Sécurité

Hébergement en France

• L’application et sa base de données sont hébergées en France par OVH SAS (OVHcloud), société de droit français.
• Toutes les connexions au service sont chiffrées (HTTPS) ; le navigateur est tenu de ne jamais s’y connecter sans chiffrement.
• L’administration de la plateforme se fait hors d’internet, depuis le réseau privé de Nolia, par mot de passe puis clé de sécurité ; chaque connexion et chaque geste sont notés au journal.

Comptes et connexion

• Mots de passe d’au moins 12 caractères, jamais conservés en clair, refusés s’ils figurent dans une fuite de données connue ; nombre d’essais limité, et verrouillage après des essais répétés.
• Double authentification obligatoire pour la direction, les ressources humaines et les managers : clé d’accès, clé de sécurité ou application d’authentification. Pour un salarié, une vérification en deux étapes quand il se connecte depuis un appareil nouveau.
• Un e-mail prévient chaque personne d’une connexion à son compte depuis un appareil nouveau.
• Sessions bornées : 12 heures pour la direction, 30 jours pour un salarié, 24 heures sur un appareil partagé ; le cookie de session est inaccessible aux scripts. Chacun voit ses appareils connectés, et les déconnecte, depuis Mon compte.

Rôles, périmètres et cloisonnement

• Chaque personne a un rôle (manager général, ressources humaines, manager opérationnel, salarié) et un périmètre (les sociétés et les établissements qui lui sont confiés) : elle ne voit que ce dont elle a besoin. Un manager opérationnel voit qu’un salarié de ses établissements est absent, et jusqu’à quand ; jamais qu’il est en arrêt de travail ou en congé de maternité, ni les pièces de ces absences.
• Un signalement va à la direction et aux ressources humaines et, s’il vise un salarié, aux managers de ses établissements ; jamais à la personne signalée.
• Chaque client est isolé des autres par la base de données elle-même (sécurité au niveau des lignes), et pas seulement par les écrans ; l’application s’y connecte avec un rôle sans privilège d’administration.
• Une conversation n’est lue que par ses participants, ce que la base de données impose : l’employeur n’y lit que les messages qu’un participant choisit de lui signaler.

Chiffrement et sauvegardes

• Les documents, les bulletins de paie, les messages, ainsi que la précision et la décision d’un signalement, sont chiffrés au repos (AES-256-GCM), avec une clé conservée hors de la base de données. Le type d’une absence et les noms d’un signalement ne sont pas chiffrés : les droits d’accès les protègent.
• Les sauvegardes sont chiffrées et tournent sur 35 jours. Celles qui contiennent les données d’un espace supprimé sont effacées au plus tard 40 jours après la suppression.
• Les notifications sont chiffrées de bout en bout jusqu’à l’appareil, et ne contiennent ni texte de message ni nom.
• Chaque fichier déposé est vérifié : son type est reconnu à son contenu, pas à son nom. Les métadonnées des photos, dont leur position, sont retirées.

Traces et preuves

• Un journal d’audit, en ajout seul, note qui a fait quoi, quand et sur quoi.
• Les visas, les contestations, les clôtures et les acceptations des textes sont écrits en ajout seul, avec des empreintes calculées par la base. Chaque dossier de preuve d’un visa est signé par Nolia, et se vérifie sans compte : Vérifier un dossier de preuve.
• Le personnel de Nolia n’accède au contenu d’un espace que sur instruction écrite du client, pour l’exploitation technique du service (sauvegarde, restauration, correction d’un incident), pour examiner un contenu précis signalé comme illicite, ou pour extraire la copie qu’une personne demande de ses propres conversations. Chaque geste de Nolia sur un espace est annoncé par e-mail à son administrateur ; ceux de la console de Nolia (prolongation, suspension, réactivation…) sont aussi notés dans la page « Interventions de Nolia » de l’espace.

Mises à jour et tests

• Les composants du service sont tenus à jour ; un correctif de sécurité urgent peut être appliqué sans préavis (article 12 des conditions générales).
• Des tests de sécurité automatisés, dans la suite de tests du service, rejouent des attaques connues : injection de code ou de requêtes, contournement des droits, vol de session, déni de service, fichiers piégés.
• Chaque page porte une politique de sécurité du contenu stricte : seuls les scripts de Nolia s’y exécutent, et ses requêtes, ses formulaires et ses images ne vont qu’au site de Nolia.

En cas de violation de données

Nolia alerte le client par e-mail à l’administrateur de son espace au plus tard 48 heures après avoir eu connaissance d’une violation de ses données, puis lui transmet, au fur et à mesure, ce qu’il lui faut pour informer la CNIL et les personnes concernées : la nature de la violation, les personnes et les données touchées, les conséquences probables et les mesures prises (article 2 du contrat de sous-traitance ; RGPD, article 33).

Si vous êtes client, prévenez Nolia sans délai, à contact@noliagroupe.fr, de tout usage non autorisé d’un compte ou de toute faille que vous constatez.

Où sont les données, et sous quel droit

Information prévue par l’article 28 du règlement (UE) 2023/2854 sur les données.

• L’infrastructure du service (serveur de l’application et base de données) est en France, chez OVH SAS, société de droit français : elle relève du droit français et du droit de l’Union européenne. Les e-mails du service partent par Brevo, société de droit français, depuis l’Union européenne.
• Hors de l’Union, Nolia ne transfère que les notifications, vers le service de notification du navigateur (Google, Apple, Mozilla ou Microsoft, aux États-Unis), quand un utilisateur les active sur son appareil ; leur contenu est chiffré de bout en bout. Un salarié peut aussi abonner, de lui-même, l’agenda de son choix à son planning : son fournisseur, parfois hors de l’Union, lit alors ses horaires.
• Contre l’accès d’autorités étrangères : les données sont hébergées en France ; les documents et les messages, signalés ou non, sont chiffrés avec une clé gardée par Nolia, hors de la base ; Nolia ne communique de données qu’à une autorité qui y a droit, sur demande légale, et en informe le client, sauf interdiction.

La liste complète des prestataires, avec le lieu et l’encadrement de chacun : Sous-traitants.

Signaler une faille

Vous pensez avoir trouvé une faille de sécurité dans Nolia ? Écrivez à contact@noliagroupe.fr, en français ou en anglais : décrivez la faille, l’adresse ou l’écran concernés, et comment la reproduire. Une personne de Nolia vous répond.

Pendant vos recherches, n’accédez pas aux données d’autres personnes, ne les modifiez pas et ne perturbez pas le service : limitez-vous à ce qui montre la faille. Laissez à Nolia le temps de la corriger avant d’en parler publiquement. La même adresse figure dans le fichier /.well-known/security.txt du site (RFC 9116).