Notre approche
Cette page décrit les mesures de sécurité réellement en place pour le site oniq.online, les espaces client et partenaire et les logiciels conçus par ONIQ Software, ainsi que les améliorations en cours. Nous préférons décrire précisément ce qui existe plutôt que promettre ce qui n'est pas encore fait.
Éditeur du service :
- ONIQ Software, SAS au capital de 500 €
- SIREN 103 508 263 — RCS de Romans — SIRET (siège) 103 508 263 00011
- Siège social : 18 rue des Coteaux, 26740 Marsanne, France
- Directeur de la publication : Ruben Hammarlebiod, Président
Aucun système informatique n'offre une sécurité absolue. Les mesures décrites ci-dessous constituent une obligation de moyens.
Hébergement et prestataires techniques
ONIQ Software s'appuie sur des prestataires spécialisés :
- le site oniq.online est hébergé par Vercel Inc. (États-Unis) ;
- la base de données, les comptes des espaces client et partenaire, les fichiers et les fonctions serveur sont opérés par Supabase Inc. (États-Unis) ;
- les paiements sont traités par Stripe Payments Europe Ltd (Irlande) ;
- les emails sont envoyés par Resend (États-Unis) et Brevo (France).
Ces prestataires sont responsables de la sécurité physique de leurs centres de données et publient leurs propres engagements et attestations de sécurité, consultables sur leurs sites. Les transferts de données hors de l'Union européenne qui en résultent sont encadrés par le cadre de protection des données UE–États-Unis (Data Privacy Framework) ou par les clauses contractuelles types de la Commission européenne. La liste complète des sous-traitants figure dans la politique de confidentialité.
Mesures en place
Chiffrement des échanges :
- toutes les pages du site et tous les échanges avec la base de données et les fonctions serveur passent par des connexions chiffrées (HTTPS).
Comptes et accès :
- les espaces client, partenaire et d'administration sont accessibles uniquement avec un compte individuel (adresse électronique et mot de passe) ;
- les mots de passe sont gérés par le service d'authentification de notre prestataire de base de données ; ils sont stockés sous forme hachée et ne sont jamais conservés en clair par ONIQ Software ;
- la base de données applique des règles d'accès (Row Level Security) qui déterminent ce que chaque type de compte peut lire ou modifier.
Clés et secrets :
- seule la clé publique de la base de données, prévue pour être utilisée dans un navigateur, figure dans les pages du site ;
- les clés secrètes (base de données, paiement, envoi d'emails, intelligence artificielle) sont conservées côté serveur, dans les secrets des fonctions serveur.
Paiement :
- le paiement par carte s'effectue sur la page de paiement de Stripe ; ONIQ Software ne reçoit ni ne conserve les numéros de carte bancaire.
Améliorations en cours
Les chantiers suivants sont engagés ou prévus. Ils seront indiqués sur cette page comme « en place » une fois réalisés et vérifiés :
- mise en place de sauvegardes quotidiennes automatiques de la base de données, complétées par une copie externe chiffrée, et tests réguliers de restauration ;
- revue complète des règles d'accès de la base de données, table par table ;
- authentification à deux facteurs pour les comptes d'administration ;
- procédure écrite de gestion des incidents et registre des violations de données ;
- suppression automatique des données au terme des durées de conservation annoncées dans la politique de confidentialité.
Cloisonnement des données clients
Les données de chaque client doivent rester accessibles à ce seul client. Ce cloisonnement repose sur les règles d'accès de la base de données décrites ci-dessus ; leur revue complète fait partie des améliorations en cours. Les démonstrations publiques des logiciels fonctionnent avec des données fictives.
Gestion et notification des incidents
- Tout incident de sécurité signalé ou détecté est analysé afin d'en déterminer la nature, l'origine et l'impact, et des mesures de correction sont engagées au plus vite ;
- en cas de violation de données personnelles susceptible d'engendrer un risque pour les personnes concernées, ONIQ Software s'engage à la notifier à la CNIL dans les 72 heures après en avoir pris connaissance, comme le prévoit l'article 33 du RGPD ;
- lorsque le risque est élevé, les personnes concernées sont informées dans les meilleurs délais (article 34 du RGPD) ;
- lorsque ONIQ Software agit en qualité de sous-traitant pour un client, elle informe ce client sans délai injustifié.
Pour toute question relative à vos données personnelles : dpo@oniq.online. Vous pouvez également adresser une réclamation à la CNIL (www.cnil.fr).
Signaler une vulnérabilité
Si vous découvrez une faille de sécurité potentielle, merci de nous la signaler de manière responsable :
- écrivez à security@oniq.online ou, à défaut, à contact@oniq.online ;
- décrivez la vulnérabilité, les étapes permettant de la reproduire et son impact potentiel ;
- laissez-nous un délai raisonnable pour la corriger avant toute divulgation publique.
Nous accusons réception de chaque signalement, l'étudions sérieusement et n'engageons pas d'action contre les personnes agissant de bonne foi, sans intention malveillante, sans porter atteinte aux données ni à la disponibilité du service. Nous vous demandons de ne pas exploiter la vulnérabilité au-delà de ce qui est nécessaire pour en démontrer l'existence et de ne pas accéder à des données qui ne vous appartiennent pas.
Bonnes pratiques recommandées aux utilisateurs
- Choisir un mot de passe long et unique pour votre compte ONIQ, et ne jamais le réutiliser ailleurs ;
- ne jamais communiquer vos identifiants : ONIQ Software ne vous demandera jamais votre mot de passe par téléphone ou par email ;
- vous déconnecter après chaque session sur un poste partagé et verrouiller vos appareils ;
- maintenir à jour votre système, votre navigateur et votre antivirus ;
- vérifier que vous êtes bien sur une adresse en https://…oniq.online et vous méfier des tentatives d'hameçonnage ;
- signaler sans délai toute activité suspecte à contact@oniq.online.
Contact et mise à jour
- Signalement de vulnérabilité : security@oniq.online
- Données personnelles : dpo@oniq.online
- Questions juridiques : legal@oniq.online
- Contact général : contact@oniq.online
Cette page est mise à jour à mesure que les améliorations en cours sont réalisées. La version en vigueur est celle publiée sur le site oniq.online.