Sécurité et conformité
Conçu pour les organisations où l'examen de sécurité intervient avant la première séance. Voici ce que nous faisons, ce que nous ne faisons pas et ce que nous remettons à votre équipe informatique sur demande.
La sécurité dès la conception
Un environnement par client
Une instance de base de données dédiée et isolée pour chaque client. Aucune donnée n'est partagée entre les clients.
Lire la suite
Les environnements de production et de test sont physiquement séparés ; les environnements de test utilisent uniquement des données anonymisées. Le contenu client et les données personnelles résident dans deux référentiels chiffrés distincts.
Hébergement dans votre région
Clients européens : AWS eu-west-1 (Irlande). Clients américains : AWS États-Unis. Autres régions sur demande.
Lire la suite
Infrastructure d'hébergement (AWS) certifiée ISO 27001, 27017, 27018 et SOC 1/2/3. Réplication interrégionale pour la redondance et la reprise après sinistre.
Chiffrement en transit et au repos
TLS en transit, chiffrement au repos, gestion des clés avec AWS KMS.
Lire la suite
Les certificats sont gérés et surveillés avec des alertes d'expiration automatisées. Tout accès aux données passe par l’application : il n’y a pas d’accès direct à la base de données.
Données minimales
Nom, e-mail professionnel, résultats des entraînements et enregistrements audio. Pas de vidéo, jamais.
Lire la suite
Les enregistrements sont conservés indépendamment des données personnelles et identifiés par des codes alphanumériques sans lien direct avec la personne. Aucune donnée commerciale client (ventes, financières, formules) n'est collectée. Aucune donnée réglementée PCI, HIPAA, FERPA ou FISMA.
La rétention que vous contrôlez
Audio supprimé au bout de 30 ou 60 jours, au choix, même pendant le contrat.
Lire la suite
Les données personnelles peuvent être supprimées sur demande à tout moment, par exemple lorsqu'une personne quitte l'entreprise. Après la résiliation du contrat, les données sont conservées 30 jours puis totalement supprimées. Les données sont automatiquement anonymisées à l’expiration des périodes de conservation.
Développement interne uniquement
Pas d’externalisation, pas d’accès de tiers à la production ou aux données.
Lire la suite
Gestion formelle du changement avec tests, approbation et restauration ; examen de sécurité à chaque changement ; aucune API externe exposée.
Architecture et protection des données
Comment les données client sont déplacées
Deux référentiels, tous deux chiffrés : un pour les données personnelles, un pour le contenu des scénarios que vous nous confiez. Lorsque le contenu nécessite un service d'IA externe, les algorithmes de ségrégation et de qualification de Skillgym suppriment d'abord les identifiants directs et les éléments sensibles à la marque, et le service reçoit un identifiant transactionnel, jamais un nom ou un e-mail. Chaque flux est enregistré.
Services d'IA externes
La synthèse vocale, les modèles de langage et le rendu d'avatar s'exécutent sur des API d'entreprise avec des clauses contractuelles de non-utilisation des données pour l’entraînement : rien de ce que vous ou vos collaborateurs dites n'est utilisé pour former le modèle de qui que ce soit. Cinq des 120 algorithmes propriétaires de Skillgym n'existent que pour appliquer cette ségrégation à chaque point d'interaction. La liste des services et leurs conditions de conservation figurent dans le Contrat de traitement des données.
Identité et accès
Authentification unique
Fédération SAML 2.0 avec correspondance de rôles ; déconnexion unique prise en charge.
Deux niveaux d'accès
Utilisateurs standards via SSO ; administrateurs sur demande formelle uniquement, avec MFA et VPN.
Moindre privilège
Un administrateur détient un accès privilégié aux données client. L'accès est révisé chaque semaine.
Navigateur uniquement
Accès HTTPS depuis le navigateur de n'importe quel appareil ; pas d'application mobile ou d'authentification au niveau de l'appareil, de par sa conception.
Résilience opérationnelle
Objectifs de rétablissement
Les objectifs de temps de récupération et de point de récupération sont définis dans nos accords fournisseurs, surveillés et testés. Chiffres disponibles dans la documentation de sécurité.
Sauvegardes et basculement
Sauvegardes régulières avec contrôles d'intégrité mensuels ; réplication inter-régions ; basculement testé tous les six mois.
Réponse aux incidents
Procédures documentées avec rôles définis et escalade. Les clients concernés sont informés dans les deux heures ouvrables des incidents critiques.
Journalisation et gestion des vulnérabilités
Journaux centralisés conservés six mois et protégés de toute modification ; des mesures correctives basées sur les risques ; tests d'intrusion par du personnel qualifié ; évaluation annuelle des risques.
Assurances et documentation
Tout ce dont votre processus de risque fournisseur a besoin, envoyé sur demande.
Présentation de la sécurité pour les évaluations des risques liés aux fournisseurs
Accord de traitement des données
Description du flux de données
Liste des sous-traitants avec conditions de conservation
Résumé des évaluations de sécurité tierces
Réponse aux incidents et résumé de la continuité des activités
Réponses à votre questionnaire de sécurité
Passez en revue la sécurité avec notre équipe
Notre équipe technique accompagne vos fonctions informatiques et de sécurité à travers l’architecture et la documentation.
Configuration requise
Appareils, systèmes et navigateurs compatibles avec Skillgym (page en anglais).