Politique de sécurité

Objet de la présente politique

CurNext construit l'intelligence de chantier sur une pile IoT industrielle et cloud. La sécurité fait partie de la conception des produits, de l'exploitation des services et du travail avec les clients - pas d'un vernis marketing.

• - Énoncer les objectifs de sécurité CurNext et les systèmes couverts par cette politique.
• - Résumer les thèmes de contrôles organisationnels et techniques utilisés en production.
• - Expliquer les attentes en matière d'accès, de divulgation des vulnérabilités et de gestion des incidents.
• - Rester honnête sur la certification : l'alignement de conception n'équivaut pas à une évaluation tierce terminée.
• - Renvoyer vers Architecture de sécurité, DPA, Politiques RGPD, Piste d'audit et Datacenters pour plus de détail.

CurNext ne revendique pas de certification ISO 27001 ou SOC 2 pour elle-même sur les pages publiques. Les normes citées sur les pages Sécurité et Conformité sont un alignement de conception, sauf confirmation écrite séparée.

Périmètre

Cette politique s'applique aux systèmes opérés par CurNext qui traitent ou protègent les données clients et du site web, notamment :

• - Surfaces marketing et documentation de curnext.app
• - dash.curnext.app et expériences produit associées
• - API, SDK et portails développeur opérés par CurNext
• - Hébergement cloud, bases de données, sauvegardes et observabilité de la pile de production
• - Composants edge chantier et bâtiment lorsqu'ils se connectent aux services cloud CurNext (CN-FG, CN-BC et nœuds associés, comme documenté sur Sécurité)
• - Personnel, prestataires et sous-traitants agissant pour CurNext sur ces systèmes

Objectifs de sécurité

CurNext conçoit selon les objectifs suivants sur l'ensemble de la pile produit.

Mesures organisationnelles

Les contrôles humains et processuels s'ajoutent à l'ingénierie produit.

Contrôle d'accès

L'accès aux plans produit CurNext est volontairement restreint.

• - Provisioning sur invitation uniquement - les nouvelles connexions Google ou e-mail ne rejoignent pas automatiquement un projet sans invitation ou appartenance.
• - Selon les politiques internes CurNext, nous n'intégrons, n'invitons ni n'enregistrons pas d'utilisateurs produit de moins de 18 ans.
• - Le contrôle d'accès basé sur les rôles (RBAC) définit ce que les membres du projet peuvent voir et modifier.
• - Les rôles privilégiés exigent une authentification plus forte (MFA) et laissent des preuves d'audit plus claires.
• - L'isolation multi-locataire garde les données d'organisation et de projet dans leur périmètre - pas de flux public partagé entre clients.

Protection des données et hébergement

Les données personnelles et de site dans la couche cloud sont traitées avec des contrôles orientés RGPD et un hébergement de production ancré dans l'UE par défaut.

• - Hébergement applicatif et base de données principal orienté Allemagne / Francfort (UE).
• - Chiffrement en transit et au repos pour les stores principaux.
• - Thèmes de conservation, d'export et d'effacement documentés dans Politiques RGPD, DPA et Piste d'audit.
• - Les cookies du site marketing et technologies similaires sont couverts par la Politique relative aux cookies et le widget de consentement.

Divulgation de vulnérabilités

Nous privilégions la divulgation coordonnée. N'envoyez pas de détails d'exploit à support@ ou gdpr@.

• - Écrivez à [email protected] avec assez de détail pour reproduire le problème.
• - Indiquez la surface produit concernée (web, API, firmware, passerelle) et le moment approximatif.
• - Évitez la divulgation publique tant que nous n'avons pas eu une chance raisonnable d'évaluer et de remédier.
• - Nous accuserons réception des signalements et tiendrons les rapporteurs informés des avancées importantes lorsque c'est approprié.

Incidents de sécurité et violations de données à caractère personnel

CurNext maintient des processus visant à détecter, évaluer et répondre aux incidents de sécurité susceptibles d'affecter les Services ou les données personnelles.

Sous-traitants et infrastructure

CurNext utilise des fournisseurs d'hébergement, d'e-mail, d'observabilité et d'IA optionnelle sous contrôles contractuels.

• - Infrastructure d'hébergement et de bases de données orientée UE pour la production principale.
• - Résumé public des sous-traitants sur la page Accord de traitement des données.
• - Les fonctions d'IA assistée, lorsqu'elles sont activées, s'exécutent sous contrôles produit et contractuels - la prédiction de cure du béton utilise un modèle TensorFlow.js interne.
• - Les changements matériels de sous-traitants suivent le processus de notification décrit dans le DPA.

Responsabilités du client

La sécurité est partagée. Les clients restent responsables de la façon dont ils configurent et utilisent les Services au sein de leur organisation.

• - N'invitez que des collaborateurs de confiance et retirez l'accès lorsque les rôles changent.
• - Protégez les identifiants, clés API et appareils MFA des comptes d'administration.
• - Ne partagez pas les détails de vulnérabilité hors des canaux de divulgation coordonnée.
• - Configurez les permissions de projet et les exports selon vos propres politiques et contrats.
• - Signalez rapidement toute compromission de compte suspectée à [email protected].

Modifications de cette politique

Nous pouvons mettre à jour cette politique de sécurité lorsque les produits, l'hébergement ou les pratiques organisationnelles évoluent. La date de dernière mise à jour changera pour les révisions matérielles. La profondeur d'architecture reste sur la page Sécurité.