Sécurité des données & Conformité

Faites confiance à Ideanote pour sécuriser vos données et répondre à vos exigences de conformité.

Accès sécurisé

Ideanote prend en charge le SSO via SAML 2.0, l'approvisionnement SCIM, la validation de domaine et les intégrations de gestion des appareils afin que seuls les utilisateurs approuvés et les appareils fiables accèdent à votre espace de travail.

Conformité facilitée

toutes les données client dans Ideanote sont chiffrées par défaut pendant leur transit et au repos. Les administrateurs d'entreprise bénéficient d'une visibilité et d'un contrôle accrus grâce aux journaux d'audit, aux paramètres avancés d'autorisation et aux intégrations avec les agrégateurs de journaux d'audit pour protéger vos informations.

Contrôle de l'information

Des fonctionnalités telles que les politiques globales de rétention, le contrôle des exportations et les pistes d'audit aident les organisations à gérer les obligations de conformité et à maintenir une supervision tout au long du cycle de vie complet de leurs idées.

Options d'hébergement

Ideanote propose un hébergement cloud standard, une résidence régionale des données, des déploiements dédiés mono-locataire et des installations locales entièrement autogérées — vous donnant le contrôle sur où et comment vos données sont hébergées.

TABLEAU DE BORD DE SÉCURITÉ

La confiance parle plus fort que les mots

Avec un score de 98 % sur SecurityScorecard, Ideanote figure parmi les plateformes les plus sécurisées au monde. Cette note de premier ordre confirme nos défenses solides, une surveillance continue et un profil à faible risque.

Téléchargez le SecurityScorecard d'Ideanote >

CONTRÔLE FLEXIBLE

Consultez notre rapport de sécurité

Ideanote a été audité et déclaré conforme aux principes de sécurité, disponibilité et confidentialité SOC 2 par un auditeur indépendant.

Vous pouvez consulter notre rapport de sécurité actuel sur notre centre de confiance.

Voir le rapport du Centre de Confiance Ideanote >

Sécurité

Nous appliquons une approche de sécurité dès la conception pour protéger vos données. Notre infrastructure, nos politiques et nos processus sont continuellement surveillés par Drata pour garantir la conformité aux normes industrielles.

Chiffrement partout

Toutes les données transitant par Ideanote sont chiffrées à l'aide d'une cryptographie robuste, aussi bien lors de leur transmission sur Internet (TLS 1.2+) que lors de leur stockage dans nos bases de données ou systèmes de fichiers (AES-256). Cela garantit que vos données sont protégées contre tout accès non autorisé, qu'elles circulent entre les systèmes ou qu'elles soient stockées au repos.

Accès au moindre privilège

L'accès aux données client est accordé uniquement lorsqu'il est strictement nécessaire et toujours limité au minimum requis. Chaque employé possède des comptes uniques, l'authentification multifactorielle est obligatoire, et les comptes résiliés sont automatiquement supprimés dans un délai d'un jour ouvrable. Cela évite une exposition inutile et réduit les risques en cas d'erreur humaine ou d'intention malveillante.

Surveillance continue

Grâce à Drata, notre infrastructure, nos points d'accès et nos politiques sont surveillés 24 heures sur 24. Des alertes automatisées et une collecte quotidienne de preuves garantissent que les contrôles de sécurité sont actifs et efficaces chaque jour.

Cycle de développement sécurisé

Notre cycle de développement logiciel (SDLC) inclut plusieurs mesures de protection. Chaque modification de code fait l'objet d'une revue par les pairs, de tests automatisés et de scans de sécurité avant sa mise en production. Les dépendances sont continuellement vérifiées pour des vulnérabilités, et les builds sont validés dans des environnements distincts de développement, préproduction et production. L'authentification multifactorielle est imposée pour tous les dépôts de code, systèmes de déploiement et pipelines, assurant des pratiques sécurisées de la création du code à son déploiement.

Structure de rapports claire

Nous maintenons des processus internes documentés ainsi que des contacts externes pour que les vulnérabilités et incidents soient signalés et traités rapidement et en toute transparence.

Authentification sécurisée

Ideanote prend en charge plusieurs méthodes d'authentification de niveau entreprise, y compris SAML 2.0, SCIM, JWT, OpenID, et plus encore. Ces options offrent aux organisations un contrôle renforcé sur la gestion d'identité et un accès sécurisé et fluide pour leurs équipes.

‍

Confidentialité

Vos données vous appartiennent. Nous concevons notre plateforme et nos politiques pour garantir la confidentialité, la transparence et la conformité aux normes mondiales.

Comment nous traitons vos données

Notre équipe est dédiée au développement et à la maintenance de protections de la vie privée conformes aux meilleures pratiques du secteur. Nous assurons une formation continue pour que nos employés soient à jour avec l'évolution de la législation et des normes de confidentialité. Chaque employé et sous-traitant signe des accords de confidentialité et de non-divulgation, et les fournisseurs traitant des données personnelles doivent respecter ces mêmes exigences strictes.

Accords

Les Conditions d'Ideanote et l'Addendum de traitement des données décrivent en détail nos pratiques, normes et protections en matière de confidentialité des données. Ces accords sont régulièrement révisés et mis à jour afin d'assurer la conformité au RGPD, CCPA et autres lois mondiales sur la protection des données.

Gouvernance des données

Nous appliquons des politiques et des procédures qui encadrent l'intégralité du cycle de vie des données, de la collecte et du traitement à la distribution, au stockage et à la suppression. Cela garantit que vos informations restent sécurisées, privées, précises et accessibles durant toute leur utilisation.

Infrastructure de sécurité

L’infrastructure d’Ideanote est conçue avec plusieurs couches de protection pour garantir que vos données sont sécurisées pendant leur transmission, leur stockage ou leur traitement. Les protections comprennent, sans s’y limiter, le chiffrement, l’accès au moindre privilège, et le développement logiciel sécurisé.

Conformité

Nous nous alignons sur les cadres de référence majeurs et subissons des audits indépendants pour garantir que vos données sont gérées de manière responsable.

SOC2 Type II

Nos systèmes et contrôles sont audités selon les critères des services de confiance AICPA, vérifiant qu'Ideanote maintient des protections efficaces pour la sécurité, la disponibilité et la confidentialité sur la durée. Ideanote est fier d'être certifié SOC 2 Type II par un auditeur tiers indépendant, garantissant aux clients que nos contrôles de sécurité ont été attestés et validés. Nous recherchons constamment des moyens non seulement d'améliorer la sécurité de notre produit mais aussi la façon dont nous menons nos affaires au quotidien.

‍

Conformité au RGPD

Étant donné que le RGPD est considéré comme le cadre de confidentialité mondial le plus strict et qu'Ideanote est basé dans l'UE, nous alignons notre programme de confidentialité sur ses exigences ainsi que d'autres réglementations internationales. Les clients disposent de droits d'accès, de correction, de suppression et de limitation de l'utilisation de leurs données personnelles conformément au RGPD.

Options de résidence des données

La résidence des données pour Ideanote permet aux organisations de choisir le pays ou la région où elles souhaitent stocker leurs données chiffrées au repos. Ideanote prend en charge les régions UE, États-Unis, CA et AE dès le départ. Cela offre aux clients la flexibilité de se conformer aux réglementations régionales comme le règlement provincial canadien sur la confidentialité, la Privacy Act australienne de 1988 ou la politique de souveraineté des données KSA.

Hébergement sur site

Pour les organisations soumises à des mandats stricts de conformité ou de sécurité, Ideanote propose également des installations entièrement autogérées offrant un contrôle maximal sur l'emplacement des données, l'infrastructure et les politiques opérationnelles. Avec Ideanote, vous pouvez garder toutes les idées de votre entreprise derrière votre pare-feu.

Fiabilité

L'innovation nécessite une plateforme sur laquelle vous pouvez compter. Ideanote est conçu avec la résilience et la continuité à l'esprit.

Répartition automatique de la charge

La répartition de charge et une architecture en cluster assurent une haute disponibilité pour notre application web et notre API. Le système d'Ideanote s'adapte automatiquement à la demande et peut gérer les pics de trafic des campagnes mondiales sans problème.

Sauvegarde et rétention

Toutes les bases de données sont sauvegardées quotidiennement, avec un stockage versionné et des périodes de rétention définies. Cela garantit que les données peuvent être restaurées de manière fiable et rapide.

Surveillance et alertes cloud

L'infrastructure principale, y compris les bases de données et les files de messages, est continuellement surveillée. Les alertes automatisées escaladent les problèmes avant qu'ils n'impactent la disponibilité.

Continuité des affaires

Un plan testé de reprise après sinistre et de continuité des activités garantit que les services peuvent être rapidement restaurés en cas d'incident. Les leçons tirées des tests alimentent les améliorations continues.

Gouvernance de l'IA

L'IA dans Ideanote est conçue pour vous aider à travailler plus intelligemment sans ajouter de risques ni de complexité. Nous suivons un modèle de gouvernance clair qui protège vos données, respecte la confidentialité et vous donne le contrôle sur l'utilisation de l'IA. Vous pouvez adopter l'IA en sachant que l'essentiel est pris en charge pour vous.

Pas de formation sur les données client

Votre contenu reste vôtre. Ideanote n'utilise pas le contenu client pour entraîner les modèles d'IA.
Nous exigeons également que nos sous-traitants ne se servent pas de vos données pour l'entraînement des modèles.

Microsoft confirme que Azure OpenAI n'utilise pas les données client pour l'entraînement. En savoir plus >

IA régionale et résidence des données

Si vous utilisez Ideanote dans un déploiement régional, votre traitement IA reste dans la région avec les données de votre espace de travail. Cela vous aide à satisfaire aux attentes internes et réglementaires concernant la résidence des données – sans configuration ou maintenance supplémentaire de votre part.

Par exemple, la limite des données UE de Microsoft conserve les données éligibles stockées et traitées au sein de l'UE. En savoir plus >

Sécurité et isolation d'entreprise

Vos données IA sont traitées dans une infrastructure conçue pour la confidentialité et la conformité, avec un chiffrement et une isolation intégrés par défaut.

Azure OpenAI utilise le chiffrement AES-256 et l'isolation logique des données.
En savoir plus >

Zéro journalisation et zéro rétention

Nous nous occupons des bases pour que vous n'ayez pas à vous inquiéter :

Nous avons désactivé la journalisation des invites et des complétions
Nous imposons une politique de zéro rétention, donc les invites et complétions ne sont pas stockées
Pas de revue humaine du contenu client
Aucune donnée n'est conservée pour l'entraînement, la surveillance ou l'audit

Azure OpenAI prend en charge des déploiements avec aucune journalisation et aucune rétention après approbation. En savoir plus >‍

Contrôle granulaire

L'IA est facultative et configurable. Vous pouvez désactiver toutes les fonctionnalités IA, désactiver des capacités spécifiques ou limiter l'accès aux utilisateurs sélectionnés. Cela permet aux équipes de bénéficier de l'IA sans dépasser les politiques internes.

BYOK et points d'extrémité client

Ideanote est ouvert aux approches BYOK pour l'IA, où les requêtes sont envoyées à vos propres fournisseurs cloud d'IA pour un contrôle encore plus important. Bien que cette option ne soit pas activée dans notre interface, nous pouvons collaborer avec vous pour activer l'IA à votre manière.

Questions fréquemment posées

What are your SLAs for availability as well as RPO and RTO?

For up to date information on our SLAs please see https://ideanote.io/legal/sla

We guarantee an uptime of 99.9%
Ideanote’s RTO is 1 hour
Ideanote’s RPO is 24 hours
Ideanote MTPOD is 8 days

Is the data encrypted at rest?

Yes, you Content and PII is encrypted at rest on Google Cloud databases using KEK. Industry standard, FIPS compliant encryption is used (AES 256).

The Google Cloud Platform encrypts customer data stored at rest by default. Data in Google Cloud Platform is broken into subfile chunks for storage, and each chunk is encrypted at the storage level with an individual encryption key. The key used to encrypt the data in a chunk is called a data encryption key (DEK). Because of the high volume of keys at Google, and the need for low latency and high availability, these keys are stored near the data that they encrypt. The DEKs are encrypted with (or “wrapped” by) a key encryption key (KEK).

For more information see https://cloud.google.com/docs/security/encryption/default-encryption

How is my data protected?

We take security very seriously. Your data is protected with HTTPS enforcement and Transport Layer Security (TLS) 1.3 with SHA-256 hashing and RSA-2048 signing to keep them private during transit. At rest they are kept safe and encrypted in our SOC2 compliant Google Cloud Kubernetes Datacenter.

On top of the security features of our datacenter we have:

128-bit SSL encryption of all data transfer in our platform.
Daily backups of all your data, in case anything goes wrong.
Security protocols where we work.

Can Ideanote provide a full copy or redacted summary of the independent 3rd party penetration test report?

Yes, Ideanote can provide summaries and results and remediation of vulnerability assessments and/or 3rd party penetration tests to Enterprise customer on request.

Are anonymous idea submissions really anonymous?

Ideanote believes anonymity should be clear and consistent for users. Ideanote offers three levels of anonymity on the platform.

Visible Ownership - where the full name is visible to everyone who can see the idea.
Partly Anonymous Ownership - where the full name is visible for people with editing rights to the idea collection, including admins.
Fully Anonymous Ownership - where not even admins can see that you submitted an idea.

Fully Anonymous Ownership hides your name for other people from anywhere in the user interface including lists, statistics, integrations, notifications and exports. While anonymous ideas are also not counted in statistics and not shown on your profile, it might still be possible to identify or approximate an idea submitter identity via metadata like the location of a user, custom JavaScript code added to the platform by the administrator or process loopholes like only letting one person submit an idea at a time while knowing who a link was sent to.

Ideanote is also forced to provide a "data dump" export of all data on a workspace on request by the Workspace Owner for compliance reasons. While these requests are rate, the data might contain ways to uncover anonymity. Ideanote does not reveal the identity of anonymous ideas on request. In cases of suspected gross negligence Ideanote reserves the right to send notifications to users suspected to be victims of a breach of their anonymity.

Will the personal information be collected directly from the individuals to whom it is about or indirectly from another source?

The source of the information depends on the implementation and use of Ideanote and is up to the customer. When using single-sign on or importing user data via CSV, the customer is providing the personal information to Ideanote. In cases where the user signs up manually to the platform, e.g. via a shareable link, the individual would be providing the information themselves.

Will end-user personal information be used for new purposes and is it disclosed to third parties?

End-user personal information will not be exposed to Ideanote and its support staff. The only purpose for end-user personal information being provided to the platform is performing the Ideanote service. In no circumstance is this data used for other purposes or shared with third parties for other purposes than performing the service. Some limited personal information might in some case be shared with 3rd party sub-processors, e.g. in the case of sending an email via Sendgrid, the email needs to be shared with Sendgrid to send the email. For more information on our 3rd party sub-processors, and the list of countries and locations that the data is hosted see https://ideanote.io/legal/sub-processors

Why do your Terms of Service require the worldwide, royalty-free, non-exclusive, perpetual right to store, display, modify, edit, send, delete, scan, analyze, track, repackage and reproduce content?

While these rights may seem expansive at first glance, they are both standard and necessary for any digital service that handles user-generated content. Here's why: Operational Efficiency: For any service to function properly, the ability to store, display, and modify content is essential. This ensures that the platform operates seamlessly across different devices and user interfaces. User Experience: In some instances, content might need to be reformatted or edited to fit within the context of the platform. This guarantees an optimal user experience, making it easier to read, access, or interact with your content. Global Accessibility: The "worldwide" aspect ensures that your content can be accessed from anywhere, which is integral for cloud-based platforms that aim for a global reach. Technical Collaboration: As technology evolves, companies often need to integrate third-party services to improve functionality or add new features. The rights extend to these partnerships to ensure a consistent and unified service. Data Analysis: Scanning and tracking enable the service to understand how users interact with the platform, which helps in continuously improving the service for everyone. Security: These rights allow the service to scan for harmful or inappropriate content, ensuring a secure and safe environment for all users. Perpetual Rights: The perpetual nature of the rights ensures that the service remains uninterrupted, even if the legal entity behind it changes. No Additional Notices: Obtaining additional consent for every small modification could result in a cumbersome experience for the user and hinder the service's ability to adapt quickly. Cost Efficiency: The "royalty-free" and "non-exclusive" terms help keep operating costs low, which is crucial for offering competitive, yet high-quality services. By granting these rights, you're not giving away ownership. Rather, you're enabling the service to use your content in ways that maximize functionality and user experience, all while maintaining the platform's agility and effectiveness.

What security features do Ideanote’s data centers provide?

Ideanote is using GCP as a secure data center provider. The Google Cloud Platform data centers are monitored 24/7 by high-resolution interior and exterior cameras that can detect and track intruders. Access logs, activity records, and camera footage are available in case an incident occurs. Access to Google's data center floor is only possible via a security corridor which implements multi-factor access control using security badges and biometrics.

Only approved employees with specific roles may enter. Additionally, Google data center physical security features a layered security model, including safeguards like custom-designed electronic access cards, alarms, vehicle access barriers, perimeter fencing, metal detectors, and biometrics, and the data center floor features laser beam intrusion detection. Google meticulously tracks the location and status of all equipment within their data centers from acquisition to installation to retirement to destruction, via barcodes and asset tags. Metal detectors and video surveillance are implemented to help make sure no equipment leaves the data center floor without authorization.

If a component fails to pass a performance test at any point during its lifecycle, it is removed from inventory and retired. Google hard drives leverage technologies like FDE (full disk encryption) and drive locking, to protect data at rest. When a hard drive is retired, authorized individuals verify that the disk is erased by writing zeros to the drive and performing a multiple-step verification process to ensure the drive contains no data. If the drive cannot be erased for any reason, it is stored securely until it can be physically destroyed. Physical destruction of disks is a multistage process beginning with a crusher that deforms the drive, followed by a shredder that breaks the drive into small pieces, which are then recycled at a secure facility. Each data center adheres to a strict disposal policy and any variances are immediately addressed.

What protection do you provide against DDoS, Ransomware, Malware and other attacks?

Ideanote is protected against vulnerabilities and threats with a range of

Ideanote is protected against DDOS attacks with the Google Cloud Armor WAF (Web Application Firewall).
Ideanote follows secure development lifecycle and secure development environment practices.
Ideanote tests against OWASP 10 vulnerabilities and develops with OWASP 10 in mind.
Ideanote conducts a vulnerability assessment by an independent third party on an annual basis and remediates any findings.
Any security findings are prioritized and addressed on a running basis.
Ideanote has separate development, staging and production environments and does not use production data during development.
Customer data is encrypted at rest and in transit.
Industry standard encryption methods (AES 256) is used to protect customer data.
Code dependencies are automatically checked for vulnerabilities.
Automated tests are run to ensure authentication and authorization methods are secure.
Ideanote endpoints are hardened, encrypted and protected against malware.