Sécurité

2.Chiffrement

• En transit : TLS 1.2 ou version supérieure.
• Au repos : AES-256, chez notre fournisseur de base de données, Supabase.

3.Isolement des espaces de travail et accès

• Les données de chaque entreprise sont cloisonnées par la sécurité au niveau des lignes de la base de données, espace de travail par espace de travail.
• L’accès au sein d’un espace de travail dépend du rôle de l’utilisateur (propriétaires, administrateurs et membres du personnel).
• Le personnel de JULY Call n’ouvre les contacts, conversations, appels, transcriptions ou enregistrements d’une entreprise que pour offrir du soutien, assurer la sécurité du Service ou lorsque la loi l’exige : la consultation est en lecture seule, et chaque accès est consigné, avec sa raison, dans un journal d’audit qui ne peut pas être modifié.

4.Connexion

La connexion est gérée par Supabase Auth, au moyen d’une adresse courriel et d’un mot de passe ou au moyen de Google (OAuth 2.0).

5.Liaisons vérifiées

• Les webhooks de Twilio, notre fournisseur de téléphonie, sont vérifiés au moyen de leurs signatures (HMAC) avant d’être traités.
• Le relais vocal qui traite les appels en direct est authentifié au moyen d’un secret avant de pouvoir échanger des données avec l’application.

6.Paiements

Les paiements par carte sont traités par Helcim, un processeur de paiement PCI DSS de niveau 1. Les numéros de carte sont saisis dans le formulaire sécurisé de Helcim et ne passent jamais par nos serveurs; les données de carte sont détenues uniquement par Helcim.

7.Où se trouvent les données

Nos dossiers sont stockés au Canada, et notre fournisseur de base de données conserve des sauvegardes quotidiennes pendant 7 jours. Les appels, les textos et les courriels sont traités aux États-Unis, et certains fournisseurs conservent leurs propres copies pendant une durée limitée. Notre Politique de confidentialité présente le tableau complet, et notre liste des Sous-traitants indique chaque fournisseur et ce qu’il conserve.

8.Certifications

JULY Call ne détient pas encore, en son nom propre, de rapport SOC 2 ni de certification ISO 27001; un audit SOC 2 indépendant de JULY Call figure dans notre feuille de route. Voici les attestations propres à nos fournisseurs, telles que chacun d’eux les publie :

• Supabase (base de données, connexion et enregistrements) et Vercel (application Web) : SOC 2 de type II.
• Twilio (appels, textos et traitement de la parole en direct) et Anthropic (IA) : SOC 2 de type II et ISO 27001.
• Amazon Web Services, qui héberge notre base de données au Canada et envoie nos courriels au moyen d’Amazon SES : SOC 2 et ISO 27001.
• Helcim (paiements par carte) : PCI DSS de niveau 1.
• Railway (le relais vocal) et JULY Send (notre plateforme de courriel, un service du groupe JULY) : aucune attestation n’est revendiquée ici.

9.Renseignements sur la santé

Nous n’offrons pas d’entente d’associé commercial (BAA) au sens de la loi HIPAA. Les clients du secteur de la santé ne doivent pas utiliser JULY Call pour quoi que ce soit qui exige une telle entente, et la réceptionniste ne discute jamais de diagnostics ni de résultats d’examens.

10.Votre part

• Utilisez des mots de passe robustes et uniques, et ne partagez jamais vos identifiants de connexion.
• Attribuez à chaque personne le rôle le moins élevé dont elle a besoin, et retirez les accès dès le départ d’une personne.
• Protégez tout ce que vous exportez ou téléchargez, comme les journaux d’appels et les enregistrements.
• Avisez-nous immédiatement si vous remarquez quoi que ce soit de suspect dans votre compte.

11.En cas de problème

Nous enquêtons sur les incidents de sécurité soupçonnés, prenons des mesures pour les contenir et avisons les clients, les personnes et les organismes de réglementation concernés, comme l’exigent la loi et notre Addenda sur le traitement des données.

12.Signaler une vulnérabilité

Si vous croyez avoir découvert une vulnérabilité de sécurité dans JULY Call, écrivez à support@july.ca en indiquant « Sécurité » dans l’objet et en joignant une description du problème, les étapes permettant de le reproduire et toute preuve de concept.

Pendant vos recherches, veuillez :

• ne pas consulter, modifier ou supprimer des données qui ne vous appartiennent pas, et vous arrêter dès que vous atteignez les données d’une autre personne;
• ne pas effectuer de tests de déni de service, de charge ou d’envoi de pourriels, et ne pas recourir à l’ingénierie sociale ni à des attaques physiques;
• ne pas faire d’appels ni envoyer de messages à des numéros qui ne vous appartiennent pas; et
• nous laisser un délai raisonnable pour corriger le problème avant de le divulguer.

Nous accuserons réception de votre signalement et vous tiendrons au courant. Nous n’intenterons aucune poursuite judiciaire contre les chercheurs qui agissent de bonne foi et respectent ces règles. Nous n’offrons pas actuellement de récompense en argent pour la découverte de bogues.