Adapty est la couche d’infrastructure d’abonnement de milliers d’applications mobiles et traite des milliards de dollars de transactions d’abonnement pour le compte de nos clients.
Cette position s’accompagne d’une obligation claire : les données que vous et vos utilisateurs nous confiez doivent être traitées avec soin, auditées par des personnes qui ne travaillent pas pour nous et protégées par des contrôles qui ne dépendent d’aucune personne en particulier.
La présente page décrit la manière dont nous nous en acquittons.
Certifications
SOC 2 Type II
Un cabinet d’expertise comptable CPA indépendant examine nos contrôles en matière de sécurité, de disponibilité et de confidentialité, et délivre une attestation SOC 2 Type II portant sur l’efficacité opérationnelle de ces contrôles au cours de la période de référence. Le rapport en vigueur est mis à la disposition des clients et des clients potentiels sous accord de confidentialité. Vous pouvez le demander à votre équipe de gestion de compte ou à l’adresse [email protected].
Réglementations relatives à la protection de la vie privée
Adapty traite les données des utilisateurs finaux strictement en qualité de sous-traitant, en agissant uniquement sur instruction documentée de nos clients conformément à notre Accord de traitement des données. Nos pratiques de traitement sont conçues pour satisfaire aux exigences :
- du RGPD (UE et Royaume-Uni) ;
- de la LGPD (Brésil).
Si votre juridiction impose des exigences spécifiques qui ne figurent pas ci-dessus, contactez-nous — nous sommes généralement en mesure d’y répondre.
Comment nous protégeons les données
Chiffrement
Toutes les données des clients sont chiffrées en transit (TLS 1.2+) et au repos à l’aide d’algorithmes de chiffrement conformes aux normes du secteur.
Réseau et infrastructure
La production fonctionne dans des environnements renforcés conformes aux normes du secteur, avec une segmentation réseau entre les services, des flux entrants et sortants restreints et un accès selon le principe du moindre privilège pour le petit groupe d’ingénieurs qui sont les seuls à pouvoir accéder à la production. L’accès à la production requiert une authentification multifacteur et est journalisé.
Surveillance continue
Les journaux de notre infrastructure et de nos applications sont centralisés, les anomalies déclenchent des alertes automatiques et un ingénieur d’astreinte est disponible 24 h/24 et 7 j/7 pour répondre aux incidents.
Développement sécurisé
Chaque modification du code fait l’objet d’une revue par les pairs, d’une analyse statique automatisée et de contrôles de sécurité dans la chaîne d’intégration continue avant de pouvoir atteindre la production. Les dépendances sont suivies et corrigées selon un calendrier défini, et nous maintenons un pipeline de déploiement clair qui enregistre qui a déployé quoi, et quand.
Pratiques opérationnelles
Personnel
L’ensemble du personnel suit une formation de sensibilisation à la sécurité lors de son embauche, puis chaque année. L’authentification multifacteur est obligatoire sur tous les systèmes de l’entreprise qui la prennent en charge. L’accès aux données des clients est restreint, journalisé et régulièrement contrôlé.
Fournisseurs
Chaque tiers auquel nous faisons appel pour l’infrastructure, le traitement des données ou la sécurité fait l’objet d’une évaluation documentée avant son intégration, puis d’une réévaluation périodique. Les fournisseurs critiques sont tenus de détenir des certifications équivalentes (généralement SOC 2 Type II ou ISO 27001).
Résilience
Nous réalisons des sauvegardes chiffrées selon un calendrier défini, maintenons une redondance de nos services critiques et testons nos procédures de reprise après sinistre, afin que la reprise soit une opération que nous avons réellement répétée, et non une solution que nous comptons improviser sous la pression.
Réponse aux incidents
Nous disposons d’un plan de réponse aux incidents documenté, comprenant des niveaux de gravité définis, des protocoles de communication et une analyse post-incident.
Signaler une vulnérabilité
Si vous pensez avoir découvert un problème de sécurité dans Adapty, veuillez écrire à [email protected]. Nous examinons chaque signalement crédible, collaborons avec son auteur à la correction et citons les chercheurs qui respectent les principes de divulgation responsable (sauf s’ils préfèrent garder l’anonymat).
Pour les évaluations de sécurité des grandes entreprises
Les clients et clients potentiels Enterprise peuvent demander les documents suivants à l’adresse [email protected] :
- le rapport SOC 2 Type II en vigueur (sous accord de confidentialité) ;
- un questionnaire de sécurité complété (CAIQ, SIG ou votre propre format) ;
- une synthèse de la Politique de sécurité de l’information ;
- une synthèse des tests d’intrusion.
