Sécurité de l’information

Dans la conception, le développement et l’exploitation de nos produits et services, nous ne nous appuyons pas sur le postulat selon lequel « franchir un point de contrôle déterminé suffit à garantir la sécurité ». Plutôt que de faire confiance au seul périmètre (VPN, réseaux d’administrations, plateformes recommandées, etc.), nous construisons les contrôles selon la minimisation des données, le moindre privilège, la vérification continue et une conception qui présuppose la compromission (l’approche Zero Trust).

La gestion de la sécurité de l’information repose sur l’évaluation des risques ainsi que sur la conception et l’exploitation de contrôles alignés sur le cadre ISO/IEC 27001 (ISMS). Nous préparons la certification selon cette norme ; une fois obtenue, nous ajouterons sur cette page le périmètre de certification et sa date d’expiration.

Nous menons en continu les processus suivants.

Nous n’admettons pas la substitution par l’autorité, du type « sûr parce que recommandé » ou « sûr parce que national uniquement ». Notre critère est que la sécurité soit explicable au moyen des processus et contrôles ci-dessus.

• Évaluation des risques fondée sur les actifs, les menaces et les vulnérabilités, avec consignation du risque résiduel
• Sélection et mise en œuvre de contrôles techniques et organisationnels selon le risque
• Évaluation et réévaluation de l’infrastructure cloud (telle que Google Cloud) ainsi que des prestataires et sous-traitants ultérieurs
• Investigation, notification et prévention de la récurrence en cas d’incident (y compris les frontières de responsabilité)
• Revue de l’efficacité des contrôles

Pour le SaaS que nous fournissons (par exemple Imaju), nous adoptons, dans la mesure du possible, des conceptions qui ne collectent pas de données personnelles ou métier et ne les conservent pas durablement. Certains produits se limitent aux métadonnées nécessaires à l’enregistrement de l’acheminement et de la connexion, et ne conservent ni ne transfèrent le corps des contenus des utilisateurs finaux (voir les conditions et politiques de chaque produit).

Les informations recueillies sur ce site institutionnel et via notre point de contact sont traitées conformément à la Politique de confidentialité. Le traitement des données propre à chaque produit est régi par les documents de ce produit.

Nous exploitons des plateformes cloud disposant de certifications et d’audits de tiers reconnus à l’international, en y superposant des contrôles applicatifs tels que l’authentification, l’autorisation, le chiffrement, la journalisation et la limitation de débit. À l’issue de l’évaluation des risques, nous n’adoptons pas de dépendance technique à une plateforme nationale à usage exclusivement administratif dans le périmètre de notre ISMS.

Pour les pannes, les fonctionnements dégradés et les événements de sécurité, nous distinguons la détection de la confirmation et procédons aux annonces et aux enregistrements nécessaires. Lorsqu’un produit dispose de sa propre politique de surveillance et de notification, les documents de ce produit prévalent.

Les frontières de responsabilité, les enregistrements et la notification au client en cas d’incident sont gérés conformément aux documents faisant foi. Le simple fait d’« avoir franchi un point de contrôle » n’est pas considéré comme satisfaisant à l’obligation de rendre compte.

Pour les liens vers les documents juridiques et produits associés, voir ci-dessous.

• Politique de confidentialité
• Imaju Terms / Imaju Privacy / Imaju Commerce Disclosure
• Imaju Security / Incident

La présente politique peut être révisée si nécessaire. Le contenu révisé prend effet dès sa publication sur le Site.

Dernière mise à jour : 6 septembre 2026