Politique de Sécurité

Dernière mise à jour: 27 décembre 2025

1. Chiffrement et Transmission Sécurisée

Données en transit:

  • TLS 1.3: Toutes les communications utilisent le protocole TLS 1.3 (ou supérieur)
  • HTTPS uniquement: Aucune connexion HTTP non sécurisée acceptée
  • Certificats SSL valides: Certificats vérifiés et renouvelés automatiquement
  • Perfect Forward Secrecy: Protection contre la compromission de clés futures

Données au repos:

  • AES-256: Chiffrement de toutes les données sensibles avec algorithme AES-256
  • Identifiants API: Chiffrés individuellement avec clés uniques
  • Pas de stockage en clair: Aucun mot de passe ou secret stocké non chiffré
  • Sauvegardes chiffrées: Toutes les sauvegardes sont chiffrées

2. Infrastructure et Hébergement

Datacenters certifiés:

  • Hébergement dans des datacenters certifiés (ISO 27001, SOC 2)
  • Localisation: Maroc et/ou Union Européenne
  • Redondance géographique pour haute disponibilité

Sécurité réseau:

  • Pare-feu applicatifs (WAF) actifs 24/7
  • Protection DDoS avec mitigation automatique
  • Isolation réseau entre environnements (production, développement)
  • Intrusion Detection System (IDS) pour détecter les menaces

Monitoring et alertes:

  • Surveillance 24/7 des systèmes et applications
  • Alertes automatiques en cas d'anomalie
  • Logs centralisés et analysés en temps réel

3. Contrôle d'Accès

Principe du moindre privilège:

  • Accès limité au personnel strictement nécessaire
  • Séparation des rôles et responsabilités
  • Revue trimestrielle des droits d'accès

Authentification renforcée:

  • Authentification multi-facteurs (MFA) obligatoire pour tout le personnel
  • Mots de passe complexes imposés (minimum 12 caractères)
  • Rotation régulière des clés et secrets

Audit et traçabilité:

  • Journaux d'audit de tous les accès administratifs
  • Conservation des logs pendant 12 mois minimum
  • Revue mensuelle des activités suspectes

4. Sauvegarde et Reprise d'Activité

Sauvegardes automatisées:

  • Sauvegardes quotidiennes automatiques
  • Rétention: 30 jours minimum
  • Stockage dans des datacenters géographiquement séparés
  • Chiffrement de toutes les sauvegardes

Plan de reprise (DRP):

  • Plan de continuité d'activité documenté et testé
  • Objectif de temps de récupération (RTO): 4 heures
  • Objectif de point de récupération (RPO): 24 heures
  • Tests de restauration trimestriels

5. Conformité et Certifications

Réglementations marocaines:

  • Conformité à la loi marocaine 09-08 sur la protection des données personnelles
  • Respect des directives de la CNDP (Commission Nationale de contrôle de la protection des Données à caractère Personnel)

Standards internationaux:

  • Alignement avec le RGPD européen (pour clients européens)
  • Bonnes pratiques ISO 27001/27002
  • OWASP Top 10 pour sécurité applicative

Conformité marketplaces:

  • Shopify App Store security requirements
  • Google Workspace Marketplace security assessment
  • WooCommerce, PrestaShop, Magento security guidelines

Audits de sécurité:

  • Audits de sécurité semestriels par des experts indépendants
  • Tests de pénétration annuels
  • Scans de vulnérabilité automatisés hebdomadaires

6. Réponse aux Incidents de Sécurité

Processus de réponse:

  • Plan de réponse aux incidents documenté et maintenu à jour
  • Équipe dédiée disponible 24/7 pour incidents critiques
  • Procédures d'escalade claires

En cas de brèche de données:

  • Notification sous 24 heures: Vous serez informé dans les 24 heures suivant la découverte
  • Communication transparente: Détails de l'incident, données affectées, mesures prises
  • Conformité légale: Notification aux autorités marocaines selon la loi 09-08
  • Actions correctives: Mise en œuvre immédiate de mesures pour éviter la récurrence

Post-incident:

  • Analyse approfondie des causes profondes
  • Rapport détaillé fourni aux parties affectées
  • Amélioration continue des processus de sécurité

7. Programme de Divulgation Responsable des Vulnérabilités

Nous encourageons la communauté de sécurité à nous signaler les vulnérabilités de manière responsable.

Comment signaler une vulnérabilité:

  • Email: security@sendit.ma
  • Délai de réponse: 48 heures maximum
  • Chiffrement: PGP key disponible sur demande

Notre engagement:

  • Réponse rapide et professionnelle
  • Pas de poursuites légales contre les chercheurs agissant de bonne foi
  • Reconnaissance publique (si souhaité) après correction
  • Collaboration pour résoudre les problèmes

Règles de divulgation responsable:

  • Ne pas exploiter la vulnérabilité au-delà de la preuve de concept
  • Ne pas accéder, modifier ou supprimer des données utilisateur
  • Ne pas divulguer publiquement avant que nous ayons corrigé le problème
  • Nous donner un délai raisonnable pour corriger (minimum 90 jours)

8. Sécurité du Développement

Pratiques de développement sécurisé:

  • Revue de code systématique (peer review)
  • Analyse statique du code (SAST) automatisée
  • Analyse des dépendances pour vulnérabilités connues
  • Tests de sécurité intégrés au CI/CD

Gestion des secrets:

  • Aucun secret dans le code source
  • Utilisation de gestionnaires de secrets (Vault, etc.)
  • Rotation automatique des clés et certificats

9. Protection des Données Clients

Minimisation des données:

  • Collecte uniquement des données strictement nécessaires
  • Pas de données sensibles non requises (informations bancaires, etc.)
  • Anonymisation quand possible

Suppression sécurisée:

  • Suppression complète sur demande (sous 30 jours)
  • Écrasement sécurisé des données (pas simplement marqué comme supprimé)
  • Suppression de toutes les sauvegardes après période de rétention

Pas de backup non chiffré:

  • Toutes les sauvegardes sont chiffrées
  • Clés de chiffrement stockées séparément des données
  • Destruction sécurisée des backups obsolètes

10. Formation et Sensibilisation

Personnel:

  • Formation annuelle obligatoire sur la sécurité et la protection des données
  • Sensibilisation au phishing et ingénierie sociale
  • Politiques de sécurité clairement documentées

Marchands:

  • Documentation sur les meilleures pratiques de sécurité
  • Conseils pour protéger les identifiants API
  • Communication proactive sur les menaces émergentes

11. Contact Sécurité

Pour toute question ou signalement de sécurité:

Email: security@sendit.ma

Délai de réponse: 48 heures maximum

PGP Key: Disponible sur demande pour communications chiffrées

Dernière revue de cette politique: 27 décembre 2025
Prochaine revue programmée: Juin 2026