Sécurité et pratiques de données d'AntOps.

Vue d'ensemble de la sécurité

Les points de terminaison publics d'AntOps sont servis via HTTPS. Les services applicatifs utilisent des limites d'espace de travail authentifiées, des en-têtes de sécurité, des limites de débit et un traitement borné des requêtes. AntOps ne revendique pas de certification SOC 2, ISO 27001 ni de certification de test d'intrusion indépendant.

Les mesures de sécurité réduisent les risques ; elles ne rendent pas un service invulnérable et ne remplacent pas les contrôles de sécurité propres à chaque client.

Authentification et accès

Les sessions de navigateur utilisent des jetons émis par Supabase et vérifiés par l'API AntOps. L'accès à la plateforme est associé à un sujet d'authentification immuable et à l'adhésion à un espace de travail, plutôt qu'à une adresse e-mail seule. Les clés API sont limitées à l'espace de travail et leur secret en clair n'est affiché qu'une seule fois.

GitHub Change Risk est facultatif. L'application GitHub dédiée n'est installée que sur des dépôts approuvés et utilise un accès en lecture aux métadonnées, contenus et pull requests, ainsi qu'un accès en lecture/écriture aux Checks. Elle ne reçoit aucune autorisation pour Actions, l'administration, les secrets, les membres ou les organisations. AntOps ne clone pas les dépôts et n'exécute pas de code de dépôt ; il analyse un contenu de pull request limité et écrit un Check Run. L'accès peut être supprimé en désinstallant l'application ou en supprimant le mappage espace de travail/dépôt.

Traitement des données et livraison

AntOps traite les données de compte, la configuration de l'espace de travail, les cibles de surveillance, les observations, événements, preuves, données d'utilisation et d'audit nécessaires au fonctionnement du service. Private Document Intelligence n'accepte que des téléversements limités et authentifiés ; les fichiers source ne disposent d'aucune URL publique.

Les webhooks et destinations de livraison prises en charge sont limités à des cibles HTTPS approuvées. Les identifiants de destination sont chiffrés au repos, ne sont pas renvoyés après leur création et les livraisons utilisent des charges utiles signées, des tentatives limitées et un historique durable.

Sauvegardes, reprise et conservation

Les sauvegardes opérationnelles comprennent la base de données de production et les éléments de reprise des documents privés. Les exercices de restauration utilisent une base de données temporaire distincte et une cible de documents isolée ; ils n'écrasent pas la production. Des générations de sauvegardes chiffrées hors hôte font partie de la procédure d'exploitation.

La conservation de l'historique opérationnel utilise une gestion du cycle de vie selon le plan pour les observations de surveillance admissibles, les incidents résolus, l'historique de livraison terminé et l'historique d'évaluation Change Risk terminé. Les autres données suivent des politiques de cycle de vie distinctes. La conservation destructive automatisée n'est actuellement pas activée en production ; AntOps ne promet donc pas que toutes les données client sont supprimées après un nombre fixe de jours.

Les clients peuvent exporter les données de leur compte ou espace de travail, ou soumettre dans les paramètres une demande de suppression examinée par un opérateur. Pour les demandes de confidentialité ou de suppression, contactez [email protected].

Réponse aux incidents et divulgation de vulnérabilités

AntOps maintient des procédures opérationnelles pour examiner les incidents de disponibilité, de dépendance, de file d'attente et d'identifiants. Le processus de réponse porte sur la confirmation, le confinement, l'évaluation de l'impact, la reprise et le suivi. Il s'agit d'une description opérationnelle de haut niveau, et non d'un calendrier de notification contractuel.

Pour signaler une vulnérabilité potentielle, envoyez à [email protected] une reproduction concise et une description de l'impact. Agissez de bonne foi, évitez d'accéder à des données qui ne vous appartiennent pas, évitez toute interruption de service et accordez un délai raisonnable pour l'enquête. AntOps n'offre actuellement ni programme de primes aux bugs ni programme de protection juridique au-delà de ce canal de signalement de bonne foi.

Sous-traitants et résidence des données

Cette liste décrit les prestataires de services actuellement utilisés. Un prestataire peut traiter des données en dehors du Royaume-Uni ; AntOps ne publie pas d'engagement unique de résidence mondiale des données.

Conformité et achats

AntOps ne revendique pas de certification SOC 2, ISO 27001, HIPAA, PCI DSS ou autre, sauf accord écrit séparé. Les questions de sécurité et de confidentialité liées aux achats peuvent être envoyées à [email protected].

Un avenant relatif au traitement des données n'est pas automatiquement accepté via ce site. AntOps conserve un plan prêt pour un DPA à des fins d'examen juridique et peut discuter d'un accord de traitement des données approprié avec des clients professionnels.