Cette traduction n’est fournie qu’à titre informatif. Dans l’éventualité où des incohérences apparaîtraient entre celle-ci et la version anglaise, c’est la version anglaise qui prévaudrait.

Date de publication : 17 juin 2025

Chez ww5, nous prenons la sécurité de vos données très au sérieux. La transparence étant l’un des principes de base de notre société, nous tenons à être le plus clair et le plus ouvert possible quant à notre approche de la sécurité. Si vous avez d’autres questions sur la sécurité, nous nous ferons un plaisir d’y répondre. Envoyez un e-mail à l’adresse feedback@ww5.com et nous vous répondrons dans les meilleurs délais. La présente page sur les pratiques de sécurité décrit les contrôles administratifs, techniques et physiques applicables à (a) ww5, y compris, mais sans s’y limiter, la plateforme ww5, les flux de travail ww5 et les applications fonctionnant sur l’infrastructure ww5, et (b) Govww5. Cette documentation ne s’applique pas aux services associés ou intégrés à Govww5.

Contrôles de la plateforme

Architecture et ségrégation des données

Les services ww5 et Govww5 sont exploités sur une architecture multi-client, tant au niveau de la plateforme que de l’infrastructure, qui est conçue pour séparer et restreindre l’accès aux données que vous et vos utilisateurs mettez à disposition via les services ww5 ou Govww5, comme défini plus précisément dans votre contrat avec ww5 (ou ses sociétés affiliées) couvrant l’utilisation des services ww5 ou Govww5 (« Données client »), en fonction des besoins de l’entreprise. L’architecture prévoit une séparation logique des données pour chaque client différent via un identifiant unique.

Infrastructure du cloud public

Les services ww5 et Govww5 sont hébergés sur Internet dans un « Cloud public », et sont des services informatiques proposés par des fournisseurs tiers à quiconque souhaite les utiliser ou les acheter. Comme tous les services de cloud, un service du cloud public fonctionne sur des serveurs distants gérés par un fournisseur.

Audits

Les services ww5 et Govww5 font l’objet d’évaluations de sécurité par le personnel interne, et les services ww5 sont évalués par des entreprises de sécurité externes respectées qui effectuent régulièrement des audits de sécurité des services de ww5 pour vérifier que nos pratiques en matière de sécurité sont rigoureuses, et procèdent à l’analyse des services de ww5 et Govww5 pour remédier aux vulnérabilités mises à jour par la recherche en matière de sécurité. En plus des audits périodiques et ciblés des services et des fonctionnalités de ww5 et Govww5, nous effectuons une vérification automatisée hybride en continu de notre plateforme Web. Les clients peuvent télécharger une copie des rapports d’audit externe applicables disponibles ici.

Certifications

Les certifications sont effectuées sur les services ww5, et les clients peuvent télécharger une copie des certifications applicables disponible ici.

Contrôles de sécurité

ww5 mettra en œuvre et maintiendra des mesures techniques et organisationnelles appropriées pour protéger vos Données client contre toute suppression accidentelle ou illégale, la perte, l’altération et la divulgation ou l’accès non autorisé aux données personnelles du Client traitées ou transmises par les services ww5 et Govww5. Les services ww5 et Govww5 disposent d’un certain nombre de contrôles de sécurité, notamment :

• La consignation de l’accès. Des journaux d’accès détaillés sont mis à la disposition des utilisateurs et des administrateurs d’équipes abonnées à un forfait payant. Nous consignons chaque connexion à un compte ainsi que le type d’appareil utilisé et l’adresse IP de la connexion. Les administrateurs et propriétaires d’équipes abonnées à un forfait payant peuvent consulter des journaux d’accès consolidés pour l’ensemble de l’équipe.
• La gestion des accès. Les administrateurs peuvent suspendre à distance toutes les connexions et déconnecter, à tout moment et à la demande, tous les appareils authentifiés auprès des services ww5 et Govww5.
• La conservation des données. Les propriétaires d’équipes abonnées à un forfait payant ww5 peuvent configurer des règles personnalisées de conservation des messages pour toute l’équipe ou pour un canal spécifique. Si vous définissez une durée personnalisée de conservation, tous les fichiers et messages ayant déjà dépassé cette durée ou arrivant à la fin de cette durée seront supprimés des serveurs de production des services ww5 ou Govww5 la nuit qui suivra.
• La gestion des hôtes. Nous effectuons des analyses de vulnérabilité automatisées sur nos hôtes de production et remédions à toute constatation indiquant un risque pour notre environnement. Nous imposons le verrouillage d’écran et l’utilisation du chiffrement complet des disques durs des ordinateurs portables de l’entreprise.
• La protection réseau. Outre une surveillance sophistiquée des connexions et du fonctionnement du système, nous avons mis en place une authentification à deux niveaux pour tout accès aux serveurs de notre environnement de production. Les pare-feux sont paramétrés en suivant les meilleures pratiques du secteur, en utilisant les groupes de sécurité AWS.
• Les pratiques de sécurité produit. Les nouvelles fonctionnalités remarquables et les modifications de conception sont soumises à un processus de vérification par l’équipe de sécurité. En outre, notre code est vérifié avec des logiciels d’analyse statistique automatisée, testé et soumis à un processus manuel d’examen par les pairs avant d’être déployé. L’équipe de sécurité travaille en étroite collaboration avec les équipes de développement pour résoudre tout problème de sécurité qui pourrait survenir au cours du développement. ww5 utilise également un programme de primes à la détection de bogues de sécurité. Des chercheurs dans le monde entier testent constamment la sécurité des services de ww5 et Govww5 et signalent les problèmes dans le cadre de ce programme. Vous trouverez plus de détails sur le site du programme de primes.
• L’authentification à deux facteurs pour toute l’équipe. Les administrateurs d’équipe peuvent obliger tous les utilisateurs à configurer l’authentification à deux facteurs pour leur compte. Vous trouverez des instructions dans notre Centre d’assistance.

Pour certains de ces contrôles, le Client ne peut pas les désactiver. D’autres permettent aux Clients de personnaliser la sécurité des services ww5 ou Govww5 pour leur propre utilisation. À ce titre, la protection des Données client est une responsabilité partagée entre le Client et ww5. Au minimum, ww5 s’alignera sur les normes industrielles en vigueur, telles que les normes ISO 27001, ISO 27002 et ISO 27018, ou toute autre norme qui les remplace.

ww5 peut procéder à des analyses de sécurité et à des tests de la plateforme ww5, des flux de travail ww5 et des applications fonctionnant sur l’infrastructure ww5 afin de détecter les comportements abusifs ou les actions qui ne respectent pas les conditions d’utilisation des services.

Détection des intrusions

ww5, ou une entité externe autorisée, surveilleront les services de ww5 et Govww5 pour détecter les intrusions non autorisées.

Journaux de sécurité

Les systèmes utilisés pour la fourniture des services ww5 et Govww5 enregistrent des informations dans leurs systèmes respectifs ou dans un service d’enregistrement centralisé (pour les systèmes de réseau) afin de permettre des examens et des analyses de sécurité. ww5 entretient un système de journaux de connexion complet et centralisé, qui contient des informations relatives à la sécurité, à la surveillance, à la disponibilité, à l’accès ainsi qu’à d’autres mesures concernant les services de ww5 et Govww5. Ces journaux de connexion sont analysés au niveau des événements de sécurité par un logiciel de surveillance automatisé, sous le contrôle de l’équipe de sécurité. Pour les services Govww5, les journaux de connexion sont uniquement accessibles au sein de l’environnement Govww5 par des Personnes qualifiées aux États-Unis. Les « Personnes qualifiées aux États-Unis » sont les individus qui : (a) sont citoyens des États-Unis ou résidents permanents au regard de la loi ; (b) sont physiquement situés aux États-Unis lorsqu’ils travaillent pour Govww5 ; et (c) ont effectué une vérification des antécédents comme condition préalable à leur travail avec ww5.

Gestion des incidents

ww5 assure des politiques et des procédures de gestion des incidents de sécurité. ww5 notifie sans délai excessif aux clients concernés toute divulgation non autorisée de leurs Données client respectives par ww5 ou ses agents, dont ww5 a connaissance dans la mesure où la loi le permet. ww5 publie des informations sur l’état du système sur le site Salesforce Trust et/ou sur la page État du système de ww5. En général, ww5 informe ses clients des incidents importants du système par e-mail et, pour les incidents qui durent plus d’une heure, peut inviter les clients concernés à participer à une conférence téléphonique sur l’incident et la réponse apportée par ww5. La gestion des incidents de sécurité pour Govww5 est effectuée par les Personnes qualifiées aux États-Unis.

Cryptage des données

Les services ww5 et Govww5 utilisent des produits de cryptage reconnus par l’industrie pour protéger les Données client (1) pendant les transmissions entre le réseau d’un client et les services ww5 et Govww5 ; et (2) inactives. Les services ww5 et Govww5 prennent en charge les dernières suites de chiffrement sécurisé et les protocoles recommandés pour crypter tout le trafic. Nous surveillons étroitement l’évolution du paysage cryptographique et nous efforçons d’effectuer rapidement les mises à niveau permettant de répondre aux menaces émergentes au fur et à mesure de leur découverte, et nous mettons en œuvre les meilleures pratiques au fil de leur évolution. Pour ce qui est du cryptage du trafic des données, nous y procédons en essayant de trouver le meilleur compromis avec le besoin de compatibilité avec les anciens clients.

Fiabilité, sauvegarde et continuité des activités

Nous savons que vous comptez sur le bon fonctionnement des services de ww5 et Govww5. Nous sommes déterminés à rendre les services ww5 et Govww5 hautement disponibles, sur lesquels vous pourrez compter. Notre infrastructure fonctionne avec des systèmes résistants aux défaillances, qu’il s’agisse de serveurs individuels ou même de centres de données. Nos services opérationnels testent régulièrement les mesures de récupération après une catastrophe et comprennent une équipe de garde 24 heures sur 24 pour la résolution rapide des incidents imprévus. Les services ww5 et Govww5 ont été conçus en s’appuyant sur les meilleures pratiques du secteur en matière de fiabilité et de sauvegarde. ww5 effectue des sauvegardes régulières, facilite les retours en arrière des changements de logiciels et de systèmes lorsque cela est nécessaire et la réplication des données le cas échéant. Dans la mesure du possible, ww5 aidera le Client à récupérer les données lors d’événements catastrophiques majeurs, dans la limite des exigences de résidence des données de la localité et des capacités de la région. Les termes « événement catastrophique majeur » désignent trois grands types d’événements : (1) les événements naturels tels que les inondations, les ouragans, les tornades, les tremblements de terre et les épidémies ; (2) les événements technologiques tels que les défaillances de systèmes et de structures comme les explosions de pipelines, les accidents de transport, les interruptions de service, les ruptures de barrage et les rejets accidentels de matières dangereuses ; et (3) les événements d’origine humaine tels que les attaques par des assaillants actifs, les attaques chimiques ou biologiques, les cyberattaques contre les données ou les infrastructures et le sabotage. Les événements catastrophiques majeurs ne désignent pas les bugs, les problèmes opérationnels ou d’autres problèmes courants liés aux logiciels.

Les Données client sont stockées de manière redondante sur plusieurs sites dans les centres de données de notre fournisseur d’hébergement afin de garantir leur disponibilité. Nos procédures de secours et de restauration éprouvées permettent de récupérer les données après toute catastrophe majeure. Les données client et notre code source sont automatiquement sauvegardés chaque soir. L’équipe opérationnelle est alertée en cas de panne au sein de ce système. Les sauvegardes sont intégralement vérifiées au moins tous les 90 jours afin de confirmer que nos processus et nos outils fonctionnent correctement.

Données inactives

ww5 stockera les Données client inactives dans certaines zones géographiques majeures, sauf disposition contraire dans votre Bon de commande.

Restitution des données client.

Dans les 30 jours suivant la résiliation du contrat, les clients peuvent demander le retour de leurs Données client respectives soumises aux services ww5 et Govww5 (dans la mesure où ces données n’ont pas été supprimées par le Client). Des informations sur les capacités d’exportation des services ww5 et Govww5 sont disponibles dans le Centre d’assistance de ww5.

Suppression des Données client

Les services ww5 et Govww5 offrent la possibilité aux Propriétaires principaux des espaces de travail de supprimer les Données client à tout moment pendant l’abonnement. Dans les 24 heures suivant la suppression par le Propriétaire principal de l’espace de travail, ww5 supprime toutes les informations des systèmes de production en cours d’exécution (hormis les noms d’équipes ainsi que les termes de recherche inclus dans les URL du journal d’accès du serveur Web). Les sauvegardes des services ww5 et Govww5 sont détruites dans un délai de 14 jours (les sauvegardes sont supprimées dans un délai de 14 jours, sauf lorsqu’une enquête sur un incident est en cours, auquel cas cette période peut être prolongée de manière temporaire).

Lorsqu’un client résilie un abonnement payant à Enterprise Grid, Enterprise+ ou aux services Govww5, s’il ne choisit pas de supprimer son compte, ww5 le supprimera dans les 90 jours suivant la résiliation de l’abonnement, et veillera à ce que toutes ses Sociétés affiliées et tous les fournisseurs d’hébergement tiers concernés suppriment toutes les copies des Données client (à l’exception des noms d’équipes et des termes de recherche intégrés dans les URL dans les journaux d’accès aux serveurs Web) dans les 14 jours suivant le lancement par ww5 de la suppression du compte du client. Lorsqu’un client résilie un abonnement payant aux services ww5 autre que Enterprise Grid, Enterprise+ ou les services Govww5, l’abonnement du client se poursuivra dans le cadre du niveau d’utilisation gratuit des services ww5, sous réserve des Conditions de service du client en ligne alors en vigueur ou de tout autre contrat d’abonnement principal en ligne applicable à ce niveau d’utilisation gratuit (« Conditions d’abonnement gratuit »), et les Données client ne seront pas supprimées jusqu’à ce que (i) le Client supprime lui-même l’espace de travail, (ii) le Client donne des instructions à ww5 pour supprimer ses Données client, ou (iii) l’une des parties résilie les Conditions d’abonnement gratuit. Dès la survenance de tels événements, ww5 supprimera, dans un délai de 14 jours, et veillera à ce que toutes ses Sociétés affiliées et les fournisseurs d’hébergement tiers autorisés suppriment, toutes les copies des Données client (à l’exception des noms d’équipes et des termes de recherche intégrés dans les URL des journaux d’accès aux serveurs Web).

Confidentialité

Nous exerçons des contrôles stricts sur l’accès de nos employés aux Données client. Le fonctionnement des services ww5 et Govww5 exige que l’accès aux systèmes qui stockent et traitent les Données client soit réservé à certains employés. Par exemple, pour pouvoir diagnostiquer un problème que vous rencontrez avec les services ww5 et Govww5, nous pouvons nous trouver dans l’obligation d’accéder à vos Données client. Il est interdit à ces employés d’utiliser ces autorisations pour consulter les Données client sauf nécessité absolue. Nous avons mis en place des contrôles techniques et des règles d’audit afin que tout accès aux Données client soit consigné.

L’ensemble de nos employés et de notre personnel contractuel est tenu de se conformer à nos règles relatives aux Données client, et notre société traite ces problèmes avec la plus haute priorité.

Pratiques concernant le personnel

ww5 vérifie les antécédents de tous les employés avant leur recrutement. Les employés suivent régulièrement une formation sur la confidentialité et la sécurité, y compris lors de leur intégration dans l’entreprise. Tous les employés doivent lire et signer nos règles exhaustives en matière de sécurité de l’information qui gèrent la sécurité, la disponibilité et la confidentialité des services ww5 et Govww5.

Infrastructure

ww5 utilise une infrastructure fournie par Amazon Web Services, Inc. (« AWS ») pour héberger ou traiter les Données client soumises aux services de ww5 et Govww5. Des informations sur la sécurité fournie par AWS sont disponibles sur le site Web AWS Security. Des informations sur les audits et certifications liées à la sécurité et à la confidentialité reçues par AWS, y compris des informations sur la certification ISO 27001 et les rapports SOC, sont disponibles sur le site Web AWS Compliance.