La sécurité chez Dispatchly
Dispatchly conserve vos clés API transporteurs et vos données d'expédition. Cette page indique donc précisément ce qui les protège. Tout ce qui figure ici décrit le fonctionnement actuel du produit. Nous n'avons pas encore de certification de sécurité et nous n'en revendiquons aucune.
Lire notre auto-évaluation dans le registre CSA STARComment nous protégeons vos données
Ce que fait le produit aujourd'hui
Vos clés, issues de votre propre compte transporteur
Vous créez chaque clé API dans votre propre compte transporteur et vous la connectez à Dispatchly. La clé vous appartient : vous pouvez la révoquer chez le transporteur à tout moment, sans rien nous demander. Supprimer une connexion transporteur dans Dispatchly efface la clé enregistrée.
Chiffrement au repos et en transit
Les identifiants transporteurs et les secrets de double facteur sont chiffrés en AES-256 avant d'être enregistrés, et ils sont retirés des journaux de l'application. Le trafic entre votre navigateur et Dispatchly est chiffré en TLS.
Transmission scellée pour votre équipe IT
Si les clés sont détenues par votre IT ou un 3PL plutôt que par un utilisateur de Dispatchly, envoyez un lien de transmission au lieu de demander les clés par e-mail ou par chat. Les clés sont scellées dans le navigateur de la personne qui les envoie, et le serveur web qui les reçoit ne peut pas les ouvrir. Le lien ne fonctionne qu'avec un code envoyé par e-mail au destinataire désigné.
Rôles et droits
Chaque membre a l'un des quatre rôles : owner, admin, agent ou viewer. Seuls les owners et les admins peuvent ajouter ou modifier des identifiants transporteurs. Les données de chaque organisation sont séparées de celles de toutes les autres.
Connexion à double facteur
Chaque utilisateur peut activer l'authentification à double facteur par application, avec des codes de récupération. Les actions sensibles demandent un nouveau code même en cours de session, que le double facteur soit activé ou non.
Journal de sécurité
Les connexions, les modifications du double facteur, des membres et des rôles, ainsi que chaque modification d'un identifiant transporteur sont enregistrées avec l'adresse IP et le navigateur utilisés. Le journal est conservé 540 jours (environ 18 mois), et nous communiquons celui de votre organisation sur demande.
Sécurité et confidentialité
FAQ sécurité
Dispatchly est-il certifié SOC 2 ou ISO 27001 ?
Non. Dispatchly ne détient aujourd'hui ni SOC 2, ni ISO 27001, ni aucune autre certification de sécurité, et nous préférons le dire plutôt qu'afficher un badge que nous ne pouvons pas justifier. Cette page présente les mesures dont le produit dispose réellement. Nos réponses au questionnaire de sécurité de la Cloud Security Alliance (CAIQ) sont publiques dans le registre CSA STAR sous forme d'auto-évaluation : notre propre description de nos mesures, et non un audit. Pour un questionnaire de sécurité, écrivez à security@dispatch.ly.
Que signifie BYOK chez Dispatchly ?
Bring Your Own Key signifie que vous créez la clé API dans votre propre compte transporteur et que vous la confiez à Dispatchly, au lieu que nous détenions un compte transporteur en votre nom. Nous conservons la clé chiffrée et ne l'utilisons que pour suivre vos expéditions chez ce transporteur. La clé de chiffrement qui la protège est la nôtre, pas la vôtre : BYOK désigne ici votre clé transporteur, pas des clés de chiffrement gérées par le client. Vous gardez le contrôle, car vous pouvez révoquer la clé transporteur à tout moment.
Comment transmettre les clés si c'est l'IT qui les détient ?
Envoyez depuis Dispatchly un lien de transmission à la personne qui détient les clés. Elle l'ouvre sans compte Dispatchly, saisit un code à six chiffres reçu par e-mail et transmet les clés une par une ou dans un fichier. Les clés sont scellées dans son navigateur avant l'envoi : le serveur web qui les reçoit ne peut donc pas les lire. Le lien expire et ne fonctionne que pour le destinataire pour lequel il a été émis.
Qui, dans mon organisation, peut voir nos identifiants transporteurs ?
Seuls les owners et les admins peuvent ajouter, modifier ou supprimer des identifiants transporteurs. Les agents et les viewers travaillent sur les colis et les tickets, mais ne peuvent pas gérer les identifiants. Chaque modification d'un identifiant est inscrite au journal de sécurité.
Qu'est-ce qui est journalisé, et pendant combien de temps ?
Nous journalisons les connexions, les modifications du double facteur, des membres et des rôles, des identifiants transporteurs et des webhooks, ainsi que de l'abonnement, à chaque fois avec l'adresse IP et le navigateur. Ces entrées sont conservées 540 jours (environ 18 mois), y compris après la suppression d'une organisation, puis supprimées automatiquement.
Puis-je exporter ou supprimer nos données ?
Oui. Un owner peut demander un export des données de l'organisation depuis Settings ; le fichier est supprimé 7 jours après sa création. Un owner peut aussi supprimer l'organisation. La suppression prend effet 30 jours plus tard et peut être annulée d'ici là. La politique de confidentialité détaille toutes les durées de conservation.
Divulgation responsable
Vous avez trouvé une faille de sécurité ? Nous prenons la divulgation responsable au sérieux. Signalez tout problème à security@dispatch.ly et nous répondrons sous 48 heures.