<aside> 🗣 Classification: PUBLIC Cette page est partagée à l’extérieur avec les clients, prospects et partenaires d’Alan. Version en anglais: Alan Security Statement (EN)

Pour la conformité à DORA, se référer à : La conformité à DORA chez Alan (FR)

</aside>

Nous comprenons que de nombreuses entreprises exigent que leurs départements de sécurité de l'information audite et examine tous les systèmes et logiciels de tiers. Afin de fournir un ensemble de réponses simplifié, voici notre dernière déclaration, régulièrement mise à jour par notre équipe de sécurité.

Membre fait référence aux personnes bénéficiant d'une couverture d'assurance ou utilisant des services de santé fournis par Alan, que ce soit dans le cadre d'un contrat direct avec Alan ou d'un contrat de groupe.

Administrateur de l'entreprise désigne les personnes désignées par les clients professionnels d'Alan pour gérer le contrat du client avec Alan, notamment la gestion de l'inscription des employés.

Utilisateur final fait référence collectivement aux membres et aux administrateurs de l'entreprise. Alan fait référence à la Société, ses filiales, ses employés et ses sous-traitants.

Lorsque de tels transferts sont nécessaires, nous les limitons au strict minimum, et nous nous assurons que des instruments juridiques (tels que des décisions d'adéquation, des clauses contractuelles types ou des règles d'entreprise contraignantes) sont en place pour garantir une protection adéquate des données et des droits des personnes concernées par le destinataire du transfert, conformément à l’article 46 du RGPD. Lorsque c’est nécessaire, nous mettons également en œuvre des mesures complémentaires, en adéquation avec les exigences dégagées par la jurisprudence européenne. | | Où sont situés les collaborateurs d’Alan qui ont accès aux données ? | Les bureaux d'Alan sont exclusivement situés dans l'Union européenne.

Alan permet également à ses employés de travailler à distance, sous réserve de se conformer à sa politique de travail en tout lieu. L'accès à distance à l'espace de travail d'Alan est strictement réglementé afin de garantir que l'accès aux données à distance est correctement sécurisé. Cela inclut l'utilisation d'un VPN pour se connecter aux applications d'Alan et des mesures de sécurité sur les postes de travail, ainsi que le respect de toutes les règles internes énoncées dans notre charte de bon usage.

En outre, les employés d'Alan sont soumis à des engagements contractuels stricts en matière de protection de la vie privée, de confidentialité et de sécurité des informations auxquelles ils ont accès. Ces engagements subsistent après la cessation de leur emploi. | | Transferts de données | | | Comment les données en transit sont-elles chiffrées ? | L’ensemble des transferts de données utilisent des protocoles chiffrés (TLS 1.2 ou supérieur, SSH/SFTP). Nous imposons l’utilisation de protocoles sécurisés (HTTPS, HSTS) pour l’ensemble des services web Alan | | Comment vos flux réseau sont-ils protégés ? | Nos serveurs publics sont protégés par frontaux Cloudflare réalisant les fonctions de pare-feu applicatif (WAF) et d’équilibreurs de charge, ainsi que par des mesures de détection et de blocage d’attaque embarquées (Datadog ASM). Notre infrastructure est déployée sur des réseaux privés virtuels qui ne sont pas directement accessibles depuis l'extérieur. Tout accès aux applications internes et aux ressources depuis l'extérieur du siège social d'Alan doit passer par des connexions VPN chiffrées et authentifiées individuellement. | | Suppression des données | | | Combien de temps conservez-vous les données ? | Les principales périodes de conservation des données relatives à l'assurance sont les suivantes • 2 ans pour les données relatives à l'assurance santé (actes de soins) • 10 ans pour les données relatives à l'assurance prévoyance • 5 ans pour les données administratives (y compris l'affiliation des employés). | | Avez-vous une obligation légale de les conserver pendant une période spécifique ? | Les durées ci-dessus se fondent sur les délais de prescription du contentieux en matière d'assurance et sur les obligations d'Alan (LCB-FT) | | Avez-vous une procédure de suppression/purge des données à l'issue de leur durée de conservation ? | Le cycle de vie des données est automatisé. | | Cookies | | | Votre solution utilise t-elle des cookies ? | Oui, nous utilisons les catégories suivantes: • cookies nécessaires au dispositif d'authentification des utilisateurs (cookie interne) • cookies nécessaires au service de chat en ligne du support client (cookie interne pour la fenêtre popup Intercom) • cookies de mesure d'audience (cookie interne) • cookies de mesure d'efficacité de publicité ciblée (exclusivement sur les parties publiques du site web Alan, jamais sur les pages à accès authentifié) | | Avez-vous une Politique de Gestion des Cookies ? | Notre politique de gestion de cookies est incorporée à notre politique de confidentialité | | Offrez-vous aux utilisateurs la possibilité de refuser tous les cookies ? | Oui, une bannière pour gérer les cookies est affichée dès le premier écran de connexion à cet effet. | | Partage de plateforme | | | L’application d’Alan est-elle partagée entre les clients (multi-tenant) ? | Oui, et nous mettons en œuvre une séparation logique des données au sein de la plateforme. | | Continuité d’activité | | | Disposez-vous d’un plan de continuité d’activité ? | Oui, nous avons établi une politique de sécurité et de continuité d’activité, et défini un plan de continuité d’activité qui fixe les mesures permettant de pallier tous les risques qui pèsent sur la continuité de notre activité. | | À quelle fréquence effectuez-vous des sauvegardes ? | Nos systèmes de production sont sauvegardés quotidiennement. | | Comment vous protégez-vous contre la perte accidentelle de données ? | Nos données de production et de sauvegardes sont répliquées sur plusieurs centres de données dans la région AWS de Francfort (zones de disponibilité de la région AWS Francfort). Par ailleurs, une copie supplémentaire de nos sauvegardes est stockée dans la région AWS de Paris. | | Comment vous protégez-vous contre la perte accidentelle de votre infrastructure ? | Nous privilégions une approche préventive qui repose sur le choix de fournisseurs de services cloud disposant d’une infrastructure redondante et résiliente, et d’une expérience de terrain éprouvée en matière de robustesse et de disponibilité. Nous ne stockons aucune donnée dans nos propres locaux. Nous mettons en œuvre l’approche Infrastructure as Code, ce qui signifie que l’ensemble de la configuration de notre infrastructure est gérée sous forme de code et peut être redéployée à tout moment. | | Comment faites-vous face en cas d’impossibilité de travailler en présentiel ? | Nous sommes préparés à fonctionner en totalité en télétravail, sans aucun impact sur l’activité. Chaque collaborateur dispose d’un ordinateur portable et d’un accès VPN sécurisé. | | Comment faites-vous face au risque d’indisponibilité d’une personne clé ? | Notre culture d’entreprise privilégie la transparence radicale et l’utilisation de l’écrit. Toutes les connaissances et données nécessaires aux prises de décision et aux opérations est numérisée et disponible pour l’ensemble des parties prenantes ayant besoin d’en connaître. | | Gestion des identités et des accès | | | Utilisateurs finaux | | | Comment les utilisateurs finaux s’authentifient-ils ? | Nous utilisons l’authentification par login (adresse email) et mot de passe. Nous imposons une longueur minimale (16 caractères) et une complexité suffisante (score zxcvbn et 2 catégories différentes de caractères). Nous imposons une temporisation exponentielles sur les requêtes d’authentification pour prévenir les attaques par force brute ou par énumération. | | Comment stockez-vous les mots de passe des utilisateurs finaux ? | Nous utilisons un stockage conforme aux bonnes pratiques : les mots de passe sont hachés au moyen de la fonction bcrypt avec salage à usage unique et un facteur de coût de 12 (4096 itérations). | | Les utilisateurs finaux peuvent-ils utiliser l’authentification multi-facteurs ? | Oui, les utilisateurs finaux peuvent activer l’authentification multi-facteurs sur leur compte Alan. Le second facteur est une notification dans l’app mobile, ou en secours un code éphémère envoyé par email. | | De quelles habilitations disposent les utilisateurs finaux ? | Les membres peuvent accéder aux données de leur contrat (ensemble des bénéficiaires). Les administrateurs d’entreprises peuvent accéder aux données nécessaires à leurs tâches administratives, en fonction des habilitations données par l’administrateur principale de leur entreprise. | | Les utilisateurs finaux peuvent-il s’authentifier via un fournisseur d’identité externe (SSO, social login) ? | Pas actuellement. | | Collaborateurs Alan | | | Comment les collaborateurs Alan s’authentifient-ils ? | Nous utilisons un service d’identité centralisé (SSO) pour l’accès aux systèmes Alan et aux outils tiers. Notre fournisseur d’identité impose une longueur (15 caractères) et une complexité minimales pour les mots de passe. | | Comment stockez-vous les mots de passe des collaborateurs Alan ? | Ces mots de passe sont stockés uniquement par notre fournisseur d’identité (Google). Ils ne sont jamais manipulé sur les systèmes d’Alan. Chaque employé dispose d’un gestionnaire de mots de passe sécurisé pour le stockage de ses identifiants. | | Les collaborateurs Alan peuvent-ils utiliser l’authentification multi-facteurs ? | L’authentification multi-facteurs est obligatoire sur le SSO ainsi que sur tous les outils tiers qui le permettent. | | De quelles habilitations disposent les collaborateurs Alan ? | Les habilitations sont attribuées selon les nécessités de chaque poste suivant les principes de besoin d’en connaître et de moindre privilège. Elles sont révisées en fonction de l’évolution de chaque collaborateur. Une revue systématique est effectuée deux fois par an. | | Traçabilité et imputabilité | | | Pistes d’audit | | | Les changements de données font-ils l’objet d’une piste d’audit ? | Oui, tous les changements de données génèrent un historique comprenant notamment l’identification de l’auteur du changement. | | Existe-t-il une piste d’audit des accès en lecture ? | Les accès aux données des membres à travers notre application métier génèrent un historique horodaté. | | Journaux | | | L’activité des utilisateurs est-elle enregistrée dans des journaux ? | Oui, en particulier, les opérations de connexion, de déconnexion, les échecs d’authentification et les changements de mots de passe sont journalisés. | | Les accès aux bases de données sont-ils enregistrés dans des journaux ? | Oui, l’ensemble des requêtes en base de données sont journalisées. | | Les journaux sont-ils protégés contre les altérations ? | Oui, nos systèmes de gestion des journaux (AWS Cloudwatch et Datadog) ne permettent aucune modification des journaux. | | Gestion de l’application | | | Architecture applicative | | | Mettez-vous en place une architecture multi-niveaux pour protéger les composants essentiels de l'entreprise ? | Oui : • nous utilisons des frontaux Cloudflare nous protéger contre les attaques par déni de service et les requêtes mal formées ou hostiles (WAF) • notre back-office est déployé dans un réseau privé virtuel AWS, avec des adresse IP privées et sans accès direct depuis Internet • notre base de données de production est également dans un réseau AWS VPC séparé. | | Gestion des changements | | | Avez-vous un process documenté de gestion des changements ? | Oui | | Comment sont développées vos applications ? | L’ensemble des applications et des outils métier d’Alan sont développés et maintenus en interne. | | À quelle fréquence déployez-vous de nouvelles versions en production ? | Plusieurs fois par jours. | | Quels contrôles sont effectués avant la mise en production d’une nouvelle version ? | • Vérification automatisée pour les erreurs courantes et les vulnérabilités de sécurité • Suite de tests automatisés (tests unitaires - tests de régression) • Revue par les pairs et approbation | | Avez-vous des environnements séparés pour le développement et pour les tests ? | Oui, chaque développeur dispose d’un environnement isolé, et nous avons un environnement de recette pour les tests d’intégration. Les environnements de développement utilisent soit des données fictives, soit des données issues de l’environnement de production après anonymisation.

Les bases de données contenant des données de production anonymisées sont hébergées au sein de notre infrastructure cloud et bénéficient de la même protection que les données d’origine. | | Vulnérabilités et événements de sécurité | | | Réponse à incident | | | Avez-vous défini formellement un plan de réponse à incident? | Oui, les activités suivantes liés au traitement des incidents sont formellement documentés : • Préparation : les rôles et responsabilités sont clairement définis, les premiers intervenants sont formés et identifiés • Pendant les incidents : une procédure bien définie est suivie pour atténuer l'impact de l'incident, reprendre les opérations normales et communiquer avec toutes les parties prenantes • Après l'incident : une analyse post-mortem est systématiquement réalisée pour chaque incident. | | Notifiez-vous des tiers lors d’incidents ? | Nous notifions les incidents affectant les données personnelles à la CNIL et aux personnes concernées conformément aux exigences du RGPD. Nous informons également les parties prenantes externes (clients, partenaires) des incidents de sécurité qui les impactent spécifiquement. | | Tenez-vous un registre des incidents liés à la sécurité et aux données personnelles ? | Oui, nous conservons un enregistrement de chaque incident de production, incident de sécurité ou violation de données personnelles. Ces enregistrements comprennent : • la chronologie de l'incident • l'étendue de l'incident (systèmes, enregistrements et personnes impactés) • les actions immédiates entreprises pour atténuer l'incident • les actions correctives à court et à long terme identifiées comme nécessaires pour éviter toute récurrence • la communication aux parties prenantes concernées, y compris la notification aux autorités de réglementation • l'analyse des causes racines et les enseignements clés tirés de l’incident. | | Comment traitez-vous les violations de données personnelles ? | Tout incident affectant des données personnelles est immédiatement signalé à l'équipe du DPD (Délégué à la Protection des Données). L'étendue de la violation est évaluée (nature des données compromises, nombre d'enregistrements et de personnes impactées, nature de l'atteinte) et des notifications réglementaires à la CNIL (Commission nationale de l'informatique et des libertés) en tant qu'autorité de contrôle principale et/ou aux personnes concernées sont effectuées si nécessaire. Des traces spécifiques sont conservées de l'évaluation et des notifications effectuées, en plus des enregistrements généraux de suivi des incidents. | | Vulnérabilités | | | Avez-vous un programme de primes pour le signalement de vulnérabilités (bug bounty) ? | Pas actuellement. Cependant, nous acceptons volontiers les rapports des chercheurs en sécurité indépendants, et nous les récompensons à notre discrétion lorsqu'ils nous alertent sur des problèmes que nous estimons représenter un risque significatif et dont nous n’avions pas connaissance. | | Vos applications sont-elles analysées par un tiers qualifier pour rechercher et identifier des vulnérabilités ? | Oui, nous commanditons des tests de pénétration chaque année, et nous pouvons partager un résumé de la dernière campagne. | | Comment appliquez-vous les correctifs de sécurité critiques sur vos applications et leur environnement d’exécution ? | Nous redéployons nos applications plusieurs fois par jour à partir des images de base les plus récentes de notre fournisseur de plateforme, de sorte que les mesures de sécurité amont sont toujours déployées sans délai. Les changements de code internes liés à la sécurité sont priorisées grâce à notre système de gestion des problèmes et d'intégration continue. Les vulnérabilités évaluées par Alan doivent être corrigées ou remédiées dans les délais suivants : • Urgente: 2 jours ouvrés • Haute: 1 semaine • Moyenne: 6 semaines • Faible: 6 mois | | Détection et blocage d’attaques | | | Votre infrastructure applicative est-elle protégée contre les dénis de service ? | Oui, nous utilisons des frontaux Cloudflare pour détecter et bloquer les attaques en déni de service et équilibrer la charge entre nos serveurs. Nous mettons également en œuvre des mesures de temporisation sur certains points d’accès critiques de l’application. | | Votre infrastructure est-elle protégée par un pare-feu applicatif (WAF) ? | Oui (Cloudflare WAF). En outre, toutes les requêtes sont filtrées par la protection embarquée Datadog ASM. Ce composant intégré à l'application détecte et bloque les attaques telles que les tentatives d'injection, les comportements d’authentification anormaux ou malveillants, et bloque automatiquement les adresses IP sources d’attaques. | | Ressources humaines et environnement de travail | | | Recrutement | | | Vérifiez-vous les antécédents des collaborateurs ? | Oui, nous procédons à des vérifications du casier judiciaire lorsque la loi le permet. Nous demandons également des documents relatifs à l'identité, aux qualifications (diplômes) et au droit de travailler, ainsi que des références d'anciens employeurs. | | Disposez-vous d'un programme de sensibilisation à la sécurité de l'information ? | Oui : au cours de leur processus d'intégration, tous les nouveaux collaborateurs reçoivent une formation sur la sécurité et la protection de la vie privée. La sensibilisation se poursuit au long cours sous forme de messages, de rappels et de formations de recyclages interactives en ligne. Nous organisons en permanence des opérations de sensibilisation à l'hameçonnage basées sur des simulations. Nous partageons les principales conclusions des audits de sécurité avec l'ensemble de l'équipe. | | Vos employés sont-ils soumis à des obligations en matière de sécurité et de protection de la vie privée ? | Oui, nos employés et nos opérateurs en sous-traitance sont contractuellement liés par des clauses de confidentialité et par notre charte de bon usage des systèmes d'information. | | Environnement de travail | | | Les stations de travail des utilisateurs finaux sont-elles contrôlées par l’entreprise ? | Oui, toutes les stations de travail sont contrôlées par MDM (Kandji). | | Les mises à jour de sécurité sont-elles appliquées ? | Oui, les mises à jour du système d’exploitation et des applications sont appliquées automatiquement sous le contrôle du MDM. | | Les stations de travail sont-elles chiffrées ? | Oui, le chiffrement de l’ensemble des données stockées est imposé sous le contrôle du MDM. | | L’accès aux sessions des utilisateurs est-il protégé ? | Oui, les comptes utilisateurs doivent utiliser un mot de passe robuste ou une authentification biométrique, et les sessions doivent être verrouillées chaque fois que le poste de travail n'est pas surveillé. Ces mesures sont appliquées de manière obligatoire par le MDM. | | Gestion des fournisseurs | | | Relations avec les fournisseurs | | | Les contrats avec vos fournisseurs incluent-ils des clauses relatives à la sécurité ? | Oui, nous examinons la position et les pratiques de nos fournisseurs en matière de sécurité pour nous assurer qu'elles sont adéquates au regard de la criticité du service fourni et de la sensibilité des données que nous partageons avec eux. Nous incluons des clauses de sécurité dans les contrats en fonction de cette évaluation. | | Dépendances logicielles | | | Traitez-vous les vulnérabilités des composants logiciels sur étagère utilisés dans vos applications ? | Oui, nous disposons d'alertes et de mesures correctives automatisées pour les vulnérabilités identifiées dans nos dépendances logicielles libres. | | Protection de la vie privée et RGPD | | | Qualification des acteurs | | | Quel rôle endosse Alan en matière de traitement de données personnelles? | Alan agit en tant que responsable de traitement indépendant pour la plupart de ses activités, y compris la fourniture de ses services d'assurance. Alan détermine elle-même le moyens et les finalités des activités de traitement à effectuer. Ceux-ci sont couverts par notre politique de confidentialité, disponible à l'adresse https://alan.com/privacy, et référencée dans la clause "Données personnelles", de nos conditions générales.

Toutefois, Alan agit en tant que sous-traitant, traitant des données personnelles pour le compte du client, dans le cadre spécifique et restreint de l'affiliation des employés, où le client transmet à Alan les données relatives aux employés qu'il souhaite inviter, et où Alan transmet au client les informations nécessaires à l’établissement de la paie. Ces activités de traitement limitées sont couvertes par contrat sur la protection des données (DPA) annexé à nos conditions générales sous le titre "Contrat de traitement de données personnelles". | | Principes de protection de la vie privée | |