Comment Wonlex et SETracker répondent aux questions de sécurité des données de leurs clients mondiaux

Ce sont des questions essentielles pour tout fournisseur d'objets connectés. Vous trouverez ci-dessous nos réponses aux questions fréquentes de nos clients et partenaires internationaux concernant la sécurité des données, notamment sur les applications pour montres connectées Wonlex et la plateforme SETracker : du stockage et du chiffrement des données aux contrôles d'accès et aux pratiques de sécurité continues.

Q1 : Veuillez décrire les principaux contrôles de sécurité actuellement mis en œuvre, y compris, le cas échéant, le chiffrement des données en transit, l'authentification et l'autorisation des utilisateurs, les mesures de sécurité des API et les contrôles d'accès aux données stockées ou traitées.

Sécurité de la transmission des données :

Toutes les communications entre l'application, les appareils et les serveurs sont protégées par le protocole HTTPS (TLS). L'authentification par certificat mutuel (mTLS) et le chiffrement AES-256 sont utilisés pour garantir la sécurité de la transmission des données.

Authentification et autorisation de l'utilisateur :

L'accès utilisateur est authentifié par vérification du compte et du mot de passe, avec prise en charge de l'intégration du SDK Google Sign-In. Toutes les fonctionnalités de l'application nécessitent une authentification préalable.

Sécurité des API :

Tous les points de terminaison de l'API sont protégés par HTTPS et TLS avec TLS mutuel (mTLS). Les requêtes non autorisées sont bloquées et ne peuvent accéder aux ressources de l'API.

Contrôle d'accès aux données stockées et traitées :

Le système côté serveur met en œuvre le contrôle d'accès basé sur les rôles (RBAC). Seul le personnel autorisé, disposant d'identifiants valides, peut accéder aux données stockées. Les données utilisateur sont isolées logiquement par compte, empêchant ainsi tout accès non autorisé entre différents utilisateurs.

 

Q2 : Où sont situés les serveurs hébergeant l’application et les services associés, et où les données sont-elles traitées ? Veuillez préciser le pays/la région et le fournisseur d’infrastructure ou de services cloud, le cas échéant.

L'hébergement des applications et le traitement des données sont entièrement assurés par l'infrastructure Amazon Web Services (AWS) située à Francfort, en Allemagne. Aucun traitement de données n'est effectué en dehors de cette région.

 

Q3 : Des données personnelles ou relatives à un appareil sont-elles traitées, stockées ou transférées en dehors de l’UE/EEE ? Si oui, veuillez préciser les pays/régions concernés et décrire brièvement le mécanisme de transfert ou les garanties appliquées.

Oui. Certaines données personnelles et relatives à l'appareil sont traitées et stockées sur des serveurs AWS situés en Europe.

Les catégories de données transférées vers l'Europe comprennent :

• données de surnom du compte d'application
• Données de géolocalisation de l'appareil (GPS)
• Historique de localisation/données de suivi
• Annuaire téléphonique et données de contact
• Données d'enregistrement des appels

De plus, certaines données sont transférées à des fournisseurs de SDK tiers :

• Kit de développement logiciel (SDK) Google Maps : les données de localisation sont transférées à Google pour les services de cartographie et de géolocalisation.
• Kit de développement logiciel (SDK) de Juphoon System Software Co., Ltd. : les données IMEI et les données vocales/vidéo sont transférées vers les serveurs de Juphoon situés à Singapour.

Protection contre le transfert de données :

Les données transférées en Europe ne sont pas ensuite transférées vers des systèmes de sauvegarde, des sous-traitants ou d'autres fournisseurs de services cloud dans d'autres pays.

 

Q4 : Veuillez décrire comment l’accès aux fonctions sensibles de l’appareil est sécurisé, notamment les services GPS/de géolocalisation, l’accès au microphone et l’accès à la caméra. Veuillez inclure des détails sur l’authentification, l’autorisation, la gestion des permissions et les restrictions d’accès.

Données GPS / de localisation :

• Accessible via le SDK Google Maps.
• Nécessite une autorisation explicite de l'utilisateur accordée via le système d'exploitation mobile (Android/iOS).
• Les données de localisation sont utilisées pour le suivi en temps réel des appareils et sont transmises via un chiffrement HTTPS + TLS + AES-256.

Accès au microphone :

• Utilisé pour les appels vocaux via le SDK Juphoon.
• Nécessite une autorisation explicite accordée au niveau du système d'exploitation.
• Les données vocales sont transmises uniquement en temps réel et ne sont ni enregistrées ni stockées.

Accès à la caméra :

• Utilisé pour les appels vidéo via le SDK Juphoon.
• Nécessite une autorisation explicite accordée au niveau du système d'exploitation.
• Les données vidéo sont transmises uniquement en temps réel et ne sont ni enregistrées ni stockées.

Authentification et autorisation :

Toutes les fonctions sensibles nécessitent une authentification via la connexion à l'application. Des demandes d'autorisation au niveau du système d'exploitation garantissent le consentement de l'utilisateur avant tout accès aux fonctionnalités matérielles sensibles.


Q5 : Effectuez-vous des tests de sécurité, des audits de sécurité, des évaluations de vulnérabilité et/ou des tests d'intrusion pour l'application et l'infrastructure sous-jacente ? Si oui, veuillez le confirmer, en précisant la fréquence et la portée de ces activités, le cas échéant, et en fournissant un résumé des résultats ou tout autre élément de preuve pouvant être partagé.

Oui. Des tests de sécurité ont été réalisés, notamment :

• Évaluations de vulnérabilité de l'infrastructure applicative et serveur.
• Des revues de code sécurisées tout au long du cycle de vie du développement logiciel (SDLC).
• Tests d'intrusion périodiques.

Fréquence:

Des évaluations de vulnérabilité sont réalisées environ tous les trois mois. Les correctifs de sécurité sont déployés en fonction des besoins, selon les vulnérabilités identifiées et les conclusions des analyses de sécurité.

Q6 : Veuillez décrire votre processus d’identification, d’évaluation, de priorisation, de correction et de déploiement des mises à jour de sécurité. Veuillez également expliquer comment les vulnérabilités critiques sont gérées et comment les clients sont informés de la disponibilité de mises à jour de sécurité pertinentes.

Processus de gestion des vulnérabilités :

1. Identification:

Les failles de sécurité sont identifiées grâce à des tests de sécurité internes, à la surveillance du système et aux rapports de vulnérabilité externes.

2. Évaluation:

Chaque vulnérabilité est évaluée en fonction de son score CVSS et de son impact potentiel, puis classée selon son niveau de gravité : critique, élevé, moyen ou faible.

3. Priorisation :

Les vulnérabilités critiques et de haute gravité sont traitées en priorité pour une correction immédiate afin de réduire les risques potentiels pour la sécurité.

4. Remédiation :

L'équipe de développement corrige les vulnérabilités par le biais de correctifs de code, de correctifs de sécurité et des mises à jour logicielles nécessaires.

5. Déploiement:

Après validation et tests, les correctifs de sécurité sont déployés via des mises à jour d'applications OTA (Over-the-Air) et des correctifs côté serveur.

Gestion des vulnérabilités critiques :

Les vulnérabilités critiques sont traitées en priorité absolue. Des correctifs d'urgence sont développés, testés et déployés au plus vite afin de remédier aux risques de sécurité.

Lorsque des mises à jour de sécurité sont disponibles, les clients en sont informés via des notifications intégrées à l'application et des notes de version.

 

Conclusion

La sécurité des données est essentielle pour tout appareil connecté utilisé dans les applications de sécurité familiale, d'assistance aux personnes âgées ou de santé connectée. Nous communiquons ces informations en toute transparence car nous pensons que nos clients et partenaires commerciaux doivent avoir une visibilité claire sur nos pratiques de sécurité à chaque étape de notre collaboration. Wonlex s'engage à fournir des informations et un support transparents en matière de sécurité. Pour toute question relative à la sécurité ou à la protection des données, veuillez nous contacter .