Sécurité des données de traçabilité : ce qu’un fournisseur doit garantir

Confier sa traçabilité à un outil tiers suppose de lui confier des données parfois sensibles — volumes de production, clients, fournisseurs, parfois des éléments commerciaux stratégiques. Ce guide traduit, en langage non technique, ce qu'un fournisseur d'outil devrait garantir, sans exiger de compétences en sécurité informatique pour poser les bonnes questions.

Où sont hébergées les données

La localisation de l'hébergement détermine quel cadre légal s'applique à la protection des données. Un hébergement au sein de l'Union européenne offre, par défaut, les garanties du RGPD ; un hébergement hors UE peut nécessiter des clauses contractuelles spécifiques pour offrir un niveau de protection équivalent. La question à poser : où, précisément, sont stockées les données, et sous quel régime juridique ?

Qui peut accéder aux données, et comment c'est contrôlé

• Le contrôle d'accès interne à l'entreprise— un bon outil permet de restreindre qui, au sein de l'organisation, voit quelles données (un salarié n'a pas nécessairement besoin de voir l'ensemble des données commerciales).
• L'accès des employés de l'éditeur— un point souvent négligé : qui, chez le fournisseur de l'outil, peut consulter les données des clients, et dans quelles circonstances (support technique, maintenance) ?
• Le partage avec des tiers — les données sont-elles revendues, partagées avec des partenaires commerciaux, ou utilisées à des fins autres que le service rendu ?

Le chiffrement : ce qu'il protège réellement

Le chiffrement des données protège contre un accès non autorisé en cas d'intrusion ou de vol — mais son efficacité dépend de son périmètre. Un chiffrement « au repos » (données stockées) protège différemment d'un chiffrement « en transit » (données échangées entre systèmes). Un outil sérieux couvre les deux, sans qu'il soit nécessaire de comprendre les détails techniques pour demander confirmation que c'est bien le cas.

Ce qui se passe en cas de faille

Un incident de sécurité peut arriver à n'importe quel fournisseur, aussi sérieux soit-il — la question pertinente n'est pas « cela peut-il arriver » mais « que se passe-t-il si cela arrive » :

• Le fournisseur s'engage-t-il contractuellement à notifier ses clients en cas de faille, et sous quel délai ?
• Existe-t-il un plan de réponse à incident documenté, pas seulement une promesse verbale ?
• Les sauvegardes permettent-elles une restauration rapide en cas de perte ou de corruption de données ?

Erreurs fréquentes

• Ne jamais poser la question de la localisation des données avant de signer, alors qu'elle détermine le cadre légal applicable.
• Se fier à une mention marketing (« sécurisé », « chiffré ») sans en vérifier le périmètre exact.
• Ignorer l'accès interne des employés de l'éditeur en se concentrant uniquement sur le risque d'intrusion externe.

Checklist

1. Demander la localisation précise de l'hébergement des données.
2. Vérifier le contrôle d'accès interne à sa propre organisation.
3. Demander quels employés du fournisseur peuvent accéder aux données, et sous quelles conditions.
4. Vérifier l'existence d'un engagement contractuel de notification en cas de faille.
5. Vérifier la fréquence et la fiabilité des sauvegardes.