Afin d'apporter des réponses claires à ces préoccupations, nous partageons ici nos réponses aux questions courantes posées par nos clients et partenaires internationaux en matière de sécurité des données. Ces réponses portent sur les applications pour montres connectées Wonlex et la plateforme SETracker, et couvrent des aspects allant du stockage et du chiffrement des données aux contrôles d'accès et aux pratiques de sécurité au quotidien.
Q1 : Veuillez décrire les principaux contrôles de sécurité actuellement mis en œuvre, y compris, le cas échéant, le chiffrement des données en transit, l'authentification et l'autorisation des utilisateurs, les mesures de sécurité des API et les contrôles d'accès aux données stockées ou traitées.
Sécurité de la transmission des données :
Toutes les communications entre l'application, les appareils et les serveurs sont protégées par le protocole HTTPS (TLS). L'authentification par certificat mutuel (mTLS) et le chiffrement AES-256 sont utilisés pour garantir la sécurité de la transmission des données.
Authentification et autorisation de l'utilisateur :L'accès utilisateur est authentifié par vérification du compte et du mot de passe, avec prise en charge de l'intégration du SDK Google Sign-In. Toutes les fonctionnalités de l'application nécessitent une authentification préalable.
Sécurité des API :
Tous les points de terminaison de l'API sont protégés par HTTPS et TLS avec TLS mutuel (mTLS). Les requêtes non autorisées sont bloquées et ne peuvent pas accéder aux ressources de l'API.
Contrôle d'accès aux données stockées et traitées :
Le système côté serveur met en œuvre le contrôle d'accès basé sur les rôles (RBAC). Seul le personnel autorisé, disposant d'identifiants valides, peut accéder aux données stockées. Les données utilisateur sont isolées logiquement par compte, empêchant ainsi tout accès non autorisé entre différents utilisateurs.
Q2 : Où sont situés les serveurs hébergeant l’application et les services associés, et où les données sont-elles traitées ? Veuillez préciser le pays/la région et le fournisseur d’infrastructure ou de services cloud, le cas échéant.
L'hébergement des applications et le traitement des données sont entièrement assurés par l'infrastructure Amazon Web Services (AWS) située à Francfort, en Allemagne. Aucun traitement de données n'est effectué en dehors de cette région.
Q3 : Des données personnelles ou relatives à un appareil sont-elles traitées, stockées ou transférées en dehors de l’UE/EEE ? Si oui, veuillez préciser les pays/régions concernés et décrire brièvement le mécanisme de transfert ou les garanties appliquées.
La plupart des données personnelles et liées aux appareils sont traitées et stockées sur des serveurs AWS situés à Francfort, en Allemagne, au sein de l’UE/EEE. Les données stockées sur les serveurs européens comprennent :
Toutefois, certaines données sont transférées à des fournisseurs tiers de SDK situés en dehors de l’UE/EEE :
SDK Google Maps : les données de localisation sont transférées à Google pour les services liés aux cartes et à la localisation.
SDK de Juphoon System Software Co., Ltd. : les données IMEI et les données vocales/vidéo sont transférées vers les serveurs de Juphoon situés à Singapour.
Les données stockées sur les serveurs AWS européens ne sont pas transférées vers des systèmes de sauvegarde, des sous-traitants ou d’autres fournisseurs de services cloud situés dans d’autres pays.
Q4 : Veuillez décrire comment l’accès aux fonctions sensibles de l’appareil est sécurisé, notamment les services GPS/de géolocalisation, l’accès au microphone et l’accès à la caméra. Veuillez inclure des détails sur l’authentification, l’autorisation, la gestion des permissions et les restrictions d’accès.
Données GPS / de localisation :
Authentification et autorisation :
Toutes les fonctions sensibles nécessitent une authentification via la connexion à l'application. Des demandes d'autorisation au niveau du système d'exploitation garantissent le consentement de l'utilisateur avant tout accès aux fonctionnalités matérielles sensibles.Fréquence:
Des évaluations de vulnérabilité sont réalisées environ tous les trois mois. Les correctifs de sécurité sont déployés en fonction des besoins, selon les vulnérabilités identifiées et les conclusions des analyses de sécurité.Q6 : Veuillez décrire votre processus d’identification, d’évaluation, de priorisation, de correction et de déploiement des mises à jour de sécurité. Veuillez également expliquer comment les vulnérabilités critiques sont gérées et comment les clients sont informés de la disponibilité de mises à jour de sécurité pertinentes.
Processus de gestion des vulnérabilités :
Après validation et tests, les correctifs de sécurité sont déployés via des mises à jour d'applications OTA (Over-the-Air) et des correctifs côté serveur.
Gestion des vulnérabilités critiques :
Les vulnérabilités critiques sont traitées en priorité absolue. Des correctifs d'urgence sont développés, testés et déployés au plus vite afin de remédier aux risques de sécurité.Lorsque des mises à jour de sécurité sont disponibles, les clients en sont informés via des notifications intégrées à l'application et des notes de version.
Les meilleurs et les plus populaires de nos produits
