1. Approche de sécurité
NAVAL applique une démarche de protection proportionnée à un service SaaS B2B traitant des données opérationnelles de transport. La sécurité repose sur des mesures techniques et organisationnelles, la séparation logique des organisations, la limitation des accès et la coopération du client.
Aucune mention de certification ISO 27001, HDS, SecNumCloud ou de conformité équivalente ne doit être déduite du présent document tant qu’une certification indépendante n’a pas été obtenue et maintenue.
2. Mesures applicatives et d’infrastructure
- communications protégées par HTTPS/TLS ;
- authentification et sessions gérées avec Supabase Auth ;
- contrôles d’accès fondés sur les rôles et l’appartenance à une organisation ;
- politiques Row Level Security et contrôles serveur pour limiter les accès inter-organisations ;
- secrets de production conservés hors du code source et accès techniques limités ;
- journalisation des événements utiles à la sécurité, au diagnostic et aux actions sensibles ;
- sauvegarde et mécanismes de restauration relevant des services d’infrastructure souscrits ;
- mise à jour des dépendances et correction priorisée selon le risque.
3. Accès internes
Les accès d’administration ou de support sont limités aux personnes qui en ont besoin, soumis à une obligation de confidentialité et retirés lorsqu’ils ne sont plus nécessaires. Les opérations sensibles doivent être traçables. Les données ne sont consultées pour l’assistance qu’en cas de nécessité et dans le périmètre utile.
4. Responsabilités du client
- attribuer un compte nominatif à chaque utilisateur et retirer rapidement les accès des sortants ;
- choisir des mots de passe robustes, protéger les appareils et activer l’authentification renforcée lorsqu’elle est disponible ;
- ne pas partager de compte et contrôler régulièrement les rôles accordés ;
- limiter les données importées à celles nécessaires, notamment les données de santé et de passagers ;
- maintenir navigateurs, systèmes et application mobile à jour ;
- signaler sans délai toute perte d’appareil, compromission ou activité anormale.
5. Sécurité mobile et hors ligne
L’application mobile peut conserver temporairement des éléments nécessaires à la session, au fonctionnement hors ligne et à la synchronisation. Les identifiants sensibles sont stockés dans le mécanisme sécurisé du système lorsque la plateforme le permet. Le conducteur doit verrouiller son appareil, ne pas le prêter connecté et signaler sa perte.
La localisation n’est pas conçue comme un suivi permanent en arrière-plan au lancement : elle est recueillie lors d’actions explicites telles que le départ, l’arrivée ou un événement de mission, sous réserve des permissions du téléphone.
6. Gestion des incidents
NAVAL qualifie les alertes, limite l’impact, conserve les éléments utiles, corrige la cause lorsque cela est possible et informe les parties concernées conformément aux obligations applicables. Lorsqu’une violation de données traitées pour un client est confirmée ou raisonnablement suspectée, NAVAL vise à informer ce client sans délai indu et, si possible, dans les vingt-quatre heures suivant sa détection, sans attendre la fin complète de l’enquête.
La notification fournit progressivement la nature de l’incident, les catégories de données et de personnes concernées, les conséquences probables et les mesures prises ou proposées, dans la mesure où ces informations sont disponibles.
7. Signalement responsable d’une vulnérabilité
Une vulnérabilité présumée peut être signalée à XXX avec les étapes de reproduction et l’impact estimé. Le chercheur doit éviter l’accès aux données de tiers, la perturbation du service, l’ingénierie sociale, l’exfiltration et la publication avant correction. NAVAL accuse réception et organise un échange raisonnable sur le traitement.
8. Évaluation et amélioration
Les revues de droits, tests de restauration, analyses de dépendances, exercices d’incident et tests de sécurité sont planifiés selon les ressources et le niveau de risque. Seuls les contrôles effectivement réalisés et documentés peuvent être présentés comme acquis à un client ou évaluateur.
9. Contact
Questions de sécurité, incidents et vulnérabilités : XXX.