Hivenza

Sécurité

Vos marques et vos clients, bien protégés

Hivenza garde les clés de vos comptes de réseaux sociaux et les conversations avec vos clients. Voici comment nous les protégeons, le contrôle dont vous disposez, et ce sur quoi nous travaillons encore.

Comment vos données sont protégées

Chiffrées, en transit et au repos

  • Toutes les connexions au site, à l’application et à l’API passent par HTTPS (TLS).
  • Les jetons de vos réseaux sociaux, les numéros de paiement et les autres secrets sont chiffrés en AES-256-GCM avant d’être enregistrés, et ne sont plus jamais affichés.
  • Les mots de passe ne sont gardés que sous forme d’empreinte à sens unique (bcrypt), jamais lisible.
  • Les fichiers et les enregistrements sont conservés dans un stockage cloud, chiffrés par le fournisseur.

Seulement les bonnes personnes

  • Des rôles pour les propriétaires, administrateurs, éditeurs et lecteurs, et vos propres rôles composés de permissions précises, vérifiées à chaque requête.
  • Authentification unique avec Microsoft Entra ID, Okta, Google Workspace ou tout fournisseur SAML ou OpenID Connect, avec provisionnement SCIM (offre Enterprise).
  • Connexion en deux étapes avec une application d’authentification ou des clés d’accès, que les propriétaires peuvent imposer à tout l’espace.
  • Accès limité aux réseaux de vos bureaux si vous le souhaitez, et chaque appareil connecté listé, avec la possibilité de le déconnecter.
  • Des sessions qui se terminent après la durée choisie ou en cas d’inactivité, et une seule étape pour déconnecter tout l’espace.
  • Un accès d’urgence pour un propriétaire quand votre authentification unique est indisponible : avec un motif, pour quelques heures, et enregistré.
  • Les clés d’API, les applications connectées et les assistants d’IA n’atteignent que les espaces de travail que vous autorisez.

Une trace de qui a fait quoi

  • Un journal d’activité des actions importantes : connexions, publications, rôles, exports, suppressions et connexions au compte.
  • Exportez-le en tableur à tout moment, ou diffusez-le en direct vers vos outils de sécurité (Splunk, Datadog ou toute adresse HTTPS).
  • Les replays de session de vos visiteurs ne sont visibles que par les personnes autorisées à voir les données clients, et chaque visionnage est enregistré.
  • Le journal ne peut pas être modifié en douce : chaque entrée est chaînée à la précédente, et la chaîne est vérifiée chaque nuit.
  • Qui a ouvert quelle conversation, et d’où, est enregistré aussi.

Vos données restent les vôtres

  • Choisissez combien de temps les tickets et les contacts sont gardés ; ensuite, ils sont anonymisés ou supprimés automatiquement.
  • Exportez vos tickets, contacts et journal d’activité, supprimez un contact à sa demande, ou supprimez tout l’espace et son contenu.
  • Nous ne vendons jamais vos données et n’utilisons jamais vos publications, messages ou contacts pour de la publicité.
  • Un accord de traitement des données est prêt à être accepté par votre société dans l’application.
  • Les numéros de carte, les numéros de compte bancaire et les codes à usage unique sont retirés des messages et des notes dès leur saisie.
  • Ce que votre espace marque comme sensible est chiffré avec sa propre clé, qui peut être remplacée pour que rien d’ancien ne soit plus lisible avec elle.
  • Gardez les données par canal aussi longtemps que vous le décidez, conservez-les pour une affaire juridique, et effacez une personne avec un certificat qui le prouve.

Conçu pour résister aux abus

  • Des limites de vitesse sur les essais de mots de passe, de codes, les inscriptions et les formulaires publics, avec une vérification humaine là où les robots tentent leur chance.
  • Une politique de sécurité du contenu stricte sur nos pages, et des cookies de session sécurisés, inaccessibles au JavaScript.
  • Les webhooks que nous envoyons sont signés, pour que vos systèmes sachent qu’ils viennent de nous.
  • Chaque permission et chaque refus est couvert par des tests automatiques, lancés sur une vraie base de données.

Surveillé, et prêt à réagir

  • Les erreurs sont journalisées pour notre équipe, sans mots de passe ni jetons de réseaux.
  • Si une violation touchait un jour vos données, nous vous prévenons dans les meilleurs délais, avec ce qui s’est passé et ce que nous faisons, comme l’exigent la loi et notre accord de traitement des données.
  • Seule une petite équipe chez Hivenza accède aux systèmes de production, et chaque action dans notre console d’exploitation est enregistrée avec la personne et le motif.

Pour les équipes réglementées

  • L’IA désactivée pour un espace ou un canal, tenue à l’écart de sujets comme le conseil financier, ou soumise à l’approbation d’une personne.
  • Des clients vérifiés avant de parler de leur compte : une identité signée depuis votre site ou votre application, ou un code à usage unique par WhatsApp.
  • Les réclamations numérotées et suivies jusqu’à leur échéance, avec un registre à exporter, et des conversations échantillonnées pour le contrôle qualité.
  • Les formulations approuvées verrouillées et versionnées, les mentions ajoutées automatiquement, et toute conversation en PDF avec une empreinte qui montre qu’elle n’a pas changé.

Transparents sur notre façon de travailler

  • Une page d’état publique avec chaque incident, ses mises à jour, et des mises à jour par e-mail.
  • Une politique de divulgation des vulnérabilités qui dit ce qui peut être testé et en combien de temps nous répondons.
  • Chaque modification vérifiée contre les vulnérabilités connues des composants que nous utilisons, avec la liste de chacun.
  • Notre rapport de test d’intrusion partagé sur demande sous conditions de confidentialité, dès le premier test réalisé ; pour les banques et assureurs soumis à DORA, les informations de registre et le plan de sortie dont ils ont besoin.

Conformité

Hivenza est exploité par Versity Life Co-Ltd et respecte le Règlement général sur la protection des données de l’UE et la loi camerounaise sur la protection des données à caractère personnel.

Nous agissons comme votre sous-traitant pour les données de vos clients et contacts, dans le cadre de notre accord de traitement des données.

Hivenza n’est pas encore certifié SOC 2 ni ISO 27001. Nous travaillons selon leurs contrôles, et partagerons les rapports sur demande dès qu’un auditeur indépendant les aura délivrés, comme notre rapport de test d’intrusion (ci-dessous).

Les e-mails par votre propre messagerie

Par défaut, Hivenza envoie vos réponses par son propre fournisseur d’e-mails. Une marque peut à la place faire partir chaque e-mail par sa propre messagerie, pour qu’il figure dans ses éléments envoyés et suive ses règles d’archivage et de prévention des fuites. Chaque mode ci-dessous indique ce que Hivenza détient et le chemin que suit un e-mail. Un mode n’est utilisé qu’après l’arrivée d’un e-mail de test envoyé par lui et le choix d’un administrateur. S’il échoue, les e-mails attendent : ils ne passent jamais par Hivenza à la place, sauf si un propriétaire le décide, et ce choix est journalisé.

Un relais que vous gérez
Un secret de signature, scellé avec la clé propre à votre espace.
Hivenza envoie l’e-mail composé, signé, à votre adresse HTTPS. Votre relais le remet à votre serveur de messagerie. Nous fournissons un relais de référence.
Votre propre Amazon SES
Aucune clé. Seulement un rôle dans votre compte AWS, qu’il peut endosser avec un identifiant externe connu de vous et de lui seuls.
Hivenza endosse le rôle pour 15 minutes, visible dans votre CloudTrail, et envoie depuis votre compte SES, selon vos limites et votre liste de suppression.
Microsoft 365 ou Google Workspace
Une autorisation d’envoyer au nom d’une boîte, scellée avec la clé propre à votre espace. Jamais un mot de passe.
L’e-mail passe par Microsoft Graph ou l’API Gmail au nom de cette boîte. Votre administrateur voit l’autorisation et peut la retirer dans sa propre console.
Un serveur SMTP
Un mot de passe d’application ou celui d’un compte relais, scellé avec la clé propre à votre espace. Jamais les mots de passe de vos collaborateurs.
Uniquement en TLS, vers l’adresse publique vérifiée avant la connexion, avec le certificat du serveur vérifié par rapport à son nom.

Les rebonds et plaintes de votre système rejoignent la liste de suppression de Hivenza, depuis les avis de non-remise transférés ou vos événements SES, pour ne plus écrire à une adresse morte. Aucun de ces secrets n’est jamais réaffiché, écrit dans un journal, ni lisible par l’API ou par l’équipe de Hivenza.

Vous avez trouvé un problème de sécurité ?

Écrivez à hello@hivenza.com avec « Sécurité » dans l’objet, en décrivant ce que vous avez trouvé et comment le constater. Laissez-nous un délai raisonnable pour le corriger avant d’en parler à d’autres, et n’accédez pas aux données d’autrui ni ne perturbez le service pendant vos essais. Nous lisons chaque signalement et remercions celles et ceux qui nous aident.

hello@hivenza.comLire la politique de divulgation

Notre rapport de test d’intrusion

Nous n’avons pas encore fait réaliser de test d’intrusion indépendant. Demandez maintenant : nous vous enverrons sa synthèse dès que nous l’aurons.

Quel rapport

Questions

Où sont stockées nos données ?

L’endroit où vos données sont stockées et traitées est décrit dans notre politique de confidentialité, et chaque prestataire qui traite des données pour nous est indiqué, avec son pays, sur la page des personnes qui traitent des données pour nous. Pour une attestation écrite destinée à un audit de conformité ou à un contrat, écrivez-nous.

L’équipe de Hivenza peut-elle lire nos conversations ?

Seulement quand vous nous demandez de l’aide sur un point précis, ou quand la loi l’exige. Notre console d’exploitation montre les offres, l’utilisation et les paiements, pas le contenu de vos publications ou conversations, et chaque action y est enregistrée.

Que deviennent nos données si nous partons ?

Exportez ce dont vous avez besoin, puis supprimez l’espace. Tout son contenu est supprimé ; seuls les justificatifs de paiement exigés par la loi comptable sont conservés, ainsi qu’une trace anonyme de la suppression.

Signez-vous des accords de traitement des données ?

Oui. Un propriétaire l’accepte dans Hivenza, Paramètres → Données et confidentialité, au nom de votre société, et télécharge l’exemplaire signé. Pour le modifier, écrivez à hello@hivenza.com.

Nous sommes une banque soumise à DORA. Que pouvez-vous nous fournir ?

Les informations pour votre registre d’information (les clients Enterprise les téléchargent dans Paramètres → Données et confidentialité), la façon de partir avec vos données, la chaîne des prestataires derrière Hivenza et nos engagements en cas d’incident. Pour le dossier complet, écrivez à hello@hivenza.com.

Des questions de votre équipe sécurité ? Nous y répondons volontiers.

Écrivez à hello@hivenza.com.