Questionnaire de sécurité
Le questionnaire de votre service informatique, déjà rempli
Les mêmes questions arrivent avec chaque appel d'offres, elles sont donc traitées d'avance et par écrit. Là où nous n'avons pas de réponse tenable, vous trouverez la question et rien en dessous : mieux vaut une lacune qu'un chiffre indéfendable deux ans plus tard.
Dernière révision : 30 août 2026
Cette page est mise en page pour le papier : elle s'imprime ou s'enregistre en PDF depuis le navigateur, et elle sort sans menus ni pied de page.
01Où sont les données et qui les exploite
Où sont hébergées les données ?
Sur nos propres serveurs situés dans l'Union européenne, dans un centre de données situé en France et exploité par Hostinger International Limited. Les sauvegardes demeurent dans la même juridiction.
Y a-t-il des transferts internationaux de données ?
Non. Ni l'hébergement, ni les sauvegardes, ni le support, ni les tâches d'administration ne sont assurés depuis l'extérieur de l'Espace économique européen, de sorte qu'il n'est pas nécessaire de recourir aux clauses contractuelles types ni aux autres garanties du chapitre V du RGPD.
L'installation est-elle mutualisée ? Comment les données de chaque entreprise sont-elles séparées ?
Elle est mutualisée. Chaque table de contenu porte l'identifiant de l'entreprise et l'isolement est imposé dans la couche de données, pas dans l'interface : une requête ne peut pas l'omettre. Il existe en outre un test automatique qui insère une entreprise rivale dans la même base, avec du contenu dans chaque table, et vérifie depuis la session d'un salarié qu'on n'atteint rien de l'autre. Il tourne avec le reste de la batterie, pas une fois par an.
Peut-on l'installer sur nos propres serveurs ?
Pas aujourd'hui. Le service est fourni depuis nos serveurs situés dans l'Union européenne.
02Chiffrement
Les communications sont-elles chiffrées ?
Oui. Le site et la plateforme sont servis en HTTPS, et le cookie de session est marqué Secure et HttpOnly : il ne passe jamais par une connexion non chiffrée et JavaScript ne peut pas le lire. Les pages ne chargent rien de tiers — ni polices, ni icônes, ni scripts — de sorte qu'en ouvrir une ne déclenche pas une seule requête vers l'extérieur. Le courrier sortant passe par TLS sur le port 465 ou par STARTTLS sur le port 587, selon la configuration de la boîte.
Qu'est-ce qui est stocké de manière à ne servir à rien si quelqu'un emporte une copie de la base ?
Les mots de passe ne sont pas stockés : ce qui est stocké est un dérivé obtenu avec scrypt et un sel différent par utilisateur. De l'identifiant de session, seul son condensat existe, de sorte qu'un vidage de la table ne permet d'usurper personne. Idem pour le jeton SCIM : il est montré une seule fois à sa création et seul son condensat reste en base. Le secret client du SSO, lui, doit pouvoir être relu — il est envoyé au fournisseur d'identité à chaque échange de code — et il est donc chiffré en AES-256-GCM, avec la clé dérivée par HKDF sous son propre libellé.
Le disque qui héberge la base de données est-il chiffré ?
Ce qui est vérifié : la base de données n'est pas exposée à internet et n'est accessible que depuis le serveur lui-même. Les fichiers téléversés sont stockés sur le disque, dans un dossier par entreprise, et ne sont pas accessibles par adresse directe : chaque téléchargement revérifie la session et l'appartenance à l'entreprise.
Sans réponse écrite
Le chiffrement du volume est une mesure de la machine et non de l'application, il n'est donc pas affirmé ici. Demandez-le et nous vous confirmerons par écrit ce qui est configuré sur le serveur.
03Sauvegardes
Des sauvegardes sont-elles faites, et où sont-elles conservées ?
Oui. Les conditions du service prévoient des sauvegardes régulières dans l'Union européenne, dans la même juridiction que les données. Elles ne remplacent pas les exports que l'entreprise cliente peut faire de son côté et ne font pas du prestataire le dépositaire de l'unique copie.
À quelle fréquence sont-elles faites, combien de temps sont-elles conservées et une restauration a-t-elle déjà été testée ?
Chaque nuit, planifiées sur le serveur lui-même. Le processus fait deux choses : un vidage complet de la base de données avec pg_dump, au format propre de PostgreSQL et compressé, et une archive tar.gz des fichiers téléversés, dont sont exclues les copies dérivées des images parce qu'elles se régénèrent seules. Elles sont conservées quatorze jours, tournent d'elles-mêmes et demeurent dans la même juridiction que les données.
Sans réponse écrite
La procédure de restauration et le temps qu'elle demande se donnent par écrit sur demande. C'est la partie qui dépend de la machine et du volume du jour, et aucun chiffre qui ne tiendrait pas devant qui le vérifie n'est publié ici.
04Contrôle d'accès, rôles et sessions
Quels rôles existent et que peut faire chacun ?
Six : propriétaire, administration, gestionnaire du personnel, responsable informatique, édition et salarié. Publier sans passer par une approbation est possible pour le propriétaire, l'administration et l'édition. Dans les écrans d'administration, chacun n'atteint que son périmètre : le gestionnaire du personnel inscrit et retire des personnes mais ne voit ni la facturation ni l'authentification unique, et le responsable informatique configure le SSO, les clés d'API et les écrans d'atelier mais ne gère pas les effectifs. Et personne ne peut attribuer un rôle avec plus de permissions que le sien. Les garde-fous sont vérifiés sur le serveur à l'intérieur de chaque action, et pas en cachant le bouton : une action serveur répond même si le bouton n'a jamais été affiché.
Comment les comptes sont-ils protégés contre la force brute ?
Le compte est bloqué quinze minutes après huit tentatives échouées, et le message d'erreur ne révèle pas si cette adresse existe. Lorsqu'il n'y a aucun compte à vérifier, le temps de calcul du condensat est dépensé quand même, pour que la réponse ne trahisse pas par sa rapidité que l'adresse n'est pas enregistrée.
Combien de temps dure une session ?
Trente jours sans usage, dans une fenêtre qui glisse à chaque connexion, avec un plafond absolu de cent quatre-vingts jours qui ne glisse pas : il oblige à se réidentifier au moins deux fois par an. Les sessions expirées sont supprimées chaque nuit.
Qu'est-ce qui ferme les sessions ouvertes d'une personne ?
Changer son mot de passe, bloquer le compte depuis l'administration et la sortir du système RH via SCIM. Dans les trois cas, toutes ses sessions sont supprimées, de sorte qu'un onglet resté ouvert cesse aussitôt de fonctionner.
Y a-t-il une authentification à deux facteurs ?
Pas la nôtre. Qui se connecte avec le compte de son entreprise par authentification unique passe par les règles d'accès conditionnel et le second facteur de son fournisseur d'identité, et ne tape aucun mot de passe ici. Pour le personnel qui entre avec un code d'invitation et une adresse personnelle, cela ne s'applique pas.
Peut-on obliger tout le monde à passer par le fournisseur d'identité ?
Un réglage désactive la connexion par mot de passe pour les domaines de messagerie configurés. Il n'affecte pas ceux qui entrent avec un code d'accès sans adresse professionnelle : ces comptes n'ont pas de mot de passe à désactiver, et ils représentent la moitié des effectifs dans une usine ou un entrepôt.
05Authentification unique et approvisionnement
Quelle authentification unique est prise en charge ?
OpenID Connect, avec Microsoft Entra ID, Google Workspace et Okta. La configuration consiste à coller l'adresse de découverte du fournisseur, et les adresses d'autorisation, d'échange et de clés en découlent seules. De notre côté, la signature du jeton d'identité est vérifiée, ainsi que le fait que l'émetteur soit exactement celui qui a été demandé.
Et SAML 2.0 ou LDAP ?
Non. L'authentification unique passe par OpenID Connect et uniquement par là. C'est une décision et non une date en attente : SAML, c'est du XML signé, vérifier correctement cette signature exige la canonicalisation XML, et c'est de là que sont venus presque tous les contournements d'authentification de la dernière décennie. Si votre cahier des charges exige SAML par écrit, mieux vaut le dire avant d'aller plus loin.
Y a-t-il un approvisionnement automatique des utilisateurs ?
Oui, SCIM 2.0 sur /scim/v2/Users. Exactement ce qui est implémenté est déclaré : filtre par userName et externalId, pagination et modification partielle avec PATCH. Il n'y a ni opérations par lot, ni tri, ni etag, ni changement de mot de passe par SCIM, et rien de tout cela n'est déclaré à dessein : déclarer plus que ce que l'on fait conduit la synchronisation à sauter des personnes en croyant que non.
Que se passe-t-il quand le système RH sort quelqu'un des effectifs ?
Le compte est désactivé, ne peut plus se connecter, et ses sessions ouvertes sont fermées. Il n'est pas supprimé : le supprimer emporterait ses publications et ses commentaires, et un panneau d'affichage troué est pire qu'un panneau portant le nom de quelqu'un qui est parti. Un réglage permet d'anonymiser au lieu de désactiver. Un DELETE SCIM désactive également.
Comment votre système s'authentifie-t-il auprès du nôtre ?
Avec un jeton porteur que l'entreprise génère elle-même dans Administration › Identité d'entreprise. Il est montré une seule fois et ne peut plus être revu : seul son condensat reste en base. S'il est perdu, on en génère un autre et le précédent cesse de valoir.
06Journal d'audit et activité
Existe-t-il un journal d'audit ?
Oui. Chaque entrée enregistre l'entreprise, l'auteur, l'action, l'entité concernée, l'adresse IP et la date. Il couvre les arrivées et les départs, les changements de rôle, les invitations créées et révoquées, les publications approuvées et refusées, les documents téléversés et supprimés, les accusés de lecture, les changements de mot de passe, la configuration et l'activation de l'authentification unique et de SCIM, ainsi que l'activation et la résiliation des modules.
Ce journal expire-t-il ?
Non. C'est la différence avec le journal d'activité du quotidien, qui expire : la trace d'audit du sensible reste.
Peut-on le consulter et l'exporter ?
Aujourd'hui il se consulte sur demande. Il n'existe pas encore d'écran qui l'affiche ni d'export dans un fichier.
Qu'enregistre-t-on de l'activité de chacun, et pendant combien de temps ?
Uniquement si l'entreprise souscrit le module Accès et activité. Dans ce cas, on enregistre les appareils depuis lesquels chaque personne se connecte et la section visitée — /communautes, pas /communautes/usine-de-getafe — et jamais le contenu de ce qui est lu ou écrit. Cela s'efface automatiquement au bout de quatre-vingt-dix jours. Chaque personne voit ses propres appareils dans son profil, pas seulement l'administration : un contrôle que le personnel ne peut pas regarder est de la surveillance, celui qu'il peut regarder est de la sécurité.
07Sous-traitants ultérieurs et ce qui sort
Qui sont les sous-traitants ultérieurs ?
Hostinger International Limited, en tant que fournisseur de l'infrastructure sur laquelle sont hébergés les serveurs : il agit en qualité de sous-traitant, l'accord correspondant est signé et il n'accède pas au contenu. Et les conseils externes de comptabilité, de fiscalité et de conseil juridique, limités aux données de facturation et soumis au secret professionnel. Tout changement est communiqué suffisamment à l'avance pour que l'entreprise cliente puisse s'y opposer.
Quels tiers reçoivent des données du fait de l'usage de l'outil ?
Aucune analyse d'audience, aucune publicité, aucune gestion de campagnes et aucun module de réseaux sociaux. Les polices et les autres ressources sont servies depuis notre propre serveur. Deux choses sortent, et deux seulement : le courrier, par le serveur d'envoi configuré ; et les notifications du navigateur, si elles sont activées, qui passent par le service de push du navigateur de chaque personne, signées avec des clés VAPID selon le RFC 8292.
Un modèle d'intelligence artificielle est-il entraîné avec notre contenu ?
Non. Ni avec les publications, ni avec les commentaires, ni avec les réponses aux sondages, ni avec les documents. L'outil n'a pas de fonctions d'intelligence artificielle, il n'a donc nulle part où envoyer votre contenu.
08Conservation, suppression et sortie
Combien de temps les données sont-elles conservées ?
Tant que le contrat est en vigueur. À l'intérieur, des délais s'appliquent seuls chaque nuit : l'activité s'efface au bout de quatre-vingt-dix jours ; les notifications lues, au bout de quatre-vingt-dix ; les notifications non lues, au bout de cent quatre-vingts ; les messages du formulaire de contact, au bout d'un an ; et les sessions et invitations expirées, dès leur expiration. Les journaux du serveur sont conservés quatre-vingt-dix jours.
Que se passe-t-il à la fin du contrat ?
L'entreprise dispose de trente jours calendaires d'accès pour exporter ses informations. Passé ce délai, les données et les fichiers sont supprimés définitivement dans un maximum de trente jours supplémentaires, sauvegardes comprises, à la seule exception de ce qui doit être conservé par obligation légale, ce qui se limite aux données de facturation.
Comment récupère-t-on les informations ?
Les documents et les fichiers se téléchargent depuis l'outil lui-même. Un vidage complet des publications, des personnes et des réponses se demande et se livre. Il n'y a pas aujourd'hui de bouton pour tout exporter : c'est au plan de travail, sans date engagée.
09Protection des données et incidents
Qui est responsable de traitement et qui est sous-traitant ?
L'entreprise cliente est responsable du traitement des données de son personnel ; nous sommes sous-traitants. Le contrat de sous-traitance est publié à l'intérieur de la politique de confidentialité, avec les obligations de l'article 28 du RGPD une par une.
Y a-t-il un délégué à la protection des données ?
Aucun n'a été désigné, aucun des trois cas de l'article 37 du RGPD ne s'appliquant : ni autorité publique, ni suivi systématique à grande échelle, ni catégories particulières de données à grande échelle.
Pouvons-nous vous auditer ?
Oui. Parmi les obligations assumées en tant que sous-traitant figure celle de mettre à la disposition du responsable de traitement les informations nécessaires pour démontrer la conformité et de permettre des audits, y compris des inspections, avec un préavis raisonnable.
Qui est prévenu en cas de violation de données ?
L'entreprise cliente, qui est responsable de traitement, sans retard injustifié et avec les informations dont elle a besoin pour remplir ses propres obligations de notification auprès de l'autorité de contrôle et, le cas échéant, auprès des personnes concernées. C'est une obligation écrite dans le contrat de sous-traitance.
Sans réponse écrite
Le délai précis en heures depuis la détection n'est pas engagé par écrit. Si votre cahier des charges exige un nombre, il se convient dans le contrat avant signature plutôt qu'il ne se suppose ici.
Vous engagez-vous sur un pourcentage de disponibilité ?
Non. Les conditions disent que le service est fourni avec une diligence raisonnable et que la disponibilité continue est recherchée, mais aucun chiffre garanti n'est engagé, parce qu'il n'est ni mesuré ni compensé. Si votre cahier des charges exige un accord de niveau de service avec pénalités, nous ne le remplissons pas aujourd'hui.
Une question de votre cahier des charges manque ?
Envoyez-la et nous y répondrons par écrit. Celles qui reviennent finissent sur cette page, c'est à cela qu'elle sert.
info@blastack.com