La sécurité n’est pas une fonctionnalité. C’est une condition essentielle.
La sécurité est le fondement d’anny. En tant que solution SaaS de gestion des réservations et des ressources, nous protégeons les données de nos clients de manière proactive. Nous réévaluons constamment nos protocoles de sécurité pour protéger vos données de réservation et renforcer la résilience de votre entreprise.
Conformité et certifications
anny respecte les principales normes internationales de sécurité :
ISO 27001:2022 : un système de management de la sécurité de l’information (SMSI) certifié, couvrant l’ensemble des processus, politiques et contrôles de protection des données de l’entreprise.
ISO 27017 : une norme complémentaire de contrôles de sécurité propres au cloud, qui garantit la protection de notre exploitation cloud selon les meilleures pratiques internationales.
RGPD : toutes les données clients sont traitées dans le plein respect du RGPD. Consultez notre politique de confidentialité pour en savoir plus.
Nos certificats sont téléchargeables dans le Trust Center.
Notre infrastructure est protégée par plus de 17 contrôles de sécurité documentés et surveillés automatiquement.
Contrôle des accès et authentification
L’accès à nos systèmes suit le principe du moindre privilège : chaque accès est limité au strict nécessaire pour accomplir la tâche concernée.
Les bases de données de production, les réseaux et les applications nécessitent des identifiants individuels ou des clés SSH autorisées. Aucun compte partagé.
Tout accès distant aux systèmes de production nécessite une authentification multifacteur (MFA) via une connexion chiffrée.
L’accès aux bases de données de production, aux systèmes d’exploitation, aux réseaux et aux pare-feu est réservé au personnel autorisé ayant un besoin professionnel avéré.
Des règles claires encadrent la création, la modification et la révocation des droits des utilisateurs. Lors du départ d’un collaborateur, tous ses droits d’accès sont révoqués dans les délais définis par les SLA.
Durcissement des réseaux et des systèmes
Les pare-feu réseau sont configurés activement pour empêcher les accès non autorisés. L’accès à leur configuration est lui-même réservé aux personnes autorisées. Le durcissement des réseaux et des systèmes suit des normes sectorielles documentées, réexaminées et mises à jour au moins une fois par an. Les données sont chiffrées en transit et au repos.
Surveillance et journalisation
Un système centralisé de gestion des journaux enregistre les événements liés à la sécurité et met en évidence les menaces potentielles. Tous les systèmes sont surveillés automatiquement et des alertes en temps réel sont déclenchées lorsque les seuils définis sont atteints.
Sécurité du produit
La sécurité est intégrée au produit dès sa conception, et non ajoutée après coup. Tous les espaces de stockage contenant des données clients sensibles sont chiffrés au repos. Des politiques formelles définissent les exigences de gestion des vulnérabilités et de surveillance des systèmes pour nos équipes informatiques et d’ingénierie : les vulnérabilités sont systématiquement recensées, évaluées et corrigées. Au moins une fois par an, nous réalisons des autoévaluations pour vérifier que tous les contrôles de sécurité fonctionnent comme prévu. Si des écarts sont constatés, des mesures correctives sont engagées et mises en œuvre dans les délais définis par les SLA.
Sécurité organisationnelle
La technologie seule ne suffit pas. La sécurité commence par les personnes qui l’utilisent.
Recrutement et vérifications
Tous les nouveaux collaborateurs font l’objet de vérifications d’antécédents avant leur prise de poste. Un code de conduite contraignant est signé dès leur intégration. Les manquements sont sanctionnés selon une politique disciplinaire définie. Les mêmes exigences s’appliquent aux prestataires et sous-traitants externes : leurs contrats comprennent également le code de conduite et un accord de confidentialité. Les collaborateurs signent eux aussi l’accord de confidentialité lors de leur intégration.
Formation à la sensibilisation à la sécurité
Tous les collaborateurs suivent une formation à la sécurité dans leurs 30 premiers jours, puis au moins une fois par an. La sensibilisation à la sécurité devient ainsi une composante durable du travail quotidien, plutôt qu’un événement ponctuel.
Sécurité physique et accès
Les visiteurs des zones sensibles doivent s’enregistrer, porter un badge et être accompagnés par des collaborateurs autorisés. Les supports électroniques contenant des informations confidentielles sont détruits selon des procédures documentées, avec un certificat de destruction pour chaque appareil.
Évaluation régulière
Les responsables réalisent au moins une fois par an des évaluations des performances qui couvrent également les responsabilités liées à la sécurité.
Protection et traitement des données
La protection de vos données ne s’arrête pas au chiffrement. Des règles claires définissent leur classification, leur conservation et leur suppression.
Classification des données
Une politique formelle de classification garantit que les informations confidentielles sont protégées de manière appropriée et accessibles uniquement au personnel autorisé. Les règles d’accès et de traitement varient selon leur sensibilité.
Conservation et suppression des données
Des procédures formelles de conservation et de destruction encadrent l’ensemble du cycle de vie des données de l’entreprise et des clients. Seules les données réellement nécessaires sont conservées. À la fin du contrat, toutes les données clients confidentielles sont intégralement supprimées de l’environnement applicatif, conformément aux meilleures pratiques établies. Les clients gardent à tout moment le contrôle de leurs données et peuvent aussi demander leur suppression anticipée.
Conformité au RGPD
anny peut être utilisé dans le plein respect du RGPD. Les données personnelles sont traitées uniquement pour les finalités prévues et ne sont pas communiquées à des tiers non autorisés. Tous les détails figurent dans notre politique de confidentialité.
Continuité d’activité et réponse aux incidents
Nous avons mis en place des plans de continuité et de reprise après sinistre, que nous testons régulièrement. Une gestion documentée des configurations permet de rétablir rapidement les systèmes. Elle est complétée par plus de 14 procédures de sécurité internes, de la gestion des changements à la réponse aux incidents.
