Déclaration de sécurité

La présente déclaration de sécurité s'applique à tous les produits et services de Banqup Group ainsi qu'à ses filiales, sauf mention contraire. Cette déclaration de sécurité fait également partie des contrats d'utilisation des clients de Banqup Group. Banqup Group accorde de l'importance à la confiance de ses clients en permettant à l'organisation d'agir en tant que gardienne de leurs données.

Banqup Group prend très au sérieux sa responsabilité de protéger et de sécuriser les informations de ses clients, et s'efforce d'assurer une transparence totale concernant ses pratiques de sécurité détaillées ci-dessous.

Généralités

Sécurité physique

Les systèmes d'information et l'infrastructure technique de Banqup sont hébergés dans des centres de données de classe mondiale, certifiés SOC 2. Les contrôles de sécurité physique de ces centres de données comprennent une surveillance 24h/24 et 7j/7, des caméras, des registres de visiteurs, des restrictions d'accès et tout ce que l'on peut attendre d'une installation de traitement de données hautement sécurisée.

Contrôle d'accès

L'accès aux ressources technologiques de Banqup n'est autorisé que via une connexion sécurisée (par ex. VPN, SSH) et requiert une authentification multifacteur. La politique de mots de passe de l'environnement de production de Banqup impose la complexité, l'expiration, le verrouillage et interdit la réutilisation. Banqup accorde l'accès selon le principe du besoin d'en connaître et du moindre privilège, revoit les autorisations trimestriellement et révoque immédiatement l'accès après le départ d'un collaborateur.

Politiques de sécurité

Banqup maintient, revoit et met à jour périodiquement ses politiques de sécurité de l'information, au moins une fois par an. Les collaborateurs doivent en accuser réception chaque année et suivre une formation complémentaire liée à leur fonction. Cette formation est conçue pour respecter l'ensemble des spécifications et réglementations applicables à Banqup.

Personnel

Banqup effectue une vérification des antécédents au moment de l'embauche (dans la mesure permise ou facilitée par les lois et les pays applicables). En outre, Banqup communique ses politiques de sécurité de l'information à l'ensemble du personnel (qui doit en accuser réception), exige des nouveaux collaborateurs qu'ils signent des accords de confidentialité, et propose une formation continue en matière de confidentialité et de sécurité.

Personnel dédié à la sécurité

Banqup dispose d'une organisation dédiée à la confidentialité et à la sécurité, axée sur la sécurité des applications, du cloud, du réseau et des systèmes. Cette équipe est également responsable de la conformité en matière de sécurité, de la sensibilisation et de la réponse aux incidents.

Gestion des vulnérabilités et tests d'intrusion

Banqup maintient un programme documenté de gestion des vulnérabilités, comprenant des analyses périodiques, ainsi que l'identification et la correction des vulnérabilités de sécurité sur les serveurs, les postes de travail, les équipements réseau et les applications. Tous les réseaux, y compris les environnements de test et de production, sont régulièrement analysés par des prestataires tiers de confiance. Les correctifs critiques sont appliqués en priorité sur les serveurs, et les autres correctifs le sont selon les besoins. Banqup mène également régulièrement des tests d'intrusion internes et externes, et corrige les résultats obtenus en fonction de leur gravité.

Chiffrement

Banqup chiffre toutes les données au repos dans les centres de données ainsi que toutes les données en transit, selon la norme cryptographique de Banqup, revue chaque année.

Développement

L'équipe de développement de Banqup applique des techniques de codage sécurisé et des bonnes pratiques, axées sur le Top Ten OWASP. Les développeurs reçoivent une formation formelle aux pratiques de développement d'applications web sécurisées à leur embauche, puis chaque année. Les environnements de développement, de test et de production sont séparés. Toutes les modifications font l'objet d'une revue par les pairs et sont consignées à des fins de performance, d'audit et d'analyse légale avant leur déploiement dans l'environnement de production.

Gestion des actifs

Banqup maintient une politique de gestion des actifs comprenant l'identification, la classification, la conservation et l'élimination des informations et des actifs. Les appareils fournis par l'entreprise sont équipés d'un chiffrement intégral du disque dur et d'un logiciel antivirus à jour. Seuls les appareils fournis par l'entreprise sont autorisés à accéder aux réseaux de production.

Gestion des incidents

Banqup maintient un processus de réponse aux incidents de sécurité couvrant la réponse initiale, l'investigation, la notification aux clients (conformément au minimum requis par la loi applicable), la communication publique, le reporting prudentiel et la remédiation.

Notification de violation de données

Malgré tous les efforts déployés, aucune méthode de transmission sur Internet et aucune méthode de stockage électronique n'est parfaitement sécurisée. Comme toute autre organisation, Banqup ne peut garantir une sécurité absolue. Toutefois, si Banqup a connaissance d'une violation de sécurité, elle en informera les utilisateurs concernés afin qu'ils puissent prendre les mesures de protection appropriées. Les procédures de notification de violation de Banqup sont conformes aux obligations découlant des lois et réglementations nationales applicables, ainsi qu'à toute règle ou norme sectorielle applicable à Banqup et à ses filiales. Banqup s'engage à tenir pleinement ses clients informés de toute question relative à la sécurité de leur compte et à leur fournir toutes les informations nécessaires pour qu'ils puissent respecter leurs propres obligations réglementaires en matière de déclaration.

Gestion de la continuité des activités

Les sauvegardes sont chiffrées et stockées au sein de l'environnement de production afin de préserver leur confidentialité et leur intégrité. Banqup applique une stratégie de sauvegarde visant à minimiser les temps d'arrêt et les pertes de données.

Votre responsabilité

Pour assurer la sécurité de vos données, vous devez également veiller à la sécurité de votre compte en utilisant des mots de passe suffisamment complexes et en les conservant de manière sûre. Vous devez aussi être attentif à votre contexte et à votre environnement, et adopter un mode de travail sécurisé. Enfin, vous devez veiller à disposer d'une sécurité suffisante sur vos propres systèmes.

Journalisation et surveillance

Les systèmes applicatifs et d'infrastructure consignent les informations dans un référentiel de journaux géré de manière centralisée, à des fins de dépannage, de revue de sécurité et d'analyse par le personnel autorisé de Banqup. Les journaux sont conservés conformément aux exigences réglementaires. Banqup fournira à ses clients une assistance raisonnable et un accès aux journaux en cas d'incident de sécurité affectant leur compte.

Conformité

Banqup Group a mis en place un système de management de la sécurité de l'information (SMSI), ainsi que des pratiques de gouvernance, de gestion des risques et de conformité, alignées sur les référentiels et bonnes pratiques actuels en matière de sécurité de l'information. Notre SMSI est certifié ISO 27001. Par ailleurs, les produits de paiement Banqup sont conformes à la norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS 3.2).

Fraude

Banqup Payments utilise des systèmes de détection basés sur des règles et sur l'intelligence artificielle afin de protéger les transactions des clients contre la criminalité financière. Ces systèmes de détection sont continuellement revus pour s'adapter à l'évolution des menaces, ce qui permet de réduire le taux de fraude pour les clients de Banqup et leurs propres clients.

Authentification multifacteur

Banqup Payments utilise le protocole 3D Secure (3DS) afin d'ajouter une couche de protection supplémentaire aux paiements électroniques en ligne. Cela réduit le risque de transactions non autorisées et de rétrofacturations. Avec le 3DS activé, les clients bénéficient d'une authentification à deux facteurs pour leurs paiements, c'est-à-dire que les paiements ne peuvent être exécutés sans l'autorisation du client.