Une sécurité intégrée à l’infrastructure.
ToneGrid gère des activités de distribution sous le nom d'autres entreprises. Cela signifie que votre catalogue, les données de vos artistes et vos relations avec les DSPs reposent sur notre infrastructure. Cette page explique comment nous les protégeons, à quoi nous nous engageons et ce que nous ne prétendons pas.
TLS 1.2+
Chaque connexion, avec HSTS appliqué
99.9%
Objectif de disponibilité, suivi sur notre page de statut
Juillet 2026
Test d'intrusion indépendant réalisé avec un cabinet externe de cybersécurité, constats corrigés
MFA
Disponible pour chaque compte, imposable par tenant
Protégé à chaque couche
Les contrôles ci-dessous s'appliquent à chaque tenant de la plateforme, sur chaque offre, dès le premier jour.
Chiffrement en transit
Tous les hôtes ToneGrid acceptent uniquement TLS 1.2 et 1.3. HTTP Strict Transport Sécurité est appliqué, et chaque hôte fournit une Contenu Sécurité Politique stricte ainsi que les en-têtes de sécurité habituels : protection contre l'intégration en frame, protection contre le sniffing du type de contenu, politique de référent et politique d'autorisations restrictive.
Authentification
Les comptes peuvent activer l'authentification multifacteur avec une application d'authentification (TOTP) ou par codes envoyés par e-mail, et un tenant peut l'imposer à chaque administrateur. Les points de terminaison de connexion sont soumis à une limitation de débit afin de bloquer le bourrage d'identifiants. Les cookies de session sont Sécurisé, HttpOnly et SameSite, définis au niveau du serveur pour qu'aucun code applicatif ne puisse les affaiblir.
Contrôle d'accès
Les administrateurs du tenant disposent d'autorisations par rôle : un réviseur QC ne peut donc pas toucher à la facturation, et un responsable de étiquette ne peut pas modifier le routage vers les DSP. La couche super-admin de ToneGrid est distincte de l'administration du tenant. Lorsqu'un membre du personnel de ToneGrid agit dans le compte d'un tenant, l'action est attribuée à ce membre du personnel, jamais au client.
Journal d'audit
Chaque action d'administration d'un tenant est consignée dans un journal d'audit avec l'auteur, l'endpoint, l'enregistrement ciblé et l'adresse IP d'origine. Les modifications au niveau des champs sur les sorties et les pistes enregistrent les valeurs avant et après. Chaque utilisateur dispose aussi d'un historique d'activité complet, de sorte que des des questions comme « qui a modifié cette répartition » trouvent une réponse.
Sécurité de l'API
L'API utilise des clés API de type bearer, émises pour chaque intégration. Une clé hérite du rôle de l'utilisateur qui la détient, jamais plus. Les clés peuvent être renouvelées ou révoquées à tout moment depuis le tableau de bord, toutes les requêtes passent uniquement par TLS, et chaque tenant dispose de sa propre limite de débit. La référence complète se trouve sur api-docs.tonegrid.pro.
Livraison sécurisée
Les sorties sont livrées aux DSP au format DDEX ERN 4.3 via des canaux authentifiés convenus avec chaque plateforme. Chaque livraison produit un accusé de réception, et chaque événement de livraison est consigné dans le journal d'audit, ce qui vous permet de montrer à un artiste exactement quand une sortie a quitté la plateforme et quand la plateforme l'a confirmée.
Nos engagements, par écrit
GDPR
ToneGrid traite les données personnelles de vos artistes et de votre équipe pour votre compte. Nous honorons les demandes d'accès, de rectification et de suppression des personnes concernées, et nous vous aidons à répondre à celles que vous recevez. Un accord de traitement des données est disponible sur demande pour chaque offre payante. Écrivez à hello@tonegrid.pro pour en demander une, ou pour exercer une demande de personne concernée.
SOC 2 et ISO 27001
Notre ensemble de contrôles est aligné sur les Trust Services Criteria de SOC 2 et sur l'Annexe A de ISO 27001. Nous partageons la correspondance des contrôles avec les clients Enterprise sous NDA.
Localisation des données
Les offres standard fonctionnent sur notre infrastructure principale aux États-Unis. Les offres Enterprise peuvent localiser les données du tenant dans une région précise. Si vos artistes ou votre autorité de régulation exigent que les données restent dans une juridiction particulière, dites-le-nous lors de l'intégration et nous l'inscrirons dans votre contrat.
Sous-traitants
ToneGrid collabore avec un petit nombre de prestataires rigoureusement sélectionnés en matière d'infrastructure, de paiement et d'analyse audio, chacun lié par un accord de traitement des données. La liste actuelle des sous-traitants est confidentielle et communiquée aux clients sous NDA dans le cadre de notre Data Traitement Agreement.
Divulgation des vulnérabilités
Si vous découvrez une faille de sécurité sur l'une des propriétés de ToneGrid, signalez-la-nous à hello@tonegrid.pro. Nos coordonnées sont également publiées à l'adresse /.well-known/sécurité.txt.
Nous accusons réception des signalements sous 2 jours ouvrés, nous vous tenons informé pendant la correction du problème, et nous n'engagerons aucune action en justice contre les chercheurs qui agissent de bonne foi et évitent d'accéder aux données d'autrui.
Réponse aux incidents
Les événements de sécurité sont triés par l'équipe d'ingénierie, d'abord contenus, puis analysés. Nous conservons une trace écrite de chaque incident et des mesures correctives qui ont suivi.
Si nous confirmons une violation impliquant des données personnelles, nous en informons les clients concernés sans retard injustifié et dans un délai de 72 heures, en précisant ce qui s'est passé, quelles données étaient concernées et ce que nous faisons à ce sujet.
Continuité d'activité
Nous visons une disponibilité de 99.9% pour la plateforme et l'API, et nous publions la disponibilité en direct et l'historique sur status.tonegrid.pro, où vous pouvez vous abonner aux mises à jour sur les incidents.
Les plans Enterprise incluent un SLA contractuel avec crédits de service, un interlocuteur dédié et des fenêtres de maintenance convenues.
Gérez votre distribution avec une infrastructure que vous pouvez auditer.
Chaque plan s'accompagne des contrôles décrits sur cette page. Choisissez celui qui correspond à votre catalogue, et demandez-nous le DPA ou la correspondance des contrôles dès que votre équipe est prête.