Politique de sécurité de l'information

Date d'entrée en vigueur : 04 mars 2025

1. Introduction

La plateforme Collaborator (collaborator.pro) est exploitée par I.M. COLLABORATOR LTD, une société constituée selon les lois de la République de Chypre, numéro d'enregistrement HE 403087, dont le siège social est situé au Peiraios, 30, 1er étage, Appartement/Bureau 1, Strovolos, 2023, Nicosie, Chypre. Dans la présente politique, « Collaborator » désigne I.M. COLLABORATOR LTD.

Collaborator (collaborator.pro) est une marketplace de content marketing et de link-building qui met en relation des annonceurs et des éditeurs dans le monde entier. Notre plateforme permet aux annonceurs de découvrir, commander et gérer des placements de contenu sur les sites web des éditeurs, tandis que les éditeurs reçoivent et exécutent les commandes de placement via leurs comptes Collaborator.

Compte tenu de la nature de notre activité — où deux parties distinctes interagissent, partagent des informations et effectuent des transactions via une seule plateforme — la sécurité des données utilisateurs, des informations de compte et des enregistrements de transactions est une priorité absolue. Collaborator a mis en place un programme formel de sécurité de l'information couvrant la gestion des accès, la protection de l'infrastructure, la réponse aux incidents, la sauvegarde et la récupération, ainsi que la sécurité du personnel. Ce document résume notre posture de sécurité à l'intention des clients, des éditeurs et des partenaires.

Ce document est fourni à titre d'information générale sur les pratiques de sécurité de Collaborator. Rien dans ce document ne saurait être interprété comme une offre, une garantie, un engagement contractuel ou comme créant des droits pour un tiers. Lorsqu'un accord entre Collaborator et une contrepartie porte sur un point traité ici, cet accord prévaut.

2. Flux de données sur la plateforme Collaborator

Collaborator opère en tant que marketplace intermédiaire. Nous ne publions pas de contenu nous-mêmes — nous facilitons les transactions entre annonceurs et éditeurs. La compréhension de la gestion des données entre les participants à la plateforme est au cœur de notre approche de sécurité.

Visibilité des profils des annonceurs et des éditeurs

Lorsqu'un annonceur passe une commande auprès d'un éditeur, certaines informations de profil sont partagées entre les deux parties pour faciliter la relation commerciale — notamment le nom de l'entreprise, les détails de la campagne et les spécifications de la commande. Collaborator limite cette visibilité à ce qui est opérationnellement nécessaire. Les données de compte sensibles, les informations de facturation et les identifiants privés ne sont jamais exposés entre les parties.

Données de contenu et de placement

Les briefs de contenu, les exigences de placement et les URLs publiées sont partagés entre annonceurs et éditeurs via la plateforme. Les éditeurs conservent un contrôle total sur leurs propres sites web ; Collaborator n'a pas accès administratif ni accès CMS aux sites web des éditeurs. La vérification des placements est effectuée uniquement en vérifiant les URLs accessibles au public.

Ce que Collaborator ne fait pas

N'accède pas aux backends des sites web des éditeurs, aux systèmes CMS ou aux panneaux d'administration
Ne partage pas les données de compte privées ou de facturation d'un utilisateur avec un autre utilisateur
Ne vend pas les données des utilisateurs à des tiers à quelque fin que ce soit
Ne stocke pas les détails complets des cartes de paiement sur ses propres serveurs

3. Données que nous collectons et traitons

Données de compte et de profil

Nom, nom de l'entreprise, adresse e-mail et identifiants de compte des utilisateurs enregistrés
URLs des sites web des éditeurs, catégories de niche, métriques de trafic et tarifs soumis par les éditeurs
Préférences de campagne des annonceurs, marchés cibles et exigences de contenu

Données de transaction et de commande

Historique des commandes, enregistrements de placements de contenu et journaux de communication entre annonceurs et éditeurs
Métadonnées de transaction (identifiants, montants, statut de paiement) — les détails complets des cartes ne sont pas stockés directement par Collaborator
Factures et enregistrements de facturation conservés à des fins comptables et de conformité légale

Données techniques et d'utilisation

Adresses IP, informations sur les appareils et données de session collectées à des fins de sécurité et de prévention de la fraude
Journaux d'activité de la plateforme utilisés pour la résolution des litiges, la prévention des abus et l'amélioration du service

4. Infrastructure et sécurité cloud

La plateforme de Collaborator est hébergée sur une infrastructure cloud auprès de plusieurs fournisseurs, notamment Amazon Web Services (AWS), DigitalOcean, OVH et Hetzner. Cette approche multi-fournisseurs assure une redondance géographique et élimine les points de défaillance uniques.

Tous les systèmes de production sont déployés dans des environnements de cloud privé virtuel (VPC) isolés avec une segmentation réseau stricte
Les pare-feux et groupes de sécurité refusent par défaut tout trafic entrant ; seuls les services et ports explicitement autorisés sont permis
L'infrastructure est surveillée en permanence à l'aide d'outils centralisés avec des alertes automatiques pour les activités anormales, les modifications d'accès et la disponibilité des services
Les journaux d'accès SSH, les journaux des serveurs web et les journaux des services système sont conservés pendant 30 jours à des fins d'audit de sécurité et d'investigation des incidents

5. Protection des données et chiffrement

Toutes les données transmises entre les utilisateurs et la plateforme Collaborator sont chiffrées en transit à l'aide de TLS 1.2 ou supérieur
Les données sensibles stockées dans nos systèmes sont chiffrées au repos
Les mots de passe des utilisateurs sont stockés à l'aide d'un hachage cryptographique à sens unique — les mots de passe en clair ne sont jamais stockés ni récupérables
Données de paiement : Collaborator stocke uniquement les métadonnées de transaction. Les détails complets des cartes sont traités et stockés exclusivement par notre ou nos prestataires de paiement tiers certifiés et ne sont jamais transmis aux serveurs de Collaborator ni stockés sur ceux-ci

6. Sauvegarde et reprise après sinistre

Collaborator maintient un programme documenté de sauvegarde et de reprise après sinistre avec des objectifs de récupération définis.

Les sauvegardes de base de données sont effectuées automatiquement toutes les 24 heures
Les sauvegardes sont répliquées vers trois emplacements de stockage externes indépendants : Amazon Web Services S3, un serveur DigitalOcean dédié et un serveur OVH dédié — assurant une redondance géographique et au niveau des fournisseurs
Objectif de délai de récupération (RTO) : jusqu'à 4 heures pour les systèmes critiques
Objectif de point de récupération (RPO) : jusqu'à 24 heures
Le RTO et le RPO indiqués ci-dessus sont des objectifs de planification interne mesurés dans des conditions de fonctionnement normales et ne constituent pas une garantie de niveau de service
Les procédures de récupération sont testées au moins trimestriellement pour vérifier que les données peuvent être restaurées avec succès
Le stockage des sauvegardes est contrôlé par accès et isolé des environnements de production

7. Contrôle des accès et gestion des identités

Le contrôle d'accès basé sur les rôles (RBAC) est appliqué dans tous les systèmes internes : chaque employé se voit accorder uniquement l'accès nécessaire à son rôle spécifique (principe du moindre privilège)
Chaque employé et sous-traitant dispose d'un compte individuel — les identifiants partagés ne sont pas autorisés
L'authentification multi-facteurs (MFA) est requise pour tout accès aux systèmes critiques et à l'infrastructure de production
Toutes les actions administratives sur les systèmes de production sont journalisées et auditables
Les droits d'accès sont révisés au moins trimestriellement et révoqués immédiatement lors du départ d'un employé ou d'un sous-traitant — au plus tard le dernier jour ouvrable
Le départ urgent (licenciements pour faute) déclenche une révocation immédiate des accès à tout moment de la journée

8. Isolation des données utilisateurs et sécurité de la marketplace

En tant que marketplace bilatérale, Collaborator applique des contrôles spécifiques pour garantir que les données des annonceurs et des éditeurs restent correctement isolées :

Chaque compte utilisateur fonctionne dans une session sécurisée ; les utilisateurs ne peuvent accéder qu'aux données associées à leur propre compte
Les données de commande et de campagne ne sont visibles que par l'annonceur et l'éditeur spécifiques impliqués dans cette transaction
Les identifiants de sites web des éditeurs et les accès CMS ne sont jamais demandés par Collaborator ni transmis à celui-ci
Les informations de facturation des annonceurs ne sont pas visibles par les éditeurs, et vice versa
Les journaux d'accès à la plateforme permettent de détecter les tentatives non autorisées d'accès aux données d'autres utilisateurs

9. Gestion des vulnérabilités et des correctifs

Les correctifs de sécurité pour les systèmes d'exploitation des serveurs et les services sont appliqués selon une priorité basée sur le risque ; les correctifs critiques sont appliqués sans délai
Les dépendances d'application et les bibliothèques tierces sont surveillées pour détecter les vulnérabilités connues et mises à jour si nécessaire
Le code d'application est examiné pour détecter les vulnérabilités de sécurité courantes lors du développement
Des évaluations de sécurité et des tests de pénétration sont effectués périodiquement pour évaluer l'efficacité des contrôles
Lorsqu'un correctif ne peut pas être appliqué immédiatement, des contrôles compensatoires sont mis en œuvre (segmentation réseau, journalisation renforcée, règles WAF ou isolation temporaire des fonctionnalités) jusqu'à la résolution complète

10. Security Incident Response

Collaborator maintient un plan de réponse aux incidents documenté avec des rôles définis, des chemins d'escalade et des délais de réponse basés sur la gravité de l'incident.

Classification des incidents

P1 – Critique : interruption majeure du service, violation de données confirmée ou compromission des identifiants d'administrateur de production. Escalade : immédiate, 24h/7j
P2 – Élevé : compromission d'un compte unique, échec de sauvegarde ou activité malveillante sur un nœud système. Escalade : dans l'heure
P3 – Moyen : tentative de phishing isolée, non-conformité de configuration. Escalade : dans un délai d'un jour ouvrable
P4 – Faible : constatations d'observation, améliorations mineures de la journalisation. Résolution : selon le calendrier prévu

Processus de réponse

Dès la détection, l'incident est signalé immédiatement via le canal interne désigné et classé par gravité
Des actions de confinement initiales sont prises : révocation des accès, isolation des nœuds, rotation des identifiants, restriction du trafic
Les preuves sont conservées — journaux, chronologies, instantanés — avant toute action corrective
Après le confinement, une analyse des causes profondes est effectuée et des actions correctives sont définies et suivies
En cas de violation de données affectant les données des utilisateurs, Collaborator informera les utilisateurs concernés rapidement conformément à la loi applicable et aux obligations contractuelles

11. Sécurité du personnel et formation

Tous les employés et sous-traitants signent des accords de confidentialité avant de recevoir un accès aux systèmes
Les nouveaux employés reçoivent une formation d'intégration à la sécurité avant que l'accès complet ne leur soit accordé, couvrant les pratiques de mot de passe, la sensibilisation au phishing, la gestion des données et le signalement des incidents
Une formation de sensibilisation à la sécurité est dispensée annuellement à l'ensemble du personnel ayant accès aux systèmes
Des formations ciblées supplémentaires peuvent être assignées à la suite d'incidents de sécurité ou de modifications de politique
Les procédures de départ comprennent la révocation immédiate de tous les identifiants, jetons, accès VPN, accès aux référentiels et autorisations de services cloud

12. Fournisseurs tiers et sous-traitants

Collaborator travaille avec des fournisseurs tiers pour l'hébergement d'infrastructure, le traitement des paiements et d'autres fonctions de la plateforme. Les contrôles suivants s'appliquent à toutes les relations avec des tiers :

Les nouveaux fournisseurs ayant accès aux données clients ou aux systèmes de production sont évalués pour leur posture de sécurité et leur conformité contractuelle avant engagement
Tous les sous-traitants traitant des données personnelles sont liés par des obligations contractuelles de protection des données
Les sous-traitants reçoivent uniquement un accès temporaire et délimité avec une finalité définie et sont soumis aux mêmes exigences de sécurité que les employés
Les prestataires de paiement utilisés par Collaborator opèrent sous certification PCI DSS ; les données complètes des cartes de paiement sont traitées exclusivement dans leurs environnements certifiés
Les intégrations tierces sont périodiquement examinées pour leur nécessité continue et leur conformité en matière de sécurité

13. Surveillance et journalisation

Collaborator exploite une infrastructure de surveillance et de journalisation centralisée pour permettre la détection précoce des événements de sécurité et des anomalies de service.

Les événements d'authentification, les modifications des droits d'accès, les actions administratives, les modifications de configuration et les erreurs de service sont capturés dans des journaux centralisés
Des alertes automatiques sont configurées pour les événements critiques, notamment les modifications d'accès, les échecs de sauvegarde, les erreurs de déploiement, les modifications d'identifiants et les patterns de charge anormaux
Les journaux d'infrastructure (accès SSH, serveur web, services système) sont conservés pendant 30 jours
L'accès aux journaux est restreint au personnel autorisé ; les journaux ne peuvent pas être modifiés ou supprimés sans processus approuvé

14. Confidentialité et conformité réglementaire

Collaborator traite les données personnelles des utilisateurs en Ukraine, dans l'Union européenne et dans d'autres juridictions, conformément aux lois applicables en matière de protection des données, notamment la loi ukrainienne sur la protection des données personnelles et le Règlement général sur la protection des données (RGPD) de l'UE.

Les données sont collectées et traitées uniquement à des fins spécifiées et légitimes avec une base légale valide
Les données personnelles ne sont pas conservées au-delà de la période nécessaire à leur finalité initiale, sauf si la loi applicable l'exige
Les utilisateurs ont le droit d'accéder à leurs données personnelles, de les corriger et d'en demander la suppression — les demandes peuvent être soumises à [email protected]
Collaborator ne vend pas les données personnelles des annonceurs, des éditeurs ou de tout autre utilisateur de la plateforme à des tiers
Pour plus de détails sur les pratiques de traitement des données, veuillez consulter la Politique de confidentialité de Collaborator sur collaborator.pro

15. Alignement sur les normes et certification

Cette section expose la position de Collaborator concernant la certification selon les normes internationales de sécurité de l'information.

Le programme de sécurité de l'information de Collaborator est structuré en référence aux normes internationales établies, notamment ISO/IEC 27001. À la date de la présente politique, le programme n'a pas été soumis à une certification formelle selon ISO/IEC 27001 ou ISO/IEC 27701, ni à une attestation SOC 2 ou SOC 3.

La certification selon ces normes est volontaire : le RGPD exige des mesures techniques et organisationnelles appropriées au risque et considère la certification comme un moyen de démontrer la conformité plutôt que comme une exigence.

Collaborator examine en permanence le bien-fondé d'une certification formelle à la lumière de l'échelle de ses opérations, des exigences des clients et des évolutions réglementaires. Tout changement de statut de certification sera reflété dans une version ultérieure de cette politique.

Pour évaluer si une certification est justifiée, Collaborator tient compte de la nature des informations traitées sur la plateforme :

Collaborator ne traite pas de catégories particulières de données personnelles, telles que des données de santé, biométriques ou génétiques
Collaborator ne stocke pas les détails complets des cartes de paiement, ce qui réduit considérablement le périmètre des exigences PCI DSS applicables à Collaborator
Les données personnelles traitées se limitent à ce qui est nécessaire pour exploiter la marketplace : coordonnées des utilisateurs professionnels, paramètres de commande et métadonnées de transaction

Les mesures suivantes soutiennent la posture de sécurité de Collaborator :

L'infrastructure de Collaborator est hébergée auprès de grands fournisseurs cloud qui maintiennent leurs propres certifications de sécurité indépendantes
Le traitement des paiements est géré par des fournisseurs opérant sous conformité aux normes de sécurité des données de carte de paiement standard du secteur
Les mesures décrites dans cette politique sont documentées dans des procédures internes et révisées périodiquement.

16. Révision de la politique et contact

Cette politique est révisée et mise à jour à la suite de modifications importantes de l'infrastructure, des opérations ou des exigences légales applicables de Collaborator, et au moins annuellement. La version actuelle est publiée sur collaborator.pro.

Pour toute question concernant cette politique ou les pratiques de sécurité de Collaborator, veuillez contacter : [email protected]

Collaborator se réserve le droit de mettre à jour ses pratiques de sécurité à tout moment. Ce document ne divulgue pas de détails confidentiels sur l'infrastructure, des identifiants internes ou des configurations système propriétaires.