Conformité et certifications

Tecsys maintient des certifications indépendantes et des rapports d'audit pour valider nos contrôles de sécurité et nos processus opérationnels.

Les audits et certifications indépendants comprennent

• SOC 2 Type II (sécurité, disponibilité et confidentialité)
• ISO 27001 (gestion de la sécurité de l'information)
• Certifications et attestations supplémentaires selon l'environnement

Chaque certification fait l'objet d'un audit indépendant et est réévaluée selon un calendrier défini.
Pour les équipes chargées de l'examen de la sécurité, la documentation suivante est disponible sous couvert d'un accord de confidentialité

• le rapport SOC 2
• Certificat ISO
• Résumé des tests de pénétration
• Accord sur le traitement des données (DPA)
• Vue d'ensemble de la reprise après sinistre

Demande de documentation →

 

---

 

Environnements gouvernementaux et réglementés

Tecsys soutient les fournisseurs de soins de santé, les distributeurs et les organisations du secteur public qui fonctionnent selon des exigences réglementaires strictes.

Le cas échéant, Tecsys maintient des environnements clairement définis pour les clients gouvernementaux ou réglementés. Ces environnements peuvent inclure

• L'hébergement dans des régions cloud approuvées
• Séparation logique et opérationnelle des environnements SaaS commerciaux
• Alignement avec les cadres de sécurité NIST
• des limites d'autorisation et des lignes de base de contrôle définies
  
  

Si elle opère dans un environnement autorisé par FedRAMP ou aligné sur FedRAMP, Tecsys indiquera clairement :

• Niveau d'autorisation
• Produits et services couverts
• Fournisseur d'hébergement et région
• Base de contrôle de sécurité

Nous fournissons une transparence totale sur ce qui est couvert et ce qui ne l'est pas.

Pour obtenir une documentation spécifique à un gouvernement, contactez notre équipe de sécurité.

 

---

 

Protection des données et de la vie privée

Les données du client appartiennent au client. Tecsys traite les données uniquement pour fournir les services contractuels.

Propriété et utilisation des données

• Les clients restent propriétaires de leurs données
• Les données sont utilisées uniquement pour fournir et soutenir le service Tecsys.
• Tecsys ne vend pas les données de ses clients

Cryptage et sécurité des données

• Cryptage en transit à l'aide de la norme industrielle TLS
• Cryptage au repos au sein de l'infrastructure cloud approuvée
• Isolation logique des locataires sur l'ensemble de la plateforme

Conservation et suppression des données

• Politiques de conservation des données définies par contrat
• Procédures de suppression sécurisée lorsque les données ne sont plus nécessaires
• Procédures d'abandon définies

Respect de la vie privée

Tecsys prend en charge la conformité avec :

• GDPR
• CCPA et les lois américaines applicables en matière de protection de la vie privée
• Exigences de santé spécifiques à l'industrie, le cas échéant, y compris HIPAA et SOC2.

Un accord sur le traitement des données (DPA) est disponible sur demande.

Sous-traitants

Tecsys tient à jour une liste des sous-traitants utilisés pour fournir des services. Les clients sont informés des changements importants conformément aux conditions contractuelles.

Voir la liste des sous-traitants →

 

---

 

Vie privée et intelligence artificielle responsable

Tecsys intègre des capacités d'IA directement dans les flux de travail de la chaîne d'approvisionnement. Ces capacités sont régies par des contrôles stricts en matière de confidentialité et d'utilisation des données.

Données clients et formation de modèles

• Les données des clients ne sont pas utilisées pour former des modèles de base, sauf accord explicite par écrit
• Les données des clients ne sont pas partagées avec des fournisseurs de modèles tiers à des fins de conservation ou d'amélioration des modèles.
• Les fonctions d'IA fonctionnent dans les limites définies par le locataire.

Traitement des données dans les flux de travail de l'IA

• Les invites et les résultats sont enregistrés conformément à notre politique de sécurité.
• L'accès aux journaux est limité et vérifié
• L'accès administratif est contrôlé et surveillé.

Gouvernance et surveillance

• Les fonctions d'IA font l'objet d'un examen structuré en matière de sécurité et de protection de la vie privée avant d'être diffusées.
• Des tests de partialité et de performance sont effectués le cas échéant.
• Les modifications apportées aux fonctionnalités de l'IA sont soumises à des processus formels de gestion du changement.

La transparence

Lorsque les fonctionnalités d'IA font appel à des sous-traitants, ces derniers sont répertoriés dans le registre des sous-traitants.

Notre objectif est simple : apporter une valeur mesurable grâce à l'IA tout en maintenant un contrôle strict sur les données des clients.

 

---

 

Architecture de sécurité de la plate-forme

Les contrôles de sécurité sont intégrés à l'ensemble de la plate-forme Tecsys.

Gestion des identités et des accès

• Contrôle d'accès basé sur les rôles (RBAC)
• Prise en charge de l'authentification unique basée sur SAML et OIDC
• Prise en charge de l'authentification multifactorielle

Sécurité du réseau et de l'infrastructure

• Environnements en nuage segmentés
• Pare-feu et isolation du réseau
• Infrastructure de production renforcée

Cycle de développement sécurisé

• Cycle de développement de logiciels sécurisés (SSDLC)
• Examen du code et tests de sécurité automatisés
• Analyse des vulnérabilités intégrée dans les pipelines CI/CD
• Tests de pénétration réguliers effectués par des tiers

Gestion des vulnérabilités et des correctifs

• Surveillance continue des vulnérabilités
• Délais de remédiation définis en fonction de la gravité des problèmes
• Gestion des correctifs en fonction du niveau de risque

 

---

 

Résilience et continuité opérationnelles

Tecsys conçoit des solutions pour assurer la disponibilité et la continuité dans des environnements où les temps d'arrêt ne sont pas acceptables.

Haute disponibilité

• Infrastructure redondante
• Déploiement multizone dans le nuage
• Objectifs de temps de fonctionnement définis

Reprise après sinistre

• Plan de reprise après sinistre documenté
• Objectif de temps de récupération (RTO)
• Objectif de point de reprise (RPO)
• Tests de reprise réguliers

Continuité des activités

• Plan formel de continuité des activités
• Tests et révisions périodiques
• Manuels d'escalade et de réponse

 

---

 

Surveillance et réponse aux incidents

Tecsys assure une surveillance active de la sécurité opérationnelle.

Surveillance continue

• Surveillance 24/7 des systèmes de production
• Journalisation centralisée et pistes d'audit
• Alerte en cas d'activité anormale

Réponse aux incidents

• Processus documenté de réponse aux incidents
• Niveaux de gravité et voies d'escalade définis
• Procédures de notification au client alignées sur les exigences contractuelles
• Examen post-incident et suivi des mesures correctives
  

---

 

Gestion des risques liés aux fournisseurs et des tiers

Tecsys évalue les fournisseurs tiers qui soutiennent la livraison de la plateforme.

• Programme formel d'évaluation des risques des fournisseurs
• Exigences de sécurité et de conformité intégrées dans les contrats
• Réévaluation périodique des fournisseurs critiques
• Alignement de la sécurité des fournisseurs de cloud

Les fournisseurs tiers sont évalués en fonction de critères de sécurité, de confidentialité et de risque opérationnel avant d'être engagés.

 

---

 

Transparence et accès aux documents

Tecsys prend en charge les processus structurés d'examen de la sécurité de l'entreprise.

La documentation disponible comprend

• Rapports SOC
• Certifications ISO
• Résumés des tests de pénétration
• Livres blancs sur la sécurité
• DPA et pièces contractuelles relatives à la sécurité

Demander de la documentation sur la sécurité → security@tecsys.com
Contacter l'équipe de sécurité → security@tecsys.com

 

---

 

Modèle de responsabilité partagée

La sécurité dans les environnements en nuage est une responsabilité partagée.

Tecsys est responsable de :

• Sécurité de la plateforme
• Protection de l'infrastructure
• Contrôles de sécurité des applications
• Surveillance opérationnelle

Les clients sont responsables de :

• Gouvernance de l'accès des utilisateurs
• la gestion des configurations
• Sécurité des points d'accès
• L'application des politiques internes
  
  

Nous fournissons des conseils et des bonnes pratiques pour aider les clients à configurer la plateforme en toute sécurité.

 

---

 

Version et gouvernance

Le présent centre de sécurité et de confiance est revu et mis à jour régulièrement afin de refléter les certifications, les contrôles et les pratiques opérationnelles en vigueur.