Notice de sécurité des données
Dernière mise à jour : 2026-06-05
Xuzhou Mangxu Software Technology Co., Ltd. s'engage à protéger la sécurité de vos données. Ce document décrit les mesures de sécurité que nous mettons en œuvre, la localisation du stockage des données ainsi que le mécanisme de réponse aux incidents de sécurité, conformément aux exigences de la « Loi de la République populaire de Chine sur la sécurité des données » et de la « Loi de la République populaire de Chine sur la cybersécurité ».
I. Système de gestion de la sécurité
1.1 Structure organisationnelle
- Désignation d'un responsable de la sécurité des données chargé de coordonner la gestion de la sécurité des données
- Établissement de politiques de gestion de la sécurité des données et de procédures opérationnelles
- Organisation régulière de formations de sensibilisation à la sécurité des données pour les employés
- Mise en place d'un mécanisme d'évaluation et de responsabilisation en matière de sécurité des données
1.2 Classification et catégorisation des données
Nous appliquons une gestion de classification et de catégorisation aux données que nous traitons (conformément à l'article 21 de la « Loi sur la sécurité des données ») :
| Niveau de données | Description | Mesures de protection |
|---|---|---|
| Données publiques | Présentations de produits, informations sur l'entreprise, etc. | Protection de base |
| Données internes | Statistiques commerciales, données opérationnelles | Contrôle d'accès + Journalisation des audits |
| Données sensibles | Informations personnelles des utilisateurs, données de transaction | Stockage chiffré + Affichage masqué + Autorisations strictes |
| Données critiques | Clés, configurations système | Chiffrement de niveau le plus élevé + Isolation physique + Opération en double contrôle |
II. Mesures de sécurité techniques
- Sécurité des transmissions : HTTPS sur l'ensemble du site (TLS 1.2/1.3), authentification par signature HMAC pour les communications API
- Sécurité du stockage : Stockage chiffré de la base de données (AES-256), chiffrement indépendant des champs sensibles
- Contrôle d'accès : Système d'autorisations RBAC à quatre niveaux, principe du moindre privilège, journaux d'audit des opérations
- Sécurité réseau : Pare-feu, WAF, protection contre les attaques DDoS, système de détection d'intrusion
- Sécurité applicative : Validation des entrées, protection contre les injections SQL, protection XSS, jetons CSRF
- Sécurité de l'IA : Protection contre les injections de prompts, filtrage du contenu généré, contrôle des droits d'accès aux modèles
III. Sauvegarde et restauration des données
- Sauvegarde complète automatique de la base de données quotidienne, conservation pendant 30 jours
- Sauvegarde incrémentielle exécutée toutes les 6 heures
- Données de sauvegarde chiffrées et stockées dans un centre de reprise après sinistre situé sur un site distant
- Exercice de restauration des sauvegardes effectué chaque trimestre
- RPO (Objectif de point de récupération) ≤ 6 heures, RTO (Objectif de temps de récupération) ≤ 4 heures
IV. Localisation du stockage des données
Toutes les données utilisateur sont stockées dans des centres de données situés sur le territoire de la République populaire de Chine, sans transfert transfrontalier. Les serveurs sont hébergés dans des centres de données certifiés selon le système de protection par niveaux.
V. Réponse aux incidents de sécurité
Conformément à l'article 25 de la « Loi sur la cybersécurité » et à l'article 57 de la PIPL, nous avons établi un mécanisme de réponse aux incidents de sécurité :
- Phase de détection (0-1 heure) : Alerte automatique du système de surveillance de la sécurité, confirmation du niveau de l'incident par l'équipe de sécurité
- Phase de confinement (1-4 heures) : Isolement des systèmes affectés, empêchement de l'extension des dommages
- Phase de notification (24-72 heures) : Signalement aux utilisateurs concernés et aux autorités de régulation
- Phase de récupération (dans les 72 heures) : Réparation des systèmes et restauration des services
- Phase d'analyse rétrospective (dans les 7 jours) : Rapport d'analyse de l'incident, amélioration des mesures de protection
VI. Audit et évaluation de la sécurité
- Au moins une évaluation de sécurité externe par an
- Tests d'intrusion et analyses de vulnérabilités effectués régulièrement
- Évaluation de l'impact sur la sécurité avant toute modification des systèmes critiques