Sécurité

Ce que nous faisons pour protéger vos examens et les données de vos candidats. Si vous avez besoin de plus de détails pour un audit de sécurité, écrivez à [email protected] et nous répondrons à votre questionnaire.

Hébergement et réseau

• L'application, la base de données et les fichiers fonctionnent sur un serveur dédié chez OVHcloud aux États-Unis.
• Tout le trafic passe par Cloudflare, qui fournit une protection contre les attaques DDoS et un pare-feu applicatif web.
• Toutes les connexions utilisent HTTPS (TLS). Les navigateurs reçoivent l'instruction de n'utiliser que HTTPS (HSTS), et les cookies de connexion sont marqués Secure et HttpOnly.

Comptes et connexion

• Les mots de passe ne sont jamais stockés sous une forme lisible : les mots de passe des comptes sont hachés avec PBKDF2-SHA256, un sel aléatoire et 600 000 itérations ; les mots de passe des candidats et des surveillants sont hachés de la même manière.
• Après plusieurs tentatives de connexion échouées, les nouvelles tentatives pour ce compte sont refusées pendant 15 minutes.
• Les enseignants et les surveillants ne voient le mot de passe d'un candidat qu'au moment où il est créé ou réinitialisé, pour l'imprimer ou l'envoyer ; il ne peut pas être consulté ultérieurement.
• Les organisations peuvent permettre à leur personnel de se connecter avec Google plutôt qu'avec un mot de passe.

Accès aux données

• Les sujets, les examens et les candidats de chaque organisation sont cloisonnés par compte. Le personnel qu'une organisation invite n'a accès qu'aux examens et aux épreuves qui lui sont attribués ; les surveillants ne voient que les salles de leur examen.
• Les captures d'écran de surveillance, les réponses envoyées par les candidats et les photos des candidats ne sont servies qu'aux personnes connectées qui gèrent cet examen, jamais par un lien public, et ne sont mises en cache ni par Cloudflare ni par le navigateur.
• L'accès au serveur et à la base de données de production est réservé à l'équipe d'exploitation de TEX Vietnam JSC et protégé par des clés SSH.

Intégrité des examens

• Chaque candidat peut recevoir une version mélangée du sujet. Le Service détecte la connexion d'un second appareil avec le même candidat ainsi que la sortie d'un candidat de la fenêtre de l'examen, et le signale en direct aux surveillants.
• Surveillance de l'écran, vérification du visage (désactivée par défaut) et configuration de Safe Exam Browser, en option.
• Pour les salles où une perte de connexion Internet est inacceptable, le serveur d'examen hors ligne fait passer l'examen sur votre réseau local.

Minimisation et conservation des données

• Les alertes de surveillance et les captures d'écran sont supprimées automatiquement 90 jours après la date de l'examen.
• Les réponses des candidats ne sont jamais transmises à des fournisseurs d'IA, et nous n'utilisons pas le contenu des clients pour entraîner des modèles d'IA.
• Nous ne stockons pas les données de carte de paiement : les paiements sont gérés par Paddle, notre marchand officiel (merchant of record).

Sauvegardes et restauration

• La base de données est sauvegardée chaque jour et les sauvegardes sont conservées 14 jours, stockées séparément du serveur d'application. Les restaurations sont testées.

Incidents

Si nous découvrons une violation affectant des données personnelles, nous en informons les organisations concernées dans les meilleurs délais et en tout état de cause dans les 48 heures, comme le prévoit notre DPA, ainsi que les autorités lorsque la loi l'exige.

Signaler une vulnérabilité

Si vous pensez avoir découvert un problème de sécurité, écrivez à [email protected] en donnant les détails. Merci de nous laisser un délai raisonnable pour le corriger avant de le divulguer, et de ne pas accéder aux données d'autres clients ni perturber des examens pendant vos tests. Nous accuserons réception de votre signalement dans un délai de 3 jours ouvrables.