Mesures techniques et organisationnelles (MTO)

Mesures techniques

Contrôles d'accès

  • Authentification à deux facteurs (2FA) : l'accès aux systèmes de production est exclusivement autorisé via une authentification à deux facteurs.
  • Contrôle d'accès basé sur les rôles (RBAC) : les collaborateurs n'ont accès qu'aux données nécessaires à l'exercice de leurs fonctions, conformément au principe du moindre privilège.
  • Restriction d'accès aux serveurs et bases de données : seules les personnes autorisées peuvent accéder aux systèmes, bases de données et serveurs, l'accès étant sécurisé par des mots de passe robustes et la 2FA.
  • Journalisation automatisée : tous les accès aux données personnelles et aux systèmes sont automatiquement enregistrés et peuvent être vérifiés en cas de besoin.

Chiffrement

  • Chiffrement des données pendant le transfert : toutes les transmissions de données sont effectuées exclusivement via des connexions chiffrées utilisant des protocoles modernes (par exemple TLS).
  • Chiffrement des données au repos : les données personnelles stockées sur les serveurs sont chiffrées selon des méthodes actuelles telles que AES-256.
  • Données de paiement : les données de carte sont saisies et traitées exclusivement par notre prestataire de paiement certifié PCI-DSS ; tastee ne les stocke pas.

Sécurité des réseaux et des systèmes

  • Pare-feu et système de détection d'intrusion (IDS) : les réseaux sont protégés par des pare-feu et équipés d'un IDS afin de détecter rapidement les tentatives d'accès non autorisées.
  • Protection contre les attaques DDoS : des mesures de protection contre les attaques par déni de service distribué garantissent la disponibilité des services.
  • Gestion des correctifs : les systèmes d'exploitation, composants logiciels et l'app sont régulièrement mis à jour pour combler les vulnérabilités connues.

Monitoring et journalisation

  • Journaux d'accès et d'activité : tous les accès et actions pertinentes (par exemple tentatives de connexion, modifications de données) sont enregistrés et régulièrement vérifiés.
  • Surveillance automatisée : les systèmes détectent automatiquement les activités suspectes et déclenchent des alertes si nécessaire.
  • Conservation des journaux : les journaux sont conservés de manière sécurisée pendant 12 mois, conformément aux exigences légales.

Sauvegarde des données

  • Sauvegardes régulières : des sauvegardes régulières de la base de données de production sont effectuées, testées et stockées de manière sécurisée.
  • Géoréplication : les sauvegardes sont stockées sur plusieurs sites géographiquement distincts pour éviter toute perte de données.

Gestion des vulnérabilités

  • Vérification de la sécurité lors des modifications : les nouvelles fonctionnalités et modifications du système sont vérifiées avant leur mise en production afin de détecter toute vulnérabilité.

Mesures organisationnelles

Documentation interne, sensibilisation et formation

  • Directive interne : une directive sur la protection des données personnelles, applicable à l'ensemble de l'entreprise, définit les règles de gestion sécurisée des données personnelles.
  • Sensibilisation et formation : l'ensemble des collaborateurs est régulièrement formé aux principes de la protection des données, à la sécurité des mots de passe, au traitement sécurisé des informations et à la détection des attaques de type phishing.

Restriction des accès

L'accès aux données personnelles est octroyé sur la base de rôles et de responsabilités clairement définis et fait l'objet d'une documentation systématique.

Registre des activités de traitement

Toutes les activités de traitement sont documentées dans un registre précisant leur nature, leur finalité, les catégories de données concernées et les droits d'accès.

Sous-traitance ultérieure

Les sous-traitants de tastee qui traitent des données personnelles (par exemple pour l'hébergement, l'envoi d'e-mails ou de SMS, ou le traitement des paiements) sont soigneusement sélectionnés. Ils sont tenus, par un accord de traitement des données, de respecter les mêmes exigences de protection des données que tastee. La liste est publiée sur notre page Sous-traitants.

Gestion des violations de la sécurité des données

En cas de violation de la sécurité des données, une procédure définie s'applique : endiguement immédiat, analyse des causes, information sans délai des Établissements concernés, documentation des mesures prises et, lorsque la loi l'exige, annonce aux autorités et information des personnes concernées.

tastee est un produit de Megaphone Software AG, Rue des Sablons 6, 3960 Sierre. Questions : hi@tastee.app