Sécurité des données
La sécurité des données chez mTrip
La sécurité des données chez mTrip couvre l’hébergement sur Amazon Web Services, le contrôle des accès, le chiffrement, les sauvegardes, les paiements par carte et la suppression des données. Un cabinet indépendant teste la plateforme et les applications mobiles au moins une fois par an, et mTrip révise ses politiques de sécurité au moins une fois par an.
Certifié Cyber Essentials
Valable jusqu’au 30 octobre 2027. Voir le certificat
Trust Center
Clients: retrouvez nos documents de sécurité dans le Trust Center
Le Trust Center mTrip est l’espace dédié aux clients de mTrip. Il rassemble les politiques et les documents de sécurité de mTrip: commencez par là si vous réalisez une évaluation de fournisseur.
Certification
Certifié Cyber Essentials
mTrip Inc détient le certificat Cyber Essentials, un dispositif soutenu par le gouvernement britannique pour se protéger contre les cyberattaques les plus courantes. L’IASME Consortium a certifié mTrip le 30 octobre 2026, et le certificat est valable jusqu’au 30 octobre 2027. Il couvre l’ensemble de l’organisation. Ce niveau de Cyber Essentials repose sur une auto-évaluation.
L’essentiel
La sécurité des données en quatre points
Hébergé sur AWS, sans accès des équipes aux serveurs
Les clients européens sont hébergés à Francfort, et leurs fichiers téléversés à Londres. Les autres clients sont hébergés en Virginie du Nord. Les équipes de mTrip n’ont aucun accès physique à l’infrastructure.
Chiffré en transit et au repos
Les échanges utilisent TLS 1.2 ou supérieur. Les bases de données, le stockage de fichiers et les sauvegardes sont chiffrés en AES-256, et l’application chiffre en plus les champs voyageur les plus sensibles.
Sauvegardes quotidiennes, restauration testée chaque année
Les bases de données de production sont sauvegardées chaque jour, avec une restauration à un instant précis sur 7 jours. Les sauvegardes sont copiées dans une seconde région AWS et protégées contre la suppression.
Testé chaque année par un cabinet indépendant
Un cabinet indépendant teste la plateforme et les applications mobiles au moins une fois par an, et mTrip révise ses politiques de sécurité au moins une fois par an.
Défense en profondeur
Des couches de protection, de la périphérie à la sauvegarde
Infrastructure
Sécurité des données: hébergement et sauvegardes
Hébergement
Hébergé sur Amazon Web Services
AWS · Francfort · Londres · Virginie du Nord
- La plateforme mTrip fonctionne sur Amazon Web Services (AWS).
- Les clients européens sont hébergés à Francfort, en Allemagne, et leurs fichiers importés sont stockés à Londres, au Royaume-Uni.
- Les autres clients sont hébergés en Virginie du Nord, aux États-Unis.
- AWS détient les certifications SOC 1, SOC 2, SOC 3, ISO 27001 et PCI DSS (voir la conformité AWS).
- Ces certifications appartiennent à AWS. L’équipe mTrip n’a aucun accès physique à l’infrastructure.
Sauvegardes
Sauvegardes chiffrées quotidiennes, testées chaque année
Quotidiennes · Restauration sur 7 jours · Seconde région AWS
- mTrip sauvegarde chaque jour les bases de données de production, avec une restauration à un instant précis sur les 7 derniers jours.
- mTrip chiffre les sauvegardes, les copie dans une seconde région AWS et les protège contre la suppression.
- Une restauration est testée au moins une fois par an.
Accès
Accès, connexion et chiffrement
Accès
Accès contrôlés et surveillance
SSO · MFA · Pare-feu d’applications web
- L’accès à la production passe par une authentification unique (SSO) avec authentification multifacteur, et mTrip journalise chaque action d’administration.
- Le trafic public traverse un pare-feu d’applications web avec limitation du débit et règles contre les attaques courantes.
- La détection des menaces fonctionne en continu sur le compte de production.
Connexion
Connexion des administrateurs et mots de passe
bcrypt · Limitation du débit · Verrouillage après 5 tentatives
- Les comptes administrateurs de la plateforme web mTrip se connectent avec un code à usage unique envoyé par e-mail, ou via le SSO propre au client. mTrip hache les mots de passe avec bcrypt, limite le débit des tentatives de connexion et verrouille un compte après 5 échecs.
Chiffrement
Chiffrement en transit et au repos
TLS 1.2+ · AES-256 · Par champ
- Le trafic vers la plateforme web mTrip et ses API utilise TLS 1.2 ou une version supérieure. mTrip chiffre au repos les bases de données, le stockage de fichiers et les sauvegardes avec AES-256.
- L’application chiffre aussi les champs les plus sensibles des voyageurs, comme l’adresse e-mail, le numéro de téléphone, la date de naissance et les références de réservation.
Personnes
Équipes, appareils et revues des accès
Équipes
Sensibilisation et confidentialité du personnel
Politique signée
- Les collaborateurs signent la politique de cybersécurité de mTrip.
- Elle couvre les données confidentielles, les données clients, les appareils personnels, la sécurité des e-mails, les mots de passe et les transferts de données.
- Toute personne ayant accès aux systèmes de mTrip la respecte, y compris les fournisseurs et les partenaires, et tout manquement donne lieu à des mesures disciplinaires.
Appareils
Sécurité des appareils
Pare-feu macOS · Protection antimalware · Verrouillage à 15 minutes
- Les équipes de mTrip travaillent sur des ordinateurs portables Mac.
- Le pare-feu macOS est activé, la protection antimalware intégrée d’Apple (XProtect et Gatekeeper) est activée, et chaque appareil se verrouille par mot de passe après 15 minutes d’inactivité au maximum.
Contrôle des accès
Accès selon les rôles et revues des accès
Moindre privilège · Revues tous les 6 mois · Revue des administrateurs deux fois par an
- mTrip accorde les accès selon le principe du moindre privilège.
- L’équipe IT et le responsable du demandeur approuvent chaque demande d’accès, et chaque compte est individuel, avec ses propres identifiants.
- Les accès sont supprimés au départ d’un collaborateur, et mTrip les passe en revue au moins tous les six mois.
- Les comptes administrateurs sont revus deux fois par an, et les administrateurs utilisent un compte distinct pour les tâches d’administration.
- L’authentification multifacteur est obligatoire pour tous les utilisateurs des services cloud de mTrip (Google Workspace, AWS, Asana et Pipedrive).
Assurance
Tests, mises en production et réponse aux incidents
Assurance
Tests indépendants et revues des politiques
Cabinet indépendant · Au moins une fois par an
- Un cabinet indépendant teste la plateforme et les applications mobiles au moins une fois par an. mTrip révise ses politiques de sécurité au moins une fois par an.
Sécurité des versions
Évaluations des vulnérabilités avant chaque mise en production
Guide de test OWASP · OWASP Top Ten
- La politique de sécurité des applications web de mTrip exige une évaluation de sécurité avant la mise en ligne d’une nouvelle version ou d’une version majeure, selon le guide de test OWASP.
- Les versions plus légères font l’objet d’une analyse automatisée portant au minimum sur les risques de l’OWASP Top Ten. mTrip corrige immédiatement les failles à risque élevé, ou limite l’exposition avant la mise en production, et planifie la correction des failles à risque moyen.
Gestion des changements
Développement sécurisé et gestion des changements
Contrôle des changements · Terraform · CI/CD
- Les changements suivent un processus de contrôle documenté et un système de gestion de versions. mTrip définit son infrastructure sous forme de code avec Terraform, et l’application s’exécute dans des conteneurs que mTrip reconstruit et redéploie via un pipeline CI/CD à chaque mise en production.
Réponse aux incidents
Réponse aux incidents et signalement d’un incident
Équipe de réponse · Procédure écrite
- mTrip dispose d’une procédure écrite de gestion et de réponse aux incidents, ainsi que d’une équipe de réponse aux incidents.
- Elle couvre le signalement, le confinement, la collecte de preuves, la reprise et une revue de suivi.
- Pour signaler un incident de sécurité suspecté, écrivez à [email protected].
- Ce message alerte l’équipe support et constitue la première trace de l’incident.
- Lorsqu’un incident touche des clients, mTrip les en informe.
Données
Continuité, suppression des données et paiements par carte
Continuité
Continuité d’activité et reprise après sinistre
Plan de continuité · Plan de reprise
- mTrip tient à jour un plan de continuité d’activité et un plan de reprise après sinistre.
- Tous les collaborateurs travaillent à distance, aucun déménagement de bureaux n’est donc nécessaire, et les systèmes critiques de mTrip fonctionnent dans le cloud.
Suppression des données
Suppression des données à la fin d’un contrat
Procédure de sortie du client
- À la fin d’un contrat, mTrip supprime les données du client conformément à sa procédure de sortie des clients.
Paiements par carte
Les paiements par carte restent chez un prestataire PCI DSS
PCI Booking · Conferma · Token uniquement
- Les numéros de carte sont saisis directement dans le formulaire sécurisé de PCI Booking, un prestataire certifié PCI DSS. mTrip conserve uniquement un token et un numéro de carte masqué (six premiers et quatre derniers chiffres).
- mTrip ne stocke jamais les numéros de carte complets ni les codes de sécurité.
- Les cartes virtuelles émises via Conferma peuvent être affichées aux voyageurs dans l’application.
- Conferma fournit les images des cartes, et mTrip ne stocke aucune donnée de carte.
Les questions que posent les équipes sécurité
Questions fréquentes
Hébergement et certification
Que fait mTrip pour la sécurité des données?
mTrip héberge la plateforme sur Amazon Web Services, chiffre les échanges et les données stockées, contrôle et journalise les accès administrateurs, sauvegarde chaque jour les bases de données de production et confie les numéros de carte à un prestataire certifié PCI DSS. Un cabinet indépendant teste la plateforme et les applications mobiles au moins une fois par an.
Où mTrip héberge-t-il les données des clients?
Sur Amazon Web Services. Les clients européens sont hébergés à Francfort, en Allemagne, et les fichiers importés sont stockés à Londres, au Royaume-Uni. Les autres clients sont hébergés en Virginie du Nord, aux États-Unis.
Quelles certifications s’appliquent?
mTrip Inc détient le certificat Cyber Essentials, délivré par l’IASME Consortium le 30 octobre 2026 et valable jusqu’au 30 octobre 2027. Il couvre l’ensemble de l’organisation (auto-évaluation). AWS détient les certifications SOC 1, SOC 2, SOC 3, ISO 27001 et PCI DSS pour l’infrastructure sur laquelle mTrip fonctionne. PCI Booking, prestataire certifié PCI DSS, traite les numéros de carte. Le Trust Center permet aux clients de mTrip de consulter les politiques et les documents de sécurité de mTrip.
Protection des données
Les données sont-elles chiffrées?
Oui. Les échanges avec la plateforme et ses API utilisent TLS 1.2 ou une version supérieure. mTrip chiffre au repos les bases de données, le stockage de fichiers et les sauvegardes avec AES-256, et l’application chiffre en plus l’adresse e-mail, le numéro de téléphone, la date de naissance et les références de réservation.
mTrip stocke-t-il les numéros de carte bancaire?
Non. Les numéros de carte sont saisis directement dans le formulaire sécurisé de PCI Booking, prestataire certifié PCI DSS. mTrip conserve uniquement un jeton et un numéro de carte masqué, et ne stocke jamais les numéros de carte complets ni les codes de sécurité.
À quelle fréquence les sauvegardes sont-elles effectuées, et les restaurations sont-elles testées?
mTrip sauvegarde chaque jour les bases de données de production, avec une restauration à un instant précis sur les 7 derniers jours. Les sauvegardes sont chiffrées, copiées dans une seconde région AWS et protégées contre la suppression. mTrip teste une restauration au moins une fois par an.
Que deviennent nos données à la fin du contrat?
mTrip supprime les données du client conformément à sa procédure de sortie des clients.
Accès, tests et réaction aux incidents
Comment les administrateurs se connectent-ils à la plateforme web mTrip?
Avec un code à usage unique envoyé par e-mail, ou via l’authentification unique (SSO) propre au client. mTrip verrouille un compte après 5 tentatives de connexion échouées.
mTrip est-il testé par un cabinet indépendant?
Oui. Un cabinet indépendant teste la plateforme et les applications mobiles au moins une fois par an, et mTrip révise ses politiques de sécurité au moins une fois par an.
Comment signaler un incident de sécurité à mTrip?
Écrivez à [email protected]. Votre message alerte l’équipe de support et constitue la première trace de l’incident.
mTrip dispose-t-il d’un plan de réponse aux incidents et d’un plan de reprise après sinistre?
Oui. mTrip dispose d’une procédure écrite de gestion et de réponse aux incidents, avec une équipe dédiée, ainsi que d’un plan de continuité d’activité et d’un plan de reprise après sinistre.
Consultez les détails, puis échangez avec l’équipe.
Le Trust Center est réservé aux clients de mTrip et regroupe les politiques et les documents de sécurité de mTrip. Pour tout autre sujet, posez vos questions lors d’une démo. Consultez aussi la politique de confidentialité.