Centre de confiance
Centre de confiance : la sécurité de la plateforme BEAROPS, en faits vérifiables
Mis à jour le .
Cette page rassemble les faits techniques sur la sécurité de la plateforme BEAROPS : localisation des données, hébergement, sous-traitants, chiffrement, contrôle d’accès, développement, continuité et divulgation des vulnérabilités. Pour chaque point, nous indiquons ce qui est publié ici et ce qui est communicable sur demande. Les principes de souveraineté sont expliqués sur une page dédiée.
- Éditeur français
- Approche par la preuve, pas par la peur
- Documents communicables sur demande
Ce que couvre cette page
Cette page décrit comment la plateforme de la suite de produits BEAROPS est construite et exploitée : où sont les données, qui les traite, comment elles sont protégées. Les raisons de nos choix, nos critères de souveraineté et la question du Cloud Act sont traités sur notre page souveraineté. Les deux pages se complètent.
Architecture et localisation des données
Savoir où se trouvent les données est la première question d’une revue fournisseur. Nous indiquons ici, environnement par environnement, où les données de la plateforme sont traitées et stockées : production, sauvegarde, support, traitement par l’IA. La description détaillée de l’architecture est communiquée sur demande, dans le cadre d’une revue de sécurité.
- Production : données hébergées en France, dans les centres de données OVHcloud.
- Sauvegardes : hébergées en France, dans les centres de données OVHcloud.
- Support : assuré par les équipes BEAROPS.
- Intelligence artificielle : modèles d’IA hébergés et audités en France.
Sur demande
- Description de l’architecture, sous accord de confidentialité.
Hébergement
Hébergement en France sur une infrastructure OVHcloud certifiée ISO/IEC 27001. Cette certification est celle de l’hébergeur, pas celle de BEAROPS : elle couvre l’infrastructure sur laquelle repose la plateforme. Le rôle de l’hébergeur et l’organisation de l’exploitation sont précisés ci-dessous.
- Hébergeur : OVHcloud, en France, dans ses centres de données.
- Certification ISO/IEC 27001 : celle d’OVHcloud ; son périmètre est défini et publié par l’hébergeur. Voir les sources
- Exploitation de la plateforme : assurée en interne par les équipes BEAROPS, sans sous-traitance de l’exploitation.
Sous-traitants ultérieurs
Un fournisseur n’est jamais seul : il s’appuie lui-même sur des prestataires. Nous publions la liste des sous-traitants ultérieurs qui peuvent traiter des données de la plateforme, avec leur fonction et leur localisation. Toute modification de cette liste est datée sur cette page.
Liste à jour au .
| Sous-traitant | Fonction | Localisation du traitement | Données concernées |
|---|---|---|---|
| OVHcloud | Hébergement de l’infrastructure de la plateforme | France | Données de production et sauvegardes de la plateforme |
Hors plateformes, le site vitrine renvoie vers Calendly (Calendly LLC, États-Unis) pour la prise de rendez-vous : ce service n’est pas un sous-traitant des données des plateformes.
Chiffrement en transit et au repos
Le chiffrement protège les données lorsqu’elles circulent sur le réseau et lorsqu’elles sont stockées. Cette section indique ce qui est chiffré sur la plateforme dans ces deux situations. La description technique des mécanismes appliqués est communiquée sur demande, sous accord de confidentialité.
- En transit : les données de la plateforme sont chiffrées lorsqu’elles circulent sur le réseau.
- Au repos : les données de la plateforme sont chiffrées lorsqu’elles sont stockées.
Sur demande
- Description technique du chiffrement, sous accord de confidentialité.
Contrôle d’accès et authentification
Deux questions se posent : comment vos utilisateurs s’authentifient sur la plateforme, et qui, chez BEAROPS, l’exploite. Nous décrivons ici l’authentification proposée, la gestion des rôles et l’organisation de l’exploitation.
- Authentification : le portail de la suite applique une authentification unique pour l’accès aux produits.
- Rôles et droits : gestion des droits par produit et par rôle ; chaque équipe ne voit que son périmètre.
- Équipes BEAROPS : exploitation et support assurés en interne, sans sous-traitance de l’exploitation.
Sur demande
- Politique de sécurité, sous accord de confidentialité.
Développement sécurisé et vulnérabilités de la plateforme
Un éditeur de cybersécurité doit appliquer à sa propre plateforme l’exigence qu’il recommande à ses clients. Cette section indique qui développe la plateforme, comment sont traitées les vulnérabilités qui nous sont signalées et quels éléments sur sa sécurité sont communicables sur demande.
- Développement : technologie développée en France par les équipes BEAROPS, sur des moteurs propriétaires, sans brique cœur sous licence étrangère.
- Vulnérabilités signalées : traitées selon notre politique de divulgation coordonnée. Signaler une vulnérabilité
Sur demande
- Résultats des tests d’intrusion de la plateforme, sous accord de confidentialité.
- Politique de sécurité, sous accord de confidentialité.
Continuité et sauvegardes
La continuité d’un service se mesure à sa capacité à repartir après un incident. Nous indiquons ici où sont conservées les sauvegardes et comment vous récupérez vos données à la sortie du contrat. Le plan de continuité est communiqué sur demande, sous accord de confidentialité.
- Sauvegardes : hébergées en France, dans les centres de données OVHcloud.
- Réversibilité : récupération de vos données à la sortie du contrat, prévue par une clause de réversibilité contractuelle.
Sur demande
- Plan de continuité, sous accord de confidentialité.
Signaler une vulnérabilité
Si vous pensez avoir découvert une vulnérabilité dans la plateforme ou le site BEAROPS, signalez-la-nous de façon confidentielle avant toute publication. Nous accusons réception, analysons le signalement et vous tenons informé de sa correction. Notre politique et notre contact sécurité sont aussi publiés dans le fichier security.txt.
- Contact sécurité : contact@bearops.fr
- Périmètre : la plateforme BEAROPS et le site bearops.fr.
- Divulgation coordonnée : décrivez la vulnérabilité, son impact et les étapes pour la reproduire, et ne la rendez pas publique avant sa correction.
- Fichier /.well-known/security.txt, au format RFC 9116 : il reprend ce contact et cette politique.
Nos engagements et leurs preuves
Chaque engagement ci-dessous est associé à la preuve qui le soutient : publiée sur cette page ou sur le site d’un tiers, ou communicable sur demande, sous accord de confidentialité. Une ligne sans preuve disponible n’est pas affichée. Le tableau est daté.
Mis à jour le .
| Engagement | Preuve disponible | Sur demande |
|---|---|---|
| Hébergement en France sur une infrastructure OVHcloud certifiée ISO/IEC 27001. | Page de certification publique d’OVHcloud (voir Sources) | Description de l’architecture |
| Liste des sous-traitants ultérieurs publiée et datée | Sous-traitants ultérieurs | Sans objet |
| Données chiffrées en transit et au repos | Chiffrement en transit et au repos | Description technique du chiffrement |
| Droits d’accès par produit et par rôle, exploitation assurée en interne | Contrôle d’accès et authentification | Politique de sécurité |
| Plateforme développée par les équipes BEAROPS et soumise à des tests d’intrusion | Développement sécurisé et vulnérabilités | Résultats des tests d’intrusion de la plateforme |
| Sauvegardes en France et continuité | Continuité et sauvegardes | Plan de continuité |
| Récupération de vos données à la sortie du contrat | Clause de réversibilité contractuelle | Sans objet |
| Divulgation coordonnée des vulnérabilités | Fichier /.well-known/security.txt | Sans objet |
Documents disponibles sur demande
Pour une revue fournisseur, un questionnaire de sécurité ou une exigence réglementaire, nous communiquons des documents complémentaires sous accord de confidentialité. Indiquez votre besoin dans votre demande : nous vous transmettons les pièces disponibles et répondons à vos questionnaires dans un délai convenu ensemble.
- Description de l’architecture.
- Description technique du chiffrement.
- Politique de sécurité.
- Plan de continuité.
- Résultats des tests d’intrusion de la plateforme.
- Réponses à votre questionnaire de sécurité fournisseur.
Sources et références
- Certifications ISO 27001/27017/27018, OVHcloud
- Règlement (UE) 2016/679 (RGPD), EUR-Lex
- RFC 9116, A File Format to Aid in Security Vulnerability Disclosure (security.txt), IETF
Sources consultées le . Signaler une erreur : contact+site@bearops.fr
Questions fréquentes
Où sont hébergées les données de la plateforme BEAROPS ?
Hébergement en France sur une infrastructure OVHcloud certifiée ISO/IEC 27001. Les données de production et les sauvegardes sont hébergées en France, dans les centres de données OVHcloud, et l’exploitation est assurée en interne par les équipes BEAROPS. La description détaillée de l’architecture est communiquée sur demande, dans le cadre d’une revue de sécurité ou d’une revue fournisseur.
BEAROPS est-il certifié ISO/IEC 27001 ?
La certification ISO/IEC 27001 citée sur notre site est celle de notre hébergeur, OVHcloud, et couvre l’infrastructure sur laquelle repose la plateforme. Elle ne doit pas être présentée comme une certification de BEAROPS. Nous préférons cette précision à une formulation ambiguë.
Comment signaler une vulnérabilité ?
Écrivez à notre contact sécurité, contact@bearops.fr, indiqué aussi dans le fichier security.txt du site. Décrivez la vulnérabilité, son impact et les étapes pour la reproduire, sans la divulguer publiquement avant correction. Nous accusons réception, analysons le signalement et vous tenons informé de son traitement.
Puis-je obtenir la liste des sous-traitants et un dossier sécurité ?
Oui. La liste des sous-traitants ultérieurs est publiée sur cette page, et des documents complémentaires sont communicables sous accord de confidentialité dans le cadre d’une revue fournisseur. Indiquez votre besoin via le formulaire de contact : nous vous transmettons les pièces disponibles.
Quelle différence entre cette page et la page souveraineté ?
La page souveraineté explique nos critères et nos choix : propriété de la technologie, droit applicable, Cloud Act, réversibilité. Cette page décrit les faits techniques de la plateforme : hébergement, sous-traitants, chiffrement, accès, continuité. La première dit pourquoi, la seconde montre comment, preuves à l’appui.
Besoin d’aller plus loin dans votre revue ?
Questionnaire de sécurité, revue fournisseur, exigence DORA : demandez notre dossier sécurité. Nous vous transmettons les documents disponibles et répondons à vos questions techniques.