Sécurité et hébergement

L'application et la base de données tournent chez Hostinger, dans un centre de données à Francfort, en Allemagne. Toutes les données à caractère personnel de l'application y sont stockées et traitées, au sein de l'Espace économique européen. Les enregistrements de vos travailleurs ne sont pas stockés aux États-Unis.

Le trafic vers le site et l'application va directement à notre serveur, sans proxy d'un autre prestataire. Cloudflare est uniquement notre fournisseur DNS : il traduit le nom de domaine klox.be vers ce serveur, mais ne voit pas le contenu du service. C'est aussi ce que prévoit l'accord de traitement des données.

Le site klox.be est distinct de l'application. Sur le site, nous mesurons les visites avec Google Analytics, et Google peut traiter ces données en dehors de l'UE. Le site ne place les cookies de cette mesure qu'après votre consentement. Le fonctionnement est décrit dans la politique de confidentialité. Dans l'application, où se trouvent les données de vos travailleurs, il n'y a pas de Google Analytics.

Pour les données de vos travailleurs, vous êtes, en tant qu'employeur, le responsable du traitement, et Klox est le sous-traitant. L'accord de traitement des données est inclus d'office dans chaque abonnement.

Chaque organisation est cloisonnée des autres. L'application interroge toujours les données dans l'organisation de l'utilisateur connecté, et la base de données impose en plus elle-même ce cloisonnement avec la Row-Level Security de PostgreSQL. La base de données est ainsi une deuxième serrure, au cas où quelque chose tournerait mal dans l'application.

Au sein de votre organisation, le rôle détermine ce que chacun voit et peut faire :

Les mots de passe ne sont pas conservés en clair, uniquement sous forme de hash avec scrypt, un algorithme qui demande volontairement beaucoup de puissance de calcul pour rendre les tentatives coûteuses. Les tentatives de connexion répétées sont freinées. Tout le trafic entre votre navigateur et Klox est chiffré en HTTPS.

La vérification en deux étapes est obligatoire pour le back-office avec lequel l'équipe Klox gère les comptes et les abonnements. Les comptes clients se connectent avec e-mail et mot de passe.

Un kiosque sur le lieu de travail en sait le moins possible. Il ne conserve ni codes PIN ni liste de badges, et d'un badge, Klox ne garde qu'une empreinte cryptographique, jamais le code lui-même. Le code PIN d'un travailleur ne figure lui aussi dans la base de données que sous forme d'empreinte cryptographique, et des tentatives erronées répétées entraînent un blocage temporaire. Chaque kiosque a son propre jeton d'appareil, que l'employeur peut révoquer dans l'application web.

Un pointage n'est jamais écrasé. Une erreur se rectifie par une correction : une ligne distincte avec la nouvelle heure, un motif obligatoire, qui a corrigé et quand. L'heure d'origine reste conservée et visible, pour l'employeur, pour le travailleur et dans l'export.

Ce n'est pas qu'une règle de l'application. La base de données refuse elle-même toute modification des pointages, des corrections et du journal d'audit, et l'application ne peut pas les effacer. Le journal d'audit garde la trace de qui a fait quoi et quand, y compris qui a réalisé un export.

À quoi cela ressemble en pratique, avec un vrai export tiré d'un jeu de données fictif, c'est expliqué dans l'article sur le dossier d'inspection, sous « À lire aussi » en bas de page.

Pendant votre abonnement, Klox conserve les enregistrements 60 mois par défaut. Il n'existe pas de délai de conservation légal général pour chaque enregistrement : cinq ans, c'est aujourd'hui le délai prévu notamment pour les horaires flottants et les dérogations à l'horaire des travailleurs à temps partiel. L'employeur détermine le délai qui s'applique à lui ; nous enregistrons un autre délai sur demande. Au terme du délai de conservation, les données personnelles sont supprimées ou anonymisées de manière irréversible. Les données techniques de sécurité, comme les adresses IP lors des connexions, disparaissent après 90 jours.

La base de données est sauvegardée chaque jour, et chaque sauvegarde disparaît après 30 jours au plus. La sauvegarde est chiffrée avant d'être écrite. La clé pour la déchiffrer ne se trouve pas sur le serveur lui-même. Si le chiffrement échoue, rien n'est écrit : une sauvegarde non chiffrée n'existe pas.

Klox n'a pas de certification ISO 27001 ni de rapport SOC 2. Nous ne nous disons pas non plus « certifiés » ou « agréés » pour l'obligation d'enregistrement annoncée en Belgique : ses exigences techniques ne sont pas encore fixées.^[1]

Ce que nous pouvons vous donner : l'accord de traitement des données, cette description des mesures, et une réponse à vos questions concrètes ou à celles de votre comptable.

Vous pensez avoir trouvé un problème de sécurité dans Klox ou sur klox.be ? Envoyez-le à security@klox.be, en français, en néerlandais ou en anglais. Décrivez ce que vous avez vu, où, et comment nous pouvons le vérifier.

Ce que nous vous demandons :

• Utilisez uniquement votre propre compte ou un compte de test. Ne consultez, ne modifiez et ne conservez aucune donnée de tiers, et arrêtez dès que vous pouvez démontrer le problème.
• Pas d'attaques qui perturbent le service, pas de spam et pas d'ingénierie sociale envers nos clients ou envers nous.
• Ne rendez pas le problème public avant que nous l'ayons résolu ensemble ou qu'un délai raisonnable ait été convenu.

Ce que nous faisons : nous visons à confirmer votre signalement dans les deux jours ouvrables, nous vous tenons informé de la suite que nous y donnons, et nous vous prévenons quand le problème est résolu. Nous n'engagerons pas de poursuites contre une personne qui signale de bonne foi et selon ces règles. Vous souhaitez être cité nommément comme auteur du signalement ? Dites-le-nous.

Klox n'a pas de programme de bug bounty : nous ne payons pas de récompense pour les signalements. Les mêmes coordonnées figurent dans un fichier lisible par machine sur klox.be/.well-known/security.txt.