Déclaration de sécurité

Oulitech considère la sécurité comme un prérequis, et non comme une option. Cette page résume les mesures techniques et organisationnelles en place pour protéger les données gérées via les plateformes Oulitech.

1. Chiffrement

• En transit : toutes les communications entre le navigateur et nos serveurs sont chiffrées via TLS 1.2 ou supérieur. Les connexions non chiffrées sont redirigées automatiquement.
• Au repos : les bases de données et les sauvegardes sont stockées sur des volumes chiffrés. Les secrets applicatifs (jetons, clés) sont gérés dans un coffre dédié et jamais versionnés.

2. Authentification et gestion des accès

• L'accès à la plateforme se fait par couple e-mail / mot de passe, puis via un jeton d'authentification transmis uniquement sur canal chiffré.
• Les mots de passe sont stockés sous forme de hachage salé (bcrypt / argon2) et ne sont jamais accessibles en clair.
• Les sessions expirent après une période d'inactivité et peuvent être révoquées à tout moment.
• La vérification du numéro de téléphone est proposée pour renforcer la confiance sur le compte utilisateur.

3. Contrôle d'accès fin (RBAC)

La plateforme repose sur un système de rôles et de permissions fines :

• chaque action sensible (lecture, création, modification, suppression, attribution de rôle) fait l'objet d'une permission dédiée ;
• les pages et les fonctionnalités vérifient les permissions côté serveur, pas uniquement côté interface ;
• le principe du moindre privilège est appliqué ;
• les permissions peuvent être surchargées individuellement (plan Business) pour répondre à des besoins spécifiques sans dupliquer des rôles.

4. Cloisonnement des données entre cliniques

Chaque clinique dispose de son espace logique isolé. Les requêtes d'accès aux données sont systématiquement filtrées par l'identifiant de clinique de l'utilisateur authentifié, ce qui empêche tout accès croisé entre établissements.

5. Journalisation et audit

• Les connexions, les échecs d'authentification et les actions sensibles sont journalisés.
• Les journaux sont conservés au maximum douze (12) mois, dans un périmètre de sécurité distinct des données applicatives.
• L'historique des rendez-vous reste consultable depuis l'interface à des fins d'audit clinique.
• L'historique d'audit complet est exportable à la demande de la Clinique.

6. Sauvegardes et continuité

• Sauvegardes automatiques chiffrées, à fréquence quotidienne.
• Rétention des sauvegardes conforme à la politique de conservation (trente jours maximum).
• Tests de restauration périodiques pour garantir l'intégrité des sauvegardes.

7. Hébergement et sous-traitants

Oulitech recourt à des prestataires d'hébergement et de diffusion sélectionnés pour leur conformité aux standards de sécurité. La liste à jour figure dans l'Accord de traitement des données.

8. Développement sécurisé

• Revue de code obligatoire avant toute mise en production.
• Analyse automatique des dépendances pour détecter les vulnérabilités connues.
• Environnements séparés (développement, recette, production) et secrets cloisonnés.
• Protection contre les attaques courantes du top OWASP (XSS, CSRF, injection, IDOR).

9. Gestion des incidents

En cas d'incident de sécurité ou de violation de données avérée, Oulitech s'engage à :

• contenir l'incident et préserver les preuves ;
• notifier la Clinique concernée dans les meilleurs délais, et au plus tard sous 72 heures ;
• coopérer avec la Clinique pour toute déclaration à l'autorité de contrôle ;
• mener une analyse post-incident et mettre à jour les mesures préventives.

10. Programme de signalement responsable

Les chercheurs en sécurité identifiant une vulnérabilité sont invités à nous la signaler de manière confidentielle à security@ouli.tech. Nous nous engageons à accuser réception sous 72 heures et à ne pas poursuivre les chercheurs agissant de bonne foi.

11. Contact

Équipe sécurité Oulitech : security@ouli.tech.