Sécurité & données

Vos chantiers contiennent des données sensibles. Traitons-les comme telles.

Prix de marché, RIB de sous-traitants, coordonnées de clients particuliers, attestations d'assurance : une application de gestion de chantiers concentre beaucoup de choses qui n'ont rien à faire dans un dossier réseau ouvert à tous.

Accès contrôlé

Chaque collaborateur entre avec son compte, dans son groupe, et ne voit que les modules qui lui sont ouverts.

  • Double authentification par application mobile (TOTP)
  • 2FA activable par chacun ou imposée à toute l'entreprise
  • Mot de passe défini par lien e-mail, jamais transmis en clair
  • 10 caractères minimum, majuscule, minuscule, chiffre, caractère spécial

Tout est tracé

Le journal répond aux trois questions qui comptent en cas de litige : qui, quoi, quand.

  • Créations, modifications et suppressions horodatées
  • Journal des e-mails partis de l'application, avec leur contexte
  • Historique consultable depuis chaque fiche chantier
  • Sceau SHA-256 sur les validations signées du maître d'œuvre

Vos données restent vos données

Base MySQL standard, fichiers dans une arborescence lisible. Aucun format propriétaire, aucun enfermement.

  • Hébergement sur des serveurs situés en France
  • Sauvegardes quotidiennes scriptées, base et fichiers
  • Export de votre base à la demande, à tout moment
  • Réversibilité prévue au contrat
Mesures techniques

Ce qui est en place dans l'application

Chantévo a fait l'objet d'un audit de sécurité interne. Voici les mesures qui en découlent.

Au niveau de l'application

  • Jetons anti-CSRF sur tous les formulaires, connexion comprise
  • Requêtes préparées sur l'ensemble de la couche base de données
  • Échappement systématique des données affichées
  • Contrôle du type réel des fichiers déposés, pas seulement de leur extension
  • Redirections internes uniquement — pas de redirection ouverte
  • Assistant d'installation verrouillé après la mise en service

Au niveau du serveur

  • HTTPS obligatoire : liens de validation, réinitialisation et 2FA passent par e-mail
  • Répertoire de configuration inaccessible depuis le web
  • Exécution de scripts interdite dans les répertoires de dépôt
  • En-têtes de sécurité HTTP posés par le serveur
  • Sessions isolées, expiration configurable
  • Liens de validation externes : 80 caractères aléatoires + code à usage unique
Sur la validation en ligne du maître d'œuvre. Le maître d'œuvre n'a pas de compte dans l'application. Il reçoit un lien unique, non devinable, qui n'ouvre qu'une seule situation, et doit saisir un code à usage unique reçu par e-mail avant d'accéder au détail. Sa validation est scellée et donne lieu à un procès-verbal PDF conservé au chantier.
Données personnelles

RGPD : vous êtes responsable de traitement, nous sommes sous-traitant

Les données que vous saisissez — clients particuliers, contacts de maîtrise d'œuvre, salariés de sous-traitants — vous appartiennent. HKSI les héberge et les traite pour votre compte, dans le cadre d'un contrat de sous-traitance conforme à l'article 28 du règlement.

  • Hébergement sur des serveurs situés en France, chez un hébergeur français.
  • Aucun transfert hors Union européenne, aucun accès par un tiers.
  • Aucune revente, aucun croisement, aucune exploitation publicitaire de vos données.
  • Suppression ou restitution complète à la fin du contrat, au format de votre choix.
  • Registre des traitements et convention de sous-traitance fournis à la signature.

Durées de conservation

Données de chantierDurée du contrat + 10 ans (garantie décennale)
Devis non signés3 ans après le dernier contact
Pièces des sous-traitants5 ans (obligation de vigilance)
Journal des actions12 mois glissants
Comptes utilisateursSuppression à la sortie du collaborateur

Durées indicatives, ajustables à votre politique interne.

Continuité

Et si quelque chose se passe mal ?

L'exploitation du service est notre affaire, pas la vôtre.

Sauvegardes

Base et fichiers sauvegardés chaque nuit, conservés en rotation, et stockés hors du serveur de production. Restauration testée.

Supervision

Disponibilité et espace disque surveillés. Les tâches planifiées — alertes, e-mails, états de chantier — sont contrôlées quotidiennement.

Assistance

Un interlocuteur unique, joignable par e-mail et par téléphone aux heures ouvrées. Mises à jour et correctifs appliqués sans interruption de service, sans intervention de votre part.

Une question de votre DSI ou de votre prestataire ?

Nous répondons volontiers aux questionnaires de sécurité et fournissons la documentation technique avant signature.