ImmiPractice est servi uniquement en HTTPS : les données qui circulent entre un navigateur et ses serveurs sont chiffrées avec TLS. Les données des clients au repos, dont les enregistrements de la base de données, les documents téléversés et les sauvegardes, sont chiffrées. Les mots de passe des boîtes de courriel connectées pour les automatisations sont chiffrés avec une clé d’application, les données de carte sont traitées par Stripe, et aucun mot de passe de connexion n’est stocké.
- ImmiPractice est servi uniquement en HTTPS : les données en transit sont chiffrées avec TLS.
- Les enregistrements de la base de données, les documents téléversés et les sauvegardes sont chiffrés au repos.
- Aucun mot de passe de connexion n’est stocké ; les mots de passe des boîtes connectées sont chiffrés avec une clé d’application.
- Les fichiers téléchargés sortent d’ImmiPractice et exigent le chiffrement des appareils de votre cabinet.
Que signifie « chiffré en transit et au repos » ?
Le chiffrement protège les données dans deux situations différentes, et un fournisseur devrait couvrir les deux.
- En transit : pendant que les données voyagent sur Internet, par exemple lorsqu’un client téléverse son passeport depuis son téléphone ou qu’un agent ouvre un dossier au bureau. Sans chiffrement, toute personne sur le même réseau Wi-Fi ou le même trajet réseau pourrait lire le trafic.
- Au repos : pendant que les données sont sur des disques, c’est-à-dire la base de données, le stockage des fichiers et les sauvegardes. Le chiffrement au repos protège contre une personne qui obtiendrait le support de stockage lui-même.
Ni l’un ni l’autre ne protège contre une personne qui se connecte légitimement. C’est le rôle de l’authentification et des rôles. Le chiffrement est donc une couche parmi d’autres, pas toute la réponse.
Chiffrement en transit
ImmiPractice est servi uniquement en HTTPS. Chaque page de l’application sur app.immipractice.com, le menu de formulaires (Form Menu), le portail client et les liens de signature circulent par TLS, le protocole que votre navigateur signale par l’icône de cadenas. Cela couvre les navigateurs du personnel, les téléphones des clients et le téléversement des documents et des preuves de paiement.
Chiffrement au repos
Les données des clients sont chiffrées au repos, notamment :
| Données | Chiffrées au repos |
|---|---|
| Enregistrements de la base de données (profils clients, dossiers, prospects, conventions, factures) | Oui |
| Documents téléversés et preuves de paiement | Oui |
| Sauvegardes | Oui, et stockées dans votre région (le Canada pour les cabinets canadiens) |
Les fichiers téléversés sont aussi conservés dans un emplacement privé qui bloque l’accès Web direct, et ne sont servis que par des gestionnaires qui vérifient l’autorisation de la personne qui les consulte. Le chiffrement protège le stockage ; la vérification d’autorisation protège chaque fichier.
Et les identifiants stockés ?
Deux types de secrets méritent d’être examinés chez tout fournisseur :
- Les mots de passe de connexion. ImmiPractice n’en stocke aucun. Le personnel et les clients se connectent avec un code à usage unique de 6 chiffres envoyé par courriel. Consultez la connexion sans mot de passe expliquée.
- Les mots de passe des boîtes de courriel connectées. Lorsqu’un cabinet connecte sa propre boîte pour que les automatisations envoient des courriels en son nom, ce mot de passe est chiffré avec une clé d’application avant d’être stocké.
Les données de carte de votre abonnement ImmiPractice sont traitées par Stripe et ne sont jamais stockées par ImmiPractice.
Ce que le chiffrement ne couvre pas
Soyez lucide sur les limites, car elles déterminent ce que votre cabinet doit faire :
- Les fichiers téléchargés. Dès qu’un employé télécharge un passeport ou un PDF d’IRCC rempli sur un portable, la protection de cette copie revient à votre cabinet. Chiffrez le disque complet des ordinateurs du bureau et ne laissez pas de copies dans le dossier Téléchargements.
- Le contenu des courriels et de WhatsApp. Les messages envoyés quittent ImmiPractice et sont traités par le fournisseur du destinataire ou par Meta. Faites transiter les documents sensibles par le portail client plutôt qu’en pièce jointe lorsque c’est possible.
- Une session ouverte. Si quelqu’un se connecte avec un code volé, le chiffrement ne l’arrête pas. Protégez le courriel professionnel avec l’authentification multifacteur.
Questions pour l’évaluation d’un fournisseur
Si vous documentez vos mesures de sécurité pour une évaluation des facteurs relatifs à la vie privée, les faits ci-dessus sont ce qu’ImmiPractice affirme aujourd’hui. Les spécifications techniques détaillées, comme la configuration des algorithmes et les procédures de gestion des clés, seront documentées dans le cadre de nos travaux SOC 2. Pour toute question immédiate, écrivez à sales@immipractice.com. Consultez aussi infrastructure et LPRPDE.