Confiance et sécurité
Cette page résume qui est responsable de quoi lorsque vous utilisez les logiciels JustOn, quelles certifications et quels audits les couvrent et où trouver les détails. Utilisez-la comme premier point de référence lorsque votre auditeur, vos services achats ou de sécurité informatique vous demandent des justificatifs.
En bref :
- JustOn est un éditeur de logiciels. Les logiciels JustOn fonctionnent dans votre propre org Salesforce. Vous y exécutez vos processus métier et vous en restez responsable.
- JustOn hérite de la sécurité de ses plateformes. Salesforce Platform et Heroku sont certifiées selon les principales normes de sécurité, dont ISO 27001 et SOC 2.
- Les certifications propres de JustOn attestent du logiciel. La certification NF203 et un audit selon IDW PS 880 confirment que JustOn Billing & Invoice Management permet une comptabilité régulière et conforme lorsqu'il est utilisé correctement. Elles ne certifient pas les processus des entreprises qui l'utilisent.
Rôles et responsabilités
Les logiciels JustOn, comme JustOn Billing & Invoice Management ou JustOn Cash Management, fonctionnent comme applications intégrées sur Salesforce Platform et Heroku, les plateformes cloud de Salesforce pour le développement et l'exploitation de logiciels. Trois parties se partagent la responsabilité :
| Partie | Responsable de |
|---|---|
| Salesforce | l'infrastructure de Salesforce Platform et de Heroku : centres de données, sécurité physique et réseau, exploitation et disponibilité de la plateforme, sauvegarde de la plateforme |
| JustOn GmbH | le logiciel : développement, tests, mise en production, revues de sécurité, mises à jour et support les services de traitement sans état que JustOn exploite sur Heroku, comme la génération de PDF, la création de factures électroniques ou la communication EBICS (voir About Data Processing EN) |
| Client (opérateur) | sa propre org Salesforce, sa configuration, ses utilisateurs et ses autorisations les processus métier exécutés avec le logiciel et le contrôle des données produites sa propre documentation des procédures, son système de contrôle interne et l'archivage le respect des obligations légales, y compris son rôle de responsable du traitement au sens du RGPD |
JustOn est un éditeur de logiciels, pas un prestataire qui exécute des processus comptables ou exploite l'informatique pour le compte de ses clients. Le logiciel est installé dans la propre org Salesforce du client, à laquelle JustOn n'a pas accès, sauf si le client l'accorde explicitement, par exemple pour un cas de support. Les services de traitement sur Heroku ne stockent aucune donnée client : ils renvoient immédiatement leurs résultats, puis suppriment les données.
C'est pourquoi les attestations destinées aux prestataires de services – IDW PS 951 en Allemagne, ISAE 3402 au niveau international, SOC 1 aux États-Unis – ne s'appliquent pas à JustOn. Elles évaluent le système de contrôle interne d'un prestataire qui exécute pour ses clients des processus ayant une incidence sur l'information financière. Avec JustOn, le client exécute ces processus dans son propre environnement.
Sécurité de la plateforme
Salesforce Platform et Heroku font l'objet d'audits de conformité complets. Elles respectent de manière vérifiable de nombreuses certifications, normes et réglementations, dont ISO 27001, SOC 1, SOC 2 et PCI DSS. Comme les logiciels JustOn sont développés avec les fonctionnalités de Salesforce Platform et de Heroku, ils s'appuient sur leurs mécanismes de sécurité, comme l'authentification des utilisateurs et les autorisations.
Salesforce publie les certificats et rapports d'audit actuels sur son portail de conformité :
La disponibilité actuelle des services et des centres de données Salesforce est indiquée sur Salesforce Trust. Pour plus de détails, voir Availability and Operational Security EN.
Certifications et audits de JustOn
Les certifications et audits propres de JustOn confirment que le logiciel permet de travailler de manière régulière et conforme. Ils portent sur le logiciel et sur le processus de développement de JustOn – l'utilisation qu'en fait le client reste sous sa responsabilité.
NF203
JustOn Billing & Invoice Management est certifié depuis 2021 selon le référentiel de certification NF Logiciel (NF203) et la norme ISO/IEC 25051:2014. AFNOR Certification délivre la certification, INFOCERT réalise l'audit chaque année. L'audit porte notamment sur l'inaltérabilité, la traçabilité et l'archivage, ainsi que sur le processus de développement et de mise en production de JustOn.
Le statut actuel figure dans le registre public d'INFOCERT : certificates.infocert.org.
Pour configurer JustOn Billing & Invoice Management conformément à NF203, voir NF203 – Guide de conformité. Pour imprimer la certification sur les PDF de factures, voir Controlling Certifications Display EN.
IDW PS 880
En 2017, un cabinet d'audit a audité JustOn Billing & Invoice Management selon IDW PS 880, la norme d'audit allemande pour les produits logiciels. L'auditeur a attesté que le logiciel, utilisé correctement, permet une comptabilité conforme aux principes allemands de tenue régulière des comptes, en tenant expressément compte des GoBD.
L'audit portait sur la version de l'époque. Les versions actuelles sont auditées chaque année par INFOCERT dans le cadre de la certification NF203.
Documentation des procédures GoBD
Il n'existe pas de certificat de conformité aux GoBD. Ce que les GoBD exigent du logiciel – inaltérabilité, traçabilité, journalisation et conservation – est décrit dans la documentation des procédures de JustOn Billing & Invoice Management. Les clients peuvent l'utiliser comme élément de leur propre documentation des procédures :
- JustOn Billing & Invoice Management: GoBD-Konformität DE
- Accounting Standard Compliance EN
- JustOn Connector for DATEV – GoBD-Konformität DE
SOC 2 Type 2
Pour justifier de sa propre sécurité de l'information, JustOn fait actuellement l'objet d'un audit SOC 2 Type 2. Le rapport est attendu d'ici fin 2026.
Revue de sécurité Salesforce
Pour être distribués et exploités sur les plateformes Salesforce, les logiciels JustOn doivent passer régulièrement des revues de sécurité. Elles testent la sécurité du logiciel, notamment la protection des données des clients. Tant que les logiciels JustOn sont disponibles sur Salesforce AppExchange, ils ont passé les revues de sécurité avec succès. Cela vaut pour toutes les applications JustOn.
Demandes courantes
Les justificatifs sont souvent demandés sous forme de liste de certificats. Le tableau suivant indique ce qui s'applique à JustOn.
| Justificatif demandé | Pour JustOn |
|---|---|
| ISO 27001 | Salesforce Platform et Heroku, voir Sécurité de la plateforme. JustOn GmbH ne détient pas de certificat ISO 27001 propre. |
| SOC 2 | Salesforce Platform et Heroku, voir Sécurité de la plateforme. JustOn GmbH : audit SOC 2 Type 2 en cours, voir SOC 2 Type 2. |
| Certificat TÜV | JustOn ne détient pas de certificat TÜV. Pour la sécurité de l'information, voir ISO 27001 et SOC 2. |
| IDW PS 951, ISAE 3402, SOC 1 | Non applicable : JustOn n'exécute ni processus ni exploitation informatique pour le compte de ses clients, voir Rôles et responsabilités. |
| IDW PS 880 | JustOn Billing & Invoice Management, 2017, voir IDW PS 880. |
| GoBD | JustOn Billing & Invoice Management : documentation des procédures, audit IDW PS 880 et audit NF203 annuel, voir Documentation des procédures GoBD. |
| NF203 | JustOn Billing & Invoice Management, voir NF203. |
| RGPD | Le client est responsable du traitement, voir JustOn and GDPR EN. |
| DORA | Voir JustOn and DORA EN. |
NF203 et IDW PS 880 ne couvrent que JustOn Billing & Invoice Management. Pour toutes les autres applications JustOn, comme JustOn Cash Management, ce sont les certifications de la plateforme et la revue de sécurité Salesforce qui s'appliquent.
Si vous avez besoin d'un justificatif qui ne figure pas ici, contactez-nous.