Sécurité
Sécurité : sur quoi vous pouvez réellement compter
Deux sécurités, deux réponses : celle des opérations et celle du service.
Accès selon les rôles et les permissions, traçabilité des missions, chiffrement, hébergement en Suisse, disponibilité cible et support : sur cette page, chaque engagement renvoie à sa source, conditions générales, accord de niveau de service ou accord de traitement des données.
15 jours d’essai gratuit · 2 licences incluses · Aucun moyen de paiement requis
Deux notions
La sécurité des opérations et la sécurité du service ne se confondent pas
La première concerne ce qui se passe sur le chantier et sur la route : qui a fait quoi, quand, avec quel camion. La seconde concerne vos données et l’accès au service : chiffrement, hébergement, disponibilité, continuité.
Sécurité opérationnelle
La traçabilité d’une mission permet de retrouver qui, quoi, quand, pour quel chantier, avec quel camion et quel chauffeur. La sécurité au travail (accidents, EPI, plans de prévention) reste portée par vos dispositifs dédiés.
Nereva pour les responsables QSESécurité numérique
Accès selon rôles et permissions, chiffrement en transit et au repos, hébergement en Suisse, sauvegardes, tests de sécurité, notification des incidents : des mesures décrites au contrat, en obligations de moyens.
Hébergement des donnéesChacun accède aux informations de son entreprise, dans les limites de son rôle
Un utilisateur reçoit un rôle, puis un type d’accès s’il travaille dans le back-office. Le rôle ouvre une interface, le type d’accès ouvre des sections. Chaque rôle reste limité au compte de sa propre entreprise.
- Transport : Chauffeur, ou Gestionnaire du back-office avec le type d’accès Superadmin, Comptabilité ou Logistique
- Construction : Contremaître, ou Gestionnaire du back-office avec le type d’accès Superadmin, Comptabilité ou Logistique, ce dernier limité aux chantiers sélectionnés
- Les administrateurs de l’entreprise ajoutent, modifient, désactivent ou suppriment les utilisateurs depuis le back-office
- Chaque rôle attribué consomme une licence ; identifiants personnels, jamais partagés (CGU, art. 20.6)
Chaque mission garde qui, quoi, quand, avec quel camion
Le fil d’une demande enregistre le transporteur, le chauffeur, les étapes horodatées, les photos et le bon. La position du camion est collectée pendant la mission, de l’acceptation à la clôture, jamais en dehors.
- Étapes horodatées par l’application Nereva Transports : en route vers le chantier, demande commencée, dépôt ou reprise de la benne, dépôt au centre de tri, clôture
- Photos et bon numérique attachés à la mission, visibles par les deux entreprises selon les rôles et les permissions
- Géolocalisation limitée aux missions actives ; historique de trajet visible par le donneur d’ordre 30 jours par défaut, si le transporteur l’a activé
- Ces éléments sont le reflet fidèle des saisies effectuées par les utilisateurs (CGU, art. 16 bis)
Sécurité du service
Des mesures décrites au contrat
Les mesures techniques et organisationnelles ci-dessous sont celles décrites dans les documents contractuels. Elles constituent des obligations de moyens (CGU, art. 20).
| Mesure | Ce que dit le contrat | Source |
|---|---|---|
| Chiffrement | Chiffrement des données en transit (TLS 1.2 ou supérieur) et au repos, bases de données et sauvegardes comprises. | DPA, art. 9 et annexe 2 |
| Contrôle des accès | Accès selon le principe du moindre privilège ; authentification renforcée des accès administratifs de Nereva ; journalisation des actions sensibles. | CGU, art. 20.2 |
| Sauvegardes et reprise | Sauvegarde régulière des données ; plan de continuité et plan de reprise documentés ; objectifs cibles indicatifs : point de reprise 24 heures, temps de reprise 48 heures. | SLA, art. 14 |
| Tests et correctifs | Tests de sécurité périodiques, surveillance des vulnérabilités et application des correctifs, séparation des environnements de développement, de test et de production. | CGU, art. 20.2 |
| Incidents | Notification d’un incident de sécurité significatif au plus tard 72 heures après sa prise de connaissance ; violation de données notifiée selon le DPA ; incident majeur : information ciblée sous 60 minutes cible, mises à jour au moins toutes les 2 heures, rapport post-incident sur demande. | CGU, art. 20.5 · SLA, art. 13 |
| Hébergement | Infrastructure AWS en Suisse (région Zurich) ; centres de données AWS certifiés ISO 27001 et référentiels équivalents (certification du fournisseur d’hébergement). | DPA, annexes 2 et 3 |
| Organisation | Formation des collaborateurs à la sécurité de l’information, procédure documentée de gestion des incidents, audits internes périodiques, sélection des sous-traitants. | CGU, art. 20.3 |
Cette page reprend les mesures décrites dans les documents contractuels ; ce sont ces documents qui engagent Nereva.
Disponibilité et support
99,5 % : ce que le chiffre veut dire
Le taux de 99,5 % figure à l’article 4 de l’accord de niveau de service (SLA) et à l’article 17 des CGU. Voici sa portée exacte.
| Point | Ce que dit le SLA | Source |
|---|---|---|
| Nature | Taux de disponibilité cible mensuel de 99,5 %, en obligation de moyens : un objectif contractuel, assorti d’avoirs de service s’il n’est pas atteint. | SLA, art. 1 et 4 |
| Période et périmètre | Mesuré par mois calendaire, séparément pour trois indicateurs : le back-office web, les applications mobiles et les API. | SLA, art. 3 et 5 |
| Exclusions | Maintenance programmée annoncée, maintenance d’urgence, réseau et terminaux du client, systèmes tiers, hébergeur au-delà de ses engagements, attaques non imputables à Nereva, force majeure ; les indisponibilités de moins de 5 minutes ne sont pas comptées. | SLA, art. 6 |
| Avoirs de service | En cas de taux constaté inférieur à 99,5 % : avoir de 5 %, 15 % ou 30 % du prorata mensuel de l’indicateur concerné selon le palier, sur réclamation écrite dans les 30 jours, plafonné à 50 % d’un mois moyen par année civile ; remède exclusif. | SLA, art. 8 à 10 |
| Qui est concerné | Les clients ayant souscrit aux Services ; le SLA ne s’applique pas aux pilotes et bêta-testeurs. Des niveaux dérogatoires peuvent être convenus par bon de commande. | SLA, art. 1 et 4 |
| Maintenance | Maintenance programmée hors heures ouvrées, en priorité entre 22h et 6h (CET), avec préavis de 48 heures, ou 7 jours au-delà de 2 heures ; cumul limité à 12 heures par mois. | SLA, art. 7 |
| Support | Support technique standard inclus. Temps de première réponse cibles, en heures ouvrées suisses : incident critique 2 heures (8h-20h), problème élevé 4 heures, demande standard 1 jour, information 3 jours. Ces délais portent sur la première réponse. | SLA, art. 12 |
Données et confidentialité
Vos données, vos droits, les documents qui les encadrent
Le Client reste responsable du traitement, Nereva agit en sous-traitant. Les données du Client demeurent sa propriété ; les données dérivées, anonymisées de façon irréversible, et les modèles appartiennent à Nereva.
Politique de confidentialité
Données collectées, finalités, durées de conservation, droits des personnes, notification des violations.
Lire la politiqueAccord de traitement des données
Rôles, mesures de sécurité, sous-traitants autorisés, transferts, sort des données en fin de contrat, audit.
Lire le DPAPolitique IA et données
Séparation des zones du data lake, anonymisation irréversible, finalités d’entraînement, contrôle humain.
Lire la politique IAConditions générales
Propriété des données (art. 10), sécurité (art. 20), disponibilité (art. 17), valeur probatoire (art. 16 bis).
Lire les CGUDes engagements écrits
Des engagements écrits, sourcés au contrat
Ce que le contrat documente
- Chiffrement en transit et au repos
- Hébergement en Suisse chez AWS, centres de données certifiés ISO 27001 (fournisseur)
- Taux de disponibilité cible de 99,5 % par mois et avoirs de service
- Notification des incidents et des violations de données
- Support standard inclus, en heures ouvrées
Comment lire ces engagements
- Chaque mesure renvoie à son article : CGU, accord de niveau de service ou accord de traitement des données
- Les certifications citées (ISO 27001 et référentiels équivalents) sont celles des centres de données AWS qui hébergent la plateforme
- Les engagements sont des obligations de moyens, précisées par le contrat (CGU, art. 20)
- Des niveaux de service dérogatoires et un support étendu peuvent être convenus par bon de commande
- Les documents complets sont consultables sur les pages juridiques du site
Les traitements sont conçus pour respecter le RGPD et la nLPD, dans les conditions décrites par la politique de confidentialité et le DPA.
Pour aller plus loin
Les pages et les documents qui complètent la sécurité
- Hébergement des donnéesOù vont vos données, qui y accède, combien de temps
- Responsable QSERetrouver les opérations et leurs justificatifs
- Applications mobilesNereva Transports et Nereva Commandes : missions, preuves, notifications
- Accord de niveau de serviceDisponibilité, avoirs de service, support, continuité
- Accord de traitement des donnéesMesures de sécurité et sous-traitants autorisés
- Politique de confidentialitéDonnées, durées de conservation, droits des personnes
Vos questions
La sécurité, en clair
Comment fonctionnent les rôles et permissions ?
Depuis le back-office, les administrateurs de l’entreprise attribuent à chaque utilisateur un rôle (Chauffeur ou Gestionnaire du back-office côté transport ; Contremaître ou Gestionnaire côté construction) et, pour un gestionnaire, un type d’accès : Superadmin, Comptabilité ou Logistique. Chacun accède aux informations de son entreprise, dans les limites de son rôle.
Peut-on retirer un accès ?
Oui. Les administrateurs de l’entreprise désactivent ou suppriment un utilisateur depuis le back-office. Les CGU demandent au Client de révoquer sans délai les identifiants d’un utilisateur dont les fonctions cessent (art. 20.6).
Quel est le niveau de disponibilité de Nereva ?
Le SLA fixe un taux de disponibilité cible de 99,5 % par mois calendaire, mesuré séparément sur le back-office web, les applications mobiles et les API, en obligation de moyens. Les fenêtres de maintenance programmée et d’autres cas sont exclus du calcul. En cas de taux inférieur, des avoirs de service sont prévus, sur réclamation.
Quel support technique propose Nereva ?
Un support technique standard, inclus, par e-mail à support@nereva.com, en heures ouvrées suisses. Les temps de première réponse cibles vont de 2 heures ouvrées pour un incident critique à 3 jours ouvrés pour une demande d’information ; ces délais portent sur la première réponse. Un support étendu peut être convenu par bon de commande.
Les données sont-elles chiffrées ?
Oui : en transit (TLS 1.2 ou supérieur) et au repos, bases de données et sauvegardes comprises, selon l’accord de traitement des données.
Nereva est-elle certifiée ISO 27001 ?
Non : la certification ISO 27001, et les référentiels équivalents, sont ceux des centres de données d’Amazon Web Services en Suisse qui hébergent la plateforme.
Que se passe-t-il en cas d’incident ?
Un incident de sécurité significatif est notifié au Client au plus tard 72 heures après sa prise de connaissance ; une violation de données suit la procédure du DPA. En cas d’incident majeur affectant la plateforme, les administrateurs des clients concernés sont informés (délai cible de 60 minutes), puis tenus au courant au moins toutes les 2 heures, avec un rapport post-incident sur demande.
Nereva intervient-elle dans la relation commerciale ?
Non. Vos partenaires et vos relations commerciales restent les vôtres. Nereva synchronise les opérations sans s’interposer dans la relation commerciale. Elle ne prélève aucune commission sur les flux.
D’autres questions ? La FAQ générale regroupe les réponses sur la sécurité, la conformité et la disponibilité.
Pour aller plus loinAccès, confidentialité, protection : notre approche de la sécurité.
15 jours d’essai gratuit avec 2 licences. Aucun moyen de paiement requis. Abonnement mensuel ensuite, sans engagement de durée.