Vos données sont sécurisées avec UDo.tools

La sécurité et la confidentialité de vos données sont une priorité pour nous, c'est pourquoi nous nous efforçons de mettre en œuvre les technologies et les normes de sécurité les plus élevées pour assurer un environnement fiable afin que vous puissiez utiliser UDo.tools en toute confiance.

Hébergement, fiabilité et sécurité

Hébergement

L'hébergement physique de notre infrastructure primaire est assuré par OVHCloud, le leader français et européen du cloud avec plus de 30 Data Centers répartis dans 19 pays, pour un total de 400 000 serveurs également conçus et assemblés par ses soins. La firme y héberge 18 millions d’applications web, et plusieurs centaines de milliers d’instances Cloud par mois. La plupart des Data Centers sont basés en Europe, et principalement en France avec 8 centres à Roubaix, 4 à Strasbourg et 2 à Gravelines.

Certifié par plusieurs organismes (SSAE16, ISO, ANSSI, ANS, HIPAA) https://www.ovhcloud.com/fr/enterprise/certification-conformity/ , OVHCloud garantit un taux de disponibilité mensuel supérieur à 99,999 %.

Notre infrastructure est hébergée dans des Data Centers situés à Strasbourg, Gravelines et Roubaix, ce qui permet une haute disponibilité en Europe et notamment en France.

Nos serveurs sont constitués de matériel sélectionné et assemblé par notre partenaire OVHCloud.

‍

Fiabilité

Service client

• Le support client OVH est disponible 24h / 24 et 7j / 7. Les représentants du service client nous donnent des conseils avisés sur la façon de résoudre nos problème. C’est nous qui mettons en œuvre la solution qu’ils nous donnent.

Efficacité énergétique

• OVH s’est lancé sur le marché des datacenters écologiques. Conscient de l’impact environnemental des serveurs énergivores, OVH s’engage depuis 2003 dans l’efficacité énergétique.
• L’entreprise a supprimé la climatisation dans ses datacenters en 2010 et optimisé son système de refroidissement pour réduire la consommation d’énergie.
• OVH a toujours obtenu un score compris entre 1,0 et 1,2 sur l’indice d’efficacité de la consommation d’énergie  meilleur que la plupart des entreprises.

Rapidité et fiabilité

• OVH offre une garantie de disponibilité de 99,99%, avec un temps de réponse de cinq minutes ou moins en cas de panne.
• Les serveurs sélectionnés sont très rapides. Dans un test effectué, le temps de réponse était en moyenne inférieur à 400 ms.
• Les services OVHCloud restent très fiables. Plus de 90% des utilisateurs d’OVH attestent de la fiabilité de l’entreprise.

Surveillance

• Tous nos serveurs sont surveillés par des sondes internes et externes, ce qui nous permet d'être alertés immédiatement en cas d'anomalie qui ne pourrait pas être corrigée automatiquement par nos outils de surveillance ;
• Les ingénieurs sont disponibles 24 heures sur 24 pour intervenir dans les minutes qui suivent la détection d'une panne ;
• Des techniciens sont présents dans nos Data Centers, 24 heures sur 24, pour effectuer des manipulations à la demande de nos ingénieurs.

‍

Sécurité

Physique

L'accès aux centres de données se fait de manière sécurisée avec :

• Reconnaissance biométrique ;
• Badges nominatifs ;
• Les équipes de sécurité.

Serveurs

Tous nos serveurs sont :

• Protégé par un pare-feu, avec un mécanisme de bannissement automatique des IP effectuant des attaques ;
• Mis à jour immédiatement après la découverte d'une violation importante de la sécurité.

Sauvegardes

Nous faisons des sauvegardes de toutes les données de nos clients :

• sur une base quotidienne ;
• conservé pendant 90 jours ;
• accessible par nos clients sur demande express ;
• stockés dans les Data Centers OVHCloud

‍

Pour en savoir plus sur les mesures mise en place par OVHCloud pour sécuriser les données et être en conformité avec le GDPR : https://www.ovh.com/fr/protection-donnees-personnelles/securite.xml

‍

Mesures spécifiques

" Vous restez maître de vos données. UDo.tools ne fournit qu'un outil pour les centraliser, les gérer et les protéger, et ne peut prendre des mesures détaillées en votre nom. Nous n'accédons pas à vos données, ne les connaissons pas et ne donnons aucun accès à vos données à des tiers, à moins que vous ne le demandiez et ne nous invitiez expressément à le faire. "

Vos identifiants

Notre site a mis en œuvre des mesures de sécurité pour protéger les informations contre les pertes, les abus et les modifications non autorisées des informations sous notre contrôle. En particulier, notre serveur utilise une protection de sécurité SSL (Secure Sockets Layer) par chiffrement de toutes vos informations personnelles y compris votre mot de passe pour empêcher des personnes de lire ces informations lorsqu’elles circulent sur Internet. De plus, votre mot de passe est traité par ‘hashing’ et ‘salting’, ce qui signifie que personne, pas même UDo.tools, ne connaît votre mot de passe une fois que vous l’avez modifié.

Caractéristiques et mesures spécifiques

• Cryptage SSL des communications
• Accès unidirectionnel protégé par mot de passe avec hachage/salage
• Centralisation des données
• Contrôle d'accès aux données réservées
• Gestion des droits au niveau le plus fin (colonnes, objets, champs)
• Possibilité d'effacer les données (mais pas les logs)
• Possibilité de portabilité des données
• Historique de toutes les modifications
• Historique des accès à la lecture par enregistrement (sur demande express)
• Historique des accès en lecture par fichier (sur demande express)
• Exportation de l'historique par enregistrement (sur demande express)
• Liste des sous-traitants (personnes développant l'application)
• Vérification de la conformité des sous-traitant
• Délégué à la protection des données
• Catégorie de registre des activités réalisées pour le compte du client
• Disponibilité et résilience des données garanties
• Tests aléatoires de récupération complète des bases de données à partir des sauvegardes
• Documentation
• Sauvegarde quotidienne automatique pendant 90 jours
• Sauvegarde automatique multisite (3)
• Possibilité d'autoriser les contacts à consulter et à mettre à jour les données.
• Accès administratif limité à 2 managers de UDo.tools (CEO, CTO).

Fonctionnalités prévues dans un avenir proche

• Possibilité de pseudonymisation des données
• Possibilité de crypter certaines colonnes de données à l'aide d'un mot de passe.
• Type de colonne "chiffrée" pour protéger le contenu des informations sensibles

? FAQ

Sécurité de l'accès aux données

Quels moyens d'authentification sont disponibles pour accéder à la plateforme UDo.tools ?

• Login / mot de passe
• Baerer Token (API interne UDo.tools)

‍

Possibilité d'utiliser l'authentification unique (SSO) de Google, qui nous permettrait de nous connecter à votre service de manière sécurisée et de faciliter l'authentification de nos utilisateurs (login identique à l'email, etc.)

• Nous ne sommes pas encore compatibles avec Google SSO mais cela peut être étudié sur demande bien sûr. Nous envisageons d'intégrer une fonctionnalité facilitant le SSO et le Oauth2.

‍

Pouvez-vous décrire les politiques de sécurité des mots de passe pour les comptes d'utilisateurs locaux (complexité, durée de vie avant renouvellement, historique des mots de passe, etc.) ; nous aimerions également interdire les comptes anonymes ;

• Pour le moment la création de compte passe obligatoirement par le service technique UDo.tools. Un minimum de 6 caractères est requis avec un indicateur de robustesse.
• Les mots de passe sont hachés et salés et sont donc cryptés et ne peuvent pas être récupérés mais seulement remplacés.
• Il n'y a pas de durée de vie des mots de passe.
• Les comptes sont nominatifs

‍

La double authentification, ou l'authentification forte, est-elle disponible pour les comptes locaux ?

• La double authentification n'est pas encore disponible mais elle est prévue pour les comptes premium au quatrième trimestre 2022.

‍

Quels sont les différents moyens d'accès disponibles (vpn, cloud public, privé, hybride, etc.) ? Tous les flux utilisent ils des algorithmes de cryptage forts pour garantir la confidentialité de nos données ?

• UDo.tools est une plateforme SaaS hébergée par OVHCloud en France.
• Fin 2022, nous déploierons une infrastructure chez Microsoft Azure. L'hébergement dédié sera donc possible.
• Tous les flux sont effectués via un cryptage ssl de niveau bancaire.

‍

S'agit-il d'un environnement partagé avec d'autres clients ou d'une solution dédiée ? Quels moyens sont utilisés pour garantir l'étanchéité des différents environnements (virtualisation, etc.) ?

• Les données et les logiciels sont hébergés sur nos propres serveurs et ne sont pas partagés avec d'autres entreprises.
• Une gestion très fine et très stricte des droits d'accès interdit l'accès aux projets, aux applications et aux données, tant du côté client que du côté serveur.

‍

Comment fonctionne l'accès au service et à nos données ?

• Les fichiers du client (PDF, Word, photos, emails, etc.) sont stockés sur disque (NAS) dans des espaces non accessibles en http, seul un lien est généré, conservé et utilisé comme base de données.
• Les données sont gérées par espace de travail appelé "Projet". Chaque Projet possède sa propre instance et l'accès au projet est géré par une gestion spécifique des droits.
• L'accès par utilisateur ou groupe d'utilisateurs est possible, y compris par application, par objet, par colonne de tableau
• Par exemple, certaines personnes peuvent voir toutes les données mais pas l'historique des modifications, ou d'autres peuvent avoir un accès en lecture seule à une partie des données, un accès en écriture à une autre partie, et aucun accès à une autre partie.
• L'accès aux fichiers se fait via de longues URL anonymes générées et gérées dans une base de données et donc totalement non référencées et non consultables par les moteurs de recherche - aucun fichier n'est donc directement accessible.
• Il existe deux types d'accès:
• L'un permettant un accès (via login et mot de passe) si l'utilisateur existe dans la base de données de l'application qui souhaite être consultée
• L'autre nécessitant que l'utilisateur existe dans la base de données UDo et ait un droit d'accès valide via le login / mot de passe UDo.tools

‍

Quels sont les moyens logiciels et matériels de sécurité mis en œuvre pour garantir la confidentialité, l'intégrité, la traçabilité et la disponibilité des données (IPS/IDS, SOC, Passerelle Antivirus, Supervision, Log, etc.) ?

• Le matériel et la maintenance opérationnelle des serveurs UDo.tools sont gérés par OVHCloud et les serveurs sont physiquement hébergés dans leurs datacenters en France.
• Liste des certifications OVH.

Sécurité du stockage, conservation et restitution des données

Les données (stockage, base de données, etc.) sont-elles cryptées ?

• L'accès aux bases de données des utilisateurs par d'autres utilisateurs est impossible (à l'exception des données partagées par les utilisateurs eux-mêmes qui ont temporairement invité des membres du support UDo.tools (eux-mêmes soumis à des accords de confidentialité stricts - ) et seuls le CEO et le CTO de UDo.tools disposent des identifiants d'administrateur des serveurs qui sont modifiés au moins deux fois par an. Même pour le CEO et le CTO nous suivons une politique stricte de ne jamais accéder aux données sans l'autorisation préalable des client

‍

Avez-vous une politique de sauvegarde à nous envoyer ?

• Une sauvegarde glissante de 90 jours de l'ensemble des composants de la plateforme (toutes les bases de données, les applications, de tous les fichiers etc...) est effectuée quotidiennement.
• Les données appartenant aux utilisateurs sont conservées tant que les licences sont actives puis archivées pendant 1 an, sauf en cas de demande de suppression d'un compte.
• Les données d'identification de l'utilisateur (nom, login) sont conservées pendant la durée de la licence / période de collecte et sont supprimées lorsqu'un compte est supprimé avec le paiement final.

‍

Combien de niveaux de sauvegarde et de restauration sont disponibles (partiel, complet, etc.) ?

• Les sauvegardes sont totales et effectuées quotidiennement avec des copies des sauvegardes sur des serveurs séparés.
• La restauration peut être totale ou partielle et est effectuée sur demande.
• UDo.tools permet également de conserver l'historique de toutes les modifications effectuées par les utilisateurs (qui a modifié quoi, quand, et quelle était la valeur précédente) ce qui, en plus d'une traçabilité très utile pour comprendre les changements effectués, permet, à la demande, de revenir en arrière de manière très fine sans perdre les changements effectués dans la journée depuis la dernière sauvegarde quotidienne.
• Un ctrl-z (annuler) est également disponible directement par les utilisateurs dans le studio de conception pour les changements effectués à ce moment-là.

‍

Combien de temps faut-il pour restaurer une sauvegarde précédente ? Cette restauration nécessite-t-elle votre intervention ? Dans ce cas précis, la restauration a-t-elle un coût ?

• La restauration de la sauvegarde se fait à la demande et prend entre 1h et 4h selon le type de restauration demandé (sauf ctrl-z qui restaure instantanément les données précédentes)
• A l'exception du ctrl-z qui peut être fait par les utilisateurs eux-mêmes, la restauration nécessite l'intervention de UDo.tools.
• L'intervention est facturée en fonction du temps passé (au prorata du coût journalier en vigueur, actuellement 900€ / jour).

‍

Continuité et reprise après sinistre

Quels sont les moyens mis en place pour garantir la continuité des activités en cas de défaillance matérielle ou logicielle ?

• Nous avons un mécanisme pour gérer la défaillances matérielles reposant sur notre hébergeur
• Nous sommes en train de déployer un LoadBalancer permettant de gérer les défaillances logicielles. Le système gèrera tout seul le redémarrage des instances qui sont tombées en erreur.

‍

Un site secondaire est-il présent pour permettre une reprise après sinistre ?

• OVHCloud gère des serveurs dans plusieurs datacenters avec une redondance sur 3 sites différents.

‍

Avez-vous un PCA/PRA écrit à nous envoyer ?

• Nous ne communiquons pas ces procédures

‍

Déposez vous les sources de vos applications auprès d'un tiers de confiance ?

• Les codes sources de la plateforme applicative ne sont pas actuellement déposés mais cela peut être mis en place pour les contrats justifiant une telle demande.

‍

Qualité du service

Quel est le RTO moyen sur l'ensemble de votre infrastructure ? Et pour le service concerné ?

• Durant les 12 derniers mois, une interruption de service significative a eu lieu suite à l'incendie d'un datacenter de OVH à Strasbourg. Nous n'avons subi aucune perte de données ni d'applications. Il s'agit d'un évenement exceptionnel.Afin de supprimer ce risque de dépendance, nous allons mettre en place un "spare" chez un autre hébergeur (Microsoft Azure)
• Taux de disponibilité observé supérieur à 99,95 %.

‍

Un environnement de pré-production est-il fourni avec le service ?

• Oui, la plateforme dispose d'un environnement de pré-production sur lequel il est possible de lier soit la base de données de production soit la base de données de pré-production.Il est possible de "builder" soit en production soit en préproduction sans limitation de nombre. Nous disposons de notre propre infrastructure de préproduction.

‍

Pouvez-vous nous fournir les principaux SLA pour les services, notamment disponibilité de l'application, des environnements de production et des environnements hors production et plages de disponibilité du support, temps de résolution des anomalies ?

Cf SLA

‍

Continuité du service RPO, RTO

• Accès direct par le CEO/CTO pour l'analyse des logs / réinstallation des versions précédentes/base de données
• Nos équipes techniques sont votre seule interface. Nous gérons la relation avec l'hébergeur.

‍

Réversibilité de vos données

Avez-vous mis en place des processus et des procédures pour garantir la réversibilité des données ?

Cf Réversibilité

‍

Quel soutien offrez vous à vos clients ?

• Formation d'administrateur pour être capable de créer ou de gérer vos propres applications en toute autonomie,
• Formation des makers des agences partenaires
• Services professionnels pour aider à la conception et à la création d'applications (modélisation de la BDD)
• Formation / documentation pour les utilisateurs
• Assistance sur site ou à distance
• Aide à l'importation de données
• Aide à l'exportation / restitution des données
• Développements spécifiques
• Interfaces avec vos outils existants grâce à nos robots logiciels (UExchange)

‍

Dans quel format les données sont-elles retournées ?

• Fichiers plats de type csv, xml, Json, txt, jpeg, pdf, docx

‍

La récupération des données a-t-elle un coût ?

• L'intervention est facturée au temps passé (au prorata du coût journalier en vigueur, actuellement 900€ / jour).

‍

Nous souhaitons réaliser des tests de réversibilité périodiques (2 à 4 fois par an), quelle est votre position ?

• C'est une option possible mais devra faire l'objet d'une négociation contractuelle.

‍

Conformité

Respectez vous les exigences du règlement européen sur la protection des données (GDPR) ?

• C'est un règlement contraignant donc oui bien évidemment.

‍

Le stockage des données se fait-il dans la zone UE ?

• Oui en France.
• Nous aurons prochainement un hébergement dans un pays neutre.

‍

Quels engagements prenez-vous concernant la propriété et l'utilisation des données ?

• Toutes vos données vous appartiennent et personne d'autre n'y a accès, sauf si vous en faites la demande express.
• Vous pouvez demander à tout moment la restitution de vos données et la destruction de toutes vos données.

‍