. Revue des accès [semestrielle].
Les fichiers déposés par les clients du cabinet ne transitent pas par les serveurs d'Azia. Ils sont déposés directement dans l'espace de stockage désigné par le cabinet. Azia n'accède qu'au dossier désigné et ne conserve que des métadonnées et une empreinte cryptographique permettant de prouver l'intégrité du fichier déposé.
[Engagement de disponibilité à définir, avec sa mesure et ses éventuelles pénalités. À arbitrer : un engagement chiffré est un argument commercial fort mais une obligation réelle.]
Plan de continuité et de reprise d'activité, objectifs de reprise et de perte de données à définir.
Export à la demande, à tout moment, au format structuré, couvrant l'ensemble des données du cabinet.
Le cabinet demeure responsable du respect de ses obligations en matière d'externalisation de fonctions. Azia s'engage à lui fournir, sur demande, les informations nécessaires au recensement de ses prestataires, à l'évaluation des risques associés et à la réponse à toute demande d'une autorité de contrôle.
Tout incident de sécurité affectant les données du cabinet est notifié sans délai injustifié, avec sa nature, ses conséquences probables et les mesures prises.