Version 2.0 du 13/10/2026 — Notre engagement pour la confidentialité et la sécurité de vos données.
La présente politique définit les exigences de sécurité applicables à l’ensemble des services SaaS de routage Email et SMS opérés par Oxemis. L’objectif est de garantir un niveau de confiance maximal pour nos clients en protégeant les données traitées contre toute divulgation non autorisée, modification ou interruption de service.
1. Introduction
Fondée en 2004, Oxemis s’est construite sur une culture de la pérennité et de la maîtrise. Dans un secteur technologique en constante mutation, notre entreprise a toujours privilégié une approche de la sécurité basée sur la prudence, l’analyse de risque et l’efficacité réelle, plutôt que de céder aux effets de mode informatique ou à la complexité inutile.
Cette philosophie de « sobriété technique maîtrisée » nous permet aujourd’hui de piloter une infrastructure dont nous comprenons chaque composant, limitant ainsi les surfaces d’attaque souvent induites par l’empilement de couches logicielles tierces non auditées.
Le Capital Humain : Premier Pilier de la Sécurité
La sécurité d’Oxemis ne repose pas uniquement sur des algorithmes, mais sur une équipe d’une stabilité exceptionnelle. La majorité de nos collaborateurs sont présents depuis la création de l’entreprise. Cette fidélité et cette connaissance historique du SI constituent un rempart unique contre les erreurs de configuration et les risques internes.
Chez Oxemis, la sécurité est une culture partagée par des experts qui ont conçu le système et le font évoluer avec une vision de long terme, garantissant ainsi une cohérence que les structures à fort turn-over ne peuvent offrir.
Articulation Documentaire
La présente PSSI (Politique de Sécurité des Systèmes d’Information) constitue le socle technique et organisationnel de notre stratégie de défense. Elle doit être lue de manière complémentaire aux documents contractuels suivants :
- Le DPA (Data Processing Agreement) : qui définit les responsabilités juridiques et opérationnelles en tant que sous-traitant.
- L’Accord sur les Données Personnelles (Politique de Confidentialité) : qui précise la nature des traitements et les droits des personnes concernées conformément au RGPD.
Ensemble, ces documents forment notre cadre de conformité indissociable pour assurer la protection des actifs de nos clients.
Objectifs de la Politique
L’ambition de ce document est de formaliser les règles d’exploitation qui permettent de maintenir nos trois indicateurs clés :
- Confidentialité : protection stricte des listes de contacts et des contenus en transit.
- Intégrité : exactitude des rapports de délivrabilité et des logs techniques.
- Disponibilité : maintien d’un service de routage opérationnel grâce à une infrastructure résiliente et éprouvée.
2. Sécurité Logique et Architecture
L’architecture d’Oxemis repose sur une stratégie de cloisonnement et de souveraineté.
Maîtrise de l’infrastructure
Hébergement Souverain : Oxemis refuse l’usage de Cloud Public (Hyperscalers) pour le stockage des données sensibles. L’infrastructure est exclusivement composée de serveurs dédiés (OVHcloud, Scaleway) dont la localisation physique est restreinte à la France et à l’Union Européenne.
Isolation Multi-tenant : l’étanchéité des données entre les clients est assurée par un identifiant unique (Tenant ID) injecté dans chaque requête applicative. Aucun accès transversal n’est techniquement possible sans authentification valide du compte concerné.
Chiffrement et Flux
Flux Internes et Externes : le chiffrement est la règle pour tout transit de données. Les protocoles TLS 1.2+ et HTTPS sont obligatoires. Toute connexion non sécurisée est systématiquement rejetée.
Contenu des messages : par principe de « Privacy by Design », Oxemis ne stocke pas le corps des messages envoyés en SMTP et via l’API après traitement. Une fois le routage effectué, la donnée est purgée.
3. Gestion des Identités et des Accès
Le contrôle des accès repose sur le principe du moindre privilège : l’accès n’est accordé que si nécessaire à la mission.
3.1. Accès Administrateurs (Équipe Interne)
Authentification Forte : l’accès aux interfaces d’administration et aux serveurs s’effectue uniquement via des clés numériques sécurisées (SSH/Certificats). L’usage de simples mots de passe pour l’administration est proscrit.
Traçabilité : chaque action effectuée par un administrateur sur la production est enregistrée dans des journaux d’audit (Logs).
3.2. Accès Clients
Espace client sur le Web : la sécurisation des comptes clients repose sur une politique de mots de passe robustes couplée à une Authentification Multi-Facteurs (MFA).
Consommation API : l’accès programmatique est sécurisé par des clés d’API uniques. La responsabilité de la rotation de ces clés incombe au client, avec une possibilité de révocation instantanée via l’interface Oxemis.
4. Résilience et Maintenance Opérationnelle
La résilience est au cœur de notre métier de routeur pour garantir la délivrabilité.
4.1. Plan de Continuité (PCA) et de Reprise (PRA)
Redondance Géo-distribuée : les services sont répartis sur plusieurs centres de données distants. En cas de défaillance d’un site, la bascule vers un site de secours est documentée et testée.
Tests de Restauration : la validité des sauvegardes est vérifiée par des tests de restauration effectués au moins une fois par an.
4.2. Maintenance et Mises à jour
Gestion des Patchs : les serveurs sont configurés pour appliquer automatiquement les mises à jour de sécurité critiques. Pour les mises à jour majeures, un cycle de test préalable en environnement de staging est obligatoire.
5. Sécurité des Postes de Travail et des Personnes
Le poste de travail est considéré comme une extension sécurisée du SI.
5.1. Protection des Endpoints
Chiffrement Intégral : l’usage de Bitlocker est obligatoire sur tous les PC de l’équipe technique. En cas de perte ou de vol, la donnée présente sur le disque doit rester illisible.
Interdiction de Stockage de Données Clients : les postes de travail ne doivent jamais servir de lieu de stockage pour des extraits de bases de données clients. Toute manipulation de donnée doit se faire via des outils serveurs sécurisés.
5.2. Gestion du Personnel
Formation Initiale et Continue : chaque collaborateur bénéficie, dès son intégration et tout au long de sa carrière, d’une sensibilisation aux risques cyber (phishing, ingénierie sociale, gestion des secrets). Cette formation n’est pas seulement théorique : elle s’appuie sur la connaissance historique des menaces rencontrées par l’entreprise depuis 2004.
Veille Technologique Active : l’équipe technique consacre une partie de son temps de travail à la veille sur les vulnérabilités (CVE) concernant nos briques logicielles (Debian, Postfix, environnements de développement). Cette culture de l’alerte permet une réactivité immédiate et un partage d’informations fluide au sein de notre cellule technique.
Responsabilisation Individuelle : chaque membre de l’équipe est acteur de la sécurité du SI. La stabilité de nos effectifs permet une transmission naturelle des bonnes pratiques et des « réflexes de sécurité » (verrouillage des sessions, non-stockage local…) qui sont devenus des standards comportementaux au sein de nos bureaux.
Offboarding : une procédure de « clôture de compte » est activée immédiatement lors du départ d’un collaborateur, entraînant la révocation de ses clés d’accès et le changement des secrets partagés éventuels.
6. Gestion des Incidents de Sécurité
Oxemis maintient une procédure de réaction en cas d’incident (faille de sécurité ou bug critique).
Réception des alertes : un canal unique (support@oxemis.com) permet la remontée d’incidents 24/7.
Notification : conformément au RGPD, en cas de violation de données à caractère personnel, Oxemis s’engage à notifier ses clients dans un délai maximal de 48h après qualification de l’incident.