La sécurité intégrée à chaque couche
Les données de votre personnel comptent parmi les plus sensibles que vous détenez : paie, localisations et données personnelles. Celtucom est conçu pour que la protection ne repose jamais sur un seul contrôle.
Systèmes de management certifiés
Ces certifications sont détenues par l'entreprise qui développe Celtucom : le prestataire indiqué en bas de chaque page.
ISO/IEC 27001:2022
Sécurité de l'information
ISO 9001:2015
Management de la qualité
ISO 14001:2015
Management environnemental
Qui développe Celtucom et d'où il vient, c'est expliqué sur la page à propos.
Points forts en matière de sécurité
Hébergement des données dans l'UE
Les données de production sont hébergées dans l'Union européenne (Francfort, Allemagne).
Chiffrement
Tout le trafic passe par TLS et les données sont chiffrées au repos.
Contrôle d'accès
Des autorisations granulaires par rôle, appliquées dans l'appli puis de nouveau au niveau de la base de données.
Double authentification et biométrie
Les comptes prennent en charge l'authentification à deux facteurs, avec déverrouillage par Face ID et empreinte digitale sur mobile.
Pistes d'audit
Les modifications sensibles sont journalisées, ce qui donne aux administrateurs une piste pour les contrôles de conformité.
Prêt pour le RGPD
L'export et la suppression des données sont pris en charge, et un accord de traitement des données est disponible.
Quatre de ces affirmations, un niveau plus bas
Chaque carte ci-dessus avance une affirmation courte. Voici ce que ces affirmations signifient en pratique, dans la limite de ce que nous pouvons vous montrer dans le produit lui-même. L'hébergement dans l'UE et le chiffrement sont laissés de côté, car ils relèvent de l'infrastructure sur laquelle tourne Celtucom, et non de l'appli.
Ce que signifie “appliqué de nouveau au niveau de la base de données”
Une interface qui masque un bouton n'a rien à voir avec des données qui ne sont jamais servies. Les rôles de Celtucom sont vérifiés une seconde fois par la base de données elle-même, ligne par ligne, de sorte qu'une erreur dans l'interface n'est pas une porte d'entrée : que l'écran n'affiche pas le salaire d'un collègue et que ce salaire ne quitte jamais la base de données sont deux promesses différentes.
- Des règles au niveau des lignes sont posées sur les tables, pas seulement dans l'appli
- Les lignes de votre organisation sont inaccessibles depuis la session d'une autre organisation
- Une nouvelle fonctionnalité hérite de la restriction au lieu de devoir y penser
Une piste d'audit qui couvre les heures, pas seulement les comptes
Consigner qui s'est connecté est la moitié facile. La moitié qui compte dans un outil de gestion du personnel, c'est la saisie de temps : quelqu'un a transformé 7,5 en 8,5, et trois mois plus tard la paie veut savoir qui et quand. Les modifications des journaux de temps sont inscrites dans la piste, aux côtés des événements de compte et de profil.
- Les modifications des journaux de temps, pas seulement celles des utilisateurs et des rôles
- Consultable sous forme de fil plutôt que déterrée d'une base de données
- Écrite par l'application, de sorte qu'une modification ne peut pas la contourner discrètement
Deux verrous, parce que le téléphone est le point faible
Une appli de gestion du personnel vit sur des téléphones personnels, et les téléphones sont oubliés dans des camionnettes et sur des comptoirs. L'authentification à deux facteurs protège le compte ; un verrou biométrique protège la session déjà ouverte sur l'appareil. Trouver le téléphone, ce n'est pas trouver le planning.
- Authentification à deux facteurs sur le compte
- Face ID ou empreinte digitale pour déverrouiller l'appli elle-même
- La localisation au pointage d'arrivée et de départ est activée par défaut ; la partager n'est pas obligatoire
Ce que demande ensuite un contrôle des achats
Un accord de traitement des données est prêt à signer et publié en intégralité. La liste des sous-traitants ultérieurs n'est pas publiée (c'est voulu, car une liste publique de tout ce sur quoi tourne un système est une carte pour quelqu'un d'autre), mais elle est communiquée aux clients et jointe à l'accord signé, et les changements sont annoncés à l'avance.
- DPA publié, et non envoyé sur demande
- Liste des sous-traitants ultérieurs communiquée aux clients, avec préavis avant toute modification
- Export et suppression des données personnelles sur demande
- Un fichier security.txt pour signaler une vulnérabilité
Documentation de sécurité
Pour les revues d'achats et de conformité. Des questions auxquelles nous n'avons pas répondu ici ? Nous irons volontiers plus loin pendant la démo.
Où cela rejoint le reste du produit
Le contrôle d'accès n'est pas un module distinct greffé par-dessus : ce sont les mêmes rôles qui décident qui peut approuver une feuille de temps dans le produit lui-même, et qui peut envoyer une période approuvée vers votre logiciel de paie. Ce sont les deux endroits où une erreur de droits coûte de l'argent plutôt que de la gêne.
Rien de tout cela ne se cache derrière une offre entreprise. Il n'y a qu'un seul plan : l'authentification à deux facteurs, les pistes d'audit et l'accès par rôles y sont donc inclus, au prix que tout le monde paie. Une sécurité vendue en option est une drôle de sécurité.
Voyez Celtucom avec votre propre équipe
Réservez une présentation et nous vous montrerons comment il s'adapte à la façon dont votre organisation travaille réellement.