Sécurité et conformité chez Faira

Faira Platforms Ltd (« Faira », « nous » ou « notre ») s’engage à protéger la sécurité, la confidentialité et l’intégrité des informations traitées via sa plateforme.

Faira fournit une infrastructure permettant aux entreprises de capter, gérer et automatiser leurs communications clients sur les canaux vocaux, WhatsApp, Instagram, Facebook/Messenger et d’autres canaux.

La présente page décrit l’approche actuelle de Faira en matière de sécurité et de conformité.

Elle doit être lue conjointement avec notre Politique de confidentialité, nos Conditions générales d’utilisation et, le cas échéant, notre Accord de traitement des données.

L’approche de Faira en matière de sécurité repose sur cinq principes.

Confidentialité

Les données à caractère personnel et les informations clients ne sont accessibles qu’aux systèmes et aux personnes autorisés ayant un besoin professionnel légitime.

Intégrité

Nous mettons en œuvre des contrôles appropriés destinés à protéger les informations contre toute modification non autorisée, perte ou altération.

Disponibilité

Notre infrastructure est conçue pour offrir un accès résilient et fiable à la plateforme Faira.

Minimisation des données

Nous nous efforçons de ne collecter, traiter et conserver que les informations nécessaires à la fourniture du service concerné.

Moindre privilège

L’accès aux systèmes et aux informations est restreint en fonction du rôle et du besoin professionnel.

L’infrastructure applicative principale de Faira est hébergée sur Amazon Web Services (AWS).

Faira utilise les services AWS pour des fonctions telles que :

• l’hébergement applicatif ;
• les bases de données ;
• le stockage ;
• le réseau ;
• la supervision ;
• les sauvegardes ; et
• l’infrastructure de sécurité.

Faira recourt à une infrastructure AWS géographiquement adaptée lorsque cela est possible et approprié.

Notre architecture régionale prévue est la suivante :

Le traitement régional ne signifie pas que chaque composant d’un service, journal opérationnel, système de support ou prestataire tiers demeure nécessairement dans la même zone géographique.

Lorsque des données à caractère personnel font l’objet d’un transfert international, Faira applique les garanties appropriées conformément à la législation applicable en matière de protection des données.

Faira utilise le chiffrement et d’autres mesures techniques appropriées pour protéger les informations en transit et au repos, lorsque cela est adapté au service et aux données concernés.

Les données transmises entre systèmes sont protégées au moyen de mécanismes de sécurité de transport appropriés.

L’accès à l’infrastructure et aux systèmes sensibles est contrôlé par des mécanismes d’authentification et de gestion des accès.

Faira applique des contrôles d’accès destinés à garantir que l’accès aux informations clients est limité aux utilisateurs et systèmes autorisés.

Ces contrôles peuvent comprendre :

• des accès fondés sur les rôles ;
• l’authentification ;
• des autorisations selon le principe du moindre privilège ;
• des revues d’accès ;
• la gestion des identifiants ;
• des autorisations au niveau des services ; et
• la journalisation et la supervision.

Faira limite l’accès des salariés et prestataires aux informations clients à ce qui est raisonnablement nécessaire à l’exercice de leurs fonctions.

Faira intègre les enjeux de sécurité dans la conception et le développement de sa plateforme.

Selon le service, les contrôles peuvent comprendre :

• l’accès authentifié ;
• des contrôles d’autorisation ;
• la validation des entrées ;
• une conception d’API sécurisée ;
• la gestion des secrets ;
• la gestion des dépendances ;
• la journalisation ;
• la supervision ;
• la gestion des vulnérabilités ; et
• des processus de déploiement contrôlés.

Faira évalue et améliore en continu ses contrôles de sécurité à mesure que la plateforme évolue.

Faira se connecte à des plateformes et services tiers via des API et d’autres mécanismes d’intégration.

Il peut s’agir notamment de :

• Meta ;
• WhatsApp ;
• Instagram ;
• Facebook/Messenger ;
• Twilio ;
• Africa’s Talking ;
• Vapi ;
• OpenAI ;
• plateformes CRM ;
• plateformes de réservation ; et
• d’autres services pris en charge.

Lorsque cela est pris en charge, Faira utilise des mécanismes d’authentification et d’autorisation appropriés, notamment des identifiants d’API, des jetons d’accès et une autorisation fondée sur OAuth.

Faira s’efforce de limiter les autorisations accordées aux intégrations à celles nécessaires à la fourniture de la fonctionnalité demandée.

Faira peut s’intégrer aux technologies Meta, notamment :

• WhatsApp Business Platform ;
• la messagerie Instagram ;
• les pages Facebook ;
• Facebook Messenger ; et
• d’autres API Meta.

Faira est responsable de la protection des informations traitées par ses systèmes conformément à la loi applicable et à ses obligations contractuelles.

Il incombe aux entreprises qui connectent des comptes Meta à Faira :

• de conserver le contrôle de leurs comptes Meta ;
• de n’autoriser que les utilisateurs appropriés ;
• de respecter les politiques Meta applicables ;
• de configurer leurs intégrations de manière appropriée ; et
• de veiller à la licéité de leur utilisation des services Meta.

Faira ne vend pas les données de plateforme Meta.

Faira utilise des infrastructures de télécommunications et de voix tierces pour fournir ses fonctionnalités vocales.

Selon le marché, Faira peut utiliser les prestataires suivants.

Twilio

Twilio peut être utilisé pour les services vocaux et de télécommunications :

• au Royaume-Uni ;
• aux États-Unis ; et
• en Europe.

Lorsque cela est pris en charge, Faira peut recourir à l’infrastructure et au traitement régionaux de Twilio.

Africa’s Talking

Africa’s Talking peut être utilisé pour les services vocaux :

• au Nigeria ; et
• au Kenya.

Vapi

Vapi peut être utilisé pour l’orchestration de l’IA vocale et les fonctionnalités de traitement vocal associées.

L’infrastructure vocale peut traiter :

• des numéros de téléphone ;
• des métadonnées d’appel ;
• des fichiers audio ;
• des enregistrements d’appel lorsqu’ils sont activés ;
• des transcriptions ;
• des réponses générées par l’IA ; et
• d’autres informations nécessaires à la fourniture du service vocal.

Faira utilise des technologies d’IA pour fournir des fonctionnalités telles que :

• la transcription ;
• la compréhension des conversations ;
• la qualification de prospects ;
• la synthèse ;
• la génération de réponses ;
• l’exécution de flux de travail ; et
• les interactions vocales avec l’IA.

Faira peut recourir à OpenAI et Vapi dans le cadre de son infrastructure d’IA.

Faira applique des contrôles appropriés aux informations transmises aux fournisseurs d’IA et s’efforce de limiter les données à caractère personnel non nécessaires.

Les fournisseurs d’IA peuvent traiter des informations conformément à leurs conditions contractuelles et à leur architecture technique applicables.

Faira ne garantit pas que les résultats produits par l’IA sont toujours exacts ou exempts d’erreurs.

Faira est conçu pour ne traiter les informations clients que dans la mesure nécessaire à la fourniture des services et aux autres finalités autorisées.

Faira ne vend pas les données de ses clients.

Lorsque Faira recourt à des services d’IA tiers, elle s’efforce de veiller à ce que des contrôles contractuels et techniques encadrent l’utilisation des informations clients.

Les clients devraient éviter de transmettre à Faira des informations qui ne sont pas nécessaires au service qu’ils utilisent.

Faira applique un modèle d’infrastructure régionalisé lorsque cela est techniquement et commercialement approprié.

Notre modèle actuellement prévu est le suivant.

Royaume-Uni

Les données des clients britanniques sont destinées à être hébergées sur l’infrastructure AWS du Royaume-Uni.

Union européenne

Les données des clients de l’UE sont destinées à être hébergées sur l’infrastructure AWS de l’UE.

États-Unis

Les données des clients américains sont destinées à être hébergées sur l’infrastructure AWS des États-Unis.

Afrique

Les données des clients africains sont destinées à être hébergées sur l’infrastructure AWS des États-Unis.

Certains services tiers peuvent fonctionner indépendamment de cette architecture AWS.

Par conséquent, certaines informations peuvent être traitées en dehors de la zone géographique principale du client.

Cela peut être le cas pour :

• les télécommunications ;
• le traitement par l’IA ;
• les services de plateforme Meta ;
• la sécurité ;
• la supervision ;
• le support ;
• l’authentification ;
• l’administration du service ; ou
• d’autres fonctions nécessaires.

Lorsque cela est requis, Faira met en œuvre les garanties appropriées en matière de transfert international de données.

Faira fait appel à des prestataires tiers soigneusement sélectionnés pour fournir certaines parties de ses services.

Les principaux prestataires peuvent être les suivants :

De plus amples informations sur nos sous-traitants ultérieurs et les lieux de traitement sont disponibles, le cas échéant, dans l’Annexe relative aux sous-traitants ultérieurs.

Faira limite l’accès aux informations clients en fonction du rôle et du besoin professionnel.

Le cas échéant, les personnes ayant accès à des informations confidentielles ou à caractère personnel sont soumises :

• à des obligations de confidentialité ;
• à des contrôles d’accès ;
• à des procédures de sécurité ;
• à des exigences de sensibilisation à la sécurité ; et
• à des processus d’arrivée et de départ appropriés.

Les accès sont retirés ou ajustés lorsque les personnes concernées n’en ont plus besoin.

Faira supervise son infrastructure et ses services afin de détecter les événements de sécurité et d’exploitation.

Selon le système, cela peut inclure :

• les événements d’authentification ;
• les journaux d’accès ;
• les événements applicatifs ;
• les événements d’infrastructure ;
• les erreurs système ;
• les activités suspectes ; et
• la disponibilité des services.

Les informations de sécurité peuvent être conservées pendant une durée appropriée pour permettre :

• l’investigation d’incidents ;
• la supervision de la sécurité ;
• la prévention de la fraude ;
• la résolution d’incidents techniques ; et
• le respect d’exigences légales ou réglementaires.

Faira s’efforce d’identifier et de corriger les vulnérabilités de sécurité affectant ses systèmes.

Selon la nature et la gravité d’une vulnérabilité, Faira peut :

• enquêter sur le problème ;
• évaluer son impact potentiel ;
• appliquer des correctifs de sécurité ;
• mettre à jour les composants concernés ;
• mettre en place des mesures d’atténuation ; et
• suivre le problème jusqu’à sa résolution.

Les problèmes de sécurité sont hiérarchisés en fonction de leur impact potentiel et du risque associé.

Faira maintient des processus d’identification, d’investigation et de traitement des incidents de sécurité suspectés.

Lorsque Faira détermine qu’un incident de sécurité a entraîné une violation de données à caractère personnel devant faire l’objet d’une notification en vertu de la loi applicable, Faira procède aux notifications dans le délai légal applicable.

Lorsque Faira agit en qualité de sous-traitant, elle en informe le client professionnel concerné conformément à l’Accord de traitement des données applicable.

Il incombe aux clients de tenir à jour des contacts exacts en matière de sécurité et de vie privée afin que les notifications d’incident puissent leur être transmises rapidement.

Faira utilise une infrastructure cloud et des contrôles opérationnels conçus pour favoriser la résilience du service.

Selon le service, ceux-ci peuvent comprendre :

• des sauvegardes ;
• de la redondance ;
• de la supervision ;
• des procédures de restauration ;
• l’automatisation de l’infrastructure ; et
• des processus de réponse aux incidents.

Les objectifs de reprise peuvent varier selon le service et l’infrastructure concernés.

Faira ne garantit pas une disponibilité ininterrompue.

Faira maintient des processus de suppression des données à caractère personnel conformément aux exigences de conservation applicables.

Les clients peuvent demander la suppression des données à caractère personnel concernées via la procédure de Faira en matière de vie privée.

Lorsque Faira agit en qualité de sous-traitant, la suppression est effectuée conformément aux instructions du client et aux exigences contractuelles applicables.

De plus amples informations figurent sur notre page Suppression des données et demandes relatives à la vie privée.

La sécurité est une responsabilité partagée.

Il incombe aux clients :

• de préserver la sécurité de leurs identifiants de compte ;
• de contrôler les accès des utilisateurs ;
• d’utiliser une authentification appropriée ;
• de configurer les intégrations de manière sécurisée ;
• de protéger les appareils utilisés pour accéder à Faira ;
• de veiller à un usage autorisé des données clients ;
• de maintenir des politiques de sécurité internes appropriées ; et
• de signaler sans délai tout incident de sécurité suspecté.

Les clients ne doivent pas partager leurs identifiants de compte entre plusieurs utilisateurs.

Faira s’engage à respecter les exigences applicables en matière de protection des données ainsi que les autres exigences légales pertinentes pour les services qu’elle fournit.

Selon le service et la juridiction concernés, cela peut inclure des exigences découlant :

• du RGPD britannique (UK GDPR) ;
• du Data Protection Act 2018 ;
• de la législation européenne applicable en matière de protection des données ;
• des législations applicables en matière de télécommunications ;
• des législations relatives à la prospection électronique ;
• des exigences des plateformes Meta ; et
• d’autres exigences réglementaires applicables.

Les obligations de conformité de Faira dépendent du rôle qu’elle joue dans une activité de traitement donnée.

L’approche de Faira en matière de données à caractère personnel est décrite dans notre Politique de confidentialité.

Lorsque Faira traite des données à caractère personnel pour un client professionnel, la relation de traitement concernée est régie par l’Accord de traitement des données applicable.

Cet accord peut prévoir des exigences supplémentaires relatives :

• aux instructions de traitement ;
• à la confidentialité ;
• à la sécurité ;
• aux sous-traitants ultérieurs ;
• aux transferts internationaux ;
• aux demandes des personnes concernées ;
• aux incidents de sécurité ;
• à la suppression et à la restitution des données ; et
• aux audits.

Faira s’engage à développer son programme de sécurité et de conformité conformément aux pratiques reconnues du secteur.

Sauf mention écrite expresse, Faira ne déclare pas détenir actuellement une certification de sécurité tierce ou un rapport d’assurance indépendant particulier.

Nous mettrons à jour la présente page à mesure que des certifications ou des programmes d’assurance indépendante seront obtenus.

Les questions relatives à la sécurité et à la vie privée peuvent être adressées à :

compliance@getfaira.com

Pour les sujets liés à la sécurité, veuillez indiquer :

Objet : Question de sécurité

Pour signaler un incident de sécurité suspecté impliquant Faira, veuillez fournir des informations suffisantes pour nous permettre d’enquêter, tout en évitant de transmettre des informations personnelles ou confidentielles non nécessaires.

Faira peut mettre à jour la présente page Sécurité et conformité à mesure que son programme de sécurité, son infrastructure, ses services ou ses obligations réglementaires évoluent.

La date figurant en haut de cette page indique sa dernière mise à jour.

Documents associés

• Politique de confidentialité
• Conditions générales d’utilisation
• Suppression des données et demandes relatives à la vie privée
• Politique relative aux cookies
• Accord de traitement des données
• Annexe relative aux sous-traitants ultérieurs