Comment nous protégeons votre code, vos données et vos systèmes

Confidentialité

Nous signons un accord de confidentialité mutuel avant que vous ne partagiez toute information sensible, sur votre modèle ou le nôtre. Tout ce que vous nous confiez sur votre activité, vos utilisateurs et vos systèmes reste confidentiel, et nous ne mentionnons jamais publiquement un client ou un projet sans autorisation écrite.

Contrôle d'accès

Les accès sont nominatifs, minimaux et temporaires :

• chaque ingénieur utilise un compte nominatif, jamais un identifiant partagé ;
• l'authentification multifacteur est obligatoire sur chaque service utilisé pour votre projet ;
• les droits suivent le principe du moindre privilège et se limitent aux systèmes sur lesquels la personne travaille réellement ;
• dans la mesure du possible, le travail s'effectue dans des dépôts et des comptes cloud dont vous êtes propriétaire et que vous contrôlez.

Secrets et données

Les secrets tels que les clés d'API et les mots de passe sont conservés dans un gestionnaire de secrets ou de mots de passe, jamais dans le code source, la messagerie ou les e-mails. Les données de production ne sont utilisées que lorsqu'une tâche l'exige réellement ; le développement et les tests reposent sur des données anonymisées ou synthétiques. Les postes de travail sont chiffrés, protégés par mot de passe et tenus à jour.

Développement sécurisé

La sécurité fait partie de la manière d'écrire le code, ce n'est pas une liste de contrôle finale :

• chaque modification est relue par un second ingénieur avant d'être fusionnée ;
• des tests automatisés et des pipelines CI s'exécutent à chaque modification ;
• les dépendances sont analysées pour détecter les vulnérabilités connues et tenues à jour ;
• les nouvelles fonctionnalités font l'objet d'une modélisation des menaces et sont vérifiées au regard des recommandations OWASP ;
• l'infrastructure est décrite sous forme de code, versionnée et relue comme le code applicatif.

Infrastructure et sauvegardes

Pour les systèmes que nous exploitons, nous faisons appel à des fournisseurs cloud reconnus, chiffrons les données en transit et au repos, séparons les environnements et mettons en place supervision et alertes. Les sauvegardes sont automatisées, conservées selon une politique convenue et testées par restauration, et pas seulement en vérifiant qu'elles existent.

Incidents

Si nous avons connaissance d'un incident de sécurité touchant vos systèmes ou vos données, nous vous en informons dans les meilleurs délais, le contenons, en recherchons la cause et vous remettons un rapport écrit avec les mesures correctives.

Fin de mission

À la fin d'une mission, nous révoquons nos accès à vos systèmes, restituons ou supprimons de manière sécurisée vos données et vos identifiants selon vos instructions, et vous le confirmons par écrit. Vous conservez le code, la documentation et les définitions d'infrastructure.

Certifications

Nous ne détenons pas actuellement de certification formelle telle qu'ISO 27001 ou SOC 2. Si votre processus d'achat exige des preuves, nous remplissons les questionnaires de sécurité, présentons nos pratiques à vos équipes et pouvons travailler dans le cadre de vos propres politiques et outils de sécurité. Signalez un problème de sécurité à contact@sprintcodes.com.