Cette annexe complète le résumé Sécurité et confiance. Elle décrit les contrôles techniques avec plus de précision, sans remplacer les engagements contractuels du DPA.
Architecture d’hébergement
Les données durables sont séparées selon leur fonction :
- Supabase, dans la région canadienne du projet de production, conserve les comptes administrateurs, les invitations, les permissions, les campagnes, les résultats calculés, certaines données analytiques dérivées et les journaux d’audit consolidés;
- AWS S3, dans la région Canada Central (
ca-central-1), conserve les objets bruts des réponses anonymes; - Railway met en ligne le site, les applications, le portail répondant et les services de traitement. Railway exécute les requêtes, mais ne sert ni de base de données produit ni d’entrepôt durable des réponses.
Les services exécutés sur Railway ne conservent pas de données. Ni les réponses, ni les commentaires ouverts, ni les listes d’invitation, ni l’identité des employés répondants, ni les résultats de l’organisation ne sont maintenus sur les serveurs Railway.
Les réponses textuelles aux questions ouvertes des sondages ne sont transmises ni à OpenAI ni à aucun autre fournisseur de grands modèles de langage. Une fonction conversationnelle ou d’assistance distincte peut utiliser Vercel AI Gateway et OpenAI avec le seul contenu nécessaire à cette fonction.
Réponses anonymes
Le fichier d’une réponse soumise ne contient ni nom, ni adresse courriel, ni identifiant de répondant, d’invitation ou de session, ni date de soumission. Aucune table de correspondance ne permet de rattacher directement cette réponse à une personne.
Un texte libre ou un contexte organisationnel très particulier peut parfois suggérer une origine par recoupement. Kyogo ne conserve toutefois aucune association technique permettant de confirmer cette attribution.
Les résultats sont agrégés et les groupes trop restreints sont masqués selon les règles d’anonymat applicables avant la restitution.
Séparation des organisations et contrôle des accès
Les comptes, permissions et données sont séparés organisation par organisation. Les contrôles comprennent notamment :
- la validation de l’organisation, de l’utilisateur et de ses permissions avant chaque lecture ou commande protégée;
- des cookies de sécurité signés,
HttpOnlyet limités au contexte d’accès; - le chiffrement des communications et du stockage;
- la limitation progressive des abus et des requêtes anormales;
- la minimisation des données envoyées aux outils d’observabilité;
- des sauvegardes, des mécanismes de reprise et des règles de rétention;
- la séparation des preuves d’audit, de la télémétrie et des signaux de sécurité.
Portail de protection des données
Chaque invitation donne accès au portail de protection des employés. Une personne peut demander l’accès aux renseignements connus à partir de son courriel, consulter les données attribuables disponibles par organisation, gérer son consentement aux courriels et déposer une demande de suppression.
La demande initiale reçoit toujours la même confirmation, que l’adresse soit connue ou non. Cette réponse uniforme empêche l’énumération des adresses présentes dans le système. L’accès se poursuit uniquement au moyen d’un lien signé envoyé par courriel, puis d’une session dédiée protégée.
Une réponse anonyme soumise ne peut pas être affichée, rectifiée ou supprimée individuellement, car Kyogo ne conserve aucun lien permettant de l’attribuer à une personne.
Audit des accès
Kyogo dispose d’un système d’audit des accès administratifs permettant de savoir quel utilisateur a accédé à quel type d’espace sensible, pour quelle organisation et à quel moment. Ces traces ne contiennent ni réponses, ni commentaires, ni contenu consulté.
Démarche SOC 2
Kyogo ne détient actuellement aucun rapport SOC 2 et ne se présente pas comme certifié SOC 2.
L’objectif est d’aligner progressivement les contrôles sur les critères de services de confiance de l’AICPA et de préparer une éventuelle vérification SOC 2 Type I. Un rapport Type I évalue, à une date donnée, la description du système et la conception des contrôles applicables. Un rapport Type II évalue en plus leur efficacité opérationnelle pendant une période déterminée.
Le contrôle des accès, la séparation des clients, la traçabilité minimale, la conservation, la gestion des incidents, la reprise, la supervision des fournisseurs et la protection des droits des personnes font partie des travaux engagés. La définition formelle du périmètre, la collecte complète des preuves, les politiques opérationnelles et l’examen par un auditeur indépendant restent nécessaires avant de pouvoir revendiquer un rapport.
Pour le cadre de référence, consultez la présentation des rapports SOC pour les organisations de services de l’AICPA.
Contact de sécurité
Pour signaler une vulnérabilité, demander le questionnaire de sécurité ou poser une question, écrivez à confidentialite@kyogo.ca. N’incluez aucun secret, mot de passe, jeton d’accès ou contenu de réponse dans le premier message.