Mesures de sécurité

Algolia met en œuvre et maintient des mesures de sécurité conformes, voire supérieures, aux objectifs de sécurité requis pour l'audit SOC2. Algolia peut être amenée à mettre à jour ou à modifier ces mesures de sécurité, à condition que ces mises à jour et modifications n'entraînent pas de dégradation de la sécurité globale des Services. Ces mesures de sécurité sont en vigueur à la date d'entrée en vigueur du DPA. Les termes en majuscules utilisés dans le présent document, mais non définis par ailleurs, ont la signification qui leur est attribuée dans le DPA.

Programme de sécurité de l'information

1) Sécurité des centres de données et des réseaux

1. Centres de données
   1. Infrastructure. Algolia exploite des centres de données géographiquement répartis et stocke toutes les données de production dans des centres de données physiquement sécurisés.
   2. Redondance. L'infrastructure d'Algolia a été conçue pour éliminer les points de défaillance uniques et minimiser l'impact des risques environnementaux anticipés. Cette conception permet à Algolia d'effectuer la maintenance et les améliorations de l'infrastructure avec un impact minimal sur les systèmes de production. Tous les équipements et installations environnementaux font l'objet de procédures de maintenance préventive documentées qui détaillent le processus et la fréquence d'exécution, conformément aux spécifications du fabricant ou aux spécifications internes.
   3. Alimentation électrique. Tous les centres de données sont équipés d'un système d'alimentation redondant doté de divers mécanismes de secours, tels que des alimentations sans interruption (ASI) avec batteries pour les coupures de courant de courte durée, les surtensions, les sous-tensions ou toute autre instabilité du réseau électrique, et des générateurs diesel pour les interruptions de quelques minutes, ce qui permet aux centres de données de fonctionner pendant plusieurs jours.
   4. Système d'exploitation serveur. Algolia utilise un système d'exploitation Linux pour son environnement applicatif, avec une configuration gérée de manière centralisée. Algolia a mis en place une politique de mise à jour continue des systèmes afin d'intégrer les correctifs de sécurité nécessaires.
   5. Continuité des activités. Algolia réplique les données sur plusieurs systèmes afin de les protéger contre toute destruction ou perte accidentelle. Algolia conçoit, planifie et teste régulièrement ses programmes de continuité des activités et de reprise après sinistre.
2. Réseau et transmission
   1. Transmission des données. Algolia utilise des schémas et protocoles de chiffrement conformes aux normes de l'industrie pour chiffrer les transmissions de données entre les centres de données. Ceci afin d'empêcher la lecture, la copie ou la modification des données.
   2. Détection d'intrusion. Algolia utilise un système de détection d'intrusion pour fournir des informations sur les activités d'attaque en cours et pour aider à remédier plus rapidement à l'attaque.
   3. Intervention en cas d'incident. Le personnel de sécurité et d'exploitation d'Algolia réagira rapidement aux incidents de sécurité détectés et en informera les parties concernées.
   4. Technologies de chiffrement. Les serveurs d'Algolia prennent en charge le chiffrement HTTPS, l'échange de clés cryptographiques Diffie-Hellman à courbe elliptique éphémère signé avec RSA et ECDSA, et, pour les clients compatibles, les méthodes de confidentialité persistante (PFS) afin de protéger le trafic contre le vol de clés ou les failles cryptographiques. Algolia utilise exclusivement des technologies de chiffrement conformes aux normes de l'industrie.

2) Contrôles d'accès et du site

1. Contrôles du site
   1. Opérations de sécurité des centres de données. Tous les centres de données utilisés par Algolia bénéficient d'opérations de sécurité sur site 24h/24 et 7j/7, responsables de tous les aspects de la sécurité physique du centre de données.
   2. Procédures d'accès au centre de données. L'accès au centre de données est soumis à la politique de sécurité physique d'Algolia, qui autorise uniquement le personnel préalablement autorisé à accéder aux équipements d'Algolia.
   3. Sécurité des centres de données. Tous les centres de données respectent ou dépassent les exigences de sécurité de la norme SOC2. Ils sont tous équipés de caméras de vidéosurveillance, de personnel de sécurité sur site et d'un système de contrôle d'accès par carte magnétique.
   4. Contrôle d'accès
      1. Contrôle d'accès et gestion des privilèges. Les administrateurs des abonnés doivent s'authentifier via un système d'authentification centralisé ou un système d'authentification unique pour administrer les Services.
      2. Processus et politiques d'accès aux données internes – Politique d'accès. Les processus et politiques d'accès aux données internes d'Algolia sont conçus pour empêcher toute personne ou tout système non autorisé d'accéder aux systèmes utilisés pour le traitement des données personnelles. Ces processus font l'objet d'un audit indépendant. Algolia utilise un système centralisé de gestion des accès pour contrôler l'accès aux systèmes et serveurs de production et n'autorise l'accès qu'à un nombre limité de personnes habilitées. L'authentification unique (SSO), le protocole LDAP et les certificats SSH sont utilisés pour garantir la sécurité des accès. Algolia exige l'utilisation d'identifiants uniques, de mots de passe robustes et d'une authentification à deux facteurs. L'octroi des accès est régi par une politique interne. Les accès au système sont consignés afin de fournir une piste d'audit et d'assurer la traçabilité.

3) Données

1. Stockage, isolation et journalisation des données. Algolia stocke les données dans une combinaison d'environnements dédiés et mutualisés sur des serveurs contrôlés par Algolia. Les données sont répliquées sur plusieurs systèmes redondants. Algolia isole également logiquement les données de l'abonné. L'abonné peut activer le partage de données, si les fonctionnalités des Services le permettent. L'abonné peut choisir d'utiliser certaines fonctionnalités de journalisation qu'Algolia peut mettre à disposition via les Services.
2. Politique de mise hors service et d'effacement des disques. Les disques utilisés dans les serveurs peuvent subir des pannes matérielles, des problèmes de performance ou des erreurs entraînant leur mise hors service. Tous les disques mis hors service sont effacés de manière sécurisée s'ils sont destinés à être réutilisés, ou détruits de manière sécurisée en cas de dysfonctionnement.

4) Sécurité du personnel 

Le personnel d'Algolia est tenu d'adopter un comportement conforme aux directives de l'entreprise en matière de confidentialité, d'éthique professionnelle, d'utilisation appropriée et de normes professionnelles. Algolia effectue les vérifications d'antécédents requises dans les limites autorisées par la législation et la réglementation en vigueur. Le personnel est tenu de signer un accord de confidentialité et d'accuser réception des politiques d'Algolia relatives à la confidentialité, à la protection de la vie privée et à l'utilisation acceptable des données, et de s'y conformer. Tous les employés bénéficient d'une formation à la sécurité dès leur embauche, puis de formations régulières par la suite. Le personnel d'Algolia ne traite aucune donnée d'abonné sans autorisation.

5) Sécurité du sous-processeur 

Avant d'intégrer les sous-traitants, Algolia réalise des audits de leurs pratiques en matière de sécurité et de confidentialité afin de garantir un niveau adéquat de sécurité et de confidentialité des données, ainsi que la portée des services qu'ils sont chargés de fournir. Une fois l'audit effectué et les risques associés évalués, le sous-traitant signe un contrat de confidentialité et de sécurité approprié.

Certifications et rapports de sécurité

1) Rapports SOC (Service Organization Control) : Actuellement, l’environnement de contrôle de la sécurité de l’information d’Algolia applicable aux Services fait l’objet d’une évaluation indépendante sous la forme d’audits SOC 2 et SOC 3. Afin de démontrer sa conformité aux mesures de sécurité, Algolia mettra à la disposition de l’abonné ses rapports SOC 2 et SOC 3 les plus récents, comme décrit ci-dessous.

1. « Rapport SOC 2 » désigne un rapport confidentiel de contrôle de l'organisation de services (SOC) 2 sur les systèmes d'Algolia examinant les contrôles de sécurité logiques, les contrôles de sécurité physiques et la disponibilité du système, tel que produit par l'auditeur tiers indépendant d'Algolia en relation avec les Services.
2. « Rapport SOC 3 » désigne un rapport Service Organization Control (SOC) 3, tel que produit par l’auditeur tiers indépendant d’Algolia en relation avec les Services.
3. Algolia mettra à jour le rapport SOC2 et le rapport SOC3 au moins une fois tous les 18 mois ou procédera à des audits ou certifications comparables pour évaluer et contribuer à assurer l'efficacité continue des mesures de sécurité.

2) Certification ISO27001 et ISO27017 : En mars 2020, Algolia a reçu ses certifications ISO27001 et ISO27017, qui constituent une famille de normes de systèmes de gestion de la sécurité de l’information fournissant des recommandations de bonnes pratiques en matière de gestion de la sécurité de l’information, y compris un cadre de politiques et de procédures qui incluent tous les contrôles juridiques, physiques et techniques impliqués dans le processus de gestion de l’information d’une organisation, et des normes de sécurité spécialement développées pour les fournisseurs et les utilisateurs de services cloud afin de créer un environnement cloud plus sûr et de réduire le risque de problèmes de sécurité.

3) Certification TRUSTe : Algolia a reçu le sceau TRUSTe Certified, ce qui signifie que la déclaration de confidentialité du site Web d'Algolia et ses pratiques de confidentialité liées aux Services ont été examinées par TRUSTe pour vérifier leur conformité aux normes de certification de TRUSTe.