Sécurité et conformité
Vos données sont hébergées au Canada, chiffrées et isolées par agence grâce à la sécurité au niveau des lignes. CovioIQ ne détient pas encore de certification de conformité comme SOC 2 ou ISO 27001.
Certifications de sécurité et conformité
État des certifications
Les contrôles sont conçus autour de critères reconnus — sécurité, disponibilité, confidentialité et vie privée — mais aucun audit de certification tiers (p. ex. SOC 2) n'a encore été complété.
Défense en profondeur
Chiffrement en transit et au repos, isolation des locataires appliquée par la base de données, accès à privilèges minimaux et journaux d'audit. Les certifications tierces (ISO 27001, SOC 2) sont sur la feuille de route — pas encore détenues.
Aligné sur la LPRPDE
Conçu pour répondre aux exigences de la Loi sur la protection des renseignements personnels et les documents électroniques du Canada (LPRPDE).
Résidence des données canadienne
La base de données principale et les documents sont stockés au Canada (région Supabase de Montréal). Certains sous-traitants — paiements, courriels transactionnels, analytique — opèrent aux États-Unis; consultez notre page des sous-traitants pour la liste complète.
Fonctionnalités de sécurité complètes
Chiffrement des données
Chiffrement en transit
TLS 1.3 avec confidentialité persistante parfaite pour toutes les transmissions de données
Chiffrement au repos
Chiffrement AES-256 de toutes les données stockées et des sauvegardes
Sécurité au niveau des lignes
Accès limité au cabinet, appliqué par la base de données sur chaque table
Contrôle d'accès
Authentification sécurisée par courriel
Supabase Auth avec gestion sécurisée des sessions et réinitialisation du mot de passe
Isolation des locataires (sécurité au niveau des lignes)
Chaque table applique un accès limité au cabinet au niveau de la base de données — un cabinet ne peut jamais lire les données d'un autre
AMF, permissions par rôle et authentification unique — sur la feuille de route
Pas encore offert. Demandez-nous l'état d'avancement avant de vous fier à ces contrôles.
Surveillance et détection
Surveillance de la plateforme
L'infrastructure et l'authentification sont surveillées en continu par notre fournisseur d'hébergement. CovioIQ est une petite équipe sans centre de sécurité doté en personnel 24 heures sur 24.
Système de détection d'intrusion (IDS)
Détection avancée des menaces par détection d'anomalies assistée par IA
Journaux d'audit complets
Journaux immuables de tous les accès au système et de toutes les modifications de données
Réponse aux incidents
Réponse aux incidents
Les signalements de sécurité sont envoyés à admin@covioiq.com et triés directement par l'équipe qui construit le produit.
Notification en cas d'atteinte
Notre propre objectif est d'aviser les cabinets touchés dans les 72 heures suivant la confirmation d'un incident à déclarer. La LPRPDE elle-même exige le signalement et la notification dès que possible une fois qu'une atteinte est jugée présenter un risque réel de préjudice grave — elle ne fixe aucun délai de 72 heures.
Plan de reprise après sinistre
RTO : < 4 heures, RPO : < 1 heure avec sauvegardes multirégions
Sécurité de l'infrastructure et du réseau
Centres de données
- • Hébergé sur Supabase, qui fonctionne sur AWS
- • Région AWS Canada (Centre), ca-central-1 — Montréal
- • La sécurité physique, le contrôle d'accès et les contrôles environnementaux sont gérés par AWS dans ses installations
- • Nous ne publions pas d'entente de niveau de service sur la disponibilité pour l'instant
Sécurité du réseau
- • Pare-feu de nouvelle génération (NGFW)
- • Protection contre les attaques DDoS (Cloudflare)
- • Pare-feu d'applications Web (WAF)
- • Segmentation du réseau
- • VPN pour l'accès à distance
- • Tests d'intrusion réguliers
Sécurité des applications
- • Cycle de développement sécurisé (SDL)
- • Revue de code et analyse statique
- • Analyse des vulnérabilités des dépendances
- • Mises à jour de sécurité régulières
- • Validation et assainissement des entrées
- • Conformité au Top 10 de l'OWASP
Sauvegarde et reprise après sinistre
Sauvegardes automatisées
- ✓Sauvegardes incrémentielles continues
- ✓Sauvegardes complètes quotidiennes à minuit
- ✓Période de rétention de 30 jours
- ✓Stockage chiffré des sauvegardes
Redondance multirégions
- ✓Sauvegardes quotidiennes chiffrées
- ✓Région Supabase canadienne (Montréal)
- ✓Basculement automatique
- ✓Récupération à un instant donné offerte par notre fournisseur de base de données
Reprise rapide
- ✓RTO : < 4 heures
- ✓RPO : < 1 heure
- ✓Récupération à un instant donné
- ✓Tests de reprise trimestriels
Conformité réglementaire
🇨🇦 Conformité canadienne
- ✓
LPRPDE (Loi sur la protection des renseignements personnels et les documents électroniques)
Bâti autour des exigences de la LPRPDE. La conformité est partagée : elle dépend aussi des pratiques de consentement, des contrôles d'accès et du traitement des renseignements clients de votre propre cabinet.
- ✓
Lois provinciales sur la protection des renseignements personnels
Pratiques conçues autour des exigences de la Loi 25 du Québec, de la PIPA de la Colombie-Britannique et de la PIPA de l'Alberta
- ✓
Résidence des données canadienne
La base de données principale et les documents sont stockés au Canada (Montréal). Certains sous-traitants — paiements, courriels transactionnels, analytique et le fournisseur du modèle d'IA pour Alex — opèrent aux États-Unis; consultez notre page des sous-traitants pour la liste complète et honnête.
🏢 Normes de l'industrie de l'assurance
- ✓
Conçu pour les cabinets réglementés par les provinces
Les fonctions de tenue de dossiers, de rétention et d'audit sont conçues pour appuyer vos obligations en vertu de la réglementation provinciale de l'assurance. Les obligations de permis et de conduite demeurent celles du cabinet.
- ✓
Rétention des dossiers
Les dossiers clients, polices et documents sont conservés tant que le compte de votre cabinet est actif, de sorte qu'ils restent disponibles pour les périodes de rétention exigées par votre organisme de réglementation. CovioIQ ne les supprime pas selon un calendrier qui lui est propre.
- ✓
Piste d'audit des documents
Chaque téléversement, modification, version, suppression et restauration de document est consigné avec les anciennes et les nouvelles valeurs. La journalisation d'audit des dossiers clients, polices et renouvellements est sur la feuille de route et pas encore offerte.
Notre engagement en matière de sécurité
La sécurité fait partie de la façon dont CovioIQ est construit plutôt que d'être ajoutée après coup : chaque table porte une sécurité au niveau des lignes, les données des courtiers sont limitées à leur cabinet et vos dossiers sont stockés au Canada. Nous sommes une petite équipe, nous préférons donc vous dire exactement ce que nous avons et n'avons pas plutôt que de laisser croire à un service de sécurité que nous n'avons pas embauché.
Signaler un problème de sécurité
Si vous découvrez une vulnérabilité de sécurité, veuillez la signaler de façon responsable à notre équipe de sécurité.
Courriel de sécurité : admin@covioiq.com
Clé PGP : Offerte sur demande
Délai de réponse : Dans les 24 heures
Nous appliquons un programme de divulgation responsable et apprécions l'aide de la communauté de la sécurité pour garder CovioIQ sécuritaire.
Ressources de sécurité
Liste des sous-traitants
Voyez tous les fournisseurs de services tiers que nous utilisons, avec l'emplacement des données et les liens vers les ententes de traitement.
Voir les sous-traitants →Divulgation des vulnérabilités
Consultez notre fichier security.txt pour les coordonnées de divulgation responsable.
Voir security.txt →Des questions sur notre sécurité?
Notre équipe de sécurité est heureuse de fournir des détails ou de la documentation supplémentaires.