Hébergement au Canada : Toronto et Montréal.
Les clients canadiens choisissent entre deux types d'hébergement. Les deux sont des environnements dédiés — vos données, votre configuration, vos utilisateurs et vos fichiers ne sont jamais partagés avec un autre client — et les deux gardent chaque octet, y compris les sauvegardes et l'accès du soutien, au Canada.
Souverain — Google Cloud
- Région principale Toronto; sauvegardes chiffrées répliquées à Montréal
- Cloud Run, Cloud SQL (PostgreSQL), Cloud Storage, pare-feu applicatif Cloud Armor
- Contrôles de résidence des données et d'accès du personnel appliqués par la plateforme, pas seulement par des politiques
- Pour les municipalités ayant une clause de souveraineté, un examen de sécurité d'entreprise ou un volume élevé
Standard — DigitalOcean
- Centre de données de Toronto; sauvegardes chiffrées et stockées au Canada
- Même application, même isolation, même chiffrement et même piste d'audit
- Coût mensuel moindre; la configuration par défaut pour les villes, cantons et programmes mutualisés de type SPCA
- Passage au niveau souverain en tout temps, sans nouvelle mise en œuvre
Hébergement aux États-Unis : six emplacements.
Les clients américains ont accès aux deux mêmes types d'hébergement dans des centres de données américains. Les emplacements principal et de sauvegarde sont choisis avec vous — habituellement la paire la plus proche de votre État — et rien n'est répliqué hors du pays.
Souverain — Google Cloud
- Dallas, Salt Lake City ou Chicago comme région principale; une deuxième région américaine pour les sauvegardes chiffrées
- Cloud Run, Cloud SQL (PostgreSQL), Cloud Storage, pare-feu applicatif Cloud Armor
- Pour les comtés, les grandes villes et les organismes ayant un questionnaire de sécurité ou une exigence de résidence de l'État
Standard — DigitalOcean
- New York, New Jersey ou San Francisco; sauvegardes chiffrées et stockées aux États-Unis
- Même application, isolation, chiffrement et piste d'audit que le niveau souverain
- La configuration par défaut pour les villes, villages et services animaliers
Souveraineté des données
La souveraineté est un ensemble de contrôles, pas une phrase dans un contrat.
Cinq engagements s'appliquent à chaque déploiement de Milo dans les deux pays. Ils sont inscrits dans l'entente d'abonnement et vérifiables depuis votre propre console d'administration.
1 · Stockage au pays
Base de données, documents, journaux et sauvegardes se trouvent dans des centres de données situés dans le pays du client. Aucune réplication transfrontalière.
2 · Traitement au pays
Le courriel (Amazon SES), les SMS et le suivi des erreurs fonctionnent depuis des points de terminaison régionaux avec des paramètres de localisation des données. OfferioAI fonctionne en boucle fermée dans le même environnement.
3 · Personnel au pays
L'accès du soutien et de l'ingénierie provient du personnel de Blü au Canada et aux États-Unis. Aucun personnel ni sous-traitant à l'étranger; la liste des sous-traitants est publiée et tout changement est notifié.
4 · Vous êtes propriétaire des données
Le client est propriétaire de tous les dossiers, documents et historiques d'audit. Exportation complète en formats ouverts en tout temps; destruction certifiée dans les 30 jours suivant la sortie.
5 · Transparence sur l'accès légal
Toute demande d'un tiers ou d'une autorité visant les données du client est transmise au client, sauf interdiction légale, et journalisée.
Vérifié depuis votre console
La région d'hébergement, l'emplacement des sauvegardes, la liste des sous-traitants et le journal d'accès du personnel sont visibles par vos administrateurs, pas seulement énoncés dans un document.
Restrictions de flux de données par marché
Où chaque type de données peut aller.
Les déploiements canadiens sont configurés pour respecter la LPRPDE, les lois provinciales sur la protection de la vie privée dans le secteur public (LAIMPVP en Ontario, Loi 25 au Québec, FOIPPA en C.-B.) et les règlements municipaux sur les documents. Les déploiements américains respectent les lois des États sur la vie privée et les documents publics, les règles de portée PCI DSS et, le cas échéant, un traitement apparenté au CJIS pour les données d'application. Le tableau présente les règles qui en découlent.
| Données | Canada | États-Unis |
|---|---|---|
| Dossiers des citoyens et données des demandes | Stockés et traités à Toronto / Montréal seulement. Aucun transfert hors du Canada, y compris pour le soutien. | Stockés et traités dans les régions américaines choisies seulement. Aucun transfert hors des États-Unis, y compris pour le soutien. |
| Documents et téléversements | Stockage d'objets au pays; miroir optionnel vers le Google Drive du client (locataire Workspace canadien). | Stockage d'objets au pays; miroir optionnel vers le Google Drive du client (locataire Workspace américain). |
| Données de cartes de paiement | N'entrent jamais dans Milo. QuickBlu, Worldline, Moneris ou Stripe détiennent les données des titulaires; Milo conserve le jeton, la marque et les quatre derniers chiffres. | N'entrent jamais dans Milo. QuickBlu ou Stripe détiennent les données des titulaires; Milo conserve le jeton, la marque et les quatre derniers chiffres. |
| Contenu des courriels et SMS | Régions canadiennes d'Amazon SES; un service SMS localisé au Canada. Journaux de livraison conservés au pays. | Régions américaines d'Amazon SES; un service SMS localisé aux États-Unis. Journaux de livraison conservés au pays. |
| Données d'application et de plaques | Envoyées uniquement au fournisseur d'application désigné par le client (p. ex. AutoChalk), par TLS, journalisées avec nouvelles tentatives. | Envoyées uniquement au fournisseur d'application désigné par le client, par TLS, journalisées; traitées comme des données restreintes lorsque les règles de l'État l'exigent. |
| Traitement par IA (OfferioAI) | En boucle fermée dans l'environnement du client; aucune donnée envoyée à des modèles publics; résultats examinés par le personnel. | En boucle fermée dans l'environnement du client; aucune donnée envoyée à des modèles publics; résultats examinés par le personnel. |
| Sauvegardes | Quotidiennes, AES-256, sur 7 jours glissants, répliquées à Montréal. | Quotidiennes, AES-256, sur 7 jours glissants, répliquées dans une deuxième région américaine. |
| Journaux de sécurité et d'audit | Conservés au pays; exportables (JSON/CSV) vers le SIEM du client; durée de conservation fixée par le client (par défaut 2 ans pour les connexions, 7 ans pour les modifications de données). | Conservés au pays; exportables vers le SIEM du client; durée de conservation fixée par le client avec les mêmes valeurs par défaut. |
| Demandes d'accès aux documents publics | Exportation par l'administrateur de tout ensemble de dossiers pour les réponses en vertu de la LAIMPVP / de l'accès à l'information. | Exportation par l'administrateur de tout ensemble de dossiers pour les réponses FOIA et aux demandes d'accès aux documents publics de l'État. |
| Accès du soutien | Personnel de Blü au Canada, par compte nominatif, journalisé et visible par le client. | Personnel de Blü au Canada ou aux États-Unis, par compte nominatif, journalisé et visible par le client; personnel de soutien uniquement américain sur demande. |
Contrôles de sécurité
Les contrôles derrière les engagements.
Processus d'incident
Ce qui se passe dans les 24 premières heures, et ensuite.
Un incident de sécurité est tout accès non autorisé, confirmé ou raisonnablement soupçonné, aux données du client, ou toute perte de celles-ci. Le processus est le même dans les deux pays; le délai de notification respecte le plus strict de notre engagement et de la loi applicable (LPRPDE et règles provinciales sur les atteintes au Canada; lois des États sur la notification des atteintes aux États-Unis).
Un responsable d'incident désigné chez Blü, joignable 24/7 par téléphone pendant un incident en cours, ainsi que votre gestionnaire de compte. Les mises à jour sont envoyées aux personnes-ressources désignées dans l'entente d'abonnement.
Détecter et contenir
Alerte issue de la surveillance, d'une analyse, d'un signalement du client ou d'un processeur. Systèmes touchés isolés; identifiants renouvelés; preuves préservées.
Aviser le client
Avis écrit dans les 24 heures suivant la confirmation d'un incident touchant vos données : ce qui est connu, ce qui est touché, ce que nous faisons.
Mises à jour jusqu'à la fermeture
Mises à jour écrites quotidiennes tant que l'incident est ouvert; un appel avec vos responsables des TI et de la vie privée sur demande.
Vous aider à remplir vos obligations
Nous fournissons les faits et les dossiers nécessaires à vos propres notifications — au commissaire à la protection de la vie privée ou à l'autorité provinciale au Canada, au procureur général de l'État ou aux citoyens touchés aux États-Unis.
Rapport post-incident
Cause fondamentale, chronologie, données touchées, mesures correctives et échéances, remis dans les 10 jours ouvrables suivant la fermeture.
Continuité et sortie
Disponible quand vous en avez besoin. À vous quand vous partez.
Besoin de ces renseignements dans un document pour votre examen de sécurité?
Demandez la trousse technique — architecture, réponses aux questionnaires, VPAT, liste des sous-traitants et procédure d'incident.