Sécurité

La sécurité est fondamentale chez BusyBot. Cette page décrit les mesures techniques et organisationnelles que nous prenons pour protéger vos données et maintenir l'intégrité du Service. Si vous découvrez une vulnérabilité de sécurité, consultez notre processus de divulgation responsable ci-dessous.

1. Sécurité de l'infrastructure

1.1 Hébergement cloud

BusyBot est hébergé sur Amazon Web Services (AWS) dans la région us-east-1, avec capacité de bascule en us-west-2. AWS maintient une suite complète de certifications de conformité dont SOC 1/2/3, ISO 27001 et PCI DSS. L'accès physique aux centres de données est strictement contrôlé par AWS.

1.2 Sécurité réseau

• Tous les services s'exécutent dans des Virtual Private Clouds (VPC) privés avec des règles strictes de groupes de sécurité.
• Les points d'accès publics sont protégés par AWS Web Application Firewall (WAF) et AWS Shield Standard pour la mitigation DDoS.
• La communication interne service-à-service est restreinte par des ACL réseau et n'est jamais exposée à l'internet public.
• L'accès SSH aux serveurs de production est interdit ; tous les changements sont déployés via des pipelines CI/CD automatisés.

1.3 Disponibilité et uptime

Nous visons 99,9% d'uptime pour le Service. Notre infrastructure utilise des groupes d'auto-scaling, des load balancers et des déploiements de bases de données multi-AZ pour garantir la résilience. Les fenêtres de maintenance planifiées sont communiquées via notre page de statut à status.busybot.ai.

2. Chiffrement des données

2.1 Chiffrement en transit

Toutes les données transmises entre votre navigateur, le tableau de bord BusyBot, le widget intégré et nos serveurs sont chiffrées avec TLS 1.2 ou TLS 1.3. Nous imposons HTTPS sur tous les points d'accès et utilisons HTTP Strict Transport Security (HSTS) avec un max-age minimum d'un an. Les suites de chiffrement faibles et SSLv3/TLS 1.0/1.1 sont désactivées.

2.2 Chiffrement au repos

Toutes les données client — y compris l'historique des conversations, les fichiers de base de connaissance importés et les informations de compte — sont chiffrées au repos avec AES-256. Les volumes de base de données (Amazon RDS) et le stockage objet (S3) sont chiffrés via AWS Key Management Service (KMS) avec rotation des clés gérées par le client.

2.3 Gestion des secrets

Les secrets applicatifs, clés API et identifiants de base de données sont stockés dans AWS Secrets Manager et tournés automatiquement. Les secrets ne sont jamais commités au contrôle de source ni inclus dans les images de conteneur.

3. Contrôles d'accès

3.1 Principe du moindre privilège

Tous les employés et systèmes BusyBot ne reçoivent que les permissions minimales nécessaires à l'exécution de leur fonction. Les rôles et politiques IAM sont revus trimestriellement et audités via AWS Access Analyzer.

3.2 Accès des employés aux données client

Les employés BusyBot n'accèdent pas aux données de conversation client ni au contenu de compte sauf si nécessaire pour résoudre une demande de support spécifique avec votre consentement explicite, ou si la loi l'exige. Tous ces événements d'accès sont journalisés et révisés.

3.3 Authentification multi-facteurs

La MFA est obligatoire pour tous les comptes employés BusyBot et l'accès à la console AWS. Nous encourageons tous les clients à activer la MFA sur leurs comptes BusyBot, configurable sous Compte → Paramètres de sécurité dans le tableau de bord.

3.4 Authentification unique (SSO)

Les clients du plan Scale peuvent configurer le SSO SAML 2.0 pour gérer l'accès via leur fournisseur d'identité existant (par ex., Okta, Azure AD, Google Workspace).

4. Sécurité applicative

4.1 Cycle de développement sécurisé

La sécurité est intégrée à chaque étape de notre processus de développement :

• Les revues de code sont requises pour tous les changements avant fusion en production.
• L'analyse statique automatisée (SAST) et le scan de vulnérabilités des dépendances s'exécutent à chaque pull request.
• Les dépendances tierces sont surveillées en continu via Dependabot et Snyk.
• Les images de conteneur sont scannées pour les vulnérabilités connues avant déploiement.

4.2 Tests d'intrusion

Nous engageons des cabinets de sécurité indépendants pour mener des tests d'intrusion annuels de notre application web et infrastructure. Les constats sont triés par sévérité et remédiés selon des SLA définis : critique sous 24 heures, élevé sous 7 jours, moyen sous 30 jours.

4.3 Protections contre les vulnérabilités courantes

Notre application est conçue pour atténuer le Top 10 OWASP et inclut des protections contre :

• L'injection SQL et NoSQL via des requêtes paramétrées et l'usage d'ORM.
• Le cross-site scripting (XSS) via l'encodage de sortie et les en-têtes Content Security Policy (CSP).
• Le cross-site request forgery (CSRF) via des jetons CSRF sur toutes les opérations modifiant l'état.
• L'authentification compromise via le rate limiting, le verrouillage de compte et l'application de la MFA.
• Les références directes d'objet non sécurisées via des contrôles d'autorisation côté serveur sur toutes les ressources.

5. Sauvegarde et reprise

Les données client sont sauvegardées en continu via la récupération à un point dans le temps pour nos bases de données relationnelles (RDS), avec une fenêtre de rétention de 35 jours. Les buckets S3 contenant les fichiers importés sont répliqués vers une région secondaire. Notre Objectif de Temps de Récupération (RTO) est de 4 heures et l'Objectif de Point de Récupération (RPO) est de 1 heure.

6. Conformité

Le programme de sécurité BusyBot est conçu pour soutenir la conformité avec :

• RGPD (Règlement Général sur la Protection des Données UE) — en tant que sous-traitant pour vos données utilisateur final.
• CCPA (California Consumer Privacy Act) — pour les résidents de Californie.
• SOC 2 Type II — nous sommes actuellement en cours d'audit SOC 2 Type II. Les clients entreprise peuvent demander notre rapport SOC 2 Type I sous NDA.

Une copie de notre Accord de Traitement des Données (DPA) est disponible pour les clients qui en ont besoin pour la conformité RGPD. Contactez legal@busybot.ai pour demander un DPA.

7. Réponse aux incidents

Nous maintenons un plan de réponse aux incidents documenté qui inclut les phases de détection, confinement, éradication, récupération et revue post-incident. En cas de violation de données confirmée affectant votre compte, nous vous notifierons dans les 72 heuressuivant la prise de connaissance, comme requis par l'article 33 du RGPD.

8. Divulgation responsable

Nous accueillons les signalements des chercheurs en sécurité. Si vous découvrez une potentielle vulnérabilité de sécurité dans BusyBot, signalez-la de manière responsable :

• E-mail : security@busybot.ai (clé PGP disponible sur demande)
• Ne divulguez pas publiquement le problème avant que nous ayons eu une opportunité raisonnable d'enquêter et de remédier.
• N'accédez pas, ne modifiez pas et ne supprimez pas les données appartenant à d'autres utilisateurs.
• Fournissez une description claire de la vulnérabilité et les étapes de reproduction.

Nous visons à accuser réception de tous les signalements sous 2 jours ouvrés et vous tiendrons informé de l'avancement de notre enquête. Nous n'opérons pas actuellement de programme de bug bounty rémunéré, mais sommes heureux de fournir une reconnaissance publique pour les découvertes valides sur demande.