Architecture technique d’Openeat : toutes les réponses à vos questions

💡 Ce document est un résumé des points les plus importants contenus dans le DAT (document d’architecture technique) Openeat.

Tout sur la gestion des données

Quelle est la nature des données stockées par Openeat ?

Openeat stocke les données suivantes : nom, prénom, email des bénéficiaires, solde actuel de leurs titres restaurant, ainsi que les transactions effectuées (date, montant, SIRET de l'établissement).

Qui a accès à ces données personnelles ?

Les personnes habilitées du support technique ainsi que certains développeurs susceptibles d'intervenir pour débloquer une situation ou corriger un éventuel bug. Les droits d'accès sont organisés de sorte à ce que tout le personnel Openeat ne puisse pas avoir accès aux données personnelles.

Y a-t-il des processus d'anonymisation des données ?

Nous respectons la notion de "privacy by design" du RGPD. Ainsi toutes les données sont organisées pour que les données personnelles citées plus haut soient bien distinctes des autres données. Toutefois, pour des raisons juridiques et afin d’être en capacité à justifier les transactions remboursées, nous ne supprimons pas ces données essentielles.

Quels sont les mécanismes mis en place pour éviter les accès nonautorisés aux données personnelles ?

Nous respectons la notion de privacy by design du RGPD. Ainsi toutes les données sont organisées afin de faire en sorte que les données personnelles citées plus haut soient bien distinctes des autres données. Toutefois, pour des raisons juridiques et afin d’être en capacité à justifier les transactions remboursées, nous ne supprimons pas ces données essentielles.

Comment sont stockées les données personnelles ?

Les données personnelles sont stockées dans une base de données encryptée et sécurisée et sauvegardée quotidiennement hébergée par Google.

Est-ce que ces données sont accessible en dehors des environnements de production ?

Ces données ne sont ni stockées ni reproduites dans des environnements autres que l'environnement de production principal. Seuls les développeurs Openeat autorisés y ont accès dans le cadre de leurs missions de maintenance du système.

Comment sont chiffrées les données stockées ?

Les données sont automatiquement chiffrées avant leur écriture sur le disque. Les données sont déchiffrées automatiquement et de manière transparente lorsqu'elles sont lues par un utilisateur autorisé. Les données et les métadonnées de chaque objet sont chiffrées conformément au standard AES-256 (Advanced Encryption Standard, 256 bits), et chaque clé de chiffrement est elle-même chiffrée avec un ensemble de clés principales régulièrement alternées.

Est-ce que notre solution permet l'import et l'export de données ?

Il est possible pour les employeurs d'importer des fichiers de données de leurs employés afin de faciliter leurs travaux. Nous utilisons aussi des fonctionnalités d'import et de d'export de données à des fin techniques ou de sauvegarde quotidiennes.

Quels sont les formats de données supportés pour les imports et exports ?

L’import de données est réalisé via l'usage de fichiers au formats CSV. Lesimports et exports techniques se font aux formats JSON et XML.

Comment sont chiffrées les données au repos de l'entreprise ?

Les données sont chiffrées au repos avec l’algorithme AES-256.

Comment sont stockées les données en transit ?

Tout canal de communication impliqué dans la fourniture des services hébergés Openeat est chiffré à l’aide de protocoles et de suites de chiffre-ment actualisés : TLS (Transport Layer Security, v1.2). Les ciphers TLS supportés sont les suivants :

TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384TLS_ECDHE_ECDSA_WIT-H_CHACHA20_POLY1305 TLS_ECDHE_RSA_WITH_CHA-CHA20_POLY1305TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256TLS_RSA_WITH_AES-_256_GCM_SHA384 TLS_RSA_WITH_AES_128_GCM_SHA256

Quels sont les flux de données au sein de la plateforme ?

Les données sont téléchargées via des buckets S3 sécurisés et chiffrés et leurs droits sont attachés à des entités logiques (employeurs). Elles sont stockées dans les bases de données d’Openeat sécurisées sur Google Cloud. Certaines données sont échangées avec des API tierces telles que Bridge, SendGrid, ou MangoPay. Tous les échanges avec des API externes utilise le protocole OAUTH2 en respectant l'état de l'art.

Où sont stockées les données ?

Les données sont stockées en France et en Allemagne.

Tout sur la sécurité des données

Est-ce qu'une connexion avec le SI d'un client est requise pour que la solution Openeat puisse être implémentée ?

Non, la solution Openeat est totalement indépendante du système informatique de ses clients. Mais nous pouvons nous y connecter à leur demande afin de faciliter leur usage.

Est-ce qu'Openeat a mis en place un programme de sécurité ?

Oui, nous avons mis en place une politique complète de sécurisation de notre SI et nous travaillons à l'acquisition de la norme ISO 27001.

Est-ce qu'Openeat emploie des professionnels de la sécurité ?

Oui nous sommes accompagnés par 2 entreprises spécialisées ainsi qu'une conseillère en Data Protection. Nous formons également nos équipes en interne.

💡 Muriel Glatin, Data Protection Officer, spécialiste des activités digitales, nous accompagne afin de renforcer la sécurité des données personnelles gérées par Openeat.

Est-ce qu'Openeat dispose de documents techniques explicitant ses mesures de sécurité ?

Oui, nous avons un DAT à jour.

Est-ce qu'Openeat dispose de certifications de sécurité ?

Nous travaillons à l'obtention de la norme ISO 27001 attendue pour 2024.

Est-ce qu'Openeat dispose de procédure pour surveiller les menaces externes ?

Tous les flux du SI sont surveillés et logués. Nous recevons des alertes en cas de menace immédiate. Nous vérifions nos indicateurs tous les jours.

Est-ce que les développeurs sont entrainés aux bonnes pratiques de sécurité ?

Oui les développeurs reçoivent des formations hebdomadaires.

Est-ce que l'environnement de production est séparé des autres environnements ?

Nous disposons de 4 environnements distincts, chacun avec sa base de données et ses ressources dédiées. Il est impossible pour les développeurs de copier les données de production.

Est-ce que l'application log les évènements ?

Tous les évènements sont logés; des alertes sont en place pour les évènements non conventionnels. Les IP sont collectées pour tous les évènements.

Quelle est la durée de rétention des données de logs ?

3 mois

Comment sont documentés les changements apportés à l'application ?

L'équipe travaille selon le framework SCRUM. Les développeurs ne travaillent que sur des user stories documentées, validées et priorisées par leProduct Owner (PO), et chaque changement doit être validé par l'équipe d'Assurance Qualité (QA) avant déploiement.

Est-ce que l'application utilise des bibliothèques tierces, et est-ce que l'utilisation de ces bibliothèques est soumise à une revue de sécurité périodique ?

Les bibliothèques tierces sont validées par le directeur technique ou les chefs d'équipe avant leur installation et sont régulièrement examinées afin de limiter et évaluer la surface d'attaque.

Est-ce qu'Openeat dispose d'une application web d'administration ?

Oui, nous développons nos propres outils d'administration en interne, cet outil dispose des mêmes règles de sécurité et des mêmes soins que ceux apportés aux applicatifs utilisés par les clients.

Tout sur notre système d'hébergement

Comment les applications web sont-elles hébergées ?

Les applications web sont hébergées sur le CDN de Google. Elles accèdent ànos APIS via https suite à une authentification OAUTH2, tous les échanges sont tokenisés et logés.

Quels sont les détails de l'architecture web ?

Mettre un lien vers le DAT et / ou le schéma d'architecture technique.

Quel cloud provider Openeat utilise ?

Nous travaillons avec Google Cloud Provider et Amazon Web Service.

Est-ce qu'il y a une séparation logique ou physique entre les applications web et le reste du système ?

Les micro-services sont protégés par un WAF et un reverse proxy. Par ailleurs ils sont isolés dans des VPS.

Est-ce qu'Openeat utilise un WAF ?

Oui, tous les échanges de données Openeat avec l'extérieur transitent par les WAF d'AWS et de GCP. Leurs règles ont été mises en place et sont suivies par des prestataires dédiés.

Est ce qu'Openeat dispose de protections contre les attaques DDOS ?

Oui, nous utilisons CLOUDFLARE.

Est-ce que toutes les pages web sont protégées par le protocoleTLS ?

Tout canal de communication impliqué dans la fourniture des services hébergés Openeat est chiffré à l’aide de protocoles et de suites de chiffre-ment actualisés : TLS (Transport Layer Security, v1.2). Les ciphers TLS supportés sont les suivants :

TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384TLS_ECDHE_ECDSA_WIT-H_CHACHA20_POLY1305 TLS_ECDHE_RSA_WITH_CHA-CHA20_POLY1305TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256TLS_RSA_WITH_AES-_256_GCM_SHA384 TLS_RSA_WITH_AES_128_GCM_SHA256