Quand vous confiez votre entreprise a un SIRH, vous remettez a un fournisseur certaines des donnees les plus sensibles que vous detenez : salaires, coordonnees bancaires pour le depot direct, numeros d’assurance sociale, adresses, notes de rendement. Presque toutes les plateformes RH modernes font fonctionner plusieurs entreprises clientes sur les memes systemes partages et la meme base de donnees. C’est normal et ce n’est pas un probleme en soi. La question qu’un responsable RH canadien devrait poser est plus precise et plus importante : comment le fournisseur garantit-il qu’une autre entreprise sur cette plateforme partagee ne pourra jamais voir vos donnees, et comment saurait-il seulement que cette limite a ete franchie ? Voici un guide en langage clair pour bien poser cette question.
Ce que « multilocataire » veut vraiment dire
Une application multilocataire dessert plusieurs clients, appeles locataires, a partir d’une seule copie du logiciel en fonctionnement et, le plus souvent, d’une seule base de donnees partagee. Vos employes et ceux d’une autre entreprise peuvent se trouver dans les memes tables, distingues par un identifiant d’organisation sur chaque enregistrement. L’autre approche, donner a chaque client sa propre base isolee, coute cher et est rare pour les petites et moyennes entreprises. La vraie question n’est donc pas « est-ce multilocataire » mais « a quel point la separation est-elle rigoureuse ».
Le risque du multilocataire est simple a enoncer. Si une seule requete dans le code oublie de filtrer par l’identifiant d’organisation, elle peut renvoyer, ou pire ecraser, les donnees d’un autre locataire. Ce ne sont pas des attaques exotiques ; ce sont des erreurs de programmation ordinaires, et c’est la facon la plus courante dont les plateformes infonuagiques laissent fuir des donnees entre clients. Les bons fournisseurs concoivent precisement pour qu’un seul filtre oublie ne puisse pas causer une fuite, et ils le testent en continu.
Les questions a poser a un fournisseur
Vous n’avez pas besoin d’etre technique pour poser ces questions. Vous ecoutez pour obtenir des reponses concretes et precises plutot que des assurances :
- Comment chaque requete est-elle liee a mon organisation, et qu’est-ce qui empeche un utilisateur d’une entreprise de lire ou de modifier les enregistrements d’une autre ?
- Avez-vous des tests automatises qui tentent activement d’atteindre les donnees d’une entreprise depuis le compte d’une autre, et ces tests s’executent-ils a chaque version ?
- Pour les enregistrements les plus sensibles, coordonnees bancaires et remuneration, chaque enregistrement porte-t-il sa propre etiquette d’organisation, ou repose-t-il seulement sur une chaine de relations pour rester separe ?
- Les champs sensibles comme les numeros de compte bancaire et les NAS sont-ils chiffres, et qui peut les voir en clair ?
- Existe-t-il un journal indiquant qui a consulte ou modifie des donnees sensibles ?
- Ou nos donnees sont-elles stockees, et peuvent-elles rester au Canada ?
Un fournisseur qui repond directement, y compris en admettant ce qu’il n’a pas encore fait, vous dit quelque chose de plus fiable que celui qui affirme simplement « vos donnees sont securisees ». La confiance vague est la reponse dont il faut se mefier.
A quoi ressemble une bonne separation en pratique
Une separation bien faite partage quelques traits. Chaque lecture et chaque ecriture est rattachee a l’organisation de l’utilisateur connecte, de sorte qu’un utilisateur n’a tout simplement aucun chemin vers les donnees d’une autre entreprise, meme pas pour en confirmer l’existence. Les enregistrements les plus sensibles portent leur propre etiquette d’organisation directement sur la ligne, plutot que d’etre accessibles uniquement par une chaine de relations, afin qu’une seule requete erronee ne puisse pas franchir la limite. Et surtout, le fournisseur execute des tests d’isolement automatises qui creent deux entreprises distinctes et prouvent que l’une ne peut atteindre l’autre, a chaque version, afin qu’une regression fasse echouer la publication au lieu d’etre mise en ligne. Le chiffrement au repos des coordonnees bancaires et des NAS, ainsi qu’un journal d’acces aux donnees sensibles, completent le tableau.
Pourquoi cela compte davantage au Canada
Le droit canadien de la vie privee donne du mordant a ces questions. Sous la LPRPDE, et au Quebec sous la Loi 25, une organisation demeure responsable des renseignements personnels qu’elle transfere a un fournisseur de services, et la Loi 25 en particulier a hausse la barre sur la declaration des incidents et sur les mesures de protection attendues de quiconque manipule les renseignements personnels des Quebecois. En choisissant un SIRH, vous n’externalisez pas cette responsabilite, vous l’etendez : la separation et les mesures de protection du fournisseur deviennent une partie de votre propre conformite. Poser les questions ci-dessus est une diligence raisonnable que vous pouvez documenter.
Ceci est une information generale pour evaluer un fournisseur, et non un avis juridique. Confirmez vos propres obligations sous la LPRPDE et, si vous exercez au Quebec, sous la Loi 25, aupres des orientations a jour du Commissariat a la protection de la vie privee du Canada et de la Commission d’acces a l’information du Quebec.
Ou en est Workleaf
Nous serons directs, y compris sur ce que nous n’avons pas fait. Workleaf est multilocataire. Chaque lecture et chaque ecriture est rattachee a l’organisation de l’utilisateur connecte, de sorte qu’une entreprise ne peut pas lire, modifier ni confirmer l’existence des donnees d’une autre. Nos enregistrements les plus sensibles, coordonnees bancaires et historique de remuneration, portent chacun leur propre etiquette d’organisation sur la ligne et chaque lecture s’y rattache directement, en defense en profondeur. Les numeros de compte bancaire sont chiffres au repos et ne sont jamais affiches en clair sauf par une consultation explicite et journalisee effectuee par un utilisateur RH autorise. Nous executons a chaque version une suite de tests d’isolement a deux entreprises qui tente d’atteindre les employes, documents, notes, coordonnees bancaires et remuneration de l’une depuis l’autre et prouve que c’est impossible ; la publication echoue si un test regresse.
Pour etre precis sur ce que nous ne pretendons pas : Workleaf ne detient pas encore de rapport SOC 2, de certification ISO 27001 ni de test d’intrusion par un tiers. Ces elements sont a notre feuille de route, pas en main aujourd’hui, et si votre approvisionnement les exige nous vous le dirons franchement plutot que de laisser entendre le contraire. Workleaf est aussi en acces anticipe et en prelancement. Nous preferons meriter la confiance en etant exacts plutot qu’en exagerant ou nous en sommes.
La tarification est simple et publique. Basic est de 15 $ CA par mois pour jusqu’a 10 employes, puis 1,50 $ CA par employe supplementaire. Advanced est de 30 $ CA par mois pour jusqu’a 10 employes, puis 3 $ CA par employe supplementaire. Pas de devis, pas de surprises.