Sécurité

La sécurité est traitée comme une exigence de conception, pas comme une étape finale. Elle est portée par la direction technique de Pôle Digital Inc. et revue à chaque évolution significative de nos plateformes.

Nos pratiques s'alignent sur des cadres reconnus - OWASP pour le développement applicatif, principe du moindre privilège pour les accès, et exigences québécoises et canadiennes en matière de protection des renseignements personnels.

Les accès aux environnements, aux bases de données et aux consoles d'hébergement sont nominatifs, révocables et journalisés.

Double authentification

Obligatoire sur les comptes d'administration, les dépôts de code et les consoles infonuagiques.

Rôles et cloisonnement

Les droits sont attribués par rôle, avec séparation des environnements de développement, de test et de production.

Revue périodique

Les comptes et les habilitations sont revus régulièrement, et retirés dès la fin d'un mandat.

Les communications entre votre navigateur et nos services sont chiffrées en transit (TLS). Les données au repos sont chiffrées par nos fournisseurs d'hébergement et de base de données.

Les secrets applicatifs - clés d'interface, jetons, mots de passe de service - sont conservés dans des coffres dédiés, jamais dans le code source. Nous appliquons la minimisation : seules les données nécessaires à la demande sont collectées et conservées.

Nos plateformes s'appuient sur des fournisseurs infonuagiques reconnus, avec redondance, sauvegardes automatisées et isolation des environnements.

Lorsqu'un projet l'exige, nous privilégions un hébergement des données au Canada et documentons les transferts éventuels vers d'autres juridictions.

Chaque changement passe par une révision de code, des tests automatisés et un déploiement traçable. Les dépendances sont suivies et mises à jour pour corriger les vulnérabilités connues.

Les formulaires du site valident les données côté serveur, appliquent une limitation du débit et protègent contre les injections et les soumissions automatisées.

Les accès administratifs et les opérations sensibles sont journalisés. Des alertes signalent les erreurs applicatives, les pics de trafic anormaux et les tentatives d'authentification suspectes.

Les journaux sont conservés pour une durée limitée, suffisante à l'analyse d'un incident, puis supprimés.

En cas d'incident de sécurité, nous appliquons un processus documenté : confinement immédiat, évaluation de l'impact, correction, puis analyse des causes.

Notification

Les clients concernés sont informés sans délai indu, avec les faits connus et les mesures prises.

Obligations légales

Tout incident de confidentialité présentant un risque sérieux est traité conformément aux exigences applicables au Québec.

Amélioration continue

Chaque incident donne lieu à des correctifs techniques ou organisationnels durables.

Nous sélectionnons nos fournisseurs - hébergement, courriel transactionnel, outils d'analyse, services d'intelligence artificielle - en fonction de leurs engagements de sécurité et de confidentialité.

Les données ne sont partagées qu'avec les prestataires nécessaires à la prestation, dans le cadre d'ententes encadrant leur usage. Le détail des catégories de destinataires figure dans notre politique de confidentialité.

Si vous découvrez une faille sur l'un de nos sites ou plateformes, écrivez-nous à info@poledigital.ca avec une description, les étapes de reproduction et, si possible, une preuve technique.

Nous demandons de ne pas exploiter la faille au-delà de la démonstration, de ne pas accéder à des données qui ne vous appartiennent pas et de nous laisser un délai raisonnable pour corriger avant toute publication. Nous accusons réception rapidement et tenons le déclarant informé de la correction.