Sécurité
Cette page décrit comment Absenca protège vos données aujourd'hui. Elle n'indique que ce qui est en place, et nous la mettons à jour lorsque cela change. Notre accord de traitement des données engage aux mêmes mesures.
Hébergement
Absenca est hébergé sur le réseau mondial de Cloudflare ; aucune région précise n'est garantie. Le développement, les tests et la production fonctionnent dans des environnements séparés avec des bases de données distinctes, et le développement utilise des données fictives.
Chiffrement
Tout le trafic est chiffré en transit avec TLS, et les navigateurs sont tenus d'utiliser uniquement HTTPS (HSTS). Les données sont chiffrées au repos par notre hébergeur. En plus, Absenca chiffre avant stockage les jetons qu'il détient pour les outils connectés (Slack, Microsoft Teams, agendas Google et Microsoft).
Sauvegardes
La base de données peut être restaurée à un instant donné au cours des 30 derniers jours. Les pièces jointes ne sont pas sauvegardées séparément : leur suppression est définitive.
Rôles et accès dans Absenca
L'accès suit quatre rôles : administrateur, administrateur de site, manager et employé. Un administrateur de site ne voit que les bureaux qui lui sont attribués, et un manager que les départements qu'il gère. Dans l'application, les collègues voient qu'une personne est absente, mais jamais le motif ni les notes. Les événements des calendriers d'équipe partagés créés à partir du 14 octobre 2026 ne contiennent aucun motif ; les événements plus anciens peuvent encore le contenir tant qu'ils n'ont pas été supprimés. Un type de congé marqué privé s'affiche comme « Absent » dans le calendrier et les vues d'équipe de l'application. Les récapitulatifs des canaux, les flux de calendrier, les calendriers d'équipe partagés, les rapports programmés et les réponses d'absence automatiques affichent encore le type de congé pour l'instant. Les pièces jointes comme les arrêts maladie ne peuvent être ouvertes que par la personne concernée et celles qui examinent la demande, via des liens dans l'application qui expirent après 15 minutes. Les exports de données demandés par un administrateur contiennent des liens vers elles valables 7 jours.
Connexion et mots de passe
La connexion par e-mail exige une adresse e-mail vérifiée. Les mots de passe ne sont stockés que sous forme de hachages salés à sens unique ; les mots de passe nouveaux ou modifiés utilisent PBKDF2-SHA256. Les mots de passe doivent comporter au moins 8 caractères. Vous pouvez aussi vous connecter avec Google, Microsoft ou Slack. Les sessions expirent 30 jours après leur dernière utilisation, et retirer une personne d'une organisation la déconnecte.
Accès de notre personnel
Notre personnel de support et d'exploitation utilise un système d'administration distinct, avec ses propres comptes. Chaque modification effectuée par le personnel, et chaque ouverture des données de congés d'un client, est journalisée. Le personnel ne peut pas se connecter en tant que client. Les modifications des données de production passent par des déploiements automatisés et relus ; par principe, tout autre accès à la base de production se fait en lecture seule. Le personnel travaillant hors du Royaume-Uni utilise uniquement des systèmes cloud et ne stocke pas de données clients sur ses propres appareils.
Journal d'audit
Absenca tient un journal d'audit des actions d'administration, comme les ajustements de solde et les changements de rôle. Les administrateurs peuvent le consulter avec les offres qui l'incluent.
Sécurité applicative
Chaque requête est validée, les webhooks de Stripe, Slack, Microsoft Teams et Google Chat font l'objet d'une vérification de signature, et chaque application envoie des en-têtes de sécurité, dont une Content Security Policy. Les requêtes sont soumises à une limitation de débit. Chaque modification est analysée, vérifiée au niveau des types et testée automatiquement avant de pouvoir être fusionnée.
Réponse aux incidents
Nous disposons d'une procédure écrite de réponse aux incidents. Si une violation touche les données personnelles de votre organisation, nous prévenons vos administrateurs dans les meilleurs délais, et dans les 72 heures après en avoir pris connaissance.
Ce que nous n'avons pas encore
Nous ne sommes pas certifiés ISO 27001 ni SOC 2, et aucun test d'intrusion n'a été commandé. La connexion via SAML ou OpenID Connect avec votre propre fournisseur d'identité n'est pas disponible.
Signaler une vulnérabilité, et nos fournisseurs
Vous avez trouvé une vulnérabilité ? Suivez notre politique de divulgation des vulnérabilités ou écrivez à security@absenca.com. Les sociétés qui traitent des données pour nous sont listées sur notre page des sous-traitants.