- En vigueur depuis
- 28 septembre 2026
Cette version française est fournie à titre de commodité. La version espagnole est celle qui s'applique.
Comment nous protégeons les données des entreprises et des personnes qui utilisent XEN. Cette synthèse est la version publique. La documentation complète (déclaration d'applicabilité, programme de tests de sécurité, plan de certification et diagrammes de flux de données) est remise aux clients et aux évaluateurs sous accord de confidentialité, via security@xeneural.com.
Journal des modifications
| Date | Modification |
|---|
| Novembre 2025 | Première version |
| 28 septembre 2026 | Connexion d'entreprise, journal des accès visible par l'administrateur, objectifs de reprise, programme de tests de sécurité, calendrier de certification, administration de la plateforme et messagerie authentifiée |
L'essentiel
- Vos données sont à vous. Nous ne les utilisons que pour vous fournir le Service. Nous n'entraînons pas de modèles d'intelligence artificielle avec elles et l'interdisons contractuellement à nos fournisseurs.
- Chiffrement en transit et au repos. TLS 1.2 ou supérieur en transit et AES-256 au repos, dans les bases de données, les fichiers et les sauvegardes.
- Chaque entreprise, isolée. Les données de chaque client sont logiquement séparées et chaque requête est validée côté serveur par rapport à l'organisation de l'utilisateur ; les identifiants envoyés par le navigateur ne servent pas à autoriser.
- Accès d'entreprise et permissions détaillées. Connexion d'entreprise SAML ou OIDC, exclusive par entreprise si le client le choisit, avec authentification multifacteur obligatoire ; rôles par module, action et site ; moindre privilège.
- Avis d'incident sous 24 heures. Procédure documentée, avec notification aux clients concernés dans un délai maximal de 24 heures à compter du moment où nous avons raisonnablement connaissance de l'incident et rapport complet sous 10 jours ouvrables.
- Un système de management en exploitation. Système de management de la sécurité de l'information conforme à la norme ISO/IEC 27001:2022, avec politiques, registres, audit interne et revue de direction. Le processus de certification a été lancé en octobre 2026.
Sécurité du produit
| Contrôle | Ce que nous faisons |
|---|
| Authentification | Identité vérifiée côté serveur à chaque requête ; connexion d'entreprise SAML ou OIDC (Google Workspace et Microsoft Entra ID), exclusive par entreprise si le client le choisit, avec authentification multifacteur obligatoire ; mots de passe conservés chiffrés par notre fournisseur d'identité et jamais lisibles par Xeneural ; second facteur TOTP avec codes de récupération |
| Autorisation | Rôles par module, action et site ; les administrateurs du client gèrent leurs utilisateurs et leurs permissions ; les accès d'assistance requièrent l'autorisation du client et sont journalisés |
| Ségrégation entre clients | Identifiant d'organisation validé côté serveur à chaque opération ; les requêtes sont limitées par conception à l'organisation active |
| Intégrité des données | Validation des schémas, empreintes SHA-256 de chaque document, signature électronique avec chaîne vérifiable et horodatage, assainissement des entrées |
| Périmètre de l'application | En-têtes de sécurité stricts (CSP, HSTS, isolation d'origine), limites de débit globales et par compte, protection contre l'automatisation abusive sur les formulaires publics |
| Assistant XENI | Contexte limité à l'entreprise active et aux permissions de l'utilisateur ; aucune action d'écriture sans confirmation humaine ; contenu généré identifié comme tel ; l'administrateur peut désactiver XENI pour toute l'entreprise ; fournisseur de modèle sans entraînement sur les données des clients |
Sécurité des données
| Contrôle | Ce que nous faisons |
|---|
| Chiffrement en transit | TLS 1.2 ou supérieur sur toutes les connexions : navigateur, applications mobiles et intégrations |
| Chiffrement au repos | AES-256 dans les bases de données, le stockage de fichiers et les sauvegardes ; secrets d'intégration chiffrés avec une clé propre et rotation programmée |
| Localisation | Hébergement dans des centres de données de fournisseurs certifiés aux États-Unis ; diffusion et protection du trafic sur un réseau de bordure mondial ; transferts communiqués à l'autorité péruvienne et couverts par des clauses contractuelles types pour les clients européens |
| Sauvegardes et reprise | Base de données avec sauvegarde continue et restauration à un point dans le temps (RPO 5 minutes, RTO 4 heures) ; documents avec réplication quotidienne ; test de restauration chaque trimestre avec procès-verbal et exercice annuel de reprise après sinistre |
| Conservation et suppression | Durées publiées dans la Politique de confidentialité ; exportation dans des formats ouverts ; suppression certifiée après la résiliation ; conservation légale des justificatifs et des registres comptables dans une archive avec vérification d'intégrité |
| Journal des accès et de l'activité | Qui a fait quoi et quand, y compris les connexions et les accès d'assistance, visible par l'administrateur du client ; conservation 24 mois ; révision trimestrielle |
Sécurité de l'exploitation
| Contrôle | Ce que nous faisons |
|---|
| Développement sécurisé | Tests automatisés, alertes de dépendances vulnérables, analyse des dépendances avec quarantaine et vérification des signatures, programme de tests de sécurité internes classés par niveau d'impact, gestion des vulnérabilités avec délais par gravité, déploiement par flux de travail après les tests |
| Fournisseurs | Uniquement des fournisseurs certifiés ISO/IEC 27001 ou SOC 2, accord de traitement des données ou conditions équivalentes et notification des incidents ; liste publique des sous-traitants ultérieurs avec préavis de 30 jours en cas de changement |
| Personnel et équipements | Accords de confidentialité, formation enregistrée, équipements ayant accès aux informations de l'entreprise avec chiffrement de disque, verrouillage automatique et mises à jour à jour ; accès à la production réservé au personnel autorisé |
| Administration de la plateforme | Console interne distincte de l'application : chaque action exige la session vérifiée d'un compte actif du personnel, chaque personne n'accède qu'aux sections qui lui sont attribuées et la désactivation d'un compte prend effet immédiatement ; chaque accès du personnel aux données d'une entreprise est consigné dans le journal d'activité de cette entreprise, visible par son administrateur |
| Messagerie | Les e-mails de xeneural.com sont signés avec DKIM et autorisés par SPF ; DMARC est en politique de quarantaine avec rapports quotidiens et passe au rejet le 26 octobre 2026 |
| Continuité | Objectifs de reprise publiés dans l'Accord de niveau de service ; plan de continuité avec test de restauration trimestriel et exercice annuel |
| Vérification | Programme continu de tests de sécurité internes ; test d'intrusion externe lors de l'audit d'étape 2 de la certification (janvier 2027) puis chaque année ; audit interne et revue de direction annuels ; résumés exécutifs partagés avec les clients sous confidentialité |
Gestion des incidents
- Détection par surveillance, par signalement d'un client ou d'un fournisseur, ou par un chercheur en sécurité.
- Confinement immédiat et enregistrement avec responsable et heure.
- Notification aux clients concernés dans les 24 heures suivant le moment où nous avons raisonnablement connaissance de l'incident ; les informations sont complétées par étapes.
- Notification à l'Autorité nationale de protection des données personnelles du Pérou dans le délai légal lorsque cela s'applique, et assistance au client pour ses propres notifications.
- Rapport ultérieur avec cause première, impact, mesures et délais, dans un délai maximal de 10 jours ouvrables.
Certifications et état
| Cadre | État |
|---|
| ISO/IEC 27001:2022 | Système de management documenté et en exploitation. Processus de certification lancé en octobre 2026 : audit d'étape 1 en décembre 2026 et d'étape 2 en janvier 2027 |
| Fournisseurs d'infrastructure | Ils disposent de la certification ISO/IEC 27001 ou SOC 2 ; la liste, avec la finalité et la localisation de chacun, figure sur la page des sous-traitants ultérieurs |
Feuille de route
| Amélioration | Date |
|---|
| Certificat ISO/IEC 27001 émis par un organisme accrédité | Après l'audit d'étape 2 (janvier 2027) |
| Test d'intrusion externe par un tiers indépendant | Lors de l'audit d'étape 2 (janvier 2027) |
| Chiffrement par champ avec clé gérée par le client | Évolution prévue sur la base de données actuelle |
Signalement de vulnérabilités
Si vous trouvez une vulnérabilité, écrivez-nous à security@xeneural.com. Notre Politique de divulgation responsable explique le périmètre, les délais de réponse et l'engagement de ne pas engager de poursuites contre quiconque effectue des recherches de bonne foi. Les coordonnées figurent également sur xeneural.com/.well-known/security.txt.
En vigueur depuis 28 septembre 2026. Les versions antérieures sont conservées et fournies sur demande à legal@xeneural.com.
