La sécurité chez Gheima

Les charges de travail des clients s'exécutent par défaut dans l'Union européenne, sur une infrastructure louée à Hostinger. Le plan de contrôle, c'est-à-dire le tableau de bord, la base de données de la plateforme et ses sauvegardes, s'exécute à Casablanca, au Maroc, dans la région ma-1, pour chaque compte.

L'option de résidence des données place vos charges de travail à Casablanca. C'est une affirmation au niveau du pays qui porte sur les données au repos : vos conteneurs applicatifs, bases gérées, compartiments, instantanés et sources de build restent au Maroc, et rien de ce que nous exécutons ne sort de lui-même vos données stockées du pays.

Notre fournisseur d'infrastructure s'engage, dans son accord de traitement des données, à conserver les données dans la région que nous avons commandée. Sa propre documentation nomme la ville, pas le bâtiment, et il peut accéder aux données depuis l'extérieur du Maroc afin d'assurer le support et la reprise du service.

Source :Résidence des donnéesAccord de traitement des donnéesPolitique de confidentialité

Tout est servi en TLS ; les certificats sont émis automatiquement et renouvelés seuls.

Les variables d'environnement, identifiants de bases gérées, clés de stockage, jetons Git connectés, secrets et codes de récupération à deux facteurs sont chiffrés au repos en AES-256-GCM sous une clé dérivée par compte. Ils ne vous sont restitués que par des points d'accès soumis à rôle, et chaque révélation est inscrite au journal d'audit.

Source :Politique de confidentialitéAccord de traitement des données

Les secrets propres à une seule charge de travail (variables d'environnement des services, mots de passe et chaînes de connexion des bases de données gérées, clés de stockage d'objets) sont chiffrés avec une clé détenue uniquement par la région qui héberge cette charge et par le plan de contrôle au Maroc. Notre infrastructure dans l'Union européenne ne peut pas déchiffrer la configuration d'une charge hébergée ailleurs.

Une limite demeure, dite clairement : les secrets qui appartiennent à votre compte plutôt qu'à une seule charge (groupes de variables partagés, jetons de fournisseurs Git, secrets de notification et de log-drain, clés de signature e-mail, identifiants de recherche et de files) restent chiffrés avec une clé unique que détiennent les workers de chaque région, car toute région peut exécuter un travail pour votre compte.

Source :Politique de confidentialitéAccord de traitement des données

L'authentification à deux facteurs est disponible pour chaque utilisateur, et sur un compte d'équipe, un propriétaire peut l'imposer.

Les comptes ont des rôles. Propriétaires et administrateurs voient la facturation, gèrent les membres, révèlent les variables d'environnement et suppriment des ressources.

Source :Conditions généralesAccord de traitement des données

Le journal d'audit enregistre vos actions dans le tableau de bord et l'API : quoi, sur quelle ressource, quand, depuis quelle IP et quel agent utilisateur. Il est en ajout seul au niveau de la base : un déclencheur rejette toute mise à jour ou suppression autre que la minimisation planifiée, qui efface l'adresse IP et l'agent utilisateur après 365 jours et conserve l'enregistrement lui-même à titre de preuve.

Les actions d'administration, y compris toute impersonation d'un compte par le support, sont inscrites au journal d'audit.

L'export de compte produit vos enregistrements en JSON, y compris vos propres entrées d'audit. Il exclut délibérément les secrets.

Source :Politique de confidentialitéAccord de traitement des données

Chaque ressource porte le compte auquel elle appartient sous forme de colonne, et chaque requête en est filtrée. L'accès entre comptes et entre régions est refusé à la frontière, pas filtré après coup.

Les bases gérées sont joignables sur un réseau privé et ne publient aucun port sur Internet.

Les builds de votre code s'exécutent dans un démon de construction isolé et sans privilèges, distinct de la gestion du cluster.

Source :Accord de traitement des données

Les sauvegardes sont automatisées et stockées chiffrées, avec un exercice de restauration planifié qui restaure réellement : une sauvegarde que personne n'a restaurée n'est qu'une hypothèse.

Les sauvegardes d'une région sont prises dans cette région et copiées vers un second emplacement : dans le même pays pour une région de résidence, et dans l'Union européenne pour la région européenne. Elles sont conservées 14 jours, puis élaguées.

C'est notre assurance, pas la vôtre. Conservez vos propres copies de tout ce que vous ne pouvez pas vous permettre de perdre.

Source :Politique de confidentialitéConditions générales

Nous publions l'état de santé de la plateforme en temps réel sur notre page de statut.

Nous visons une haute disponibilité et concevons la plateforme pour cela, mais nous ne proposons pas aujourd'hui d'engagement contractuel de disponibilité (SLA) assorti d'avoirs.

Source :Conditions généralesStatut

Si nous avons connaissance d'une violation affectant des données personnelles que nous traitons pour vous, nous vous en informerons sans retard injustifié et en tout état de cause dans les soixante-douze heures suivant cette connaissance, avec ce que nous savons alors, et nous continuerons à vous informer à mesure.

Source :Accord de traitement des données

Chaque tiers susceptible de traiter des données personnelles pour Gheima est nommé sur notre page des sous-traitants ultérieurs, avec ce qu'il fait et où. Les titulaires de compte sont prévenus par e-mail au moins trente jours avant qu'un nouveau sous-traitant ne commence à traiter.

Source :Sous-traitants ultérieurs