Sécurité et conformité

Crediteris ne détient aucune certification de sécurité et n'a fait l'objet d'aucun audit indépendant. Le tableau ci-dessous sera mis à jour à mesure que chaque élément sera planifié, puis réalisé. Nous ne présenterons jamais un audit comme terminé tant que le rapport n'existe pas.

Les données des clients seront stockées et traitées uniquement au Canada. L'architecture de production utilise les deux régions canadiennes de Microsoft Azure, distantes de plus de 700 km.

État : conçu. Il s'agit de l'architecture de production. Elle n'est pas encore utilisée par un client.

Quelques faits qu'un examen de la résidence des données voudra voir énoncés clairement :

• Microsoft est une société américaine. Les données se trouvent dans des régions canadiennes, mais le fournisseur est constitué aux États-Unis, comme tous les grands fournisseurs infonuagiques présents au Canada.
• Réseau périphérique. Nous prévoyons de placer Cloudflare devant l'application pour la protection contre les attaques par déni de service et comme pare-feu d'applications Web, avec un réglage qui limite le déchiffrement TLS aux centres de données de Cloudflare situés au Canada. Dans cette architecture, Cloudflare ne stocke aucune donnée de client, mais il voit le trafic en clair à la périphérie, et Cloudflare, Inc. est une société américaine. Le client qui le préfère peut plutôt obtenir Azure Front Door et le pare-feu d'Azure, tous deux au Canada.
• Les environnements de démonstration ne contiennent que des données synthétiques et peuvent être exploités hors du Canada. Aucune donnée de client n'y est jamais placée.
• Le code source est hébergé sur GitHub, un service américain. Il ne contient aucune donnée de client.
• Sous-traitants. La liste complète, y compris l'envoi des courriels, n'est pas arrêtée. Nous la publierons sur cette page avant que la plateforme soit utilisée par un client.

• En transit : TLS 1.2 ou plus récent, TLS 1.3 de préférence.
• Au repos : AES-256 pour la base de données, le stockage des fichiers et les sauvegardes.
• Le client peut détenir ses propres clés de chiffrement dans Azure Key Vault, et en faire la rotation ou les révoquer.

• Authentification unique au moyen de SAML 2.0 ou d'OpenID Connect. Les groupes de votre fournisseur d'identité correspondent aux rôles de Crediteris.
• Authentification multifacteur pour tout compte qui n'utilise pas l'authentification unique.
• Quatre rôles : apprenant, observateur, administrateur et superadministrateur. Les observateurs sont en lecture seule par conception : ils ne peuvent rien créer, modifier, annoter, télécharger ni administrer.
• Les sessions inactives prennent fin automatiquement. L'accès peut être limité aux adresses IP de votre institution.

• Un journal de sécurité en ajout seulement consigne les connexions, les échecs de connexion, les refus d'accès et les modifications administratives : qui, quoi, quand et d'où. Il peut être exporté vers votre SIEM et il est conservé pendant toute la durée du contrat.
• Les dossiers d'apprentissage conservent l'horodatage, chaque tentative d'évaluation, les achèvements et la version du contenu que chaque apprenant a vue : tout résultat passé peut ainsi être rattaché à ce qui a réellement été présenté.
• Les dossiers sont conservés au moins trois ans, puis éliminés de façon sécuritaire selon une politique de conservation documentée.

Les dossiers d'apprentissage, les résultats, les certificats et les données des apprenants appartiennent au client. Vous pouvez les exporter en tout temps, et en totalité à la fin du contrat, dans des formats standard qu'un autre système peut importer. Nous n'utilisons pas les données des clients à des fins d'analyse, de comparaison ou de développement de produits sans votre autorisation écrite, et nous ne nous en servons jamais pour entraîner des modèles d'IA.

• Point de reprise : au plus 24 heures de données exposées, avec une cible de conception de cinq minutes.
• Délai de reprise : service rétabli en moins de 24 heures, avec une cible de conception de quatre heures.
• Les restaurations sont testées chaque trimestre, et le résultat est consigné.
• Disponibilité : au moins 98,5 %, de 7 h à 19 h dans tous les fuseaux horaires du Canada.

État : conçu. Ce sont des engagements que nous prendrons par contrat. Il n'existe pas encore d'historique d'exploitation qui permette de les démontrer.

Crediteris est un système de formation. Il n'est relié à aucun système de prêt, ne contient aucun dossier réel d'emprunteur et ne prend aucune décision de crédit. Les données des cas sont fictives. Les champs de texte libre rappellent aux apprenants de ne pas saisir de renseignements sur des clients et signalent tout texte qui ressemble à un nom, à un numéro d'entreprise ou à un numéro de compte. La catégorie de données bancaires la plus sensible reste ainsi entièrement hors de la plateforme.

Les fonctions d'IA sont désactivées par défaut, et Crediteris fonctionne entièrement sans elles. Lorsqu'un client en active une, elle ne voit que le contenu du cas fictif et la réponse de l'apprenant. Les données des clients ne servent jamais à entraîner ni à améliorer un modèle d'IA. Avant qu'une fonction d'IA puisse être activée, nous nommerons le modèle et le sous-traitant qui la sous-tendent. La page Produit décrit ce que font ces fonctions.

La plateforme est conçue pour respecter le niveau AA des WCAG 2.1. Son système de design fixe le contraste calculé de chaque paire de couleurs de texte, l'accès au clavier, la visibilité du focus, le comportement avec les lecteurs d'écran, la redistribution du contenu à 320 pixels et la prise en charge du contraste élevé de Windows. Des essais sont prévus avec NVDA, JAWS et VoiceOver. Aucun audit indépendant n'a encore été réalisé, et aucun rapport de conformité n'a été publié.

Ce site Web est conçu selon le niveau AA des WCAG 2.1. Chaque page, dans les deux langues, est vérifiée avec l'outil automatisé axe-core, en affichage large et étroit, ainsi qu'au clavier. Les outils automatisés ne détectent qu'une partie des problèmes, et ce site n'a pas fait l'objet d'un audit indépendant.

Si quelque chose sur ce site ou dans Crediteris ne fonctionne pas pour vous, écrivez-nous à hello@crediteris.com, en français ou en anglais.