Politique de sécurité

1. Introduction et champ d’application

La présente Politique de sécurité expose les mesures et pratiques de sécurité mises en place par SPLIT PAYMENTS, S.L. (ci-après dénommée « Flanks », « nous », « notre » ou « nos ») afin de protéger les données des utilisateurs et d’ assurer un environnement en ligne sécurisé, conforme aux exigences légales en matière de sécurité et de confidentialité. Cette politique s’applique à tous les utilisateurs, administrateurs et prestataires de services tiers interagissant avec notre plateforme SaaS spécialisée en technologies de gestion de patrimoine (« wealth-tech »), et couvre l’ensemble de nos produits et services, sauf indication contraire dans le présent document.

2. Conformité et exigences réglementaires

Flanks s’engage à respecter les réglementations suivantes:

• Règlement général sur la protection des données (RGPD) afin de garantir la confidentialité et la protection des données.

• Normes SOC 2 Type II concernant la sécurité de l'information, la disponibilité et l’intégrité du traitement.Flanks est certifiée conforme à la norme SOC 2 Type II et fait l’objet d’un audit annuel. Les certificats d’audit peuvent être fournis sur demande aux Clients ou Fournisseurs.

3. Accès utilisateur et authentification

• L’authentification multi-facteurs (MFA) est obligatoire pour tous les comptes utilisateurs.

• Politiques de mot de passe:
  
  • Longueur minimale de [ex.: 12 caractères].
  • Doit contenir un mélange de lettres majuscules et minuscules, de chiffres et de symboles.
  • Mise en place de politiques de changement périodique et d’expiration des mots de passe.
  • Des procédures sécurisées de réinitialisation de mot de passe sont en place.

4. Protection des données et chiffrement

• Toutes les données sont chiffrées, tant au repos qu’en transit, à l’aide de protocoles de chiffrement conformes aux standards de l'industrie.
• La gestion des clés de chiffrement est encadrée par une politique cryptographique complète.
• Des sauvegardes régulières sont effectuées et un plan de reprise après sinistre est en place pour garantir  la continuité des activités.
  

5. Hébergement et sécurité de l’infrastructure

• Notre infrastructure est hébergée sur Google Cloud,  qui nous permet d’assurer une haute disponibilité ainsi qu’un niveau élevé de sécurité renforcée.
• Les mesures de sécurité comprennent notamment des pare-feux, des systèmes de détection d’intrusion (IDS) et des mécanismes de défense une protection contre les attaques DDoS afin de prévenir tout accès non autorisé et  tentative malveillante.

6. Gestion des logiciels et des correctifs

• Les logiciels, plugins et bibliothèques sont mis à jour régulièrement, conformément à notre politique de développement sécurisé.
• Des analyses de vulnérabilités et des tests de pénétration sont effectués périodiquement pour identifier et atténuer les risques de sécurité.

7. Gestion des incidents et surveillance

• Des mécanismes complets de journalisation et de surveillance permettent de suivre l’activité du système et de détecter les anomalies.
• Les incidents de sécurité sont gérés selon notre Plan de réponse aux incidents, qui comprend:
  
  • La détection, l’analyse et le confinement des menaces.
  • Les procédures de notification aux utilisateurs concernés et aux autorités réglementaires (le cas échéant).
  • Une revue post-incident et des actions d’amélioration.

8. Gestion des risques liés aux tiers

• Les prestataires de services tiers, y compris les processeurs de paiement et les plateformes d’analyse, doivent se conformer à notre Politique de gestion des tiers.
• Des évaluations de sécurité sont menées avant l’intégration d’API et de services tiers.
• Les contrats avec les tiers incluent des clauses relatives à la protection des données et à la confidentialité.

9. Responsabilités et sensibilisation des utilisateurs

• Les utilisateurs doivent suivre les bonnes pratiques de sécurité, notamment:
  
  • Utiliser des mots de passe forts et uniques, et activer l’authentification multi-facteurs (MFA).
  • Rester vigilants face aux attaques de type phishing et aux liens suspects.
  • Signaler rapidement toute préoccupation en matière de sécurité à l’adresse suivante: [email protected].

10. Révision et mise à jour de la politique

• Cette politique est révisée chaque année ou lorsqu’une mise à jour s’impose afin de s’adapter à l’évolution des menaces de sécurité et des exigences de conformité.

Pour toute question ou préoccupation concernant cette politique, veuillez contacter notre équipe de sécurité à l’adresse: [email protected].