Le programme d’ensemble : périmètre, principes, rôles et articulation de toutes les autres politiques de ce site.
01Objet et périmètre
Cette politique décrit comment Mentornity protège la confidentialité, l’intégrité et la disponibilité des informations que lui confient les organisations qui gèrent des programmes de mentorat et de coaching sur la plateforme, ainsi que leurs participants.
Elle couvre l’application web Mentornity, le panneau d’administration, l’API publique et les webhooks, l’assistant IA et le connecteur MCP, l’envoi des e-mails, les visioconférences, ainsi que l’infrastructure, les personnes et les fournisseurs qui les exploitent.
02Principes
- Moindre privilège. Les personnes, les services et les identités machine n’obtiennent que l’accès nécessaire à leur tâche, limité par rôle, par étiquette de ressource et par région.
- Défense en profondeur. Isolation réseau, routes d’API authentifiées et autorisées, chiffrement en transit et au repos, et supervision sont superposés pour qu’aucun contrôle ne porte seul toute la charge.
- Tout en code. Serveurs, réseaux, permissions, alarmes et déploiements sont définis dans Terraform, Ansible et des workflows CI versionnés, et ne changent que par des pull requests relues.
- Minimisation des données. La plateforme stocke ce dont un programme a besoin pour fonctionner, les journaux conservent 30 jours ce dont l’exploitation a besoin, et les secrets n’apparaissent jamais dans les journaux.
- Vérifier, ne pas supposer. Chaque contrôle qui protège la production est testé en injectant délibérément la défaillance qu’il doit détecter.
03Rôles et responsabilités
| Rôle | Responsabilité |
|---|---|
| Direction | Porte cette politique, approuve l’accès à la production et sert de point d’escalade pour les incidents de sécurité. |
| Ingénierie | Développe et relit les changements selon la politique de développement sécurisé et les contrôles OWASP, et exploite l’infrastructure. |
| Organisation cliente | Responsable du traitement des données de son programme : décide qui est invité, quels rôles sont attribués, ce qui est collecté dans les formulaires et combien de temps dure le programme. |
| Mentornity | Sous-traitant des données des programmes sur instruction du client, et responsable du traitement uniquement pour les visiteurs de son site et ses contacts clients. |
04Ensemble des politiques
Cette politique s’appuie sur les politiques plus détaillées publiées dans le Centre de sécurité Mentornity : contrôle d’accès, chiffrement, protection des données, gestion des journaux, gestion des vulnérabilités et des correctifs, développement sécurisé, contrôles OWASP Top 10, gestion des risques fournisseurs, réponse aux incidents, sauvegarde et restauration, continuité d’activité, IA et usage des données, et divulgation responsable.
05Revue
Les politiques sont revues au moins une fois par an et à chaque évolution de l’architecture. La date en haut de chaque page est celle de sa dernière modification de fond.
06Contact
Questions sur cette politique, questionnaires de sécurité et demandes d’accord de traitement des données : privacy@mentornity.com.