Sécurité chez Ojava
Comment nous protégeons vos données — et ce que nous ne collectons pas, dès le départ.
Aucun contenu de fichier ou d'e-mail collecté
Ojava n'ingère que des métadonnées : événements de connexion, modifications de règles de boîte mail, autorisations OAuth, défis MFA, actions d'administration. Nous ne téléchargeons ni ne stockons jamais le corps des e-mails, les pièces jointes, les fichiers OneDrive ou les fichiers Drive. Si nous n'en avons pas besoin pour détecter des attaques, nous ne le demandons pas.
Isolation des locataires
Chaque requête en base de données est limitée à l'organisation appelante au niveau applicatif ; l'accès inter-locataire est impossible par construction. Nous surveillons chaque requête authentifiée et auditons les actions privilégiées — consultez le journal d'audit dans votre tableau de bord.
Chiffrement en transit et au repos
Tout le trafic est en TLS 1.3 (pas de retour à une version antérieure). La base de données, le stockage objet et les sauvegardes sont chiffrés au repos en AES-256. Les jetons OAuth sont en outre chiffrés au niveau applicatif avec Fernet, afin de rester illisibles même en cas d'accès à la base.
Hébergement des données dans l'UE
La production tourne chez Hetzner Francfort (Allemagne) — entièrement dans l'UE. Les sauvegardes restent dans l'UE. Les sous-traitants sont documentés dans le DPA et révisés chaque année. Un hébergement exclusivement suisse est sur notre feuille de route pour les clients Enterprise.
Conformité RGPD et nDSG suisse
Nous traitons les données personnelles en tant que sous-traitant pour le compte de votre organisation. Un Accord de traitement des données (DPA) est disponible sur demande et fait partie de chaque contrat payant. Nous prenons en charge les demandes d'accès, d'export et de suppression via votre compte ou par e-mail à privacy@ojava.ch.
Divulgation responsable
Vous avez identifié un problème de sécurité ? Écrivez à security@ojava.ch avec des détails techniques. Nous accusons réception sous 48 heures et coordonnons un correctif.
Feuille de route SOC 2
Nous visons SOC 2 Type II pour la seconde année d'exploitation. En attendant, nos contrôles internes suivent le catalogue de contrôles SOC 2 et nous communiquons aux clients les changements matériels (sous-traitants, DPA, historique des incidents).