V0.2 Dernière mise à jour : 25/01/2019
Cette politique de sécurité s’applique au service Revoke (le “Service”) exploité par Atam ID Technologies Limited (“Revoke”, “nous” ou “notre”). Revoke est un nom commercial d’Atam ID Technologies Ltd. (” Atam “), une société enregistrée auprès de la Jersey Financial Services Commission, numéro d’enregistrement 124314.
Chez Revoke, nous nous soucions profondément de la confidentialité et de la sécurité.
Cette politique décrit les mesures que nous avons prises pour nous assurer que toutes les données que nous stockons ou transmettons sont sécurisées et protégées de façon appropriée.
Nous utilisons des niveaux avancés de cryptage des données au repos et pendant le transport au niveau du message et de la couche de transport, y compris l’utilisation des éléments suivants ;
Nous traitons les données personnelles avec le plus grand soin.
Nous nous assurons que toutes les données sont cryptées, lorsqu’elles sont sur votre appareil, lorsqu’elles sont transmises et lorsqu’elles sont stockées chez Revoke
Chaque utilisateur dispose d’une ” Clé personnelle ” unique sur son téléphone pour déchiffrer les données privées. Cette clé privée est dérivée par un processus de génération de nombres aléatoires. Une clé publique correspondante est utilisée pour le cryptage. Ces clés sont connues sous le nom de paires de clés.
Pour s’assurer que la paire de clés est complètement aléatoire et impossible à recréer, l’utilisateur doit effectuer des actions non prévisibles et non reproductibles.
Ces actions dépendent de l’appareil et de l’application, mais comprennent une ou plusieurs des actions suivantes :
Toutes les données sur l’appareil d’un utilisateur sont cryptées à l’aide du cryptage AES256 avec un mot de passe généré aléatoirement. Le mot de passe de chaque élément de données est crypté à l’aide d’une clé publique appropriée.
Les données sont décryptées à l’aide d’une clé privée, accessible avec un code PIN défini par l’utilisateur.
Les informations envoyées à des tiers et en provenance de tiers contenant des données personnelles confidentielles ou sensibles sont protégées et sécurisées par des certificats cryptographiques.
Les certificats sont basés sur la norme X509, mais utilisent un format json pour permettre des propriétés étendues qui ne sont pas prises en charge dans le format original du certificat x509.
En plus de crypter les messages, HTTPS est également utilisé pour crypter la transmission réelle entre tous les services.
Revoke fournit aux entreprises une API qui leur permet de récupérer et de comparer les données des clients afin qu’elles puissent répondre automatiquement et rapidement aux demandes des consommateurs.
Il est essentiel que les renseignements personnels ne soient pas divulgués dans le cadre de ce processus et que les données des clients de l’entreprise soient protégées.
Toutes les données envoyées par une organisation à Revoke sont masquées et rendues anonymes à l’aide de la cryptographie afin de fournir un stockage de données sécurisé sans compromettre les données personnelles du client ou les données commercialement sensibles d’une entreprise.
Un dossier client d’une entreprise cliente se compose de deux éléments principaux :
Chaque enregistrement d’entreprise nécessite une référence unique qui a une pertinence dans la base de données clients de l’entreprise. Cette référence permet de lier les données Revoke ou une demande de protection des données à un client réel.
Pour protéger le champ de référence du client, l’entreprise crypte les données à l’aide de la Clé Privé Curve25519 à l’aide du cryptage en boîte secrète.
La base de données clients contient une ou plusieurs zones correspondantes. Un champ de critères est un élément d’information unique lié au client final. Il peut s’agir d’éléments tels que “adresse électronique”, “prénom”, “nom”, “code postal”, etc. L’entreprise peut fournir un nombre illimité de champs correspondants en tenant compte de la quantité et du type de données client dans leurs systèmes.
Avant la transmission, les données de champ correspondantes sont protégées par deux cycles de hachage BlakeB. Ainsi, tous les renseignements commerciaux ou personnels de nature délicate sont entièrement protégés contre toute utilisation abusive par des tiers. Le mécanisme de protection des données Revoke offre trois niveaux fondamentaux de sécurité :
Afin de protéger convenablement les données sensibles envoyées par l’entreprise à Revoke, l’algorithme suivant est implémenté :
Notes :
Le processus ci-dessus présente les avantages suivants :
Les utilisateurs envoient les mêmes informations correspondantes à Revoke en utilisant une approche similaire. La différence remarquable est que le processus est divisé en deux parties, le dispositif de l’utilisateur exécutant le hachage initial avec la clé publique de Revoke.
Les services Revoke utilisent ensuite les données envoyées par l’appareil de l’utilisateur pour pré-calculer une table de hachage contenant les données pertinentes pour les entreprises connectée. Ce processus utilise la clé privée Revoke et la clé publique spécifique de l’entreprise pour générer le même secret partagé utilisé par l’entreprise.
Le système Revoke prend toutes les nouvelles données masquées soumises par les utilisateurs et construit un système de référence approprié qui permet une recherche rapide des données. En fait, le système calcule tous les résultats potentiels d’appariement pour le client et la base d’utilisateurs de l’organisation. Ces résultats sont stockés dans une base de données efficace et sécurisée.
La demande est faite via une communication HTTPS/SSL en utilisant un simple appel REST/SOAP.
Chaque demande envoyée à l’API de la société contient :
Toutes les demandes sont estampillées d’un timbre dateur UTC, précis à la milliseconde près, qui fait partie du contenu signé. Toute requête reçue en dehors d’une fenêtre temporelle définie par le serveur est ignorée.
Les demandes de charge utile sont chiffrées à l’aide d’une boîte secrète, ce qui élimine le besoin pour l’entreprise de suivre et de maintenir un numéro unique qui, une fois utilisé, a une valeur.
Nous prenons la sécurité très au sérieux, c'est pourquoi nous avons été évalués et certifiés pour traiter efficacement la cybersécurité et atténuer les risques liés aux menaces basées sur Internet.