Politique de sécurité

Cette politique décrit les mesures techniques et organisationnelles de sécurité mises en œuvre par AMBASSADIA SARL sur la plateforme TranscribIA (trans.tavportal.com). Elle s'inscrit dans le cadre du RGPD (article 32 — sécurité du traitement) et des mesures essentielles prévues par la directive NIS 2. Elle est destinée en priorité aux RSSI, DSI et DPO des organisations clientes dans le cadre de leurs revues d'homologation et de leur analyse de risques.

Le détail opérationnel — registre des traitements, schémas d'architecture, DPA et procédures — est consultable dans le dossier de conformité public.

1. Gouvernance de la sécurité

• Référent sécurité désigné au sein d'AMBASSADIA SARL, point d'entrée unique pour les questions de sécurité et la coordination des incidents.
• Responsabilité éditoriale de cette politique assumée par la direction de l'éditeur ; revue au moins annuellement et à chaque évolution matérielle du périmètre.
• Cadre de référence : RGPD (art. 32), mesures essentielles NIS 2, approche par les risques.
• Honnêteté sur les certifications : aucune certification ISO 27001 ni SOC 2 n'est détenue à ce jour. Un audit de sécurité indépendant est planifié en 2026 ; la démarche de certification est engagée mais non acquise.

2. Gestion des identités et des accès (IAM)

• API & jetons : authentification par Laravel Sanctum, jetons Bearer personnels hachés en SHA-256, à durée de vie limitée et révocables à tout moment.
• Mots de passe : stockage par bcrypt (cost factor 12), politique de complexité, vérification contre les listes de compromission connues.
• Double authentification (2FA) : TOTP conforme à la RFC 6238, obligatoire pour les comptes d'administration ; les secrets 2FA sont chiffrés au repos en AES-256-CBC.
• Contrôle d'accès basé sur les rôles (RBAC) : 5 niveaux de privilèges, du simple lecteur à l'administrateur de l'organisation, avec principe du moindre privilège.
• Authentification « step-up » : une confirmation du mot de passe est exigée pour toute action destructive ou sensible (effacement de tenant, modification des rôles, export complet des données).
• Lutte contre l'abus : rate limiting applicatif Laravel sur les endpoints d'authentification et d'API ; expiration des sessions.

3. Chiffrement

• En transit : TLS 1.2 minimum (TLS 1.3 privilégié), certificats Let's Encrypt gérés via Nginx Proxy Manager avec renouvellement automatique et HSTS.
• Au repos : chiffrement des volumes et de la base PostgreSQL, chiffrement des fichiers téléversés.
• Secrets applicatifs : isolation des variables d'environnement ; secrets 2FA chiffrés AES-256-CBC.
• Sauvegardes : chiffrées avec age (échange de clé X25519, chiffrement ChaCha20-Poly1305).

4. Protection des données et isolation multi-tenant

• Isolation logique stricte : un schéma PostgreSQL distinct par organisation (modèle schema-per-tenant) ; aucune requête ne traverse la frontière d'un tenant.
• Politique de conservation configurable par organisation, conforme aux finalités déclarées.
• Droit à l'effacement : procédure de purge de tenant documentée et traçable (voir Souveraineté & RGPD).
• Aucun transfert de données hors UE par défaut.

5. Journalisation et audit

• Piste d'audit double : journaux d'activité au niveau du tenant (activity_logs) et journal centralisé (public.audit_logs).
• Consignation de toutes les actions sensibles : authentifications, changements de rôles, exports, effacements, accès administrateurs.
• Journalisation « scrubbed » : aucune donnée personnelle nominative ni contenu métier n'est écrit dans les logs serveur.
• Conservation des journaux adaptée aux besoins d'investigation post-incident.

6. Protection contre les malwares

• Analyse antivirus des téléversements par ClamAV 1.4, base de signatures mise à jour via freshclam.
• Les fichiers détectés comme infectés sont bloqués et mis en quarantaine.
• Comportement en cas d'indisponibilité du moteur : par conception, le service bascule en fail-open journalisé — le fichier est admis pour ne pas bloquer le service, mais l'événement est tracé et le fichier re-scanné dès retour du moteur. Ce compromis de disponibilité est assumé et documenté.

7. Gestion des vulnérabilités et durcissement

• Surveillance continue des dépendances (composer/npm audit) et application des correctifs de sécurité.
• Durcissement applicatif : CSP (Content Security Policy), CORS strict, en-têtes de sécurité, principe du moindre privilège.
• Audit de sécurité indépendant planifié en 2026 (tests d'intrusion inclus dans le périmètre de la démarche).
• Processus de divulgation responsable : signaler toute vulnérabilité à contact@transcribia.fr.

8. Gestion des incidents de sécurité

• Détection : surveillance automatisée continue (24/7) avec notifications Slack et e-mail sur anomalies et évènements de sécurité.
• Qualification & réponse : prise en charge par le référent sécurité, selon un cycle confinement → éradication → récupération → retour d'expérience.
• Notification CNIL sous 72 h (art. 33 RGPD) en cas de violation de données personnelles, accompagnée de la documentation de l'incident.
• Notification aux personnes concernées lorsque le risque est élevé (art. 34 RGPD).
• Coordination transparente avec l'organisation cliente, responsable de traitement, tout au long de l'incident.

9. Continuité d'activité et sauvegardes

• Sauvegardes chiffrées (age) répliquées vers une cible UE via rclone.
• Objectifs tenus : RPO 24 h / RTO 4 h.
• DR drill validé : un exercice de restauration a été réalisé pour vérifier l'effectivité du plan de reprise.
• Plan de continuité et de reprise documenté et maintenu.

10. Chaîne d'approvisionnement et sous-traitants

Sous-traitants implantés en Union européenne uniquement, avec accord de sous-traitance (DPA, art. 28 RGPD) en place. Aucun sous-traitant hors UE par défaut.

La liste nominative des sous-traitants et leur périmètre exact figurent dans le dossier de conformité public et le modèle de DPA téléchargeable.

11. SaaS vs on-premise — modèle de responsabilité

TranscribIA est disponible en mode SaaS souverain (hébergé en France) ou on-premise (dans l'infrastructure du client). La responsabilité des mesures de sécurité est partagée différemment selon le mode :

En on-premise, AMBASSADIA fournit l'application ainsi qu'un guide de durcissement et reste garant de la sécurité applicative ; le client assume la sécurité de l'infrastructure d'accueil conformément à sa propre doctrine RSSI.