Date d'effet : Octobre 2025
WorkTime est un logiciel de surveillance des employés axé sur la confidentialité, non invasif, faisant l'objet de la confiance des organisations du monde entier.
Nous prenons la sécurité au sérieux et nous nous engageons à maintenir la confidentialité, l'intégrité et la disponibilité de toutes les données clients et de l'entreprise.
Cette page décrit les principes et pratiques fondamentaux qui guident notre programme de sécurité.
1. Objectif et portée
Cette politique de sécurité définit comment WorkTime protège ses systèmes, applications et informations clients.
Elle s'applique à tous les employés, contractants et fournisseurs de services tiers qui ont accès aux systèmes ou données de WorkTime.
2. Portée
Ce plan s'applique à tous les employés de WorkTime, contractants, systèmes, applications et services tiers impliqués dans le traitement ou le stockage des données de l'entreprise ou des clients.
Il couvre tous les incidents liés à la sécurité de l'information, la confidentialité des données et la continuité des services.
3. Objectifs
Détection et containment rapide des incidents de sécurité.
Évaluation précise de la portée et de l'impact.
Communication rapide avec les parties prenantes et clients affectés.
Remédiation complète et documentation des causes racines.
Prévention des incidents futurs par l'amélioration continue.
4. Définition de l'incident
Un incident de sécurité est tout événement qui peut compromettre les systèmes d’information ou les données de WorkTime, y compris mais sans s’y limiter à :
Accès non autorisé ou divulgation de données.
Infection par malware ou ransomware.
Attaques par déni de service (DoS).
Perte ou vol d’équipement contenant des données sensibles.
Mauvaise configuration, corruption de données, ou suppression accidentelle.
Violation des réglementations sur la vie privée (RGPD, HIPAA, GLBA).
5. Cycle de réponse aux incidents
5.1 Identification
Surveiller les systèmes, journaux et alertes pour détecter une activité inhabituelle ou suspecte.
Recevoir des rapports des employés, clients ou fournisseurs tiers.
Classer l'événement comme un incident suspecté ou confirmé sur la base des preuves.
5.2 Containment
Isoler les systèmes affectés pour empêcher le mouvement latéral.
Désactiver les comptes compromis ou les identifiants d'accès.
Préserver tous les journaux et données forensiques pertinents.
5.3 Éradication
Supprimer le code malveillant, désactiver les portes dérobées et corriger les vulnérabilités.
Valider que les systèmes sont propres et sûrs à restaurer.
5.4 Récupération
Restaurer les systèmes à partir de sauvegardes propres.
Surveiller les systèmes restaurés pour détecter une réinfection ou un comportement anormal.
Vérifier que les fonctions métier sont revenues à la normale.
5.5 Notification et communication
Notifier immédiatement la direction exécutive après confirmation.
Pour les incidents impliquant des données personnelles ou clients, notifier les clients affectés dans les délais légaux requis.
Si applicable, notifier les organismes de réglementation (p. ex., en vertu du RGPD ou des règles de violation HIPAA).
Toutes les communications sont examinées et approuvées par l’Officier de sécurité et le Juridique.
5.6 Leçons apprises
Effectuer un examen post-incident dans les 7 jours ouvrables suivant la résolution.
Documenter la cause racine, l'impact et les actions correctives.
Mettre à jour les politiques, contrôles et formations si nécessaire.
7. Classification de la gravité
Les incidents sont classés comme Critiques, Élevés, Moyens ou Faibles en fonction de l'impact et de l'urgence, avec des délais de réponse allant de immédiat à un jour ouvrable.
8. Préservation des preuves
Tous les journaux, alertes et images système liées à un incident sont préservés de manière sécurisée pendant au moins un an.
L'accès à ces preuves est restreint à l'Officier de sécurité et aux enquêteurs autorisés.
9. Canaux de communication
Rapports internes via le canal Slack sécurisé #security-alerts et l'email security@worktime.com.
Notifications clients via les canaux de communication officiels de WorkTime et les contacts de compte.
Communications externes uniquement via le représentant PR ou Juridique désigné.
10. Examen et tests
Ce plan est examiné annuellement et après tout incident majeur.
Des tests de table-top et de simulation sont effectués au moins une fois par an pour valider la préparation.
11. Références de conformité
Ce plan soutient la conformité avec :
SOC 2 Type II (Sécurité, Disponibilité, et Confidentialité)
Article 33 du RGPD (Notification de violation de données)
HIPAA 164.308(a)(6) (Procédures d’incident de sécurité)
Règle de sauvegarde GLBA
WorkTime — Axé sur la confidentialité, Sécurisé, Surveillance des employés non invasive
Nous protégeons vos données aussi soigneusement que les nôtres.
