La sécurité chez meo

Vos documents sont hébergés à Montréal, au Canada. La plateforme meo détient une attestation SOC 2 type 2.

Une attestation SOC 2 de type 2 veut dire qu’un auditeur indépendant a examiné les contrôles de sécurité de meo et vérifié qu’ils fonctionnent dans la durée, pas seulement sur papier.

Les cartes de crédit de vos clients sont recueillies et conservées par PCI Booking, un fournisseur de services évalué conforme à la norme PCI DSS au niveau 1, le plus exigeant. meo ne détient jamais le numéro de la carte. Voir Cartes de crédit et conformité PCI.

• Chiffrées. Vos documents et vos données sont chiffrés au repos et à chaque transfert, en TLS 1.2 ou plus récent.
• Une seconde couche pour les renseignements sensibles. Les réponses de vos clients aux blocs d’information et les notes chiffrées sont chiffrées une seconde fois, en AES-256-GCM, avec une clé propre à chaque espace.
• Sauvegardées chaque jour. Une copie de vos documents est faite chaque jour.
• Retirées à l’échéance. Si votre espace active la suppression automatique, meo met chaque document à la corbeille à la fin de sa durée de conservation; il y reste récupérable 30 jours, puis il est supprimé définitivement. Voir Conservation et suppression automatique des documents échus.

• Des règles d’accès dans la base de données. Chaque table applique ses propres règles d’accès : un utilisateur voit seulement les organisations et les espaces auxquels il a accès, selon son rôle. Ces règles sont mises à l’épreuve à chaque mise en production.
• Les renseignements sensibles à part. Seuls les utilisateurs qui ont accès aux renseignements sensibles des clients peuvent afficher une information chiffrée.
• L’authentification à deux facteurs. Une fois qu’elle est activée sur votre compte, c’est la base de données elle-même qui refuse l’accès à vos documents, à vos contacts et à vos demandes tant que le code n’est pas entré.
• Les clés d’accès. Vous pouvez vous connecter avec une clé d’accès, comme Face ID, Touch ID ou Windows Hello; si l’authentification à deux facteurs est activée, meo demande quand même son code.
• Des sessions courtes. Par défaut, meo ferme votre session après 15 minutes d’inactivité, et vous écrit chaque fois qu’une connexion vient d’un nouvel appareil.

Voir Sécuriser votre compte.

• Le journal d’activité. Chaque modification des contacts, des documents, des demandes et des accès est consignée automatiquement, avec son auteur et sa date. Le Journal d’activité s’exporte en fichier CSV.
• L’empreinte de chaque fichier. Chaque fichier reçoit une empreinte SHA-256 dès son dépôt, et meo la compare ensuite au fichier conservé : vous savez s’il est resté identique.
• Le consentement de votre client. Avant tout dépôt, votre client donne son consentement, et meo en garde la preuve dans sa fiche.
• Le sceau des documents signés. Chaque document signé est scellé numériquement avec une clé qui ne quitte jamais un module matériel de sécurité (HSM), puis horodaté : toute modification faite ensuite brise le sceau. Voir Valeur légale et vérification d’une signature.

• Plus de 8 000 tests à chaque mise en production. Chaque mise en production de meo passe par plus de 8 000 tests automatisés. La base de données y est reconstruite à partir de zéro, puis plus de 4 000 vérifications y sont exécutées, dont celles des règles d’accès.
• Une recherche de secrets dans le code. Chaque modification du code est analysée à la recherche de mots de passe ou de clés laissés par erreur, avant d’être intégrée.
• Des composants externes vérifiés. Avant chaque mise en production, une faille grave connue dans un composant externe fait échouer les vérifications.
• Une surveillance toutes les 15 minutes. Des contrôles automatisés cherchent toutes les 15 minutes des signes d’attaque, d’abus ou de fuite de données, et alertent l’équipe de meo.
• L’état du service. Il est publié en tout temps sur status.documeo.ca.

Au Canada, la LPRPDE est la loi fédérale de base pour les entreprises privées, et la Colombie-Britannique et l’Alberta ont leur propre loi pour le secteur privé. La Loi 25 du Québec est la plus exigeante de ces lois : meo est conçu pour la respecter, ce qui couvre aussi ce que demandent les autres.

Votre organisation reste responsable de ses pratiques; la page Vie privée vous aide à les documenter.

Si vous pensez qu’un problème de sécurité touche meo, écrivez à support@documeo.ca.

Pour un incident de confidentialité touchant les renseignements personnels de vos clients, consignez-le dans le registre des incidents : voir Signaler un incident de confidentialité touchant un client.

• Configurer les outils de vie privée
• Questions fréquentes