Aller au contenu principal

Réponses standard

Cette page répond aux questions générales sur la sécurité de l'information et des données chez smart-me AG et vise à permettre aux partenaires de remplir de manière autonome les questionnaires de sécurité standard.

Contact : security@smart-me.com

Dernière mise à jour : 16.01.2025

Informations générales​

Informations sur l'entreprise

  • Entreprise active à l'international et comptant environ 50 collaborateurs.

  • Développement et production d'une solution de décompte pour les RCP (regroupements dans le cadre de la consommation propre) / l'électricité pour les locataires, l'électromobilité et le multi-énergie.

Documents complémentaires

  • Conditions générales (CG)

  • Contrat de traitement des données sur mandat (ADV) : annexe des CG

  • Déclaration de protection des données

Lien vers les documents

Protection et traitement des données​

Des données personnelles sont-elles traitées au sens de la LPD/du RGPD ?

  • Pour l'achat de licences par carte de crédit, les informations de carte de crédit sont traitées via Stripe.

  • Pour les commandes ou les offres, les informations client sont traitées via Bexio.

  • Les demandes de support et les informations qui s'y rapportent sont traitées via Freshdesk.

Comment les données sont-elles supprimées ?

  • Les clients sont eux-mêmes responsables de leurs comptes smart-me et peuvent les supprimer à tout moment dans le portail web. Lorsqu'un client supprime son compte, ces données sont supprimées de manière irréversible.

  • Après 30 jours, il n'existe plus aucune sauvegarde.

  • Les données traitées via Freshdesk ou Bexio peuvent être supprimées sur demande.

Qui a accès aux données ?

L'accès à nos serveurs est limité aux adresses IP internes du cluster. smart-me n'a accès aux données de compte des clients qu'avec leur autorisation explicite.

Hébergement et infrastructure​

Où l'application est-elle hébergée ?

Tous les services smart-me sont hébergés sur des serveurs Microsoft Azure en Suisse. Nous n'exploitons nous-mêmes aucun serveur.

Comment les données sont-elles protégées ?

Les serveurs sont protégés par les mesures de Microsoft Azure. En complément, nous utilisons Cloudflare comme Web Application Firewall (WAF) et pour la gestion de la charge.

Comment la disponibilité des systèmes est-elle assurée ?

La disponibilité des systèmes est garantie par l'infrastructure de Microsoft Azure.

Informations complémentaires

Sécurité des données et chiffrement​

Comment les données sont-elles chiffrées ?

Les données de l'application ne sont pas chiffrées individuellement, mais la base de données qui les contient est chiffrée dans son ensemble.

La communication entre les compteurs et le cloud est chiffrée en AES-256.

Comment les mots de passe des comptes smart-me sont-ils hachés ?

Les mots de passe sont hachés avec RIPEMD-160 et un sel dynamique.

Prenons-nous en charge les identités fédérées ?

Non. L'exception est l'accès via notre API, qui prend en charge OAuth 2.0 en plus de Basic Auth.

Sauvegardes

Les données des compteurs font l'objet de sauvegardes quotidiennes par Instaclustr. Informations à ce sujet

Les données client traitées via Freshdesk, Bexio ou Stripe sont soumises à la sécurité des données des fournisseurs respectifs et donc également à leurs processus de sauvegarde.

Directives et processus de sécurité​

Disposons-nous de directives spécifiques et documentées en matière de sécurité de l'information ?

Non

Disposons-nous de directives documentées de développement sécurisé ?

Non

Suivons-nous un processus de développement sécurisé ?

Oui, mais les détails spécifiques sont confidentiels.

Disposons-nous d'une certification en sécurité de l'information ?

Non, mais notre fournisseur d'infrastructure cloud, Microsoft Azure, est certifié ISO27001.

Réalisons-nous des audits de sécurité informatique auprès de nos fournisseurs ?

Non

Disposons-nous d'un plan de continuité des activités (Business Continuity Plan) documenté ?

Non

Autorisons-nous les audits informatiques ?

Oui, mais uniquement sur la base d'informations accessibles au public

Sécurité des terminaux et du réseau​

Avons-nous mis en œuvre un concept de segmentation du réseau ?

Comme notre application n'est pas hébergée localement, notre architecture réseau est indépendante de l'architecture des serveurs. La segmentation locale se présente comme suit :

  • Réseau de production

  • Wi-Fi invités

  • Réseau de bureau

Sensibilisons-nous nos collaborateurs à la cybersécurité ?

Oui, des formations en cybersécurité sont dispensées :

  • Fréquence : tous les six mois ainsi que lors de l'onboarding.

  • Formations supplémentaires : en fonction de l'actualité ou des menaces émergentes.

Avons-nous été victimes d'un incident de sécurité ou d'une violation de données au cours des 12 derniers mois ?

Non

Disposons-nous de ressources dédiées à la cybersécurité ?

Oui, nous disposons de ressources internes en cybersécurité.

Maintenons-nous vos logiciels et systèmes à jour ?

Oui, tous les systèmes et appareils sont régulièrement mis à jour vers les dernières versions stables.

Avons-nous installé une solution de protection antivirus ?

Oui, tous les appareils sont équipés de :

  • Endpoint Detection and Response (EDR)

  • Network Detection and Response (NDR)

  • Windows Defender comme protection antivirus (AV)

Disposons-nous d'une solution SIEM ?

Non

Dernière mise à jour le