Centre de confiance : sécurité, sauvegardes et transparence
Informations relatives à la sécurité et à l’infrastructure regroupées en un seul endroit
Le centre de confiance Reper Ops regroupe des informations vérifiées sur l'hébergement, l'isolation, les accès, les sauvegardes, les sous-traitants et la sécurité. Contactez-nous pour vos questions.
Base de données distincte par client
Chaque client dispose d’une base de données distincte. Les entreprises et les projets au sein d’un groupe partagent cette base de données client et sont séparés par des autorisations liées aux rôles et aux projets.
Hébergement à Francfort
L'environnement de production est hébergé dans un centre de données situé à Francfort, en Allemagne ; des copies de sauvegarde chiffrées sont conservées dans un autre pays de l'UE, à Helsinki. Le fournisseur d'infrastructure est certifié ISO/IEC 27001 ; Reper Ops ne dispose pas de sa propre certification ISO 27001.
Sécurité des transmissions
Tout accès nécessite le protocole HTTPS, TLS 1.2 ou supérieur et HSTS.
Chiffrement au repos
La base de données active et ses sauvegardes sont stockées sur des disques chiffrés ; le serveur d'application n'accède à la base de données que via un réseau privé avec une connexion chiffrée. Les documents et photos téléchargés, ainsi que les sauvegardes sur le serveur, sont également stockés sur des disques chiffrés.
Identité et accès
Les autorisations basées sur les rôles s’articulent avec le périmètre des projets et des unités, ainsi qu’avec les licences des modules. Chaque utilisateur peut recourir à l’authentification en deux étapes via une application d’authentification ; les administrateurs clients peuvent la rendre obligatoire pour les administrateurs ou pour l’ensemble des utilisateurs. Les sessions sont actualisées lorsque les autorisations changent.
Piste d'audit
Qui a modifié quoi et quand est enregistré ; les exports Excel et PDF le sont aussi. Conservation par défaut : 180 jours, prolongeable jusqu'à 10 ans. Requêtes et exports avancés dans le pack Analyses et audit.
Sécurité des applications
La politique de sécurité du contenu et les en-têtes de sécurité sont appliquées. Chaque version est soumise à des contrôles automatisés avant sa mise en production : audit des règles d’autorisation et de périmètre, analyse des vulnérabilités des dépendances, analyse des données confidentielles et test de fonctionnement de l’API. Les mises à jour sont déployées sans aucun arrêt. Un test d’intrusion indépendant est prévu.
Licences par module
Les modules désactivés dans la licence n'apparaissent pas dans le menu. L'accès à un module activé peut être restreint davantage à l'aide d'exceptions basées sur les rôles.
Sauvegarde et restauration
- La base de données est sauvegardée toutes les heures sur le serveur ; ces copies sont conservées pendant 48 heures.
- Une copie quotidienne chiffrée hors site est stockée dans un service de stockage distinct et conservée pendant 90 jours.
- Les documents et photos téléchargés sont cryptés et copiés hors site quotidiennement.
- Le service de base de données effectue également ses propres sauvegardes et permet une restauration à n'importe quel moment au cours des 15 derniers jours.
- Lors de l'exercice de restauration d'octobre 2026, les bases de données ont été restaurées avec succès à partir de copies stockées à la fois sur le serveur et hors site sous forme chiffrée.
- La perte de données maximale admissible est d’une heure en cas de panne de la base de données et de 24 heures en cas de perte totale du serveur.
- Le délai de restauration cible pour une base de données client unique est de 30 minutes.
Sous-traitants
Les prestataires ci-dessous sont utilisés uniquement aux fins indiquées. Google Analytics et LinkedIn Insight sont utilisés uniquement sur le site web marketing, avec le consentement des utilisateurs concernant les cookies, et jamais au sein de l'application.
- Infrastructure d'hébergement — Application, base de données et stockage de sauvegardes cryptées ; au sein de l’Union européenne
- Service de messagerie électronique — E-mails transactionnels (notifications, réinitialisation de mot de passe)
- Service de notifications mobiles — Notifications push vers l’application mobile
- Service de notification WhatsApp — Notifications WhatsApp ; uniquement si le client les active
- Service de surveillance des erreurs — Surveillance des erreurs de l’application ; au sein de l’Union européenne
- Service d'IA — Fonctionnalités d’IA : uniquement si le client les active, le fournisseur et l’emplacement des données devant être communiqués au préalable
- Portails télématiques des constructeurs d'engins — Données relatives aux engins récupérées lorsque le client connecte son propre compte fabricant
État du service
Les informations générales relatives à la disponibilité et aux interruptions de service sont mises à jour sur la page d'état publique.
Ouvrir la page d'étatDivulgation des vulnérabilités
Les chercheurs de bonne foi qui signalent un problème dans le respect de ces règles ne feront l'objet d'aucune action de la part de Reper Ops. Objectif de première réponse : 5 jours ouvrés. Signalez à : guvenlik@reperops.com
- Les attaques par déni de service ne sont pas concernées.
- L'ingénierie sociale et les attaques physiques sont interdites.
- Il est interdit d'accéder aux données d'autres clients ou de les modifier au-delà du strict nécessaire pour prouver l'existence du problème.
- Le balayage automatisé à grande échelle est interdit.
- Il n'existe pas de programme de prime aux bogues rémunéré.
Documents et réponses au questionnaire
Un résumé des mesures de sécurité, la liste nominative des sous-traitants et les réponses au questionnaire de sécurité de l'entreprise sont communiqués sur demande. Veuillez utiliser le formulaire de contact pour toute question détaillée.
FAQ
Nos données sont-elles stockées avec celles d'autres entreprises ?
Non. Chaque client dispose de sa propre base de données. Les entreprises et les projets au sein d’un groupe partagent cette base de données client et sont séparés par des autorisations liées aux rôles et aux projets.
Pouvons-nous voir qui a modifié quoi ?
Oui. Les actions critiques ainsi que les exportations Excel et PDF sont consignées dans la piste d'audit. La durée de conservation par défaut est de 180 jours ; le client peut la prolonger jusqu'à 10 ans.
Pouvons-nous l'exploiter sous notre propre domaine ?
Oui. Vous pouvez utiliser un sous-domaine comportant le nom de votre entreprise ou un domaine appartenant à votre entreprise. Les demandes concernant les déploiements sur site ou dans le cloud du client sont évaluées au cas par cas ; veuillez nous contacter.
La vérification en deux étapes est-elle disponible ?
Oui. Chaque utilisateur peut recourir à la vérification en deux étapes à l’aide d’une application d’authentification, tant sur le site web que dans l’application mobile. Les administrateurs clients peuvent rendre cette fonctionnalité obligatoire pour les administrateurs ou pour l’ensemble des utilisateurs.
À quelle fréquence les sauvegardes sont-elles effectuées et comment fonctionne la restauration ?
La base de données est sauvegardée toutes les heures sur le serveur et conservée pendant 48 heures ; des copies quotidiennes chiffrées hors site sont conservées pendant 90 jours. Le service de base de données prend également en charge la restauration à n’importe quel moment au cours des 15 derniers jours. Lors de l’exercice d’octobre 2026, les bases de données ont été restaurées à partir des deux sources. La perte de données maximale visée est d’une heure en cas de défaillance de la base de données et de 24 heures en cas de perte totale du serveur.
Où les données sont-elles stockées ?
Les données de production sont hébergées dans un centre de données situé à Francfort, en Allemagne ; des copies de sauvegarde cryptées sont conservées à Helsinki, en Finlande. Toutes les données restent au sein de l'Union européenne. Les textes relatifs au traitement des données à caractère personnel et à la protection de la vie privée figurent sur la page « KVKK » de ce site.
Un test d'intrusion indépendant a-t-il été réalisé ?
Aucun test d'intrusion indépendant n'a encore été réalisé ; un test d'intrusion indépendant est prévu.