Account Direct conserve les dossiers financiers de petites entreprises canadiennes et des comptables qui les servent. Nous considérons la confiance que les clients nous accordent comme le bien le plus important du service. Le résumé ci-dessous décrit les contrôles et les pratiques qui appuient cette confiance.
Défense en profondeur
L'authentification, les contrôles d'accès, le stockage chiffré et les rôles internes au moindre privilège fonctionnent chacun de façon indépendante. Une défaillance dans une couche n'expose pas les données protégées par les autres.
Chiffré en transit et au repos
Tout le trafic entre votre navigateur et notre service est chiffré au moyen du protocole TLS. Les documents et dossiers des clients sont chiffrés au repos dans notre base de données et notre stockage de fichiers.
Contrôles d'accès au niveau de l'enregistrement
L'accès à vos données est appliqué au niveau de l'enregistrement. Chaque utilisateur ne voit que les renseignements auxquels il a droit : les clients ne voient que leurs propres dossiers, et les comptables ne voient que les clients qui leur sont attribués. Ces contrôles sont appliqués par la plateforme à chaque requête.
Nous n'entraînons jamais l'IA avec vos données
Les documents de votre entreprise ne sont jamais utilisés pour entraîner des systèmes d'intelligence artificielle. Selon notre palier exclusivement canadien (palier 1), vos documents sont traités entièrement au Canada et ne quittent jamais le pays. Selon notre palier transfrontalier (palier 2), un fournisseur tiers les traite en vertu d'un contrat qui interdit d'utiliser votre contenu pour entraîner ses systèmes.
Examens de sécurité réguliers
Nous effectuons des examens de sécurité de la plateforme, couvrant notre modèle de données, le code de l'application et le pipeline de traitement. Les constats sont corrigés ou suivis jusqu'à leur résolution.
Avis en cas d'atteinte
Un guide documenté d'intervention en cas d'atteinte régit la façon dont nous évaluons, contenons, communiquons et avisons les organismes de réglementation en cas d'atteinte aux mesures de sécurité. Les avis respectent les délais de l'article 10.1 de la LPRPDE et de l'article 3.5 de la Loi sur la protection des renseignements personnels du Québec.
Pratiques opérationnelles
- Sessions de connexion chiffrées en transit et au repos, et réinitialisation sécurisée du mot de passe
- Clés de signature d'authentification de niveau matériel
- Clés de service privilégiées renouvelées régulièrement et jamais exposées au navigateur
- Politique de sécurité du contenu stricte sur notre site Web public
- Un processus de divulgation responsable pour les vulnérabilités signalées
Que faire si vous repérez un problème
Si vous croyez avoir trouvé une vulnérabilité de sécurité, veuillez nous joindre à [email protected]. Nous accuserons réception dans un délai de deux jours ouvrables. Veuillez éviter de divulguer publiquement la vulnérabilité avant que nous ayons eu une occasion raisonnable d'y remédier.
Pour les questions de confidentialité (accès, suppression, correction des données), joignez notre équipe Account Direct à [email protected]. Consultez la Politique de confidentialité pour l'ensemble des droits et la façon de les exercer.
Cette page est un résumé de haut niveau. Une documentation de sécurité plus détaillée est offerte aux clients d'entreprise et aux vérificateurs à des conditions raisonnables; communiquez avec [email protected].