Sécurité

Juryline contient des candidatures auxquelles des personnes ont consacré beaucoup de travail et des notes qui décident de prix et d'argent. Cette page explique comment nous les protégeons. Pour toute question, écrivez à hello@juryline.com.

Où se trouvent les données

La base de données, les fichiers et l'application fonctionnent dans l'UE, à Francfort, en Allemagne. Everlong s.r.o. est une société slovaque. Nos prestataires et leur rôle sont indiqués à la fin de cette page.

Qui peut voir quoi

Chaque lecture et chaque modification passent par la sécurité au niveau des lignes (row level security) de la base de données. Les règles font partie de la base de données elle-même : une erreur dans une page ne peut donc pas afficher des données à la mauvaise personne.

• Les organisateurs voient les programmes de leur organisation. Les membres en lecture seule consultent, les gestionnaires gèrent les programmes, les propriétaires gèrent en plus les personnes et la facturation.
• Les membres du jury ne voient que les candidatures qui leur sont attribuées, sans les champs que l'organisateur masque.
• Les candidats ne voient que leurs propres candidatures.

Des tests automatisés vérifient ces règles pour chaque rôle.

Connexion sans mot de passe

Personne n'a de mot de passe dans Juryline : il n'y en a donc aucun à voler ou à réutiliser. On se connecte avec un code à usage unique envoyé par e-mail ; les membres du jury utilisent le lien personnel reçu dans leur invitation. Les sessions expirent après 30 jours sans utilisation.

Fichiers

Les fichiers sont conservés dans un stockage privé. Un lien de téléchargement n'est créé qu'après une vérification des droits et fonctionne pendant 5 minutes. Nous vérifions le type réel de chaque fichier d'après son contenu, et pas seulement d'après son nom, et limitons la taille à 25 Mo.

Des résultats que vous pouvez prouver

• Les notes, les décisions du contrôle de recevabilité, les déclarations de conflit d'intérêts et les décisions sur les résultats ne sont jamais écrasées. Une modification est un nouvel enregistrement à côté de l'ancien.
• L'attribution des candidatures aux membres du jury utilise une graine aléatoire (seed) enregistrée : elle peut donc être reproduite avec le même résultat.
• Lorsqu'un tour est verrouillé, Juryline scelle les résultats dans un procès-verbal avec une empreinte SHA-256 et un code de vérification. Chacun peut vérifier un procès-verbal sur la page de vérification et contrôler qu'un PDF n'a pas été modifié, sans le téléverser.

Accès de l'assistance

Lorsqu'un organisateur demande de l'aide, notre équipe d'assistance peut ouvrir son organisation en lecture seule pendant 2 heures, avec un motif enregistré. L'organisation voit chaque session dans ses paramètres. L'assistance ne modifie jamais les données des programmes.

Journal d'audit

Les exports, les téléchargements de procès-verbaux, les changements de rôle, les sessions d'assistance et les opérations de facturation sont enregistrés avec l'auteur et l'heure, sans le contenu des candidatures, et conservés 24 mois.

Dans le navigateur

Aucun script tiers et aucune publicité. Les visites sont comptées par Juryline lui-même, sans cookies et sans données à caractère personnel. Une politique de sécurité du contenu (Content Security Policy) stricte, une protection contre l'intégration dans des cadres (framing) et le HTTPS avec HSTS sur chaque page.

Conservation

Chaque programme est supprimé 24 mois après la publication de ses résultats, sauf si l'organisateur fixe une autre durée. Un mois avant, les propriétaires reçoivent un e-mail leur proposant un export. Les sauvegardes sont écrasées dans un délai de 7 jours.

IA

L'IA est utilisée uniquement pour préparer un projet de formulaire à partir du texte d'appel à candidatures que l'organisateur colle. Les candidatures, les notes et les données à caractère personnel des programmes ne sont jamais envoyées à une IA.

Signaler une vulnérabilité

Si vous découvrez un problème de sécurité, écrivez à hello@juryline.com en donnant les détails. Merci de ne pas accéder aux données d'autres personnes et de nous laisser le temps de corriger le problème avant de le rendre public. Nous remercions toutes les personnes qui signalent les problèmes de manière responsable et, si vous le souhaitez, nous vous citons.

Prestataires

Les paiements par carte sont traités par Stripe et les factures par SuperFaktúra ; ils ne reçoivent que des données de facturation.