- Authentification unique SAML 2.0
- Connexion avec Google et Microsoft
- Hachage bcrypt, politique de mot de passe stricte
- Verrouillage par compte et par IP
- Déconnexion de partout
Centre de sécurité Mentornity
Les données de votre programme, protégées à chaque niveau.
Mentornity fait tourner des programmes de mentorat et de coaching pour des entreprises, des universités, des accélérateurs et des communautés. Voici comment nous protégeons les personnes qui y participent : où se trouvent les données, qui peut y accéder, comment elles sont chiffrées, supervisées et restaurées, et la politique derrière chaque contrôle.
- 3zones de disponibilité pour la base de données
- 24/7surveillance externe de disponibilité
- 30 joursde conservation centrale des journaux
- 7 joursd’historique d’instantanés chiffrés
- AES-256chiffrement des disques, instantanés et sauvegardes
- 15politiques de sécurité publiées
Architecture
Une région, un réseau privé, des couches de la périphérie vers le cœur.
Chaque requête atteint Mentornity via Cloudflare et une couche de périphérie durcie qui termine le TLS. L’application et la base de données se trouvent derrière, dans un réseau privé à Francfort, et la base de données est répliquée sur trois zones de disponibilité.
Défense en profondeur
Quatre couches, chacune solide par elle-même.
- RéseauCloudflare en façade, une couche de périphérie durcie, un VPC privé avec des groupes de sécurité en refus par défaut. La base de données n’est jamais accessible depuis Internet.
- IdentitéSSO SAML, connexion avec Google et Microsoft, mots de passe bcrypt avec une politique stricte, verrouillage après des échecs répétés et révocation de toutes les sessions à la demande.
- ApplicationAutorisation côté serveur à chaque requête, isolation par programme, visibilité champ par champ des réponses des membres, texte enrichi assaini et Content Security Policy à base de nonce.
- DonnéesDisques, instantanés et sauvegardes chiffrés, secrets dans un magasin de paramètres chiffré, réplication sur trois zones et journaux qui ne contiennent jamais de mots de passe ni de jetons.
Résilience
Une journée de protection, chaque jour.
Les données sont répliquées en continu, écrites chaque nuit dans une sauvegarde hors serveur et capturées en instantané chaque matin, tandis qu’une sonde externe vérifie le service jour et nuit.
0donnée perdue si un nœud de base de données tombe : la réplication bascule automatiquement
≤ 24 hpoint de reprise pour une restauration complète depuis la sauvegarde nocturne
7 joursd’instantanés chiffrés pour chaque serveur et chaque disque de données
Contrôles
Ce qui est en place aujourd’hui.
Un résumé des contrôles techniques en production. Chaque carte renvoie à la politique qui le décrit en détail.
- Contrôles côté serveur sur chaque route
- Isolation des données par programme
- Visibilité des réponses champ par champ
- Accès administrateur par rôle
- Clés d’API limitées en portée et en débit
- TLS 1.2 et 1.3 uniquement, HSTS
- Disques chiffrés (AES-256)
- Instantanés et sauvegardes chiffrés
- Secrets dans un coffre chiffré
- SPF et DKIM sur les e-mails sortants
- VPC AWS dédié à Francfort
- Groupes de sécurité en refus par défaut
- Accès aux métadonnées d’instance durci
- Infrastructure as code
- Contrôle automatique d’exposition à chaque changement
- Journaux et alarmes CloudWatch
- Piste d’audit AWS CloudTrail
- Sonde externe de type dead man’s switch
- Contrôle d’expiration des certificats
- Signalement des redémarrages de conteneurs
- Mises à jour de sécurité quotidiennes du système
- Fenêtre de maintenance mensuelle
- govulncheck et audits de paquets
- Environnements d’exécution maintenus
- Constats suivis jusqu’à clôture avec des tests
Politiques
Nos politiques de sécurité.
15 politiques décrivent le fonctionnement de Mentornity, du contrôle d’accès et du chiffrement jusqu’à la réponse aux incidents et la reprise. Partagez-les avec votre revue de sécurité ; un accord de traitement des données (DPA) est proposé à chaque client.
Gouvernance et confidentialité
Politique de sécurité de l’information
Le programme d’ensemble : périmètre, principes, rôles et articulation de toutes les autres politiques de ce site.
Lire la politique →Politique de protection des données et de confidentialité
Où se trouvent les données, qui les contrôle, ce qui est collecté et comment elles sont restituées ou supprimées.
Lire la politique →Politique de gestion des risques fournisseurs et de la chaîne d’approvisionnement
Comment les fournisseurs sont choisis et revus, et la liste complète des sous-traitants.
Lire la politique →Politique d’IA et d’usage des données
Comment Mentornity AI et le connecteur MCP utilisent les données des programmes, et ce qu’ils n’en font jamais.
Lire la politique →Politique de divulgation responsable
Comment signaler une vulnérabilité, ce à quoi nous nous engageons en retour, et les règles à respecter.
Lire la politique →Protection des données
Politique de contrôle d’accès
Comment les utilisateurs, les administrateurs, les ingénieurs et les machines sont authentifiés, et ce à quoi chacun peut accéder.
Lire la politique →Politique de chiffrement et de gestion des clés
TLS partout, disques, instantanés et sauvegardes chiffrés, et secrets conservés dans un coffre géré.
Lire la politique →Politique de sécurité de l’infrastructure et du réseau
Un réseau AWS dédié à Francfort, un point d’entrée unique et durci, et une base de données que personne n’atteint depuis Internet.
Lire la politique →Exploitation et résilience
Politique de gestion des journaux et de supervision
Quels journaux existent, ce qu’ils contiennent, combien de temps ils sont conservés et qui les surveille.
Lire la politique →Politique de gestion des vulnérabilités et des correctifs
Mises à jour de sécurité quotidiennes du système, fenêtre de maintenance mensuelle et analyse des dépendances jusqu’à zéro problème connu.
Lire la politique →Politique de réponse aux incidents
De la détection à la notification et à l’analyse post-incident : phases, rôles et délais.
Lire la politique →Politique de sauvegarde et de restauration
Réplication sur trois zones de disponibilité, instantanés quotidiens, sauvegardes nocturnes hors serveur et restaurations documentées.
Lire la politique →Politique de continuité d’activité
Maintenir le service et l’équipe en marche face aux perturbations liées aux fournisseurs, à l’infrastructure ou aux personnes.
Lire la politique →Ingénierie sécurisée
Politique de développement sécurisé et de gestion des changements
Chaque changement est une pull request relue qui passe des contrôles automatiques avant un déploiement automatique et réversible.
Lire la politique →Contrôles OWASP Top 10
Comment la plateforme répond à chacun des dix risques de sécurité les plus critiques pour les applications web.
Lire la politique →Sous-traitants
Qui d’autre touche aux données.
Les fournisseurs qui traitent les données des programmes, pour quoi et où. Les intégrations optionnelles sont activées par l’organisation ou le participant. Politique de gestion des risques fournisseurs
| Fournisseur | Finalité | Localisation des données |
|---|---|---|
| Amazon Web Services | Hébergement, base de données, stockage de fichiers, sauvegardes, journaux, e-mails transactionnels (SES) | UE (Francfort) |
| Cloudflare | DNS, CDN, protection DDoS, vérification anti-robots des formulaires publics, routage des e-mails entrants | Réseau périphérique mondial |
| Stripe | Facturation des abonnements et paiements par carte (contacts de facturation uniquement) | UE et États-Unis |
| Optionnel : connexion avec Google, synchronisation Google Agenda | Selon le compte Google du participant | |
| Microsoft | Optionnel : connexion avec Microsoft, synchronisation de l’agenda Outlook | Selon le compte Microsoft du participant |
| Zoom | Optionnel : liens de réunion Zoom | Selon le compte Zoom de l’organisation |
| Anthropic | Optionnel : assistant IA Mentornity, avec la propre clé d’API de l’organisation | États-Unis |
Vos questions de sécurité, nos réponses
Où sont stockées les données de Mentornity ?
Toutes les données de production sont stockées et traitées dans l’Union européenne, dans la région AWS eu-central-1 à Francfort, en Allemagne, sur trois zones de disponibilité. Les sauvegardes et les journaux restent dans la même région.
Les données sont-elles chiffrées ?
Oui. Chaque connexion est uniquement en HTTPS avec TLS 1.2 ou 1.3 et HSTS. Les disques des serveurs, les volumes de la base de données, les instantanés et les sauvegardes sont chiffrés au repos en AES-256, et les mots de passe ne sont stockés que sous forme de hachés bcrypt.
Mentornity prend-il en charge l’authentification unique ?
Oui. Les organisations peuvent utiliser l’authentification unique SAML 2.0 avec leur propre fournisseur d’identité, et les participants peuvent aussi se connecter avec Google ou Microsoft.
Mentornity est-il conforme au RGPD ?
Mentornity traite les données des programmes en tant que sous-traitant sur instruction de l’organisation cliente, les héberge dans l’UE et propose à chaque client un accord de traitement des données au titre de l’article 28 du RGPD.
Comment les données sont-elles sauvegardées ?
La base de données est répliquée en continu sur trois zones de disponibilité, sauvegardée chaque nuit vers un stockage chiffré séparé, et chaque serveur et volume de données fait l’objet d’un instantané quotidien avec sept jours d’historique.
Quels sous-traitants Mentornity utilise-t-il ?
Amazon Web Services pour l’hébergement, le stockage et l’e-mail, Cloudflare pour le DNS, le CDN et la protection DDoS, et Stripe pour la facturation. Google, Microsoft, Zoom et Anthropic ne sont utilisés que lorsqu’une organisation ou un participant active l’intégration correspondante.
Mentornity AI s’entraîne-t-il sur nos données ?
Non. L’assistant IA est activé par programme, fonctionne sur les modèles Claude d’Anthropic via la propre clé d’API de l’organisation, et Anthropic n’entraîne pas ses modèles sur les données envoyées via son API commerciale.
Comment signaler un problème de sécurité ou demander un questionnaire de sécurité ?
Écrivez à privacy@mentornity.com. Les signalements de vulnérabilités reçoivent un accusé de réception sous trois jours ouvrés ; les questionnaires de sécurité et les demandes de DPA passent par la même adresse.
Vous avez trouvé une vulnérabilité ? Votre questionnaire de sécurité attend des réponses ?
Nous accueillons les signalements des chercheurs et les revues de votre équipe sécurité. Nous accusons réception de chaque signalement sous trois jours ouvrés. Lisez la politique de divulgation responsable.
privacy@mentornity.com Signalements de sécurité, questionnaires et demandes de DPA