Aller au contenu principal

Confiance

Infos sur le questionnaire de sécurité

Réponses pour vos audits de sécurité et de conformité, issues des pages et de la documentation publiques de Capgo. Pour le SOC 2, l'ISO 27001, la cartographie détaillée des contrôles et les questionnaires complétés, utilisez le portail de confiance (demander l'accès sous NDA). Les rapports de certification ne sont pas envoyés par e-mail.

Dernière révision : 6 octobre 2026.

Comment utiliser cette page

Chaque section résume les sources publiques de Capgo et, le cas échéant, les réponses approuvées aux questionnaires fournisseurs (les identifiants de contrôl’apparaissent sous forme de tags). Reportez-vous aux sources primaires liées pour la formulation du contrat. Pour le SOC 2 Type 2, l'ISO 27001:2022 et les PDF des rapports, utilisez confiance.capgo.app (NDA signé sur place, pas par e-mail). Les éléments sous Sujets non communiqués publiquement vous avez toujours besoin du portail de confiance ou de security@capgo.app.

Pages associées : Confiance , Politique de sécurité , Sous-traitants , DPA , Enterprise .

Entreprise et produit

  • Entité juridique : Digital Shift OÜ (registre code 14236508), Sepapaja 6, 15551 Tallinn, Estonie. Les clients facturés aux États-Unis contractent avec CodepushGo, LLC, une société à responsabilité limitée du Delaware, 131 Continental Dr, Suite 305, Newark, DE 19713. Imprint .
  • Produit : Live updates (OTA) pour les apps Capacitor, Ionic, Cordova et Electron, ainsi que des builds natifs iOS et Android sur le cloud Capgo. Live updates , Native Build .
  • Open source : Plugin Updater et plugins Capgo sous MPL-2.0 ; backend sous AGPL-3.0 avec option d'auto-hébergement. GitHub .
  • Options de déploiement : Capgo hébergé sur le Cloud, avec des options Enterprise hébergées, dédiées, hybrides et en self-hosted avec licence. Enterprise .
  • Droit applicable : Estonie, ou Delaware pour les clients de CodepushGo, LLC, selon le Conditions d'utilisation .

Réponses au questionnaire fournisseur

Qui est responsable des fonctions de sécurité ? OS.3
Le CEO est le responsable désigné de la sécurité de l'information (CISO). Il est responsable de la politique de sécurité, de la gouvernance, de la stratégie, de la gestion des menaces et vulnérabilités, ainsi que de la réponse aux incidents, avec le support de l'équipe engineering.
Exigez-vous contractuellement que tous vos fournisseurs effectuent des vérifications d'antécédents ? HR.2
Non. Nos fournisseurs d'infrastructure effectuent leurs propres contrôles sur leur personnel dans le cadre de programmes audités SOC 2 et ISO 27001, que nous révisons annuellement. Tout le personnel de Capgo fait l'objet d'une vérification d'antécédents avant l'attribution d'un accès.
Réalisez-vous des simulations de phishing au moins une fois par an ? HR.4
Non. La sensibilisation au phishing est incluse dans l'onboarding et la formation annuelle à la sécurité, et le MFA est imposé sur tous les comptes.
Le retour des actifs et la suppression des accès sont-ils documentés lors de la fin de contrat ? HR.6
Oui. Notre checklist de départ couvre le retour des actifs de l'entreprise et la suppression de tous les accès sous 1 jour ouvré.

Hébergement et sous-traitants

La liste officielle des sous-traitants DPA, des lieux de traitement et des mécanismes de transfert se trouve sur le page des sous-traitants (pas le compteur de sous-traitants du portail de confiance). Les sous-traitants DPA actuels incluent :

  • Supabase, Inc. (Londres, Royaume-Uni) : base de données principale, authentification, données de compte, métadonnées de l'application et du bundle, identifiants d'appareil.
  • Cloudflare, Inc. (global, incluant les USA) : edge CDN, Workers, Durable Objects, R2, services de sécurité, diffusion des live updates.
  • Google Cloud (Hong Kong, Tokyo, Sydney, Johannesburg, Milan, Jeddah, Mumbai, Sao Paulo, Columbus) : réplicas de lecture de base de données et infrastructure régionale.
  • Scaleway SAS (Paris, France) : infrastructure de build natif, artefacts et données de workflow.

La CI du client n'est pas un sous-traitant DPA de Capgo : Capgo ne lie pas les GitHub des clients et n'en extrait pas le code source. L'automatisation classique utilise la CI du client (par exemple GitHub Actions) avec un Capgo API token pour envoyer des bundles ou soumettre des requêtes de Native Build. Intégration GitHub Actions , Intégration CI/CD .

Capgo utilise également des services côté contrôleur pour ses propres besoins (les exemples listés sur la page des sous-traitants incluent Stripe, Bento, PostHog, CodeRabbit et SonarCloud). Apple et Google sont des contrôleurs indépendants pour la publication sur les stores lorsque les clients utilisent leurs propres comptes développeurs.

Le Page de confiance indique que Cloudflare, Supabase et les pipelines CI isolés imposent le MFA, la gestion des secrets et des environnements sécurisés, et que les fournisseurs critiques maintiennent une attestation SOC 2 revue annuellement.

Pour les questions d'hébergement, privilégiez la liste des sous-traitants plutôt que les anciennes lignes d'imprint qui pourraient ne pas refléter les fournisseurs actuels.

Réponses au questionnaire fournisseur

Quelle URL les clients utilisent-ils pour accéder à l'application hébergée ? HAS.7
https://console.capgo.app
Où le service est-il hébergé ? HAS.8
Chez des fournisseurs de services cloud : architecture serverless sur Cloudflare Workers avec Supabase PostgreSQL managé à Londres, des réplicas de lecture Google Cloud, et Scaleway à Paris pour les Native Build. Consultez la page des sous-traitants pour la liste actuelle.
Le service est-il hébergé dans des installations de colocation que vous exploitez ? HAS.9
Non. Capgo n'exploite pas de centres de données en colocation ou en propre.
Comment les données clients sont-elles isolées dans le service multi-tenant ? HAS.10
Séparation logique multi-tenant. Les enregistrements de la base de données sont isolés par organisation via la Row Level Security de PostgreSQL et une autorisation basée sur les rôles. Les bundles sont stockés dans un stockage objet sous des chemins spécifiques par organisation et par application. Les clients peuvent activer le chiffrement de bout en bout des bundles avec leurs propres clés.
Chaque client reçoit-il des identifiants de base de données ou des schémas distincts ? HAS.11
Pas de base de données séparée par client. L'isolation des tenants est assurée par la Row Level Security et l'autorisation applicative plutôt que par des identifiants de base de données par tenant.
Comment les administrateurs gèrent-ils la production ? HAS.21
Via les consoles web des fournisseurs cloud, leurs CLI et leurs API via TLS, en utilisant des comptes protégés par MFA et des tokens API à portée limitée. La base de données de production et l'accès SSH ne sont pas exposés sur l'internet public.
Quels contrôles de production courants ne sont pas en place ? HAS.28
Nous n'utilisons pas de SIEM dédié ni de VPN d'entreprise. Cloudflare fournit une protection DDoS et un pare-feu d'application web (WAF) à l'edge ; les hôtes de production sont configurés en deny-by-default, et l'accès administratif utilise les consoles des fournisseurs protégées par MFA.
Do databases run under non-privileged service accounts? HAS.31
Oui. La base de données est un PostgreSQL géré par Supabase. Les connexions applicatives utilisent des rôles dédiés non-superuser, et l'accès utilisateur est soumis au Row Level Security.
La couche applicative s'exécute-t-elle sous un compte de service non privilégié ? HAS.32
Oui. La couche web s'exécute sur les Cloudflare Workers dans des isolats V8 sandboxed, sans système d'exploitation ni compte root exposé à notre code.
Maintenez-vous une politique de sécurité physique ? PE.1
Oui, révisée et approuvée chaque année. Capgo n'a ni bureaux ni centres de données. La politique couvre le télétravail, les terminaux et la surveillance des installations de nos fournisseurs cloud.
Quels contrôles physiques protègent votre environnement ? PE.2
Capgo n'a ni bureaux ni centres de données. Toute la production s'exécute dans les installations de Cloudflare, Supabase, Google Cloud et Scaleway, dont les contrôles physiques sont couverts par des audits indépendants que nous révisons annuellement.
Les visiteurs sont-ils autorisés dans vos installations ? PE.4
Non applicable chez Capgo. Nous fonctionnons entièrement en télétravail sans locaux propres. Le contrôle des accès aux centres de données est géré par nos fournisseurs cloud.

Résidence et régions des données

Pour le Cloud Capgo standard, Supabase traite la base de données principale, l'authentification, les données de compte, les métadonnées de l'app et du bundle, ainsi que les identifiants d'appareil à Londres, au Royaume-Uni. Google Cloud fournit les réplicas de lecture de la base de données et l'infrastructure régionale à Hong Kong, Tokyo, Sydney, Johannesburg, Milan, Jeddah, Mumbai, Sao Paulo et Columbus. Le stockage des bundles et la livraison des live updates utilisent l'infrastructure mondiale de Cloudflare, incluant les USA. L'offre Enterprise peut utiliser le routage par endpoint régional pour le chemin des live updates ou un déploiement auto-hébergé sous licence lorsqu'un contrôle différent est requis. La liste à jour des sous-traitants contient les détails complets sur les fournisseurs, les lieux et les transferts.

Chemin des données des plugins UE (opt-in) : Définissez updateUrl, statsUrl, et channelUrl aux endpoints UE complets : https://plugin.eu.capgo.app/updates, https://plugin.eu.capgo.app/stats, et https://plugin.eu.capgo.app/channel_selfLes trois doivent être\n configurés ensemble pour que les données Live Update soient stockées en Europe. Documentation sur la localisation des données .

Données de compte et de console : La documentation publique décrit l'option UE pour le chemin des données du plugin. Une option distincte réservée à l'UE pour les données de compte ou de console n'est pas documentée publiquement (voir les lacunes ).

Résidence stricte : L'auto-hébergement sous licence offre un contrôle total sur l'infrastructure, les logs, la rétention et les limites réseau. Options de déploiement pour données sensibles HIPAA .

Chiffrement

  • En transit : HTTPS/TLS pour la transmission des données. Documentation de conformité , DPA .
  • Au repos : Chiffrement des données de la plateforme au repos, le cas échéant, conformément à la documentation de conformité et aux mesures de sécurité du DPA.
  • Chiffrement optionnel des bundles (clés client) : Chiffrement de bout en bout des bundles avec des clés gérées par le client (RSA-4096 et AES-256-GCM dans l'Encryption V2). Documentation sur le chiffrement . Protège contre la divulgation par Capgo, les fournisseurs de stockage et les CDN ; ne rend pas les assets web livrés impossibles à rétro-ingénierer.
  • Intégrité : Les bundles sont vérifiés par checksum ; chiffrement optionnel par application avec votre propre clé. Documentation de conformité .
  • Clés API : Les clés API sécurisées sont hachées ; la valeur brute de la clé n'est pas stockée sur les serveurs de Capgo. Documentation sécurité de l'organisation .

Réponses au questionnaire fournisseur

Les données client sont-elles chiffrées au repos dans les bases de données et le stockage objet ? HAS.13
Oui. Les bases de données, les sauvegardes et le stockage objet sont chiffrés au repos en AES-256 par nos fournisseurs cloud, avec des clés stockées et renouvelées dans leurs systèmes de gestion de clés. Les clients peuvent en plus chiffrer les bundles de bout en bout avec leur propre paire de clés.
Chaque client dispose-t-il d'une clé de chiffrement distincte pour le stockage de la plateforme ? HAS.14
Non, pour le stockage de la plateforme. Les clés gérées par le fournisseur sont partagées entre les tenants. Pour les bundles, les clients peuvent activer le chiffrement de bout en bout avec leur propre paire de clés RSA, dont Capgo ne détient jamais la clé privée.
Le personnel ayant accès aux données de production chiffrées peut-il obtenir les clés de chiffrement ? HAS.15
Non, pour les clés de la plateforme. Les clés de chiffrement des données au repos sont conservées dans les systèmes de gestion de clés de nos fournisseurs cloud et ne sont pas accessibles au personnel de Capgo. Les clés privées du chiffrement de bout en bout des bundles sont détenues uniquement par le client.
Les clients peuvent-ils fournir leurs propres clés de chiffrement pour le stockage de la plateforme ? HAS.16
Non, pour le stockage de la plateforme. Les clients peuvent chiffrer les bundles de bout en bout avec leur propre paire de clés, afin que Capgo ne détienne pas la clé de ce contenu.

Authentification et contrôle d'accès

Contrôles client

  • SSO (SAML 2.0) : Plans Enterprise ; vérification de domaine via DNS TXT ; SSO optionnel ; les nouveaux utilisateurs SSO sont provisionnés avec le rôle de lecture. Documentation SSO Enterprise .
  • MFA : Les super admins de l'organisation peuvent exiger la 2FA pour tous les membres ; les membres sans 2FA sont bloqués sur le dashboard web et CLI. Documentation sécurité de l'organisation .
  • Politique de mots de passe : Longueur minimale configurable (6 à 128), majuscules, chiffres et caractères spéciaux obligatoires.
  • Clés API : Imposer des clés sécurisées (hachées) et une expiration optionnelle (1 à 365 jours).
  • RBAC : Rôles d'organisation (super admin, admin, admin facturation, membre) et rôles d'app (admin, développeur, uploader, lecteur) avec des paramètres par canal. Documentation des fonctionnalités .

Capgo personnel

L'accès est limité au personnel autorisé ayant besoin de ces accès pour le support, la prévention des abus et la fiabilité opérationnelle ; le personnel est formé au RGPD et à la confidentialité des données selon le DPA .

Les flux de mise à jour du mot de passe et de l'e-mail peuvent dépendre de la session Supabase Auth et des paramètres de re-vérification. Politique de sécurité .

Réponses au questionnaire fournisseur

Un VPN est-il requis pour l'accès à distance à votre réseau ? AC.11
Non. Il n'y a pas de réseau d'entreprise auquel se connecter. Le personnel gère la production via les consoles et les API des fournisseurs cloud en TLS avec MFA obligatoire. La base de données de production et l'accès SSH ne sont pas exposés sur l'internet public.
Le verrouillage automatique de l'écran avec réauthentification par mot de passe est-il imposé en 15 minutes ou moins ? AC.12
Oui. Le verrouillage automatique de l'écran avec réauthentification par mot de passe est imposé et surveillé sur tous les terminaux via notre agent de conformité des appareils.
L'accès est-il attribué selon des contrôles basés sur les rôles et le moindre privilège, avec approbation avant l'émission des identifiants ? AC.13
Oui. L'accès est géré par un contrôle d'accès basé sur les rôles (RBAC) selon le principe du moindre privilège et nécessite une approbation avant l'émission des identifiants.
L'accès est-il revu lorsqu'un utilisateur change de rôle ? AC.14
Oui. Notre plateforme de surveillance de la conformité alerte le responsable de la sécurité pour mettre à jour les accès dès qu'un rôle change, et tous les accès sont également revus périodiquement.
Is there an industry-standard password policy owned by security leadership and approved annually? AC.15
Oui. Notre politique documentée de mots de passe et de connexion est gérée par le responsable de la sécurité de l'information, puis revue et approuvée chaque année par la direction.
Must users reset or set their own password at first sign-on? AC.16
Oui. Nous n'émettons pas de mots de passe initiaux réutilisables. Les nouveaux utilisateurs reçoivent une invitation à usage unique ou un identifiant temporaire et doivent définir leur propre mot de passe à la première connexion, avec MFA obligatoire.
Les mots de passe initiaux ou les liens d'invitation sont-ils générés aléatoirement et uniques pour chaque utilisateur ? AC.17
Oui. Les liens d'invitation et les éventuels identifiants temporaires sont générés aléatoirement et uniques pour chaque utilisateur.
Les comptes et paramètres par défaut du fournisseur sont-ils modifiés avant la mise en production ? AC.18
Oui. La production repose sur des services serverless managés, sans comptes par défaut du fournisseur, et les paramètres par défaut sont revus et durcis dans le cadre de nos contrôles de gestion de configuration avant utilisation.
Utilisez-vous un service d'annuaire centralisé pour l'identité de vos collaborateurs ? AC.22
Oui. Google Workspace est notre annuaire d'identité central, avec la validation en deux étapes imposée pour tous les comptes, et sert à la connexion aux systèmes clés lorsque c'est pris en charge.
Les mots de passe expirent-ils à intervalle fixe ? AC.23
Pas de rotation fixe. Conformément à la norme NIST SP 800-63B, les mots de passe ne sont pas renouvelés selon un calendrier fixe. Ils sont modifiés en cas de signe de compromission, et le MFA est imposé sur tous les systèmes.
Les mots de passe des collaborateurs exigent-ils au moins 8 caractères avec majuscule, minuscule, chiffre et caractère spécial ? AC.24
Oui pour les comptes d'entreprise via nos paramètres de fournisseur d'identité, avec MFA obligatoire sur tous les systèmes.
L'historique des mots de passe est-il imposé ? AC.25
Aucune règle d'historique fixe pour les mots de passe du personnel. Le risque de réutilisation est traité par le MFA sur tous les systèmes et par des mots de passe uniques générés par un gestionnaire de mots de passe.
Les mots de passe couramment utilisés sont-ils bloqués automatiquement ? AC.25.1
Oui. Notre fournisseur d'identité rejette les mots de passe faibles et couramment utilisés.
Seuls les appareils enregistrés et conformes peuvent-ils accéder aux systèmes internes ? AC.29
Il n'existe pas de réseau d'entreprise. Les systèmes internes sont accessibles uniquement depuis des terminaux inventoriés et enregistrés qui passent des contrôles de conformité (chiffrement, protection contre les malwares, correctifs et verrouillage d'écran).
Les comptes dormants sont-ils désactivés automatiquement après une période d'inactivité ? AC.30
No inactivity timer. Access is removed within 1 business day of offboarding, and periodic access reviews by the Information Security Officer identify and remove unused accounts.
Le MFA est-il imposé pour tout le personnel disposant d'un accès administratif distant à la production ? HAS.20
Oui. Le MFA est imposé pour tous les comptes du personnel ayant accès à la production et aux autres systèmes critiques.
Le MFA est-il disponible et applicable pour tous les utilisateurs de l'application Cloud Capgo ? HAS.20.1
Oui. Le MFA par TOTP est disponible pour chaque utilisateur, et les administrateurs d'organisation peuvent l'imposer à tous les membres, ce qui bloque l'accès au dashboard et à CLI pour toute personne sans MFA.
Quelles méthodes de connexion la console Cloud Capgo prend-elle en charge ? HAS.27
Les utilisateurs se connectent avec un e-mail et un mot de passe, complétés par une MFA TOTP, que les clients peuvent imposer à tous leurs membres. Le SSO SAML 2.0 avec application facultative est disponible sur le plan Enterprise. L'accès à CLI et à la CI utilise des clés API à portée limitée, avec possibilité d'imposer une expiration.
Les comptes sont-ils verrouillés après un nombre fixe de tentatives de connexion échouées ? HAS.35
Pas de verrouillage fixe par compte. Les tentatives de connexion sont soumises à une limitation de débit par notre fournisseur d'authentification, et les clients peuvent imposer la MFA ou le SSO SAML à tous leurs utilisateurs.
Le personnel privilégié a-t-il un accès direct à la base de données de production ? HAS.30
Oui, mais de manière limitée. L'accès direct à la base de données de production est limité à 2 ingénieurs autorisés, protégé par une MFA, non exposé sur l'internet public et revu périodiquement.
Votre inventaire d'actifs identifie-t-il les systèmes exposés sur internet ? AM.2.1
Oui. Notre inventaire d'infrastructure et notre diagramme d'architecture identifient tous les endpoints exposés sur internet.
La destruction sécurisée des données et des supports est-elle régie par des protocoles formels ? AM.3
Oui. La destruction suit notre politique de classification, de rétention et de suppression des données. La destruction des supports de stockage dans les centres de données est effectuée par nos fournisseurs cloud selon leurs contrôles audités.
Des bases de configuration de sécurité sont-elles définies et révisées au moins tous les 12 mois ? AM.5
Oui. Les configurations de référence pour nos services cloud et nos endpoints sont définies selon nos contrôles de gestion de configuration et révisées au moins une fois par an conformément à nos politiques.
Les systèmes d'exploitation sont-ils durcis (ports, protocoles et services nécessaires uniquement) ? AM.6
Oui pour la production : architecture serverless sur des plateformes managées avec un accès limité au HTTPS sur des endpoints désignés et des règles de pare-feu par défaut restrictives. Les runners de build macOS de Scaleway sont l'OS principal sur lequel Capgo opère pour les Native Build.
Quelles protections de terminaux sont déployées sur les appareils du personnel ? CO.4
Tous les terminaux utilisent une protection contre les malwares et un chiffrement complet du disque, surveillés par notre agent de conformité des appareils. L'IPS hôte et le blocage des ports USB ne sont pas déployés. Les données clients sont traitées dans nos systèmes de production cloud.
Is full-disk encryption deployed on staff endpoints? CO.5
Oui. Le chiffrement intégral du disque est appliqué et surveillé sur tous les terminaux. Les bases de données et les sauvegardes cloud sont chiffrées au repos chez nos fournisseurs cloud. Nous n'écrivons aucune sauvegarde sur support amovible.
Utilisez-vous un outil de DLP pour surveiller le trafic sortant et l'USB ? CO.5.1
Non. Les données clients restent dans des systèmes cloud à accès contrôlé, les terminaux sont entièrement chiffrés et surveillés, et les règles de traitement des données sont définies dans nos politiques d'utilisation acceptable et de classification des données.
Les règles de pare-feu sont-elles révisées ou recertifiées régulièrement ? CO.8
Oui. Les règles d'entrée en production sont basées sur le principe du refus par défaut et limitées aux endpoints HTTPS ; elles sont révisées au moins une fois par an dans le cadre de nos revues de configuration et d'accès.
Maintenez-vous des schémas réseau montrant les connexions entrantes et sortantes ? CO.9
Oui. Nos schémas d'architecture et de réseau montrent les limites du système ainsi que les connexions entre Capgo, nos fournisseurs cloud et nos clients, et sont maintenus avec l'inventaire du système.
May staff read corporate email on personal computers? CO.14
Le personnel peut utiliser des ordinateurs portables personnels enregistrés dans notre agent de conformité des appareils, qui impose le chiffrement du disque, la protection contre les malwares, le verrouillage de l'écran et les correctifs. L'accès aux e-mails nécessite une MFA.
La MFA est-elle requise pour l'accès à distance aux e-mails d'entreprise ? CO.15
Oui. La validation en deux étapes est imposée au niveau du domaine pour tous les comptes Google Workspace.
How often must users re-authenticate with MFA? CO.16
La MFA est requise à chaque nouvelle connexion et sur tout nouvel appareil. La durée de session suit nos paramètres de contrôle de session Google Workspace (actuellement 14 jours pour les sessions de confiance).

Logs, monitoring et incidents

  • Logs d'audit client : Piste d'audit pour les connexions, les changements de permissions, les bundles, les canaux et les changements d'organisation. Documentation des fonctionnalités L'offre Enterprise inclut les audit logs, les statistiques d'organisation sur 90 jours et les logs d'appareils sur 90 jours, selon la page Enterprise.
  • Monitoring : Runbooks dédiés, monitoring 24/7 et playbooks de réponse aux incidents pilotés par les fondateurs, selon la page Trust .
  • Statut : Disponibilité publique et incidents sur statut de l'application capgo (mentionné dans la politique de support) ).
  • Personal data breach notice (processor): Notifier les clients sans délai injustifié, au plus tard 48 heures après en avoir pris connaissance, par e-mail avec des mises à jour périodiques, selon le DPA .
  • Sécurité de l'updater : Si le service de mise à jour ne répond pas sous 3 secondes, le plugin annule la requête et ouvre l'application normalement selon la politique de support .

Réponses au questionnaire fournisseur

Les logs d'audit sont-ils conservés pendant au moins trois ans ? AC.26
Non. Des événements d'audit sont générés pour les actions de sécurité critiques sur les systèmes sensibles et sont examinés avec des alertes pour détecter toute activité anormale. Les logs sont conservés selon notre politique de logging et les paramètres de rétention de chaque plateforme, ce qui est inférieur à trois ans.
Les logs de production alimentent-ils un SIEM ? AC.27.1
Pas de SIEM dédié. Les logs de production sont collectés via les outils de logging et d'observabilité de nos fournisseurs cloud avec alertes, et sont examinés pour détecter toute activité anormale.
Quelles défenses réseau et quels outils de monitoring sont en place ? CO.3
Cloudflare fournit un firewall edge, un web application firewall et une protection DDoS. Les environnements de production utilisent des règles de refus par défaut (deny-by-default), et Google Workspace filtre les e-mails et le spam. Nous n'exploitons pas de SIEM dédié ; les logs sont surveillés avec des alertes via les outils de nos fournisseurs.
Votre plan de réponse aux incidents couvre-t-il les types d'incidents courants ? IE.2
Oui. Notre plan de réponse aux incidents couvre les malwares, le déni de service, les accès non autorisés, les accès physiques non autorisés, la perte de données, la perte d'ordinateurs portables et les ransomwares. Les scénarios d'intrusion physique ne s'appliquent qu'aux endpoints car nous fonctionnons entièrement en remote, sans locaux propres.
Avez-vous un contrat de maintenance avec une société spécialisée en réponse aux incidents ? IE.3
Pas de retainer actuellement. Notre plan de réponse aux incidents prévoit de solliciter une société de réponse aux incidents externe si nécessaire.
Le plan de réponse aux incidents est-il testé et mis à jour au moins une fois par an ? IE.3.2
Oui. Le plan de réponse aux incidents est revu et approuvé chaque année par la direction, et nous réalisons un exercice de simulation annuel.
Existe-t-il un protocole pour solliciter les forces de l'ordre ? IE.6
Oui. Notre politique de réponse aux incidents définit la notification aux clients et aux autres parties prenantes, et nous maintenons des contacts avec les autorités compétentes, y compris les forces de l'ordre, dans le cadre de notre programme ISO 27001.

Sauvegarde, disponibilité et SLA

  • Sauvegardes, redondances, chiffrement et contrôles d'accès selon les DPA mesures de sécurité.
  • Réplication régionale et réplicas de lecture selon la documentation Enterprise et des sous-traitants.
  • SLA de disponibilité Enterprise : 99,9 % mensuel avec des crédits de service de 10 % à 30 %. SLA .

Les sauvegardes sont testées périodiquement pour vérifier leur intégrité et leur capacité de restauration, avec des procédures de récupération exercées annuellement (voir les réponses au questionnaire fournisseur ci-dessous). Les objectifs spécifiques de RPO et RTO ne sont pas publiés sur capgo.app.

Réponses au questionnaire fournisseur

Are backup recoveries tested at least annually? CO.6
Oui. Les sauvegardes sont testées périodiquement pour vérifier leur intégrité et leur capacité de restauration, et les procédures de récupération sont exercées chaque année.

Gestion et divulgation des vulnérabilités

  • Scan Code : SonarCloud et Snyk ; les problèmes critiques sont bloqués avant la production selon la page Trust et documentation de conformité .
  • Revue des pull requests : Revue CodeRabbit IA sur les pull requests conformément à la documentation de conformité.
  • Tests d'intrusion : Tests d'intrusion indépendants selon la page Trust. Le fournisseur, la date et la disponibilité du rapport ne sont pas publics ; utilisez le portail Trust pour vos demandes de preuves.
  • Délais de correctifs : Critique sous 7 jours et haute sous 30 jours selon notre politique de gestion des vulnérabilités (voir les réponses au questionnaire fournisseur ci-dessous).
  • Divulgation : Signaler via GitHub Avis de sécurité (également capacitor-updater et CLI selon security.txt ). Réponse sous 7 jours ouvrés selon la politique de sécurité . Signalements rémunérés via bug bounty .

Réponses au questionnaire fournisseur

Quels tests de sécurité sont requis avant une release en production ? HAS.4
Chaque pull request exécute des tests automatisés, du linting, de l'analyse statique (SonarCloud et un scan de sécurité obligatoire) et une revue code automatisée avant la fusion. Les changements en production sont approuvés par la direction. Le DAST ne fait pas partie du pipeline de release. Un test d'intrusion annuel réalisé par un tiers couvre l'application en cours d'exécution.
Quelle est la cadence de correction pour les vulnérabilités critiques et élevées ? VM.7
Critique : sous 7 jours. Élevée : sous 30 jours, conformément à notre politique de gestion des vulnérabilités.

Certifications et comment demander des preuves

Les déclarations publiques incluent :

  • SOC 2 Type 2 complété (Type II) selon la documentation de conformité .
  • Certifié ISO 27001:2022 selon la documentation de conformité et le portail de confiance.
  • Badges du portail de confiance pour SOC 2 Type 1, SOC 2 Type 2, SOC 3, ISO 27001 et RGPD sur confiance.capgo.app .

Comment obtenir les rapports : Consultez confiance.capgo.app , utilisez Request Access pour les rapports SOC, les preuves ISO, les questionnaires de sécurité et les détails de contrôle sous NDA. Les PDF de certification ne sont pas envoyés par e-mail.

Les dossiers de revue de sécurité Enterprise peuvent inclure un rapport SOC 2, un modèle de DPA et des notes d'architecture via la page Enterprise , toujours via le processus du portail de confiance pour les preuves formelles.

Les rapports d'audit SOC 2 et ISO complets, les avis des auditeurs et le périmètre détaillé sont disponibles uniquement via le portail de confiance. Les pages marketing publiques ne reproduisent pas les PDF des rapports.

Réponses au questionnaire fournisseur

Existe-t-il un processus de non-représailles pour le signalement de conformité interne ? CP.3
Oui. Le personnel peut signaler toute préoccupation via les canaux de signalement documentés définis dans nos politiques, et notre Code de conduite garantit la protection des lanceurs d'alerte de bonne foi contre les représailles.
Les contrats fournisseurs incluent-ils des dispositions de sécurité ? OS.7
Oui. Les accords de nos fournisseurs d'infrastructure et leurs DPA couvrent les contrôles d'accès, la notification de violation, la sécurité des sous-traitants et la propriété des données. Les droits d'audit sont exercés via leurs rapports SOC 2 et ISO 27001 indépendants.
Effectuez-vous une évaluation de la sécurité de vos fournisseurs ? OS.8
Oui. Les fournisseurs sont identifiés et évalués selon leur niveau de risque lors d'une évaluation annuelle des risques fournisseurs. Celle-ci examine leurs attestations de sécurité, incluant les contrôles d'accès, le MFA et le chiffrement, avec des engagements de sécurité et de notification d'incident dans leurs contrats.
Existe-t-il un processus défini pour les exceptions aux politiques de sécurité ? SP.4
Oui. Les exceptions sont documentées, évaluées en termes de risques, approuvées et suivies conformément à notre politique de gestion des politiques et de traitement des exceptions.
Souscrivez-vous une cyber assurance ? RM.5
Aucune police de cyber-assurance à ce jour.

Confidentialité et DPA

  • DPA : Accepté automatiquement lors de l'utilisation du produit ; le client est responsable du traitement, Capgo est sous-traitant ; SCC avec sous-traitants ; obligations de notification de violation et d'assistance. DPA (dernière mise à jour le 10 juin 2026 sur la page anglaise).
  • DPA / NDA signé : Disponible sur le plan Enterprise via la page Enterprise.
  • Données collectées par l'updater (par défaut) : App ID, versions, plateforme, ID d'appareil lié à l'app, bundle, canal, OS, version du plugin, pays de la requête et IP. Capgo ne collecte pas de noms, d'e-mails ou d'identifiants publicitaires par défaut. Optionnel custom_id et statistiques metadata peut contenir des identifiants personnels si votre app en envoie. Les déploiements conformes au minimum HIPAA doivent omettre ces champs et désactiver allow_device_custom_id. L'ID de l'appareil est une donnée personnelle pseudonymisée soumise au RGPD. Documentation de conformité .
  • Désactiver les statistiques explicites : Définissez statsUrl une chaîne vide pour arrêter les rapports de statistiques explicites. Lorsque updateUrl reste activé, Capgo peut toujours stocker les MAU de facturation, l'inventaire des appareils et les registres de décision de mise à jour nécessaires aux live updates et à la facturation. Documentation de conformité HIPAA .
  • Rétention : Rétention configurable des bundles ; les registres opérationnels sont conservés pour le fonctionnement du service, la sécurité, la facturation et le support, sans période publique fixe.
  • Aucune vente de données de service : Précisé dans le DPA et Data Policy .

Voir aussi Politique de confidentialité et Sous-traitants (préavis de modification de 30 jours).

Déploiements sensibles HIPAA

Le cloud Capgo est pas actuellement présenté comme un processeur de statistiques hébergé conforme à la norme HIPAA selon documentation de conformité HIPAA Les plans Enterprise peuvent inclure un Business Associate Agreement (BAA) pour les clients du secteur de la santé conformément aux page de conformité HIPAA .

Les options de déploiement pour des audits plus stricts incluent des endpoints UE, la désactivation des statistiques explicites (avec les limites ci-dessus), des statistiques auto-hébergées et un auto-hébergement sous licence (voir la page sur la conformité HIPAA).

IA générative

Par défaut, Capgo n'envoie aucune donnée client à un fournisseur d'IA. Le développement interne peut utiliser des assistants de code IA uniquement sur le code source propre à Capgo. Si un client active les diagnostics de logs de build, ces logs sont traités à chaque requête par Cloudflare Workers AI (voir la page des sous-traitants ), sans rétention par le service d'IA et sans utilisation pour l'entraînement.

Réponses au questionnaire fournisseur

Utilisez-vous des outils d'IA générative prêts à l'emploi susceptibles de traiter les données clients ? GAI.2
Par défaut, les données clients ne sont pas traitées par des outils d'IA générative prêts à l'emploi. Capgo utilise des assistants de code IA uniquement pour le développement sur le code source propre à Capgo, et non sur les données clients. La seule exception côté client concerne les diagnostics optionnels des logs de build : lorsqu'un client les active, ces logs sont traités à chaque requête par Cloudflare Workers AI, un sous-traitant répertorié, sans rétention par le service d'IA et sans utilisation pour l'entraînement des modèles.
Les données client sont-elles envoyées hors de votre environnement pour une analyse par IA ? GAI.3
Par défaut, les données client ne sont envoyées à aucun fournisseur d'IA externe pour analyse. La seule exception concerne les diagnostics optionnels des logs de build : lorsqu'un client active cette option, ces logs de build sont traités à la demande par Cloudflare Workers AI (listés sur notre page des sous-traitants), sans rétention par le service d'IA et sans utilisation pour l'entraînement des modèles.
Do you test AI outputs for unfair or discriminatory outcomes? GAI.10
Sans objet. L'IA est utilisée uniquement pour le diagnostic technique des logs de build et l'assistance au développement interne, et ne prend aucune décision concernant des individus.
Le traitement par l'IA évite-t-il de s'appuyer sur des caractéristiques protégées ? GAI.11
Oui. La fonctionnalité d'IA destinée aux clients traite uniquement les logs de build techniques et n'utilise aucune caractéristique personnelle ou protégée.
Les résultats de l'IA font-ils l'objet d'une révision et d'un suivi humains ? GAI.12
Oui. Les résultats de l'IA destinés aux clients sont purement consultatifs et présentés au développeur, qui décide de la marche à suivre. Aucune action automatisée n'est entreprise. La fonctionnalité est optionnelle et couverte par nos processus d'évaluation des risques et de gestion des fournisseurs.
Is access to AI components least privilege? GAI.13
Oui. La fonctionnalité d'IA s'exécute au sein de notre plateforme de production sous les mêmes contrôles d'accès basés sur les rôles et le principe du moindre privilège, et le service de modèle ne stocke aucune donnée client.
Maintenez-vous un inventaire des modèles d'IA, des sources de données et des composants ? GAI.15
Oui. Nos inventaires de fournisseurs et de systèmes listent le service d'IA, les modèles utilisés et les sources de données qui l'alimentent.
How long is customer input retained in the AI system? GAI.16
Par défaut, aucun contenu client n'est envoyé au service d'IA. Lorsqu'un client active les diagnostics de build-logs, les logs sont traités par requête par Cloudflare Workers AI et ne sont pas conservés par ce service ni utilisés pour l'entraînement des modèles. Les build logs stockés dans les systèmes Capgo suivent notre politique standard de rétention des données.

Contacts

Sujets non communiqués publiquement

Les éléments suivants sont fréquemment demandés dans les questionnaires mais ne figurent pas sur les pages publiques Capgo. Demandez les détails via le portail de confiance ou par e-mail à security@capgo.app.

  • Détails sur la période, le périmètre du rapport SOC 2 et la lettre de l'auditeur au-delà du portail de confiance
  • Prestataire de tests d'intrusion, date et lettre de synthèse (les tests annuels sont confirmés dans la gestion des vulnérabilités)
  • Objectifs numériques RPO et RTO publiés
  • Durées exactes de rétention des logs par système, au-delà du résumé de moins de trois ans sous Journalisation, monitoring et incidents
  • Version minimale de TLS, suites de chiffrement et détails sur la rotation des clés de plateforme
  • Provisionnement SCIM
  • Contact du DPO ou du représentant de l'UE
  • Délai spécifique de suppression des données client après la fin du contrat
  • Certifications PCI DSS, FedRAMP, CSA STAR ou TISAX (non revendiquées publiquement)