Chez Salesupply, nous nous engageons à protéger vos données grâce à des mesures robustes de sécurité et de protection de la vie privée. Cette politique présente notre approche globale de la protection des informations qui nous sont confiées. Dernière mise à jour : 9 novembre 2026.
Ce texte est disponible en plusieurs langues. En cas de divergence entre les versions, la version anglaise prévaut.
Cette section présente les politiques, la gouvernance et les certifications qui constituent le socle de notre système de management de la sécurité de l’information (SMSI).
Nous disposons d’une politique de sécurité de l’information clairement documentée, approuvée pour la première fois par notre conseil de direction le 8 janvier 2021. Cette politique est diffusée via un système en ligne, est obligatoire pour l’ensemble du personnel de Salesupply et fait l’objet d’une révision annuelle. Nos contrats de sous-traitance (DPA) conclus avec nos clients et nos sous-traitants ultérieurs précisent en outre nos engagements en matière de protection des données et de la vie privée.
Notre politique de sécurité de l’information prévoit que les risques identifiés font l’objet d’une appréciation des risques, et que l’appréciation des risques et le plan de traitement des risques sont élaborés sur la base des lignes directrices de la norme ISO 27005.
Le conseil de direction est responsable de la politique de sécurité de l’information. Le responsable de la sécurité de l’information (CTO) est chargé du maintien et de la coordination du système de management de la sécurité de l’information (SMSI).
Nos serveurs sont hébergés dans des centres de données certifiés ISO 27001, dotés d’une sécurité physique et environnementale certifiée.
Nos collaborateurs et nos processus sont essentiels à notre sécurité. Nous détaillons ici les mesures organisationnelles mises en place pour protéger vos données tout au long de leur cycle de vie.
Des vérifications des antécédents sont effectuées pour les nouveaux collaborateurs, y compris l’obtention de références professionnelles. Tous les collaborateurs signent un contrat de travail comportant des clauses de confidentialité et une attestation de prise de connaissance de la politique de sécurité de l’information. L’ensemble du personnel est responsable de la protection des informations et du signalement des incidents de sécurité. Des accords de confidentialité (NDA) sont utilisés avec nos partenaires.
Nos contrats de sous-traitance prévoient des droits d’audit au profit du responsable du traitement (notre client) afin de vérifier la conformité, moyennant un préavis raisonnable et sans coût supplémentaire, conformément au contrat.
Tous les actifs informationnels sont inventoriés et ont un propriétaire désigné. La mise au rebut sécurisée des supports est réalisée selon des procédures documentées afin d’éviter toute fuite de données à partir d’actifs mis hors service.
Notre politique de sécurité de l’information décrit en détail la gestion des incidents, y compris les canaux de signalement, l’investigation et la communication aux parties concernées. Nos contrats de sous-traitance imposent à Salesupply de notifier au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance.
Nos contrats de sous-traitance soulignent l’obligation pour Salesupply de veiller à ce que les sous-traitants ultérieurs respectent la réglementation relative à la protection des données et d’informer le responsable du traitement de tout changement envisagé concernant les sous-traitants ultérieurs. La politique de sécurité de l’information précise que « les fournisseurs qui traitent des actifs informationnels de Salesupply ou de ses clients doivent se conformer aux exigences de la présente politique ».
Un plan de continuité d’activité (PCA) est en place pour limiter au minimum l’interruption des services en cas d’événements imprévus, afin de garantir la résilience et la disponibilité de nos services.
Nous appliquons une approche technique multicouche pour protéger nos systèmes et vos données contre les menaces. Voici les principales mesures techniques que nous avons mises en œuvre.
Le chiffrement intégral du disque (BitLocker) est mis en œuvre sur tous les ordinateurs portables, avec au minimum AES-256. Tous les supports amovibles sont désactivés. L’utilisation d’appareils mobiles personnels à des fins professionnelles n’est pas autorisée. Les utilisateurs standard ne disposent pas des droits d’administrateur local.
Les bureaux de Salesupply sont équipés de systèmes de sécurité, de systèmes d’alarme, de vidéosurveillance et d’un contrôle d’accès par badge. Nos centres de données certifiés ISO 27001 disposent de contrôles d’accès physiques, d’une surveillance et d’alarmes.
Des pare-feu contrôlent le trafic réseau et bloquent les accès non autorisés. Séparation des environnements de développement, de test et de production. Réseaux sans fil sécurisés par WPA2-Enterprise et par un contrôle d’accès au réseau (NAC).
Une protection avancée contre les logiciels malveillants (antivirus, anti-spyware) est installée sur tous les serveurs et terminaux et maintenue à jour en permanence.
Accès à distance sécurisé (VPN) avec authentification multifacteur (MFA). Accès aux interfaces d’administration restreint et surveillé. Méthodes de transfert de données chiffrées (VPN, SSL/TLS, SFTP) pour tous les échanges de données.
Des systèmes de détection et de prévention des intrusions (IDS/IPS) sont mis en œuvre pour surveiller le trafic réseau afin d’y repérer les activités malveillantes et les violations des politiques de sécurité.
Les systèmes sont configurés conformément aux bonnes pratiques du secteur et aux configurations de sécurité de référence (par ex. CIS Benchmarks, NIST) afin de réduire leur surface d’attaque.
Des journaux système et des pistes d’audit sont conservés pour les systèmes critiques. La journalisation des données personnelles est limitée au minimum. Les journaux sont examinés régulièrement afin de détecter les incidents de sécurité et les activités inhabituelles.
Des sauvegardes régulières des données critiques sont effectuées et leur intégrité est testée. Une redondance des systèmes critiques est mise en place pour garantir une haute disponibilité.
Vous avez trouvé une vulnérabilité dans l’un de nos systèmes ou vous avez une question sur la sécurité de vos données ? Écrivez à security@salesupply.com. Les clients peuvent également contacter leur account manager Salesupply, par exemple pour obtenir un questionnaire de sécurité complété.
Publié le 26 octobre 2026 · Statut : résolu
Le 21 octobre 2026, deux vulnérabilités de sécurité critiques dans PHP (CVE-2026-109618 et CVE-2026-109619) ont été rendues publiques, et les agences de sécurité européennes et internationales ont appelé les organisations à appliquer les correctifs immédiatement. Voici comment Salesupply a géré la situation.
En bref : nous avons agi dès le matin même, avant que le correctif officiel ne soit disponible. Tous nos systèmes PHP ont été corrigés en quelques jours, la plupart dans les heures qui ont suivi la publication du correctif. Les flux de commandes, de stock et d’expédition ont fonctionné sans interruption. Nous n’avons constaté aucun signe d’accès non autorisé, et aucune donnée client n’a été perdue ni exposée.
PHP est le langage de programmation sur lequel reposent une grande partie des sites et applications web dans le monde, dont plusieurs systèmes Salesupply. Les deux failles, toutes deux classées critiques (CVSS 9.2), pouvaient permettre à un attaquant de prendre le contrôle d’un serveur à distance sans s’authentifier. La faiblesse se trouvant dans PHP lui-même et non dans le logiciel propre d’une entreprise, elle a touché des organisations du monde entier.
Le matin du 21 octobre, avant la publication du correctif officiel, notre équipe Business Technology a recensé tous les systèmes utilisant PHP et évalué leur exposition. Sur chacun d’eux, nous avons désactivé la fonctionnalité PHP que les attaques devaient vraisemblablement cibler, conformément à la mesure d’atténuation recommandée par l’éditeur. Par précaution supplémentaire, nous avons temporairement suspendu les envois de fichiers vers nos systèmes PHP et mis des systèmes hors ligne lorsque c’était l’option la plus sûre.
Le correctif officiel de PHP a été publié à 16 h 00 CEST cet après-midi-là. Dès le soir même, nos systèmes accessibles aux clients fonctionnaient avec des versions corrigées de PHP. Le dernier système restant est resté protégé par la mesure d’atténuation et a été entièrement corrigé le 23 octobre, lors d’une courte fenêtre de maintenance.
L’import des commandes, la synchronisation des stocks, les mises à jour d’expédition et de suivi, les connexions, les tableaux de bord et le reporting ont tous continué de fonctionner normalement. Les correctifs n’ont nécessité qu’un bref redémarrage. La seule limitation temporaire concernait les envois de fichiers, comme les imports en masse via le tableau de bord, que nous avons suspendus jusqu’à la confirmation des correctifs. Les envois de fichiers ont depuis été entièrement rétablis.
Oui. Après l’application des correctifs, nous avons vérifié tous les systèmes PHP à la recherche de signes d’utilisation abusive, comme des fichiers, processus ou connexions inattendus, et nous avons continué à les surveiller dans les jours qui ont suivi. Nous n’avons trouvé aucun indice qu’un attaquant ait accédé à un système, et aucune donnée client n’a été perdue, modifiée ni exposée. Aucune action n’est requise de votre part.
Nous accélérons des travaux déjà prévus afin que chaque système que nous exploitons fonctionne sur une version prise en charge qui reçoit les correctifs de sécurité directement de l’éditeur. Nous continuons de suivre de près les avis de sécurité afin de pouvoir réagir le jour même, comme nous l’avons fait ici.