Les données de vos clients, traitées avec soin
Les données des plans sont stockées au Canada et chiffrées. Les clients peuvent seulement consulter ce que vous partagez, et seul votre cabinet peut modifier un plan. Les serveurs et la base de données d'Optiml sont hébergés sur Amazon Web Services, au Canada.
Bâti sur AWS, au Canada
L'API et la base de données d'Optiml sont hébergées sur Amazon Web Services dans la région Canada (Centre), pour que vous puissiez dire à un client exactement où son plan est stocké.
Votre navigateur
app.optiml.ca
Chiffrement TLS
Région AWS Canada (Centre)
ca-central-1
Amazon API Gateway
Chaque requête vérifiée
AWS Lambda
Dans un Amazon VPC
Amazon RDS for MySQL
AES-256 au repos, AWS KMS
Amazon S3
AES-256 au repos
Auth0 by Okta connexion et authentification à deux facteurs
AWS CloudTrail consigne les changements d'infrastructure
- Hébergé au Canada
- Les serveurs d'application et la base de données d'Optiml se trouvent dans la région Canada (Centre) d'AWS. Le plan de chaque client y est stocké.
- Une infrastructure auditée
- Les centres de données d'AWS font l'objet d'audits indépendants selon les normes SOC 1, SOC 2, SOC 3, ISO 27001 et PCI DSS, et AWS gère la sécurité physique ainsi que la redondance de l'alimentation et du réseau.
- Un réseau privé pour l'application
- L'API d'Optiml s'exécute sur AWS Lambda, dans un Amazon Virtual Private Cloud (VPC).
- Chaque modification de l'infrastructure consignée
- AWS CloudTrail consigne chaque modification apportée à l'infrastructure infonuagique d'Optiml, dans chaque région AWS.
Chiffré au repos et en transit
AES-256 sur disque, TLS moderne pendant la transmission, et des clés de chiffrement gérées par AWS.
- AES-256 au repos
- La base de données, son stockage et ses sauvegardes automatiques sont chiffrés en AES-256 au moyen d'AWS Key Management Service (KMS). AWS fait automatiquement la rotation de la clé de chiffrement.
- Stockage de fichiers chiffré
- Les fichiers qu'Optiml stocke dans Amazon S3 sont chiffrés en AES-256, et chaque compartiment qui contient des données de clients bloque tout accès public.
- TLS 1.2 et 1.3 en transit
- L'application Optiml n'accepte que les connexions TLS 1.2 et TLS 1.3, avec confidentialité persistante. Les protocoles plus anciens sont refusés, et le HTTP non chiffré est redirigé vers HTTPS.
- Liens d'invitation de 256 bits
- Chaque invitation de client contient un jeton aléatoire de 256 bits. Optiml ne stocke que son empreinte SHA-256, jamais le lien lui-même, et le lien ne fonctionne qu'une seule fois et expire après cinq jours.
Une connexion conçue pour les professionnels
Votre identifiant ouvre chaque dossier client de votre cabinet, alors il reçoit la protection la plus solide que nous puissions lui donner.
- Auth0 by Okta
- La connexion repose sur Auth0 by Okta, une plateforme d'identité certifiée de façon indépendante SOC 2 Type II et ISO 27001.
- Authentification à deux facteurs
- Activez l'authentification à deux facteurs avec une application d'authentification comme Google Authenticator, Microsoft Authenticator ou Authy : un code à usage unique basé sur le temps (TOTP) en plus de votre mot de passe.
- Déconnexion automatique
- Chaque conseiller choisit d'être déconnecté après 15, 30 ou 60 minutes d'inactivité.
- Chaque requête vérifiée
- Chaque requête à l'API d'Optiml est vérifiée à l'aide de votre jeton de connexion signé (JWT) avant d'être exécutée, sans autorisation mise en cache.
Votre cabinet décide qui voit quoi
L'accès suit la structure de votre cabinet, et les règles sont appliquées sur les serveurs d'Optiml, pas seulement masquées à l'écran.
- Quatre rôles
- Propriétaire, Administrateur de l'organisation, Administrateur de bureau et Conseiller. Les administrateurs de l'organisation voient tout le cabinet, les administrateurs de bureau voient leur bureau, et les conseillers ne voient que les clients qui leur sont assignés.
- Une assignation pour modifier
- Pour modifier le plan d'un client, il faut être assigné à ce client, quel que soit votre rôle.
- La facturation reste au propriétaire
- Seul le propriétaire peut modifier l'abonnement, mettre à jour les renseignements de paiement, voir les factures ou annuler.
- Les clients consultent, ils ne modifient pas
- Un plan partagé est en lecture seule pour le client, une règle appliquée sur les serveurs d'Optiml. Seul votre cabinet peut le modifier.
- Le soutien d'Optiml a besoin de votre permission
- Notre équipe peut voir votre compte seulement après que vous avez approuvé une demande de soutien. L'accès dure une heure, et vous pouvez y mettre fin en tout temps.
Historique, paiements et EVA
Les détails que votre équipe de conformité vous demandera.
- Un historique pour chaque client
- Optiml consigne les événements clés de chaque client : invitations envoyées et acceptées, plans partagés et ouverts, et conseillers ajoutés, retirés ou réassignés.
- Les données de carte ne passent jamais par Optiml
- Les paiements passent par la page de paiement hébergée de Stripe. Les numéros de carte vont directement à Stripe, un fournisseur de services PCI DSS de niveau 1, et les notifications de Stripe à Optiml sont vérifiées par signature.
- Données sensibles exclues des journaux
- Les mots de passe, les jetons de connexion et les données de carte sont masqués avant que quoi que ce soit soit écrit dans les journaux d'Optiml.
- Protection contre l'injection
- Les requêtes à la base de données sont paramétrées, ce qui bloque l'injection SQL.
- EVA, l'assistante IA
- Les noms de famille sont retirés avant que les données des plans parviennent à EVA, et comme EVA utilise l'API d'IA payante de Google, les données des plans ne servent pas à entraîner les modèles de Google.
Une confidentialité que vous pouvez expliquer à vos clients
Des engagements clairs, inscrits dans votre entente.
- Conforme à la LPRPDE
- Optiml respecte la loi fédérale canadienne sur la protection des renseignements personnels et ne vend jamais de données.
- Votre cabinet garde le contrôle
- Votre cabinet est partie à l'entente, et Optiml agit à titre de fournisseur de services pour les données de vos clients. Consultez les conditions pour les conseillers et la politique de confidentialité pour les conseillers.
- Une conservation claire
- Si vous annulez, vos données sont conservées 90 jours pour que vous puissiez revenir. Un client que vous retirez garde les plans que vous avez partagés pendant 90 jours, puis ses données sont supprimées.
- Avis en cas d'atteinte
- Si une atteinte à la sécurité présente un jour un risque réel pour des données de clients, Optiml avise votre cabinet sans délai indu et vous fournit ce qu'il vous faut pour respecter vos propres obligations.
Questions sur la sécurité
Voyez-le avec vos propres clients.
Commencez un essai gratuit de 14 jours, ou réservez une démo et nous vous présenterons un plan client complet.