Baumier
/
GUIDE · 08 / 8

Annexe de sécurité

Accès · chiffrement · journalisation · vulnérabilités · continuité · incidents
CE QUE C'EST

L'annexe qui décrit concrètement les mesures de sécurité que vous appliquez pour protéger les données de vos clients.

QUAND IL ENTRE EN JEU

Exigée par les services d'approvisionnement et de sécurité des grands clients, souvent jointe au DPA.

POURQUOI C'EST IMPORTANT

L'annexe de sécurité décrit concrètement comment vous protégez les données de vos clients. Les services d'approvisionnement et de sécurité des grandes entreprises l'exigent de plus en plus, et la lisent ligne par ligne. Trop vague, elle bloque la vente ; trop ambitieuse, elle vous engage à des pratiques que votre équipe n'applique pas. Le bon équilibre : décrire fidèlement ce que vous faites, dans un langage que l'acheteur reconnaît.

CE QU'IL CONTIENT SOUVENT
01
Programme de sécurité
Le programme de sécurité : responsabilités, politiques internes et révision périodique.
02
Contrôle des accès
Le contrôle des accès : authentification multifacteur, moindre privilège, revue des accès.
03
Chiffrement
Le chiffrement des données en transit et au repos, et la gestion des clés.
04
Journalisation et surveillance
La journalisation, la surveillance et la détection des activités suspectes.
05
Gestion des vulnérabilités
La gestion des vulnérabilités, les tests d'intrusion et les correctifs.
06
Continuité et réponse aux incidents
La continuité des affaires, les sauvegardes et la réponse aux incidents.
CE QUI SE NÉGOCIE SOUVENT
Certifications exigées
CE QUE DEMANDE SOUVENT L'ACHETEUR
Des certifications précises (SOC 2, ISO 27001) comme condition du contrat.
CÔTÉ VENDEUR
Décrire les contrôles réellement en place, et un calendrier réaliste si une certification est en cours.
Politiques du client ou les vôtres
CE QUE DEMANDE SOUVENT L'ACHETEUR
Le droit d'imposer leurs propres politiques de sécurité.
CÔTÉ VENDEUR
Votre annexe comme référence, avec un engagement à maintenir un niveau de protection équivalent.
Tests d'intrusion
CE QUE DEMANDE SOUVENT L'ACHETEUR
Des tests d'intrusion réalisés par eux, sur votre production.
CÔTÉ VENDEUR
Le partage d'un résumé des tests réalisés par un tiers indépendant.
Délais de correction
CE QUE DEMANDE SOUVENT L'ACHETEUR
L'obligation de corriger toute vulnérabilité dans un délai très court.
CÔTÉ VENDEUR
Des délais de correction selon la gravité, conformes aux pratiques de l'industrie.
EXEMPLE DE CLAUSE
CHIFFREMENT

« Le Fournisseur chiffre les Données du Client en transit au moyen du protocole TLS 1.2 ou d'une version ultérieure, et au repos au moyen d'un algorithme reconnu par l'industrie, tel que AES-256. »

EN CLAIRLes données sont illisibles pour quiconque les intercepte ou accède aux serveurs sans autorisation.
AVANT DE SIGNER
L'annexe décrit-elle ce que vous faites réellement ?
Est-elle cohérente avec votre DPA ?
Les délais de correction sont-ils réalistes ?
Les certifications mentionnées sont-elles à jour ?
Votre équipe technique l'a-t-elle relue ?
GRATUIT

Playbook de négociation personnalisé

Partagez le lien vers votre propre contrat : nous en tirons un playbook de base, avec nos positions de départ et de repli sur les points clés. Envoyé par courriel.

Besoin qu'on le négocie pour vous ?
Signez vos contrats commerciaux 5x plus vite.