Centre de confiance : certifications, audits et protection des données
Voici le centre de documentation de conformité de BroadNet : certifications, attestations, contrôles de traitement des données, sous-traitants et processus de divulgation nécessaires à un responsable des achats ou de la sécurité pour valider un fournisseur. Les rapports détaillés sont soumis à un accord de confidentialité ; tout ce qu'un examinateur doit voir en premier se trouve ici.
- ISO/IEC 27001:2022 — Sécurité de l'information
- ISO/IEC 27018 — Confidentialité des données dans le cloud (données personnelles)
- ISO 9001 — Gestion de la qualité
- ISO 22301 — Continuité d'activité
- Rapport SOC 2 Type II — soumis à un accord de confidentialité
- RGPD — conforme ; accord de traitement des données (DPA) disponible
Des copies de certificats et des rapports d'audit sont communiqués sur demande sous accord de confidentialité. À trust@broadnet.me
Quelles informations un responsable des achats peut-il consulter dès maintenant, sans appel commercial ?
Les résumés ci-dessous sont publics. Les rapports d'audit complets et les copies des certificats restent soumis à un accord de confidentialité et ne sont envoyés que sur demande.
Accord de traitement des données (DPA)
L’accord de traitement des données standard, conforme aux clauses contractuelles types de l’UE, est intégré à chaque MSA. BroadNet agit en tant que sous-traitant, le client en tant que responsable du traitement.
Lire l'accord de traitement des donnéesListe des sous-processeurs
Liste actuelle des sous-traitants, avec un préavis d'au moins 30 jours avant l'engagement d'un nouveau.
Voir la listeQuestionnaire de sécurité (SIG/CAIQ)
Veuillez demander le questionnaire SIG/CAIQ dûment rempli, le résumé du test d'intrusion et les copies des certificats. Nous vous répondrons sous 24 heures ouvrables.
Demandez le packOù les données sont hébergées, par marché
Où sont hébergées les données clients pour chaque marché et comment spécifier une région.
Voir par marchéAudité là où comptes.
BroadNet fait l'objet d'audits continus réalisés par des tiers selon des normes internationalement reconnues en matière de sécurité de l'information, de qualité et de continuité des activités. Chaque copie de certificat et chaque rapport sont communiqués sur demande, sous réserve d'un accord de confidentialité mutuel.
| Standard | Étendue de la certification | Délivré par | Cycle d'audit | Certificat et vérification |
|---|---|---|---|---|
| ISO/IEC 27001:2022 | Le système de gestion de l'information (SGII) couvre la plateforme de messagerie, les produits des opérateurs, la gestion des données clients et les relations avec les fournisseurs. | Organisme de certification accrédité (nommé sur le certificat) | Surveillance annuelle · Recertification tous les 3 ans | Certificat et déclaration d'applicabilité en vertu de l'accord de confidentialité. Vérifier sur IAF CertSearch (recherchez « BroadNet ») |
| ISO/IEC 27018 | Protection des données personnelles (PII) dans les services de messagerie cloud de BroadNet. La norme ISO/IEC 27018 est le code de bonnes pratiques en matière de confidentialité dans le cloud qui étend la norme ISO 27001 relative au SMSI. | Organisme de certification accrédité (nommé sur le certificat) | Évalué selon la norme ISO 27001 ISMS | Copie du certificat partagée sous accord de confidentialité. Vérifier sur IAF CertSearch (recherchez « BroadNet ») |
| ISO 9001:2015 | Système de gestion de la qualité pour la conception, la livraison et le support des produits de messagerie de télécommunications. | Organisme de certification accrédité (nommé sur le certificat) | Audit annuel de surveillance | Copie du certificat partagée sous accord de confidentialité. Vérifier sur IAF CertSearch (recherchez « BroadNet ») |
| ISO 22301 | Gestion de la continuité des activités — réponse aux incidents, objectifs de reprise et scénarios de défaillance des fournisseurs. | Organisme de certification accrédité (nommé sur le certificat) | Audit annuel · plan de continuité testé chaque année | Résumé du certificat et du plan de continuité sous accord de confidentialité. Vérifier sur IAF CertSearch (recherchez « BroadNet ») |
| SOC 2 Type II | Critères des services de confiance : sécurité, disponibilité et confidentialité, sur une période de reporting définie. | Cabinet d'expertise comptable indépendant | période de rapport annuel | Rapport complet sous accord de confidentialité. Les rapports SOC 2 ne sont pas publiés dans un registre public. Demandez le pack |
| GDPR | Règlement général sur la protection des données de l'UE (règlement (UE) 2016/679) : BroadNet traite les données personnelles des clients en tant que sous-traitant, dans le cadre de l'accord de traitement des données. | Règlement de l'UE (conformité, pas un certificat) | Obligation permanente | Accord de traitement des données avec les clauses contractuelles types de l'UE. Lire l'accord de traitement des données |
En cours : accréditation GSMA SAS-SM (Subscription Manager) pour l'exploitation eSIM. Elle n'a pas encore été obtenue et ne figure donc pas parmi les certifications détenues.
MobileValidate est exploitée par BroadNet et couverte par les certifications ISO de BroadNet et par son accord de protection des données (DPA).
Vérification : les copies des certificats et les rapports d’audit les plus récents sont disponibles sur demande, sous accord de confidentialité. trust@broadnet.meBroadNet est également membre associé de la GSMA et membre du Mobile Ecosystem Forum (MEF).
Confidentialité et secteur cadres.
Au-delà des normes certifiées, BroadNet applique les contrôles de son processeur afin de se conformer aux régimes de protection des données et sectoriels auxquels nos clients sont soumis.
GDPR
Contrôles du sous-traitant conformément à l'article 28, DPA standard avec clauses contractuelles types de l'UE, minimisation des données et outils relatifs au droit à l'effacement (article 17). Acheminement au sein de l'UE uniquement sur demande.
UAE PDPL
Décret-loi fédéral n° 45 de 2021 : base légale, droits des personnes concernées, notification des violations et contrôles des transferts transfrontaliers.
Saudi PDPL
Consentement, minimisation des données, restrictions sur les transferts transfrontaliers et notification des violations sous 72 heures, conformément aux exigences appliquées par la SDAIA.
HIPAA-aligned
Disponibilité du BAA confirmée lors de la contractualisation. Modèles sécurisés pour les PHI, journalisation restreinte, AES-256 au repos, TLS 1.3 en transit.
SOC 2 Trust Services
Critères de sécurité, de disponibilité et de confidentialité attestés par un rapport SOC 2 Type II indépendant.
ISO 27001 ISMS
Un système de gestion certifié, et non une photographie à un instant T — les contrôles sont audités et maintenus en permanence.
À l'intérieur des corps qui définir les normes.
BroadNet est membre des organismes industriels qui définissent les normes de messagerie, de signalisation et d'interconnexion dans le monde entier — chacun renvoie à une brève explication de ce que couvre l'adhésion.
membre associé de la GSMA
Groupes de travail sur la messagerie, lignes directrices sur la sécurité de la signalisation et cycles de documentation sur l'interconnexion.
MEF (Forum de l'écosystème mobile)
Code de conduite pour la messagerie A2P, bonnes pratiques en matière d'identification de l'expéditeur et initiatives de protection des consommateurs.
GLF (Forum des leaders mondiaux d'ITW)
Normalisation, pilotée par les opérateurs, de l'interconnexion de gros, de la lutte contre la fraude et de la messagerie.
Carrier Community
Messagerie en gros interconnexion et forums de qualité.
organismes de réglementation régionaux
Reconnu par TDRA (EAU), CST (Arabie saoudite), NTRA (Égypte), TRC (Jordanie) et les autorités équivalentes sur nos marchés desservis.
Passerelle ouverte GSMA
Conformité aux normes API réseau de niveau opérateur pour la messagerie, la fraude et l'identité.
Tout ce qu'un critique demande.
Pages détaillées et politiques téléchargeables. Les éléments marqués NDA sont partagés une fois qu'un accord de confidentialité mutuel a été conclu ; regroupez-les en demandant le pack de sécurité.
Rapports ISO 27001, 9001, 22301 et SOC 2 sous NDA.
Explication du périmètre, du certificat et de la déclaration d'applicabilité du SMSI.
Explication et portée du système de gestion de la qualité.
Gestion de la continuité des activités — RTO/RPO et tests sur table.
Couverture des Trust Services Criteria ; rapport sous NDA.
DPA standard avec clauses contractuelles types de l'UE, automatiquement intégré à chaque accord-cadre de services.
Sous-traitants actuels avec préavis de modification de 30 jours.
Où se trouvent vos données et comment définir une région.
Notification sous 72 heures et divulgation coordonnée.
Comment BroadNet gère les données des visiteurs, des prospects et des utilisateurs finaux.
Le contrat, la politique d'utilisation acceptable et le droit applicable.
Contrôles de la plateforme, du compte, des opérations et des télécommunications.
Résidence, rétention, chiffrement, clés.
Comment les données clients et utilisateurs finaux sont localisées, protégées et finalement détruites. Tous les détails sont consignés dans le contrat de protection des données et le rapport de sécurité.
| Contrôle | Comment BroadNet le met en œuvre |
|---|---|
| résidence des données | L'hébergement est proposé par défaut dans la région MENA ; un hébergement dans l'UE, aux États-Unis et à Singapour est également disponible. Un routage exclusif à l'UE est possible sur demande ; une résidence dans les pays du Golfe est requise pour les contrats d'entreprise. |
| conservation des données | Les corps des messages sont conservés pendant 90 jours en standard, jusqu'à 7 ans pour les niveaux Entreprise (configurable). Les données personnelles et de santé sont supprimées par défaut des journaux de webhook pour le secteur de la santé. |
| Chiffrement en transit | TLS 1.3 sur tout le trafic API et webhook. |
| Chiffrement des données stockées | AES-256 avec dérivation de clé par locataire pour les données client au repos. |
| Gestion des clés cryptographiques | Garde sécurisée par HSM (niveau 3 minimum FIPS 140-2 pour les clés de signature eSIM) selon des procédures de cérémonie de clés documentées. |
| Contrôle d'accès | Contrôle d'accès basé sur les rôles (RBAC), authentification à deux facteurs obligatoire pour les administrateurs et journalisation d'audit immuable de chaque action modifiant l'état. |
| Droit à l'effacement | Outils RGPD Article 17 exposés via API — suppression en masse initiée par le client par hachage de numéro de téléphone, plage d'ID de message ou locataire. |
| Transferts transfrontaliers | Clauses contractuelles types de l'UE (2021) plus l'accord britannique sur le transfert international de données (IDTA) le cas échéant ; décisions d'adéquation suivies. |
Où les données sont hébergées, par marché
| Marché | Où les données sont hébergées | Comment l'obtenir |
|---|---|---|
| Émirats arabes unis et l'ensemble du CCG | Hébergé par défaut dans la région MENA : la plupart des messageries de production s’exécutent sur des installations de niveau 3 exploitées par BroadNet dans la région, y compris le centre de données de Dubaï. | Par défaut. La résidence des données dans le CCG est inscrite dans les contrats entreprise. |
| Arabie Saoudite | Au sein du Royaume : BroadNet exploite un centre de données à Riyad pour stocker les données clients des comptes saoudiens, conformément au PDPL saoudien. | Sur demande. |
| Union européenne | Hébergement au sein de l'Union européenne ; le trafic de l'UE peut être isolé sur des routes et un stockage réservés à l'UE. | Sur demande. Les transferts transfrontaliers de données sont régis par les clauses contractuelles types de l'UE (2021). |
| États-Unis | Hébergement aux États-Unis. | Selon le contrat. |
| Singapour | Hébergement à Singapour. | Selon le contrat. |
La politique de résidence des données contient les détails, et la région est fixée dans votre contrat. Consultez la politique de résidence des données
Versions lisibles par machine pour les outils d'achat et les agents IA : compliance.json (certifications, résidence, traitement des données) · sla.json (disponibilité, crédits de service, objectifs de support)
Une courte liste, et un préavis de 30 jours.
BroadNet limite volontairement son parc de sous-processeurs. La plupart des messageries de production sont exécutées sur des infrastructures de niveau 3 exploitées par BroadNet au Moyen-Orient et en Afrique du Nord ; un nombre restreint de prestataires tiers prennent en charge les charges de travail et les outils opérationnels hors de cette zone.
Ce que nous utilisons et pourquoi
- Infrastructure — Installations BroadNet Tier-3 MENA (principales) ; cloud régional pour les charges de travail hors MENA.
- Courriel transactionnel — notifications de compte et d'alerte uniquement.
- Page d'état — hébergement des communications publiques relatives aux incidents.
- Analytique — auto-hébergé ; sans tiers ni Google Analytics.
Comment les changements sont-ils notifiés ?
Les clients sont informés au moins 30 jours avant l'intervention d'un nouveau sous-traitant, ce qui leur laisse le temps d'examiner la situation ou de s'y opposer avant tout traitement de données. La liste officielle et à jour est disponible sur la page des sous-traitants et est consultée par l'autorité de protection des données.
Afficher la liste des sous-processeurs actuels →Avec qui vous contractez, sur papier.
L’entité du groupe qui gère la plateforme, et les documents de politique générale qui régissent cette relation.
BroadNet Technologies Sarl
- Fondé
- 2003
- siège social
- Dubaï, Émirats arabes unis
- Forme légale
- Sarl (société à responsabilité limitée)
- Contractant
- Signé par la branche BroadNet qui dessert votre marché ; votre contrat désigne l’entité contractante.
- Régulateur
- TDRA (Autorité de régulation des télécommunications et du gouvernement numérique)
- Empreinte
- Dans toute la région MENA, ainsi que des partenariats en Afrique, en Asie, en Europe et en Amérique latine
Divulgation coordonnée, testé régulièrement.
BroadNet effectue régulièrement des tests d'intrusion réalisés par des tiers et applique une procédure coordonnée de divulgation des vulnérabilités. Signalez toute faille que vous découvrez : nous réagissons rapidement.
Signaler une vulnérabilité
Envoyez un courriel à security@broadnet.me ou consultez la politique lisible par machine et les langues préférées à l'adresse /.well-known/security.txt.
Tests d'intrusion
Des tests d'intrusion indépendants sont effectués régulièrement ; le résumé est partagé avec les évaluateurs sous NDA.
Remediation SLA
Les vulnérabilités de gravité élevée sont corrigées dans le cadre d'un SLA de 30 jours ; les problèmes critiques sont traités en priorité immédiatement.
Questions relatives aux achats, répondu.
Les questions les plus fréquemment posées par les équipes de sécurité et d'approvisionnement. Tout ce qui n'est pas abordé ici se trouve dans le dossier de sécurité.
Quelles sont les certifications et attestations détenues par BroadNet ?
BroadNet est certifiée ISO/IEC 27001 (sécurité de l'information), ISO/IEC 27018 (protection des données personnelles dans le cloud), ISO 9001 (management de la qualité) et ISO 22301 (continuité d'activité). Elle possède également un rapport SOC 2 Type II couvrant la sécurité, la disponibilité et la confidentialité, et se conforme au RGPD (un accord de traitement des données est disponible). L'accréditation GSMA SAS-SM (Subscription Manager) de son infrastructure eSIM est en cours. BroadNet est membre associé de la GSMA et membre du Mobile Ecosystem Forum (MEF).
Puis-je obtenir les rapports d'audit et les certificats relatifs à un examen des achats ?
Oui. Les copies des certificats, la déclaration d'applicabilité ISO 27001, le rapport SOC 2 Type II et le résumé du dernier test d'intrusion sont partagés avec les clients actuels et potentiels dans le cadre d'un accord de confidentialité mutuel. Demandez le dossier d'évaluation à trust@broadnet.me ; nous répondons généralement sous 24 heures ouvrables.
Signez-vous un accord de protection des données (DPA) et existe-t-il une liste de sous-traitants ?
Un accord de traitement des données (ATD) standard, intégrant les clauses contractuelles types de l'UE, est inclus dans chaque contrat-cadre de services. BroadNet agit en tant que sous-traitant et le client en tant que responsable du traitement, conformément au RGPD. La liste des sous-traitants en cours est publiée et les clients sont informés au moins 30 jours avant toute intervention d'un nouveau sous-traitant afin de pouvoir s'y opposer.
Où sont stockées les données clients, et pouvons-nous choisir la région ?
BroadNet propose l'hébergement au Moyen-Orient et en Afrique du Nord (par défaut), dans l'UE, aux États-Unis et à Singapour, selon le contrat. Les données des clients européens peuvent être isolées sur demande et stockées exclusivement au sein de l'UE. L'hébergement des données dans les pays du Golfe est disponible dans le cadre des contrats d'entreprise. Les transferts transfrontaliers sont régis par les clauses contractuelles types de l'UE, complétées par des avenants spécifiques à chaque région.
Comment les données sont-elles chiffrées et comment les clés sont-elles gérées ?
L'ensemble du trafic API et webhook utilise TLS 1.3 en transit. Les données au repos sont chiffrées avec AES-256 à l'aide d'une génération de clés par locataire. La gestion des clés de la plateforme de gestion des abonnements eSIM est assurée par des modules HSM conformes au niveau 3 minimum de la norme FIPS 140-2, selon des procédures de cérémonie de clés documentées, sous double contrôle.
Combien de temps conservez-vous le contenu des messages ?
Les corps des messages sont conservés pendant 90 jours pour les offres standard et jusqu'à 7 ans pour les offres entreprise, selon une configuration contractuelle. Les données personnelles et les données de santé sont supprimées par défaut des journaux de webhook pour les applications de santé. Un outil d'accès au droit à l'effacement (article 17 du RGPD) est disponible via une API pour les suppressions en masse initiées par le client.
Prenez-vous en charge les charges de travail HIPAA ?
BroadNet est conforme à HIPAA. Si vous prévoyez d'envoyer des PHI, informez-nous de vos exigences en matière de HIPAA au préalable ; la disponibilité du BAA est confirmée lors de la contractualisation. Les contrôles incluent des modèles sécurisés pour les PHI, une journalisation restreinte, un chiffrement AES-256 au repos et TLS 1.3 en transit. La conformité à HIPAA est un engagement contractuel et de contrôle plutôt qu'une certification.
Comment signaler une faille de sécurité ?
Pour connaître la politique de divulgation coordonnée et les langues privilégiées, veuillez envoyer un courriel à security@broadnet.me ou consulter le fichier /.well-known/security.txt. BroadNet effectue régulièrement des tests d'intrusion réalisés par des tiers et partage le résumé analytique sous accord de confidentialité ; les failles critiques sont corrigées sous un délai de 30 jours.
J'ai besoin du pack de sécurité.
pour un examen des achats ?
Nous vous enverrons, sous un jour ouvré et sous accord de confidentialité, des copies des certificats, le rapport SOC 2, le résumé du test d'intrusion, le questionnaire de sécurité rempli (SIG/CAIQ), le modèle d'accord de protection des données (DPA) et la liste des sous-traitants.