Assurer un vote sécurisé et conforme au RGPD
NemoVote est développé avec la sécurité à l'esprit. Nous sommes conscients de notre responsabilité et nous la prenons au sérieux. Chaque bulletin avec NemoVote est sécurisé et incontestable.
Nos principes de sécurité
Confidentialité
Nous protégeons les données contre l'accès non autorisé et l'utilisation abusive.
Intégrité
Nous protégeons les données contre les modifications non autorisées tout au long de leur cycle de vie.
Disponibilité
Notre service est disponible en temps réel, même pour les votes en direct avec un grand nombre de votants.
Architecture et Infrastructure
Toute notre infrastructure est hébergée par des fournisseurs de cloud certifiés (y compris ISO/IEC 27001, 27017 et 27018) Hetzner, Heroku et Amazon AWS. Pour plus d'informations sur la sécurité de Hetzner, Heroku et Amazon AWS, veuillez consulter leurs aperçus respectifs.
Nous veillons à ce que nos données ne soient traitées et stockées que dans l'UE de manière conforme au RGPD.
Chaque client reçoit de notre part sa propre instance logiquement fermée de NemoVote. Cela signifie que les données d'autres instances ne seront pas stockées avec leurs données.
Nos serveurs web chiffrent les données lors de la transmission vers et depuis NemoVote en utilisant HTTPS.
Toutes les données persistantes sont chiffrées par nous au repos en utilisant la norme de chiffrement AES-256.
Journalisation et surveillance
Toutes les activités (y compris l'accès administratif) sur nos systèmes sont enregistrées et surveillées de manière centralisée.
Nos fichiers journaux sont stockés sous forme chiffrée et ne sont accessibles qu'aux administrateurs.
Nos fichiers journaux sont conservés pour une période maximale de 7 jours.
Les mots de passe de nos clients ainsi que les données personnelles ne sont jamais enregistrés par nous.
Grâce à notre système actif de surveillance et d'alerte, les incidents sont signalés directement à l'administrateur responsable.
Gestion des vulnérabilités
NemoVote maintient des procédures pour atténuer les vulnérabilités de sécurité identifiées et signalées dans un délai défini.
Nous veillons à ce que nos clients et les autorités compétentes soient informés en cas d'incident de sécurité dans les délais de déclaration de 72 heures.
Les incidents de sécurité peuvent être signalés à privacy@nemovote.com
Gestion des changements
NemoVote dispose d'une gestion formelle des changements pour gérer les modifications du logiciel, déployé dans l'environnement de production. Pour des informations plus détaillées sur les changements de NemoVote, veuillez vous référer au journal des modifications de NemoVote.
Nous maintenons un processus de restauration détaillé pour revenir aux versions précédentes du système, en cas d'urgence.
Toutes les modifications sont examinées et testées avant d'être déployées sur les systèmes de production.
Sauvegarder et restaurer
NemoVote crée des sauvegardes à intervalles réguliers en cas de perte de données.
Les sauvegardes sont testées régulièrement par nous et stockées en toute sécurité avec notre fournisseur de services cloud (norme de cryptage minimale AES-256).
NemoVote a les objectifs suivants pour la reprise après sinistre de nos systèmes:
Objectif de temps de récupération (RTO): 60 minutes
Objectif de Point de Récupération (RPO): 15 minutes
Mesures de sécurité
Pour les clients:
Des directives spécifiques en matière de mot de passe s'appliquent à tous nos clients grâce à l'utilisation de systèmes de gestion d'utilisateurs éprouvés.
L'identifiant de l'électeur et le vote exprimé sont stockés indépendamment et ne peuvent pas être liés ultérieurement dans la base de données, garantissant ainsi l'anonymat de l'électeur.
Avant qu’un vote ne soit compté, celui-ci doit être confirmé dans une deuxième étape. Cela empêche le vote d'être exprimé accidentellement. Afin d'éviter que des votes ne soient exprimés sans autorisation, le vote est vérifié pour s'assurer de son autorisation et de sa validité avant d'être compté.
Le serveur d'élection NemoVote veille également à ce qu'un électeur ne puisse voter que pour le nombre de voix qui lui ont été attribuées via les listes électorales. Les résultats sont accessibles et traçables immédiatement après chaque vote pour tous les utilisateurs NemoVote authentifiés et autorisés dans l'application. Cela permet également à l'électeur de vérifier si le vote respectif a été enregistré.
Pour les employés et les administrateurs:
Tous les accès des développeurs NemoVote à nos systèmes sont sécurisés par des mesures d'authentification avancées.
Nous suivons le principe du moindre privilège. Cela signifie que nos employés n'ont accès qu'aux systèmes qui leur sont absolument nécessaires.
Tous nos employés s'engagent à maintenir la confidentialité conformément à l'article 5 (1) f) du Règlement général sur la protection des données.
Les accès attribués aux employés et aux administrateurs sont régulièrement vérifiés pour s'assurer de leur nécessité continue. Lorsqu'un employé quitte l'entreprise, nous suivons un protocole désigné pour terminer tous les accès attribués.
Équipe de sécurité et de protection des données
Nos employés, ainsi que les partenaires externes que nous avons mandatés, peuvent démontrer une expérience pertinente et des certifications reconnues dans l'industrie telles que « Certified Information Systems Security Professional », « Certified Cloud Security Professional » de l'(ISC)², « Data Protection Officer (IHK) » et « Information Security Officer – ISO (TÜV) ».
Données des clients
Nous utilisons Stripe pour le traitement des paiements dans notre boutique en ligne. Dans ce processus, nous ne stockons aucune donnée de paiement, mais les transmettons directement à Stripe.
Les données personnelles et les données des votes seront supprimées de tous nos systèmes (y compris les sauvegardes et les archives) après la résiliation du plan NemoVote correspondant, conformément aux périodes légales de conservation. Pour éviter la suppression de vos données après la résiliation du plan NemoVote, afin que vous ayez toujours accès à vos votes, vous pouvez utiliser nos forfaits de réutilisation des données.
Pour plus d'informations sur la façon dont NemoVote traite vos données, veuillez vous référer à notre politique de confidentialité
Les fonctionnalités et processus de sécurité de NemoVote ont été conçus et mis en œuvre en coopération avec Sedevo et sont régulièrement vérifiés par l'équipe Sedevo.