La sécurité chez DocoMatic

DocoMatic est conçu pour traiter et stocker les documents des clients uniquement aux États-Unis : dans la région AWS USA Est (Virginie du Nord, us-east-1), avec des sauvegardes chiffrées dans la région AWS USA Ouest (Oregon, us-west-2). Notre environnement de production est encore en cours de mise en place; cette page indiquera la configuration déployée dès qu'elle sera en service. Le site que vous consultez n'a aucun accès en écriture aux données des clients.

Nous n'offrons pas de région canadienne. Les clients canadiens sont informés lors de l'intégration que leurs données sont stockées aux États-Unis.

• En transit : le trafic de production est conçu pour être servi uniquement en TLS 1.2 ou plus récent. Notre API envoie déjà des en-têtes HTTP Strict Transport Security afin que les navigateurs refusent le HTTP non chiffré.

• Au repos : les documents, les fichiers produits et les sauvegardes sont conçus pour être chiffrés en AES-256 au moyen d'AWS KMS en production.

• Nous n'offrons pas de clés de chiffrement dédiées par locataire ni de clés gérées par le client.

• Les secrets de production sont conçus pour être conservés dans AWS Secrets Manager. La configuration de développement est tenue à l'écart du code source.

• Chaque ligne de base de données est rattachée à un locataire, avec sécurité au niveau des lignes (RLS) et contrôle applicatif.

• Nous exécutons une suite de tests inter-locataires dédiée qui attaque nos principaux points de terminaison propres à chaque locataire — documents, liens de téléchargement, crédits, membres, espaces de travail, invitations et surveillance — avec les identifiants d'un autre locataire, ainsi qu'un test qui échoue si une table contenant des données de locataire n'applique pas la sécurité au niveau des lignes.

• Chaque fichier téléversé est analysé par ClamAV pour détecter les logiciels malveillants avant son traitement; si l'analyseur n'est pas disponible, le fichier n'est pas traité. Les analyseurs de documents ne s'exécutent pas encore dans des bacs à sable isolés du réseau et limités en ressources; ce renforcement reste à faire.

Notre politique de conservation est fixée par forfait : les fichiers sources et produits sont conservés 30 jours pendant l'essai gratuit, 1 an avec Starter, 3 ans avec Growth, 7 ans avec Scale, et selon le calendrier prévu au contrat avec Enterprise. La suppression automatique à la fin de ces périodes n'est pas encore activée.

• Suppression sur demande : écrivez à support@docomatic.ai. Notre équipe des opérations effectue la suppression et peut vous fournir un relevé de ce qui a été supprimé. La suppression en libre-service et les certificats de suppression téléchargeables ne sont pas offerts.

• Exportation : il n'existe pas d'exportation en libre-service d'un compte complet. Les documents, les fichiers remédiés et les rapports de vérification peuvent être téléchargés depuis l'application, et nous aidons à réaliser une exportation groupée sur demande.

• Les fichiers téléversés dans les outils gratuits sont supprimés dans les 24 heures par une règle de cycle de vie du stockage et ne servent pas à entraîner des modèles.

Les mêmes durées et notre position sur l'entraînement des modèles figurent dans la Politique de confidentialité; la suppression à la fin d'une entente est décrite dans l<dpa>Entente sur le traitement des données</dpa>.

Nous faisons appel à un petit nombre de fournisseurs d'infrastructure et de services pour exploiter DocoMatic. Le tableau ci-dessous en présente la liste actuelle.

Nos politiques de sécurité écrites couvrent le contrôle des accès, l'utilisation acceptable, la classification et le traitement des données, le chiffrement, la réponse aux incidents, la continuité des activités et les sauvegardes, les fournisseurs et sous-traitants, la gestion des changements et le développement sécurisé, la gestion des vulnérabilités, ainsi que la conservation et la suppression des données. Chaque politique a un responsable et est révisée au moins une fois par année.

Notre documentation de sécurité et nos réponses aux questionnaires sont offertes sur demande. Communiquez avec nous et choisissez le sujet Sécurité.

• Aucun test d'intrusion par un tiers n'a encore été réalisé. Nous l'indiquerons sur cette page lorsqu'il l'aura été.

• Nous avons rédigé des réponses aux questions habituelles des évaluations de sécurité du secteur public, et nous les transmettons sur demande. Si votre évaluation utilise un questionnaire précis, nous le remplissons pour vous au cas par cas.

VPAT/ACR : nous n'avons pas encore publié de rapport de conformité en matière d'accessibilité pour l'application DocoMatic. Une ébauche de travail de notre propre évaluation est offerte. Ses problèmes d'accessibilité connus sont énumérés dans notre déclaration d'accessibilité. Pour toute question : support@docomatic.ai.

Si vous croyez avoir trouvé un problème de sécurité dans DocoMatic, écrivez à security@docomatic.ai. Nous accusons réception des signalements dans les 2 jours ouvrables et vous tenons informé jusqu'à la résolution. Un fichier security.txt est publié à l'emplacement standard.

Zone de protection : nous n'engagerons ni n'appuierons aucune poursuite contre les chercheurs qui font un effort de bonne foi pour respecter cette politique — testez uniquement vos propres comptes ou nos outils publics, évitez les atteintes à la vie privée et les interruptions de service, et accordez-nous un délai raisonnable pour corriger avant toute divulgation publique.

Le délai d'accusé de réception est un engagement publié dans Niveaux de service et soutien, article 6, et la Politique d'utilisation acceptable dirige les signalements de bonne foi vers ce processus.

Ce que les équipes d'approvisionnement et d'examen informatique demandent habituellement, avec un statut honnête pour chaque élément. L'entente de traitement des données et la déclaration d'accessibilité sont disponibles dès maintenant, et nos réponses aux questionnaires de sécurité ainsi que le formulaire IRS W-9 sont offerts sur demande. Les autres éléments ne sont pas encore disponibles.

La façon dont les entités publiques paient — bons de commande, factures réglées par TEF (ACH), certificats d'exemption de taxe — est décrite sur la page des prix.