Politique de sécurité des systèmes d’information (PSSI)

1. Objet et champ d’application

La présente PSSI a pour objet de définir le cadre de sécurité applicable aux systèmes d’information de JL Assure, incluant notamment :

• le site web jlassure.com et ses éventuels sous-domaines,
• les back-offices, extranets, API et outils utilisés pour la gestion des contrats et des demandes,
• les postes de travail, équipements mobiles et ressources réseau de l’entreprise,
• les données personnelles et données métier traitées dans le cadre de l’activité d’intermédiaire en assurance.

La PSSI s’applique à l’ensemble des collaborateurs, dirigeants, prestataires et partenaires ayant accès au système d’information de JL Assure, à quelque titre que ce soit.

2. Gouvernance et responsabilités

2.1 Responsable du système d’information

La responsabilité globale de la sécurité des systèmes d’information relève de la direction de JL Assure. Celle-ci définit les orientations, valide la présente PSSI et arbitre les moyens nécessaires à sa mise en œuvre.

2.2 Référent sécurité / DPO

JL Assure désigne un référent sécurité / protection des données chargé de coordonner les actions de sécurité et de veiller à la conformité au RGPD :

• Suivi des mesures de sécurité techniques et organisationnelles,
• Conseil auprès de la direction,
• Point de contact pour les questions de protection des données,
• Contribution à la gestion des incidents et des violations de données.

Coordonnées : Christian VALERY / DPO – servicedelegueprotectiondesdonnees@jlassure.com.

3. Principes généraux de sécurité

JL Assure applique les principes suivants à l’ensemble de son système d’information :

• Confidentialité : accès aux données limité aux seules personnes habilitées.
• Intégrité : protection des données contre toute altération ou modification non autorisée.
• Disponibilité : maintien d’un niveau de service compatible avec l’activité et les engagements contractuels.
• Traçabilité : journalisation des opérations critiques et des accès sensibles.
• Conformité : respect des obligations légales et réglementaires, notamment le RGPD.

Ces principes se traduisent par la mise en œuvre de mesures techniques (chiffrement, sauvegardes, segmentation, mises à jour) et organisationnelles (procédures, contrôles, sensibilisation).

4. Gestion des identités et des accès

4.1 Comptes utilisateur

• Chaque utilisateur dispose d’un compte strictement individuel.
• Les comptes génériques sont interdits, sauf exception documentée et encadrée.
• Les droits sont attribués selon le principe du moindre privilège.

4.2 Authentification et mots de passe

• Les mots de passe doivent être robustes (longueur minimale, complexité, non réutilisation évidente).
• La double authentification (2FA) est activée sur les services critiques (hébergement, messagerie, back-office, gestion des DNS, etc.).
• Les mots de passe ne doivent jamais être partagés ni stockés en clair.

4.3 Gestion du cycle de vie des accès

• Création, modification et suppression des comptes encadrées par un processus défini.
• Suppression ou désactivation immédiate des accès en cas de départ d’un collaborateur ou de fin de mission d’un prestataire.
• Revue périodique des habilitations pour vérifier leur adéquation aux fonctions.

5. Protection des données personnelles (RGPD)

JL Assure met en œuvre des mesures conformes à l’article 32 du RGPD pour assurer la sécurité des données personnelles (clients, prospects, partenaires, etc.).

5.1 Minimisation et limitation

• Collecte limitée aux données strictement nécessaires à la gestion des demandes et des contrats.
• Durées de conservation définies et limitées en fonction des finalités et obligations légales.

5.2 Confidentialité et accès

• Accès aux données réservé aux personnes ayant besoin de les traiter dans le cadre de leurs fonctions.
• Engagement de confidentialité pour les collaborateurs et prestataires.

5.3 Chiffrement et transit

• Utilisation du protocole HTTPS (TLS) pour l’ensemble des échanges avec le site jlassure.com.
• Chiffrement des sauvegardes et des exports contenant des données personnelles, lorsque cela est pertinent.

5.4 Droits des personnes

Les personnes concernées disposent de droits d’accès, de rectification, d’effacement, de limitation, d’opposition et, le cas échéant, de portabilité. Les demandes peuvent être adressées à :

JL Assure – Référent protection des données
Email : servicedelegueprotectiondesdonnees@jlassure.com
Adresse postale : 18 Avenue de l’Occitanie, 34760 Boujan-sur-Libron, France

6. Infrastructures, hébergement et réseau

6.1 Hébergement

Le site jlassure.com et ses données sont hébergés chez un prestataire fournissant des garanties de sécurité et de conformité au RGPD :

Hébergeur : AB CONNECT (hosteur.com) – Localisation des serveurs : France – Niveau de service : SLA supérieure à 99.95%.

6.2 Sécurité des serveurs

• Mises à jour régulières des systèmes d’exploitation et composants logiciels.
• Configuration de pare-feu et limitation des ports exposés.
• Restriction des accès d’administration (IP filtrées, clés SSH, 2FA, etc.).

6.3 Sécurité réseau

• Surveillance des connexions et des journaux d’accès critiques.
• Mise en place de mesures de protection contre les attaques courantes (tentatives de brute-force, injections, etc.).

7. Développement, tests et maintenance applicative

Les évolutions de jlassure.com et des outils associés respectent des principes de sécurité dès la conception (security by design) et par défaut (privacy by default).

• Tests préalables en environnement de recette, sans données réelles lorsque possible.
• Prise en compte des vulnérabilités applicatives courantes (OWASP : injections, XSS, gestion de session, etc.).
• Contrôle des droits sur les interfaces d’administration et les API.
• Gestion de versions et suivi des correctifs de sécurité.

8. Sauvegardes et continuité d’activité

• Sauvegardes régulières des bases de données et configurations critiques.
• Conservation des sauvegardes sur un environnement distinct ou un espace sécurisé.
• Tests périodiques de restauration pour vérifier l’exploitabilité des sauvegardes.
• Objectif : limiter l’interruption de service et la perte de données en cas d’incident majeur.

9. Gestion des incidents et des violations de données

En cas d’incident de sécurité (intrusion, fuite de données, indisponibilité anormale, etc.), JL Assure applique la démarche suivante :

• Détection et qualification de l’incident.
• Confinement : limitation de l’impact et isolation des systèmes concernés.
• Analyse des causes et des données potentiellement affectées.
• Remédiation : mesures correctives techniques et organisationnelles.
• Documentation de l’incident et des actions menées.

En cas de violation de données personnelles présentant un risque pour les droits et libertés des personnes, JL Assure se conforme aux obligations du RGPD, notamment :

• Notification à l’autorité de contrôle compétente (CNIL) dans les délais prévus, si nécessaire.
• Information des personnes concernées lorsque le risque est jugé élevé.

10. Prestataires et sous-traitants

JL Assure peut recourir à des prestataires (hébergement, emailing, outils métier, etc.) pour la fourniture de certains services. Lorsqu’ils traitent des données personnelles pour le compte de JL Assure, ces prestataires ont le statut de sous-traitant au sens du RGPD.

• Les sous-traitants sont sélectionnés sur la base de garanties suffisantes en matière de sécurité et de confidentialité.
• Les relations sont encadrées par des contrats ou des clauses spécifiques (DPA / annexes RGPD).
• JL Assure conserve la maîtrise des finalités des traitements et des principaux paramètres de sécurité.

11. Sensibilisation et bonnes pratiques

JL Assure sensibilise ses collaborateurs et interlocuteurs réguliers aux enjeux de sécurité et de protection des données, notamment sur les points suivants :

• Gestion des mots de passe et des accès,
• Vigilance vis-à-vis des emails suspects (phishing, pièces jointes, liens),
• Protection des équipements (verrouillage de session, mises à jour, antivirus),
• Respect de la confidentialité des informations clients et partenaires.

12. Mise à jour de la PSSI

La présente PSSI est un document vivant. Elle est revue :

• au moins une fois par an,
• ou à la suite d’un incident significatif,
• ou en cas de modification importante du système d’information ou du cadre réglementaire.

La version en vigueur est celle publiée sur le site jlassure.com ou disponible sur demande auprès de JL Assure.

13. Contact sécurité et protection des données

Pour toute question relative à la sécurité des systèmes d’information ou à la protection des données personnelles, les personnes concernées peuvent contacter :

JL Assure
JL ASSURE SARL
18 Avenue de l’Occitanie, 34760 Boujan-sur-Libron, France
Email (sécurité / RGPD) : servicedelegueprotectiondesdonnees@jlassure.com

Cette PSSI complète la politique de confidentialité de JL Assure, qui détaille les traitements de données personnelles effectués via jlassure.com.