Sécurité

Chez MarketingMonster, la sécurité est notre priorité absolue. Vous nous confiez vos données professionnelles, vos informations de paiement et vos données personnelles, et nous prenons cette responsabilité au sérieux. Nous appliquons une approche de sécurité à plusieurs niveaux qui combine les meilleures pratiques du secteur, un chiffrement robuste et une surveillance continue afin de protéger vos informations contre les accès non autorisés, les fuites de données et les cybermenaces.

Ce document décrit les mesures de sécurité que nous avons mises en place pour protéger vos données et garantir l'intégrité de notre plateforme. Il s'applique à tous les utilisateurs, employés, sous-traitants et prestataires tiers qui accèdent aux données de MarketingMonster, les traitent ou les stockent.

Objet et périmètre. Cette politique établit les exigences minimales de sécurité régissant la plateforme, l'infrastructure et les pratiques de traitement des données de MarketingMonster. Elle s'applique à l'ensemble des systèmes, réseaux, applications et personnels impliqués dans le traitement des données des utilisateurs.

Obligations de conformité. Nous maintenons notre programme de sécurité en conformité avec les exigences légales et réglementaires applicables, y compris les lois sur la protection des données et la confidentialité des juridictions dans lesquelles nous opérons. Lorsque des obligations contractuelles ou réglementaires imposent des exigences plus strictes, celles-ci prévalent.

Le chiffrement constitue le socle de notre stratégie de protection des données. Les contrôles suivants s'appliquent sur l'ensemble de la plateforme :

• Toutes les données transmises entre votre appareil et nos serveurs sont chiffrées avec TLS conformément aux normes du secteur. Le HTTP non chiffré est redirigé, et les cookies de session sont marqués sécurisés et ne sont pas lisibles par des scripts.
• Les données sensibles au repos, y compris les secrets et les données personnelles, sont chiffrées avec AES-256.
• Les mots de passe sont hachés avec un sel à l'aide d'un algorithme conçu pour les mots de passe, de sorte qu'ils ne sont jamais stockés en clair et ne peuvent pas être récupérés, même par notre équipe.
• Les connexions à la base de données sont authentifiées et restreintes à notre propre réseau, et chaque requête est construite via des pilotes typés avec des valeurs paramétrées, ce qui exclut les attaques par injection.
• Nous mettons à jour nos protocoles de chiffrement à mesure que les normes sur lesquelles nous nous appuyons évoluent.

Nous mettons en œuvre des mécanismes d'authentification robustes afin de garantir que seuls les utilisateurs autorisés accèdent à leurs comptes. Cela comprend :

• L'authentification à deux facteurs avec un code temporaire généré par une application d'authentification.
• Des exigences de complexité des mots de passe et des tentatives de connexion limitées pour freiner les attaques par devinette.
• Une gestion des sessions avec expiration automatique après une période d'inactivité, et une invalidation côté serveur lors de la déconnexion ou du changement de mot de passe.
• Les requêtes qui modifient quelque chose doivent provenir des propres pages de MarketingMonster : le serveur vérifie l'origine de la requête et rejette les envois provenant d'autres sites.

L'accès aux fonctionnalités et aux données sensibles est restreint selon les rôles et les autorisations. Nous appliquons le principe du moindre privilège, de sorte que les utilisateurs, le personnel et les systèmes n'accèdent qu'aux données et fonctionnalités dont ils ont besoin.

Vérification de l'identité. L'authentification à deux facteurs est disponible pour tous les comptes et attendue des administrateurs. Les comptes utilisateurs sont vérifiés à l'inscription via l'adresse e-mail utilisée pour les créer, et les modifications touchant aux paramètres de sécurité, comme un nouveau mot de passe ou un changement d'authentification à deux facteurs, déclenchent des étapes de vérification supplémentaires.

Revue des accès. Les rôles et autorisations des utilisateurs sont revus périodiquement afin de garantir que les accès restent appropriés et conformes au principe du moindre privilège.

MarketingMonster accepte les paiements par carte et PayPal via des prestataires de paiement établis, conformes à la norme PCI DSS. Les paiements s'effectuent sur des pages hébergées par ces prestataires : votre numéro de carte, votre code de sécurité et vos identifiants PayPal y sont saisis et ne transitent jamais par nos serveurs.

• Nous ne recevons et ne conservons que ce qui est nécessaire à la gestion de votre compte : le montant, la devise, le résultat, l'offre et la référence de transaction du prestataire.
• Chaque notification de paiement envoyée par un prestataire est vérifiée auprès de celui-ci avant d'être prise en compte, et les notifications sont dédoublonnées afin qu'un message répété ne puisse jamais créditer un paiement deux fois.
• Votre solde est tenu dans un grand livre où chaque mouvement n'est enregistré qu'une seule fois, de sorte que les soldes ne peuvent être ni dépensés deux fois ni descendre sous ce qui a été versé.
• Les données de transaction sont chiffrées et stockées de manière sécurisée, et nous conservons des journaux détaillés à des fins d'audit et de prévention de la fraude.

Supervision des prestataires tiers. Les prestataires de paiement retenus par MarketingMonster sont évalués quant à leur posture de sécurité et leur conformité aux normes du secteur avant intégration, puis font l'objet de revues périodiques.

Chaque outil que vous ouvrez s'exécute dans une session créée pour votre seul compte, sur le serveur que vous avez choisi, via une clé signée propre à l'appareil. Les sessions ne sont jamais partagées entre utilisateurs et prennent fin lorsque vous vous déconnectez ou que la session expire ; nous ne conservons ensuite que le fait que la session a existé, jamais ce que vous y avez fait.

• Les identifiants qui donnent à une session l'accès à un outil tiers sont conservés sur le serveur et ne sont jamais transmis à votre navigateur ou à votre appareil.
• Les limites de sessions et d'appareils de chaque offre sont appliquées côté serveur, et les schémas inhabituels, tels que de nombreux appareils ou des accès automatisés, sont détectés et bloqués.
• L'application de bureau communique avec la même API authentifiée que le tableau de bord web, se met à jour à partir de versions signées et ne lit ni vos fichiers ni votre navigation en dehors de l'application.

Notre infrastructure est hébergée sur des serveurs sécurisés de niveau entreprise, avec des systèmes redondants et des sauvegardes régulières. Nous employons :

• Des pare-feu et des systèmes de détection d'intrusion qui surveillent et bloquent les tentatives d'accès non autorisées ; rien dans la couche de données n'est accessible depuis l'internet public.
• Des limites de fréquence sur chaque point d'accès public, y compris la connexion, l'inscription, la réinitialisation du mot de passe et le paiement, afin qu'un trafic abusif ne puisse pas épuiser le service pour les autres.
• Des audits de sécurité et des tests d'intrusion réguliers pour identifier et corriger les vulnérabilités, avec un suivi des constats jusqu'à leur clôture.
• Des systèmes automatisés de surveillance et d'alerte qui détectent les activités suspectes en temps réel.
• Des plans de reprise après sinistre qui assurent la continuité d'activité en cas d'événement imprévu, testés régulièrement.

Nous mettons régulièrement à jour nos logiciels, systèmes et dépendances afin de corriger les vulnérabilités connues et de nous protéger contre les menaces émergentes. Notre équipe de développement suit des pratiques de codage sécurisé, relit chaque modification avant sa mise en production et exécute une suite de tests automatisés couvrant les parcours de la plateforme sensibles pour la sécurité.

Les correctifs de sécurité sont appliqués rapidement, et nous suivons les avis de sécurité des éditeurs et des organisations spécialisées pour rester informés des menaces potentielles.

Divulgation des vulnérabilités. Nous appliquons une politique de divulgation responsable. Les chercheurs en sécurité et le public peuvent signaler des vulnérabilités présumées à [email protected]. Les signalements sont accusés de réception et examinés conformément à notre processus de divulgation responsable, et nous n'engageons pas de poursuites contre les chercheurs qui agissent de bonne foi et nous laissent un délai raisonnable pour corriger ce qu'ils ont trouvé.

Nous effectuons des sauvegardes automatiques et régulières de toutes les données des comptes afin d'en garantir l'intégrité et la disponibilité. Les sauvegardes sont chiffrées et stockées dans des lieux sécurisés et géographiquement répartis.

• Nos systèmes de sauvegarde sont testés régulièrement pour s'assurer de leur bon fonctionnement.
• Nous conservons plusieurs copies avec des durées de rétention différentes pour nous prémunir contre la perte de données, et les sauvegardes sont détruites à la fin de leur période de rétention afin que les données supprimées ne subsistent pas.
• En cas de perte ou de corruption de données, nous disposons de procédures de récupération pour restaurer vos données aussi rapidement que possible.

Si nous mettons en œuvre des mesures de sécurité robustes, vous jouez également un rôle essentiel dans la protection de votre compte :

• Utilisez un mot de passe robuste et unique et activez l'authentification à deux facteurs. Conservez la clé de configuration manuelle en lieu sûr.
• Ne partagez jamais vos identifiants. Un compte est destiné à une seule personne.
• Maintenez vos appareils, votre navigateur et l'application de bureau à jour avec les derniers correctifs de sécurité.
• Méfiez-vous des tentatives d'hameçonnage et des e-mails suspects. Nous ne vous demandons jamais votre mot de passe par e-mail, et les paiements n'ont lieu que sur les pages de nos prestataires de paiement.
• Vérifiez toujours que les communications proviennent de MarketingMonster avant de fournir des informations sensibles, et déconnectez-vous sur les appareils partagés.
• Si vous remarquez une activité suspecte, contactez-nous immédiatement à [email protected].

Revue et mises à jour. Cette politique est revue périodiquement et mise à jour si nécessaire pour refléter les évolutions technologiques, réglementaires et des bonnes pratiques du secteur. La version la plus récente est publiée sur notre plateforme.

Application. Le respect de cette politique est obligatoire pour tous les employés, sous-traitants et tiers ayant accès aux systèmes ou aux données de MarketingMonster. Les manquements peuvent entraîner des mesures disciplinaires, pouvant aller jusqu'au retrait de l'accès ou à la fin de la relation de travail, et peuvent être signalés aux autorités compétentes lorsque la loi l'exige.

Approbation. Cette politique a été approuvée par l'autorité de sécurité et de direction désignée de MarketingMonster. Toute exception doit faire l'objet d'une demande formelle, être documentée et approuvée par écrit par l'approbateur autorisé.

Exceptions. Les demandes d'exception à cette politique doivent être soumises par écrit à l'autorité de sécurité désignée, accompagnées d'une justification, d'une évaluation des risques et des contrôles compensatoires proposés. Les exceptions approuvées sont limitées dans le temps et font l'objet de revues périodiques.

Les questions relatives à cette politique peuvent être adressées à [email protected].