Accord de niveau de service
Cette traduction est fournie à titre informatif uniquement. Seule la version allemande fait foi.
pour l'utilisation de la plateforme SaaS faktoora
RGPD · GoBD · SMSI aligné sur ISO/IEC 27001:2022
⬇ Télécharger le SLA en PDF (v4.2)
Remarque : la présente version s'applique à compter du 01.12.2026. Jusqu'au 30.11.2026, la version précédente reste applicable : SLA, version 4.1 (PDF).
| Version | Entrée en vigueur | Dernière revue | Responsable |
|---|---|---|---|
| 4.2 | 01.12.2026 | 29.10.2026 | faktoora GmbH – Direction |
01 · Introduction et objet
Le présent accord de niveau de service (SLA) de faktoora GmbH régit les niveaux de service de la plateforme SaaS faktoora et décrit la sécurité, la continuité d'activité et le support. Il complète le contrat principal ainsi que le contrat de sous-traitance conclu conformément à l'art. 28 du RGPD.
Les engagements de service contraignants figurent aux sections 4, 5 et 10.1. Les autres sections décrivent l'état actuel des mesures ; faktoora peut les adapter conformément au point 4, paragraphe 2, du contrat de sous-traitance, à condition que le niveau de protection ne soit pas réduit. Pour les mesures techniques et organisationnelles au sens de l'art. 32 du RGPD, l'annexe 2 du contrat de sous-traitance fait foi. faktoora ne donne, par le présent SLA, aucune garantie au sens du point 9.2 des CGV.
Le document s'appuie sur les exigences des normes suivantes :
- ISO/IEC 27001:2022 – Système de management de la sécurité de l'information (SMSI aligné sur la norme)
- RGPD – Règlement général sur la protection des données
- GoBD – Principes allemands de tenue et de conservation régulières des livres, enregistrements et documents sous forme électronique et d'accès aux données
Le SLA s'applique aux clients disposant de la formule « Enterprise » (anciennement « Sur mesure ») et d'un contrat en cours. Les clients disposant d'une autre formule payante dont le contrat a été conclu avant le 01.12.2026 conservent le SLA pour la durée de ce contrat (maintien des droits acquis). Il ne s'applique pas aux autres formules ni aux accès d'essai gratuits, sauf accord exprès contraire sous forme textuelle.
La présente version s'applique à compter du 01.12.2026. Pour les clients dont le contrat a été conclu avant cette date, elle s'applique à compter du 01.12.2026, mais au plus tôt quatre semaines après la réception de la communication des modifications, à moins que le client ne s'y oppose conformément au point 8.10 des CGV ; jusqu'à cette date, la version précédente reste applicable.
02 · Champ d'application
Le présent SLA s'applique à l'ensemble des services et composants exploités directement par faktoora, notamment :
- La plateforme SaaS faktoora (application web et API)
- L'infrastructure d'authentification et d'autorisation
- Le stockage des données et l'exploitation des bases de données
- L'infrastructure de sauvegarde et de restauration
- Les prestations de support conformément à la section 5
Sont expressément exclus : les services de fournisseurs tiers (prestataires de paiement externes, prestataires de services d'e-mail, infrastructure réseau des fournisseurs d'accès à Internet, terminaux du client).
03 · Définitions
| Terme | Définition |
|---|---|
| Disponibilité | Part, exprimée en pourcentage, d'un mois civil sans indisponibilité. |
| Indisponibilité (downtime) | Période pendant laquelle l'application web et l'API ne sont pas joignables à la sortie du routeur du centre de données (point 2.2 des CGV), constatée par la surveillance de faktoora ; sont exclues la maintenance planifiée et les exclusions prévues à la section 4.3. |
| Maintenance planifiée | Maintenance effectuée pendant les fenêtres de maintenance fixes ainsi que maintenance importante annoncée dans le cadre de la section 9.1, pendant laquelle la plateforme peut être restreinte ou indisponible. |
| Délai de réaction | Délai entre la réception d'un signalement et la première réponse qualifiée de faktoora. |
| RTO (Recovery Time Objective) | Durée visée entre la panne et le rétablissement de la capacité opérationnelle, calculée pendant les heures ouvrées (valeur cible). |
| RPO (Recovery Point Objective) | Période maximale de perte de données visée en cas de sinistre (valeur cible). |
| Incident | Incident de sécurité ou perturbation affectant la disponibilité ou la sécurité des données. |
| Crédit SLA | Avoir de valeur pécuniaire imputé sur la redevance mensuelle à titre de compensation en cas de manquement au SLA. |
| Changement (change) | Modification de composants système, de configurations ou de versions logicielles. |
| SMSI | Système de management de la sécurité de l'information, aligné sur ISO/IEC 27001:2022. |
| Journal d'audit | Enregistrement, permettant de détecter les manipulations, de l'ensemble des événements et accès pertinents pour la sécurité (append-only, chaîne de hachage cryptographique). |
04 · Disponibilité de la plateforme
4.1 Engagement de disponibilité
Dans le champ d'application du présent SLA, faktoora s'engage sur une disponibilité mensuelle minimale de 99,5 %.
| Niveau de service | Disponibilité/mois | Indisponibilité max./mois | Indisponibilité max./an |
|---|---|---|---|
| Formule « Enterprise » et clients existants (section 01) | 99,5 % | env. 3,6 heures | env. 43,8 heures |
L'engagement de disponibilité porte sur la période en dehors des fenêtres de maintenance fixes prévues à la section 9.1 (du lundi au vendredi de 18 h 00 à 22 h 00 et le samedi toute la journée). Les périodes comprises dans ces fenêtres de maintenance ainsi que la maintenance importante annoncée conformément à la section 9.1, dans la limite de 8 heures au total par mois civil, ne sont pas prises en compte dans le calcul de la disponibilité.
Méthode de mesure
Le calcul de la disponibilité repose sur la documentation interne des incidents de faktoora ; le client peut contester le calcul en produisant ses propres enregistrements. La période de mesure est le mois civil. La maintenance planifiée dans le cadre de la section 9.1 n'est pas comptabilisée comme indisponibilité. Les clients peuvent à tout moment demander par e-mail une information sur l'état du service ; un récapitulatif des perturbations documentées est disponible sur demande. La plateforme fait l'objet d'une surveillance automatisée.
4.2 Crédits SLA en cas de non-respect
Si la disponibilité à laquelle faktoora s'est engagée n'est pas atteinte, le client a droit aux avoirs suivants :
| Disponibilité effective | Crédit SLA |
|---|---|
| 99,0 % à < 99,5 % | 5 % de la redevance mensuelle |
| 95,0 % à < 99,0 % | 10 % de la redevance mensuelle |
| < 95,0 % | 25 % de la redevance mensuelle |
Les crédits doivent être demandés sous forme textuelle à support@faktoora.com dans un délai de 30 jours suivant le mois concerné. Ils sont plafonnés à la redevance mensuelle de la période concernée ; en cas de facturation annuelle, un douzième de la redevance annuelle est réputé constituer la redevance mensuelle. Les crédits SLA valent règlement des prétentions en réduction du prix au titre du non-respect de la disponibilité. Le dépassement des délais de réaction (section 5.2) ne donne pas lieu à des crédits SLA. Les crédits SLA s'imputent sur d'éventuelles demandes de dommages-intérêts ; pour le reste, les dispositions des CGV relatives à la responsabilité (point 9) s'appliquent.
4.3 Exclusions
Les périodes suivantes ne sont pas considérées comme des indisponibilités :
- La maintenance effectuée pendant les fenêtres de maintenance fixes prévues à la section 9.1
- La maintenance importante annoncée en dehors des fenêtres de maintenance fixes prévues à la section 9.1, dans la limite de 8 heures au total par mois civil
- La force majeure (catastrophes naturelles, grève, interventions des pouvoirs publics)
- Les pannes causées par le client ou par des tiers qui ne sont pas des auxiliaires d'exécution de faktoora
- Les pannes de réseau des fournisseurs d'accès à Internet
- Les attaques DDoS dépassant les mécanismes de protection de l'hébergeur
05 · Prestations de support
5.1 Contact et heures ouvrées
| Canal | Adresse / numéro | Disponibilité |
|---|---|---|
| E-mail (standard) | support@faktoora.com | Réception 24 h/24, 7 j/7 ; traitement du lundi au vendredi de 9 h à 17 h (heure d'Europe centrale, HNEC/HAEC) |
| Téléphone (formule « Enterprise » uniquement) | +49 731 85070390 | Du lundi au vendredi, de 9 h 00 à 17 h 00 (HNEC/HAEC) |
| Incidents de sécurité | security@faktoora.com | Réception 24 h/24, 7 j/7 ; traitement prioritaire conformément à la section 10 |
Heures ouvrées : du lundi au vendredi, de 9 h 00 à 17 h 00 (HNEC/HAEC), à l'exception des jours fériés légaux en Bavière.
5.2 Priorités et délais de réaction
| Priorité | Description | Délai de réaction |
|---|---|---|
| A – Critique | Plateforme totalement hors service ou perte de données. Aucune solution de contournement. | 1 heure |
| B – Élevée | Fonction essentielle affectée, solution de contournement possible. | 4 heures |
| C – Moyenne | Restriction fonctionnelle sans impact critique. | 1 jour ouvré |
| D – Faible | Défauts cosmétiques, demandes d'amélioration, demandes générales. | 2 jours ouvrés |
Les délais de réaction s'entendent pendant les heures ouvrées (du lundi au vendredi, de 9 h 00 à 17 h 00 HNEC/HAEC). En dehors des heures ouvrées, les délais commencent à courir le jour ouvré suivant. Priorité A : les incidents critiques sont détectés par une surveillance automatisée et, dans la mesure du possible, traités automatiquement ; la réaction humaine intervient dans un délai d'1 heure à compter du début des heures ouvrées suivantes. Aucun délai de résolution n'est garanti ; faktoora traite les perturbations en fonction de leur priorité.
5.3 Procédure d'escalade
Le client peut à tout moment escalader un signalement par e-mail avec l'objet « ESKALATION: [Ticket-ID] » (à reprendre tel quel) ; faktoora examine alors la priorisation et informe le client de la suite donnée.
06 · Sécurité des données et chiffrement
Les indications ci-après décrivent l'état actuel des mesures ; pour les mesures techniques et organisationnelles (MTO) au sens de l'art. 32 du RGPD, l'annexe 2 du contrat de sous-traitance fait foi.
6.1 Chiffrement
| Domaine | Norme | Détails |
|---|---|---|
| Données au repos | Chiffrement intégral des disques | Chiffrement intégral de tous les systèmes de production. Gestion des clés selon des procédures documentées, avec un cercle restreint de personnes. |
| Données en transit | TLS 1.2 ou supérieur | Exclusivement des protocoles sécurisés pour toutes les connexions externes. |
| Sauvegardes | Sauvegardes chiffrées | Les sauvegardes sont transmises sous forme chiffrée et stockées sur un site physiquement distinct. |
| Identifiants d'accès | Fournisseur d'identité exploité en interne ; alternativement, authentification unique (Single Sign-On) via le fournisseur d'identité du client | Les mots de passe sont gérés exclusivement sous forme hachée auprès du fournisseur d'identité ; l'application elle-même ne stocke aucun mot de passe. En cas d'authentification unique (p. ex. Microsoft Entra ID), la connexion s'effectue auprès du fournisseur d'identité du client. Les clés d'API ne sont enregistrées que sous forme de hachage. |
6.2 Sauvegarde et restauration
| Paramètre | Valeur |
|---|---|
| Fréquence des sauvegardes | Sauvegarde de l'ensemble des données persistantes (bases de données, stockage de fichiers, journaux d'audit) au moins toutes les 2 heures ; en complément, des instantanés système complets quotidiens |
| Durée de conservation | 14 jours (sauvegardes quotidiennes) ; jusqu'à 12 mois (sauvegardes mensuelles) |
| RPO (Recovery Point Obj.) | Valeur cible : 2 heures |
| RTO (Recovery Time Obj.) | Valeur cible : 8 heures pendant les heures ouvrées pour la restauration complète de la plateforme ; services individuels généralement nettement plus rapides |
| Site de sauvegarde | Centres de données certifiés ISO 27001 en Allemagne (Hetzner), physiquement distincts de la production |
| Tests de sauvegarde | Exercices de restauration réguliers et documentés |
| Contrôle d'intégrité | Sauvegardes sécurisées par sommes de contrôle avec contrôle d'intégrité régulier |
6.3 Résilience et restauration
- Plateforme de conteneurs avec redémarrage automatique des services défaillants
- Procédure documentée de restauration de l'ensemble de la plateforme à partir d'un instantané système sur une nouvelle infrastructure
- Deux niveaux de sauvegarde indépendants (sauvegardes de données chiffrées et instantanés système quotidiens)
- Hébergement dans des centres de données certifiés ISO 27001 disposant d'une alimentation électrique et d'une connectivité réseau redondantes
07 · Certifications et conformité
7.1 Certifications et normes
| Certification / norme | Périmètre | Statut | Justificatif |
|---|---|---|---|
| ISO/IEC 27001:2022 | SMSI de la plateforme SaaS faktoora | SMSI aligné sur ISO/IEC 27001:2022 | Déclaration d'applicabilité (synthèse) sur demande |
| ISO 27001 – centre de données | Infrastructure d'hébergement | Certifié | Certificat du centre de données sur demande |
| RGPD / art. 28 | Sous-traitance | Contrat de sous-traitance conforme à l'art. 28 du RGPD | Contrat de sous-traitance faisant partie intégrante du contrat |
| GoBD | Stockage des factures pendant la durée du contrat | Piste d'audit permettant de détecter les manipulations ; protection contre la suppression pendant la durée du contrat ; la conservation légale incombe au client | Description du stockage et de l'export sur demande |
faktoora fournit sur demande les certificats et justificatifs disponibles. Les rapports d'audit d'organismes indépendants sont mis à disposition, s'ils existent, sur demande et après signature d'un NDA.
7.2 Conformité aux GoBD
- Piste d'audit permettant de détecter les manipulations (append-only, chaîne de hachage cryptographique)
- Journalisation de toutes les modifications pertinentes sur le plan commercial effectuées via l'application, avec horodatage et identification de l'utilisateur
- Export des données en libre-service aux formats CSV et PDF, et pour certains domaines de données également au format XLSX ; en complément, au format JSON sur demande
- Stockage permettant de détecter les manipulations pendant la durée du contrat et export complet conformément au point 5.2 des CGV ; la conservation légale (8 ans pour les factures et les pièces comptables, 10 ans pour les livres et enregistrements, § 147 AO, code fiscal allemand) incombe au client
08 · Contrôle d'accès et journalisation d'audit
8.1 Contrôle d'accès
- Modèle d'accès basé sur les rôles (RBAC) selon le principe du moindre privilège
- Authentification multifacteur pour les accès administratifs à l'infrastructure (accès aux serveurs, au cloud et aux environnements de développement)
- Revue régulière des droits d'accès à la production et des droits d'accès des développeurs
- Blocage des accès dans les meilleurs délais en cas de départ de collaborateurs
- L'accès à l'environnement de production est réservé à un cercle restreint de personnes nommément désignées
- Séparation stricte des environnements de développement, de test et de production ; aucun accès CI/CD automatisé à la production
8.2 Journalisation d'audit
- Journalisation des événements d'authentification
- Journalisation des modifications administratives dans l'application dans la piste d'audit, ainsi que de toutes les connexions aux systèmes de production
- Piste d'audit append-only avec chaîne de hachage cryptographique ; les manipulations sont techniquement détectables
- Conservation des journaux d'audit applicatifs pendant la durée du contrat ; après la fin du contrat, le point 12 du contrat de sous-traitance s'applique
- Information sur ses propres données journalisées dans le cadre des droits des personnes concernées prévus par le RGPD
09 · Gestion des changements et maintenance
Les modifications sont soumises à un processus formel de gestion des changements comprenant des contrôles qualité automatisés et une capacité de retour arrière (rollback).
9.1 Fenêtres de maintenance
| Type | Créneau | Annonce |
|---|---|---|
| Maintenance régulière | Fenêtres de maintenance fixes du lundi au vendredi de 18 h 00 à 22 h 00 et le samedi toute la journée (HNEC/HAEC) | Aucune annonce particulière |
| Maintenance importante en dehors des fenêtres de maintenance fixes | Selon les besoins, de préférence en dehors des heures ouvrées ; non comptabilisée comme indisponibilité dans la limite de 8 heures au total par mois civil, comptabilisée comme indisponibilité au-delà | Au moins 48 heures à l'avance par e-mail |
9.2 Changements d'urgence
- Les correctifs de sécurité critiques peuvent être appliqués sans préavis
- Information des clients concernés dans les meilleurs délais, dans la mesure où la modification a des incidences pour eux
- Rapport d'incident disponible sur demande
10 · Incidents de sécurité – gestion des incidents
10.1 Classification et obligations de notification
| Niveau de gravité | Description | Réaction interne (valeur cible) | Notification au client | Notification aux autorités |
|---|---|---|---|---|
| P1 – Critique | Violation de données à caractère personnel (art. 4, point 12, du RGPD), notamment perte, divulgation non autorisée ou accès non autorisé | Surveillance automatisée ; évaluation dans les meilleurs délais pendant les heures ouvrées, en dehors des heures ouvrées à compter du début du jour ouvré suivant | dans les meilleurs délais, au plus tard dans un délai de 4 heures après la qualification comme critique | Notification à l'autorité de contrôle par le client en tant que responsable du traitement (art. 33 du RGPD) ; faktoora apporte son assistance conformément au point 9 du contrat de sous-traitance |
| P2 – Élevé | Compromission du système sans perte de données confirmée | Dans les meilleurs délais (heures ouvrées) | Dans les meilleurs délais (heures ouvrées), dans la mesure où des clients sont concernés | Par le client en tant que responsable du traitement, si nécessaire |
| P3 – Moyen | Anomalie pouvant avoir des incidences sur la sécurité | 1 jour ouvré | Sur demande | En règle générale non nécessaire |
| P4 – Faible | Vulnérabilité potentielle sans exploitation active | 5 jours ouvrés | Sur demande | Non requise |
Les obligations de notification prévues au point 9 du contrat de sous-traitance ne sont pas affectées ; les notifications aux autorités de contrôle concernant des données que faktoora traite pour le compte du client sont effectuées par le client.
10.2 Processus de réponse aux incidents
- Détection : identification via la surveillance, les alertes ou le signalement d'un client
- Confinement : limitation immédiate des dommages (isolement, blocage des accès)
- Analyse : analyse des causes profondes (root cause analysis) et évaluation de l'impact
- Correction : mise en œuvre des mesures correctives et rétablissement
- Rapport final : revue post-incident interne ; rapport de synthèse aux clients concernés sur demande
- Retour d'expérience (lessons learned) : les enseignements sont intégrés au SMSI et à la documentation des processus
10.3 Gestion des vulnérabilités
- Analyses automatisées des vulnérabilités dans le pipeline CI (analyse des dépendances à la recherche de vulnérabilités connues et analyse statique du code)
- Des tests d'intrusion réguliers sont prévus dans notre programme de tests
- Correction priorisée selon les risques : les vulnérabilités critiques sont traitées dans les meilleurs délais
- Nous mettons à disposition sur demande (sous NDA), sous forme de synthèse, les résultats des tests d'intrusion réalisés
11 · Protection des données et localisation des données
- L'hébergement et le stockage des données de la plateforme s'effectuent dans des centres de données certifiés ISO 27001 situés en Allemagne ; certains sous-traitants ultérieurs traitent également des données en d'autres lieux pour leur prestation respective (annexe 3 du contrat de sous-traitance et trust.faktoora.com)
- Les transferts vers des pays tiers et les garanties correspondantes au sens des art. 44 et suivants du RGPD sont énumérés à l'annexe 3 du contrat de sous-traitance
- Sous-traitance régie par le contrat de sous-traitance conformément à l'art. 28 du RGPD
- faktoora transmet dans les meilleurs délais au client les demandes des personnes concernées (art. 15 à 22 du RGPD) relatives aux données du client et l'assiste conformément au point 5 du contrat de sous-traitance
- Délégué à la protection des données externe : PROLIANCE GmbH, datenschutzbeauftragter@datenschutzexperte.de
12 · Droits d'audit et obligations de justification
- Les droits de contrôle prévus au point 8 du contrat de sous-traitance s'appliquent ; en cas de contradiction, le contrat de sous-traitance prévaut
- faktoora fournit sur demande (sous NDA) des justificatifs appropriés de son choix
- La mise à disposition des justificatifs et informations existants est gratuite ; pour les inspections ainsi que pour les audits et questionnaires individuels, le point 8, paragraphe 4, du contrat de sous-traitance s'applique
13 · Continuité d'activité et reprise après sinistre
faktoora applique une gestion de la continuité d'activité et de la reprise après sinistre.
| Paramètre | Valeur cible |
|---|---|
| RTO – ensemble de la plateforme | Valeur cible : 8 heures pendant les heures ouvrées |
| RTO – services individuels | Généralement moins d'1 heure (rétablissement automatique) |
| RPO | Valeur cible : 2 heures |
| Tests de reprise après sinistre | Réguliers, documentés |
| Revue du plan de continuité d'activité | Régulière ainsi qu'après des modifications substantielles du système |
| Niveaux de sauvegarde | Deux niveaux de sauvegarde indépendants (sauvegardes de données chiffrées et instantanés système quotidiens) |
14 · Reporting et transparence
- Récapitulatif des perturbations documentées et des périodes de maintenance sur demande
- Notification par e-mail des clients concernés en cas d'incident, conformément à la section 10
15 · Validité, modifications et droit de résiliation extraordinaire
- Le présent SLA s'applique pendant toute la durée de la relation contractuelle principale sous-jacente
- faktoora revoit le SLA régulièrement
- Les modifications sont notifiées sous forme textuelle au moins quatre semaines avant leur entrée en vigueur ; pour le reste, le point 8.10 des CGV s'applique par analogie (opposition, résiliation du contrat principal jusqu'à la prise d'effet de la modification)
- La version en vigueur du SLA est consultable à l'adresse faktoora.com/dokumente
16 · Acceptation
Le présent SLA fait partie intégrante du contrat principal et est réputé accepté dès la conclusion du contrat. Une signature séparée n'est pas nécessaire, sauf stipulation contraire dans le contrat principal.
faktoora GmbH · Accord de niveau de service · v4.2 · en vigueur à compter du 01.12.2026