Centre de confiance

Comment Nimble protège vos renseignements, comment nous réagissons aux enjeux de sécurité et comment joindre notre équipe de sécurité.

Attestations de sécurité

Les audits indépendants et les autorisations gouvernementales qui encadrent nos services.

Installations autorisées Protégé B

Nos installations d’Aurora, d’Ottawa et de Winnipeg ont été auditées par des organismes gouvernementaux et autorisées à traiter des renseignements Protégé B.

EAS fédérale — autorisation d’exploitation

Les installations de Nimble et le logiciel SmartCloud ont franchi le processus d’évaluation et d’autorisation de sécurité (EAS) du gouvernement du Canada et détiennent une autorisation d’exploitation (AE).

SOC 2 Type II

Nos contrôles de sécurité sont audités par un tiers indépendant. Le rapport est offert aux clients et aux clients potentiels sous entente de confidentialité.

ITSP.10.033 (ITSG-33)

Contrôles mis en œuvre selon le cadre de gestion des risques liés à la sécurité des TI du gouvernement du Canada.

Lois canadiennes sur la protection des renseignements personnels

Conformité à la LPRPDE, à la LPRPS et à la LAIPVP.

Propriété 100 % canadienne

Aucune société mère étrangère et aucune exposition au CLOUD Act américain. Les données et leur traitement restent au Canada.

En savoir plus sur la souveraineté des données

Protection de vos données

Surveillance de la sécurité en tout temps

Nos systèmes exposés à Internet sont surveillés 24 heures sur 24 par notre plateforme de gestion des informations et des événements de sécurité (SIEM), qui achemine les alertes à la direction des TI à toute heure.

Surveillance de la disponibilité

Les environnements des clients sont surveillés en tout temps par un service de surveillance tiers indépendant, et chaque client dispose d’une page d’état privée pour son environnement.

Gestion des vulnérabilités

Balayage hebdomadaire des vulnérabilités de notre environnement d’hébergement et application rapide des correctifs critiques.

Développement sécurisé

Nos applications Web destinées aux clients font l’objet de revues de renforcement du code et de tests automatisés de sécurité applicative avant leur mise en production.

Chiffrement

Les données des clients sont chiffrées en transit (TLS) et au repos sur les systèmes de stockage qui les hébergent.

Chaîne de possession physique

Manutention des documents suivie par RFID, journaux horodatés, rapports d’exception et certificats de destruction.

Contrôle d’accès et personnel

Accès fondé sur les rôles, pistes d’audit de bout en bout et personnel canadien titulaire d’une cote de sécurité.

Réponse aux incidents

Si un incident de sécurité touche vos renseignements, nous vous en avisons directement et respectons nos obligations de déclaration des atteintes prévues par les lois canadiennes sur la protection des renseignements personnels.

Avis de sécurité

Lorsqu’une vulnérabilité largement médiatisée pourrait raisonnablement préoccuper nos clients, nous indiquons si les produits et services de Nimble sont touchés et les mesures que nous avons prises. Chaque avis est mis à jour au fil de l’évolution de la situation.

Divulgation des vulnérabilités

Vous avez trouvé un problème de sécurité dans un site Web, un produit ou un service de Nimble? Nous voulons le savoir.

Comment le signaler

Écrivez à security@nimble.ca en décrivant le problème, l’URL ou le produit touché, les étapes pour le reproduire et toute preuve de concept.

Nos engagements

  • Accuser réception de votre signalement dans un délai de trois jours ouvrables.
  • Vous tenir informé pendant l’enquête et la correction.
  • Vous mentionner une fois le problème corrigé, si vous le souhaitez.

Lignes directrices

  • Ne faites des tests qu’avec des comptes et des données qui vous appartiennent.
  • N’accédez pas aux données d’autrui, ne les modifiez pas et ne les supprimez pas.
  • Aucune attaque par déni de service, aucun pourriel, aucune ingénierie sociale ni aucun test physique.
  • Laissez-nous un délai raisonnable pour corriger le problème avant toute divulgation publique.

Nous n’intenterons aucune poursuite contre quiconque signale un problème de bonne foi en respectant ces lignes directrices. Nous n’offrons pas de programme de primes aux bogues pour le moment.

Coordonnées lisibles par machine : /.well-known/security.txt

Demander de la documentation

Nous soutenons les évaluations de sécurité de nos clients. Communiquez avec nous pour obtenir :

  • notre rapport SOC 2 Type II (sous entente de confidentialité);
  • des questionnaires de sécurité remplis;
  • des résumés de nos politiques de sécurité;
  • la liste de nos sous-traitants.
Demander de la documentation Signaler un problème de sécurité