SOC 2 Type II et ISO 27001 : comment WizyVision protège vos données terrain

Chaque jour, des milliers d'opérateurs terrain ouvrent une application WizyVision sur un smartphone ou un terminal durci. Ils photographient une palette endommagée, scannent un numéro de série, remplissent une checklist d'inspection sur un site gazier ou enregistrent une preuve de livraison chez un client. Chacune de ces actions génère des données opérationnelles, parfois sensibles, qui quittent le dépôt, l'usine ou l'entrepôt dans une poche.

C'est pourquoi, chez la plupart de nos clients, le premier vrai rendez-vous avec la DSI ne porte pas sur les fonctionnalités, mais sur la confiance. Où les données sont-elles hébergées ? Qui peut y accéder ? Que se passe-t-il si un téléphone est perdu, si un collaborateur quitte l’entreprise ou si un fournisseur est compromis ? Jusqu'ici, notre réponse reposait sur notre documentation, notre certification ISO 27001 et un grand nombre de questionnaires de sécurité.

Désormais, elle s'appuie également sur un rapport d'audit indépendant, accessible sur demande : Wizy Solutions SAS a finalisé son audit SOC 2 Type II. Voici ce que cela signifie et comment cette étape s'inscrit dans une approche plus large de la sécurité, qui commence par l'application terrain elle-même.

WizyVision obtient un rapport SOC 2 Type II, en complément de la certification ISO 27001:2022

Wizy Solutions SAS a reçu un rapport SOC 2 de type II établi par un auditeur indépendant pour WizyVision et Wizy EMM. L'audit visait à déterminer si les contrôles de sécurité de WizyVision et les catégories de services de confiance associées avaient été conçus de manière appropriée et mis en œuvre efficacement au cours de la période examinée.

Ce rapport vient s'ajouter à notre certification ISO/IEC 27001:2022, la norme internationale des systèmes de management de la sécurité de l'information. Ces deux éléments sont complémentaires :

• La norme ISO 27001 atteste de la mise en place d'un système de gestion de la sécurité structuré et en amélioration continue ;
• La norme SOC 2 Type II fournit l'avis d'un auditeur sur le fonctionnement effectif de contrôles spécifiques, dans la durée.

Nous avons préparé ces deux audits avec Bastion Technologies, une plateforme de conformité qui héberge également notre Trust Center public. Aujourd'hui, 198 contrôles de sécurité y sont documentés et surveillés en continu, répartis en 28 domaines : du contrôle d'accès à la cryptographie, en passant par la continuité d'activité et la gestion des fournisseurs.

Ce que cela change concrètement pour nos clients :

• Une preuve indépendante plutôt qu'une promesse. C'est un auditeur externe, et non WizyVision, qui a évalué l'efficacité de nos contrôles.
• Des revues de sécurité plus courtes. Vos équipes IT et achats peuvent s’appuyer sur un rapport audité plutôt que sur un questionnaire vierge.
• Une transparence totale. Vous pouvez demander le rapport d'audit ISO 27001 ainsi que la lettre de référence (Reference Letter) SOC 2 Type II depuis notre Trust Center, accessible à tous.
• Un engagement continu. Nos contrôles sont surveillés en permanence, et non vérifiés une seule fois puis rangés dans un tiroir.

Pourquoi la sécurité des fournisseurs est devenue un critère d'achat en 2026

Les questionnaires de sécurité ne sont pas une formalité administrative en soi. Ils reflètent une véritable évolution quant à l'origine des attaques et aux attentes actuelles des autorités de régulation à l'égard des entreprises acheteuses de logiciels.

Des tiers sont désormais impliqués dans près de la moitié des violations de données

L'édition 2026 du Data Breach Investigations Report de Verizon, fondée sur plus de 22 000 violations de données confirmées, met en avant le fait qu'un tiers est impliqué dans 48 % des violations, contre 30 % dans l'édition précédente 1.

Autrement dit, votre sécurité dépend désormais en partie de celle de chaque outil SaaS connecté à votre système d'information. Une plateforme d'opérations terrain, qui reçoit des photos, des localisations, des références d'équipements et des résultats d'inspection, ne fait pas exception.

Les violations de données coûtent de plus en plus cher et prennent de plus en plus de temps à maîtriser

Le rapport Cost of a Data Breach 2026 d'IBM évalue le coût moyen mondial d'une violation de données à 4,99 millions de dollars, en hausse de 12 % sur un an. Le délai moyen pour identifier et contenir une violation a lui aussi augmenté, à 247 jours : c'est la première hausse en cinq ans2.

Le même rapport met en lumière un risque bien connu des responsables des opérations terrain : les outils non gouvernés.

Les terminaux mobiles et les équipes terrain, nouvelles cibles prioritaires

Les équipes terrain travaillent sur des terminaux mobiles, souvent partagés, souvent hors du réseau de l'entreprise. Le rapport 2026 de Verizon observe des taux de clic sur les liens d'hameçonnage environ 40 % plus élevés sur mobile, ce qui fait du smartphone la nouvelle cible favorite des attaquants. Le rapport indique aussi que 67 % des utilisateurs accèdent à des services d'IA avec des comptes personnels depuis des appareils de l'entreprise.

C’est pourquoi les applications terrain doivent être sécurisées dès leur conception : authentification forte, permissions par rôle, transport chiffré et contrôle centralisé, afin que la sécurité ne dépende pas de la vigilance de chaque opérateur.

La réglementation fait remonter la responsabilité le long de la chaîne d'approvisionnement

En Europe, la directive NIS2 impose aux entités essentielles et importantes de gérer les risques de cybersécurité liés à leurs relations avec leurs fournisseurs et prestataires directs, en vertu de l'article 21, paragraphe 2, point d), de la directive (UE) 2022/2555 du Parlement européen3. Concrètement, cela se traduit par des exigences de sécurité contractuelles, des évaluations des risques fournisseurs et des preuves d'audit.

En France, le projet de loi « Résilience », qui transpose NIS2 (ainsi que DORA et la directive REC sur la résilience des entités critiques), devait être examiné à l'Assemblée nationale à partir du 7 octobre 2026. Son examen a de nouveau été reporté, sine die. Selon l'ANSSI, l'agence nationale de la sécurité des systèmes d'information, les équipements de bordure et les infrastructures critiques, comme l'énergie et les télécoms, sont restés des cibles prioritaires en 2025 4.

Pourtant, le contrôle des fournisseurs reste l'exception. Selon le 11e baromètre annuel du CESIN, quatre entreprises françaises sur dix déclarent avoir subi au moins une cyberattaque significative en 2025, et une entreprise sur trois estime que plus de la moitié de ses incidents proviennent de partenaires ou de prestataires5. En ce sens, des fournisseurs audités facilitent nettement l'évaluation de ce risque.

Enfin, la loi européenne sur l’IA, l’AI Act, introduit un niveau supplémentaire de gouvernance pour les systèmes d’IA. Conformément à l’accord provisoire conclu en juin 2026, les obligations applicables aux systèmes autonomes à haut risque devraient être reportées à décembre 2027. L’orientation est néanmoins claire : les acheteurs demanderont de plus en plus d’informations sur la manière dont les fonctionnalités d’IA sont gouvernées, tracées et contrôlées.

SOC 2 Type II ou ISO 27001 : ce que prouve chaque certification

Les deux référentiels sont souvent confondus, voire présentés comme interchangeables. Ils ne le sont pas : ils répondent à des questions différentes, et c'est précisément pour cela qu'il est utile de détenir les deux.

Qu'est-ce que le SOC 2 ?

Le SOC 2 (System and Organization Controls 2) est un référentiel d'attestation défini par l'American Institute of Certified Public Accountants (AICPA), l'association professionnelle des experts-comptables américains. Un auditeur indépendant examine les contrôles d'un prestataire de services au regard des Trust Services Criteria (critères des services de confiance) : sécurité, disponibilité, intégrité du traitement, confidentialité et protection de la vie privée.

Il existe deux types de rapports :

• Un rapport de Type I évalue si les contrôles sont conçus de manière appropriée, à une date donnée ;
• Un rapport de Type II va plus loin : il évalue si ces contrôles ont fonctionné efficacement sur une période, généralement de plusieurs mois, à partir d'échantillons et de preuves collectés tout au long de cette période.

Techniquement, le SOC 2 est une attestation et non une certification. Il donne lieu à un rapport détaillé que le client lit et évalue au regard de ses propres exigences.

Qu'est-ce que l'ISO 27001 ?

L'ISO/IEC 27001 est la norme internationale des systèmes de management de la sécurité de l'information (SMSI), publiée par l'ISO et la CEI. Elle impose à une organisation de définir le périmètre de son SMSI, d'évaluer ses risques, de sélectionner et de mettre en œuvre les mesures appropriées (listées dans l'annexe A), et de s'améliorer en continu. La version en vigueur est la norme ISO/IEC 27001:2022.

La certification est délivrée par un organisme accrédité à l'issue d'un audit, puis maintenue grâce à des audits de surveillance annuels et à un audit complet de renouvellement tous les trois ans.

Tableau comparatif

En résumé, la norme ISO 27001 prouve que la sécurité est organisée et gouvernée ; la certification SOC 2 Type II assure l’efficacité des contrôles en pratique. Ensemble, ils répondent à la plupart des questions qu'une équipe IT, sécurité ou achats peut poser à un fournisseur de solution terrain.

Ce que les audits ont vérifié chez WizyVision : les contrôles derrière les badges

Un certificat ne vaut que par les contrôles qui le sous-tendent. Les 198 contrôles de WizyVision sont publiés dans notre Trust Center. Voici ceux qui comptent le plus pour nos clients, regroupés par thème.

Contrôle d'accès : les bonnes personnes, et elles seules

L'accès aux systèmes sensibles exige une authentification multifacteur. Nous utilisons l'authentification unique (SSO) pour les systèmes internes sensibles dès que possible. Les accès sont accordés selon le principe du moindre privilège, via des permissions par rôle, après une demande documentée et approuvée par un manager. Les accès administrateurs sont réservés à un petit nombre de personnes, sur la base d'un besoin clairement défini, et les accès aux systèmes contenant des données clients confidentielles sont revus chaque trimestre. Lors du départ d’un utilisateur, une liste de contrôle garantit la restitution du matériel et la révocation rapide et complète des accès.

Protection des données : chiffrées, sauvegardées et supprimées au bon moment

Les bases de données sont chiffrées au repos, et les données qui transitent sur l'internet public sont chiffrées à l’aide d’algorithmes standards du marché. Nous évaluons chaque année la configuration TLS et corrigeons rapidement toute note inférieure à A. Les données clients sont sauvegardées automatiquement ; les sauvegardes sont chiffrées, stockées dans des régions géographiquement indépendantes et protégées par les mêmes contrôles d'accès que le système d'origine. Chaque donnée est classifiée, et les données clients sont conservées selon une procédure documentée, puis supprimées de manière sécurisée à l'issue de la durée de conservation.

Développement sécurisé : toute modification est vérifiée et chaque environnement est isolé

Nos environnements de production et hors production sont séparés. Toute modification applicative ou d'infrastructure est revue et approuvée par une seconde personne technique avant sa mise en production. La gestion des changements est intégrée à nos outils d'intégration et de déploiement continus afin de réduire les erreurs humaines et de maintenir des changements auditables.

Parmi nos principaux points de sécurité :

• Notre infrastructure est gérée « as code » ;
• Le code source est analysé par un outil d'analyse statique ;
• Les correctifs du système d'exploitation et les images de conteneurs sont mis à jour au moins une fois par semaine ;
• Les vulnérabilités sont scannées en continu ;
• Et un cabinet indépendant réalise chaque année un test d'intrusion sur l'environnement de production.

Supervision et réponse aux incidents : détecter, réagir, apprendre

Les journaux applicatifs et système sont envoyés vers un référentiel de journalisation centralisé, et les événements de sécurité sont triés et analysés pour détecter toute activité non autorisée ou malveillante. Un programme formel de gestion des incidents de sécurité définit les rôles, les responsabilités et la communication : il est testé au moins une fois par an. Chaque incident est suivi, puis analysé lors d'un post-mortem. Nos clients peuvent suivre l'état du service sur une page de statut publique et sont informés des évolutions du système via un canal dédié.

Continuité d'activité : prêts pour le pire scénario

WizyVision maintient un plan de continuité d'activité et réalise chaque année un test de reprise après sinistre avec des objectifs de délai de reprise prédéfinis, en simulant une panne complète de notre région cloud principale. Les infrastructures de traitement sont conçues avec une redondance suffisante pour répondre aux exigences de disponibilité.

Fournisseurs et collaborateurs : la sécurité au-delà de nos murs

Conformément aux exigences de NIS2, nous tenons un inventaire de nos fournisseurs, classifions les données qu'ils traitent, évaluons ceux qui traitent des données clients sensibles et suivons leur niveau de sécurité dans la durée. Chaque salarié et prestataire signe un accord de confidentialité avant d'accéder à des informations sensibles ; nous vérifions les références des candidats dans la limite autorisée par la loi. De même, la sensibilisation à la sécurité fait partie du rôle de chacun. Un responsable de la sécurité désigné porte alors la responsabilité globale de la sécurité de l'information, sous la supervision de la direction et du conseil d'administration.

La sécurité dès la conception, jusque dans l'application terrain

Les audits couvrent l'organisation. Mais pour une plateforme d'opérations terrain, la sécurité doit aussi fonctionner au dépôt, en atelier ou le long d'un gazoduc, souvent sans réseau.

Des données terrain capturées, traçables et difficiles à contester

Chaque photo, scan ou formulaire enregistré dans une application WizyVision peut être géolocalisé et horodaté, ce qui constitue une preuve visuelle très difficile à contester. Nos clients peuvent ainsi documenter l'état des marchandises à la réception, prouver une livraison ou démontrer leur conformité lors d'un audit.

Un mode hors ligne sans perte de contrôle

Les équipes terrain continuent de travailler, même dans une zone blanche au fond d'un entrepôt. L'application mobile native de WizyVision est conçue « offline-first » : elle stocke les données localement sur l'appareil, les met en file d'attente, puis les synchronise en arrière-plan dès que la connexion revient. La saisie continue, et les données aboutissent bien dans la même plateforme gouvernée, et non dans un tableur ou dans la galerie photo personnelle d'un collaborateur.

Gouvernance : le no-code n'est pas du shadow IT

L'inquiétude que les équipes IT expriment le plus souvent à propos du no-code est légitime : les métiers vont-ils créer des applications que personne ne contrôle ? Chez WizyVision, les applications sont définies sous forme de configuration (champs, règles de validation, workflows, statuts), lisible par toute personne disposant des droits adéquats, et non enfermée dans le code d'une seule personne. Les utilisateurs, les rôles, les permissions et les journaux d'audit sont gérés de manière centralisée par les administrateurs. Les métiers gagnent en autonomie ; l'IT garde le contrôle.

Les données ne restent pas non plus en silo. Des API REST versionnées et des webhooks alimentent votre ERP, votre WMS ou vos outils de BI en données terrain.

RGPD et hébergement des données

WizyVision SAS est basée à Paris et a désigné un délégué à la protection des données (DPO). La plateforme s'appuie sur l'infrastructure Google Cloud Platform. Notre politique de confidentialité liste nos sous-traitants et précise la durée de conservation des données (pendant toute la durée du service, puis douze mois après son terme) ainsi que la façon d'en demander la suppression. Les engagements contractuels des deux parties en matière de sécurité et de confidentialité figurent dans nos conditions d'utilisation et dans notre contrat-cadre de services (MSA).

Une IA gouvernée, pas improvisée

WizyVision utilise l'IA pour remplacer la saisie sur le terrain : OCR, reconnaissance de codes-barres et d'étiquettes, analyse d'images et génération d'applications à partir d'une description en langage naturel. Cette IA fonctionne au sein de la plateforme gouvernée, avec les mêmes permissions, la même journalisation et les mêmes contrôles des données que tout le reste. Certains modèles s'exécutent directement sur l'appareil : la capture continue ainsi sans aller-retour avec le cloud.

La sécurité dans les environnements réglementés et sensibles : à quoi cela ressemble en pratique

Les certifications formalisent des pratiques que nos clients éprouvent depuis des années dans des environnements exigeants.

Nucléaire : une capture d'images sécurisée chez Orano

Orano gère le cycle de l'uranium, de la mine au recyclage. Les photos prises dans des installations nucléaires sensibles étaient peu sécurisées, avec un risque de fuite de données, et le groupe envisageait de développer sa propre application mobile de capture d’images. En quelques semaines, les équipes de cybersécurité d'Orano ont validé l'application WizyVision, et l’ont déployée de sorte qu'aucune photo ne reste stockée sur le téléphone, avec un mode hors ligne avancé et des outils d'annotation.

Découvrez d'autres cas d'usage sur notre page Énergie & Utilities

Énergie : Teréga et Prime Energy

Teréga, qui exploite environ un quart du stockage et du transport de gaz en France, associe l'analyse d'images aériennes à une application mobile WizyVision et à la détection d'anomalies par IA. À la clé : des délais d'intervention diminués de 30 %. En mer, aux Philippines, Prime Energy, filiale de Shell, a digitalisé l'inspection de milliers d'équipements grâce à des photos géolocalisées et horodatées, et à des checklists utilisables hors ligne, supprimant ainsi les rapports papier.

Pour en savoir plus, consultez notre page Énergie & Utilities

Logistique : des inspections prêtes pour l'audit chez Chronopost

Pour ses livraisons Fresh/Food, Chronopost disposait de certifications ISO. Son outil numérique en place était peu adopté et difficile à administrer. WizyVision a conçu une application d'inspection avec une saisie mobile simple, des rapports d'audit automatiques et des actions correctives immédiates. Auditeurs internes et équipes de dépôt l'ont largement adoptée, pour un budget logiciel inférieur de 40 % à celui de la solution précédente.

Découvrez d'autres exemples dans notre rubrique Transport & Logistique

Ces clients ont choisi WizyVision non pas en dépit de leurs exigences en matière de sécurité, mais précisément parce que la plateforme y répondait sans ralentir le travail sur le terrain. Outre nos certifications, le cabinet de conseil en cybersécurité Wavestone a également évalué la sécurité de WizyVision.

Comment évaluer la sécurité d'un fournisseur d'applications terrain : la checklist pour l'IT et les achats

Que vous compariez des plateformes ou réévaluiez un fournisseur existant, voici les questions à vous poser. Nous y avons ajouté nos propres réponses afin que vous puissiez les vérifier dans notre documentation.

Comment accéder au rapport SOC 2 et à la documentation sécurité de WizyVision

La transparence fait partie de la sécurité. Voici comment vos équipes peuvent consulter notre documentation :

1. Rendez-vous sur le Trust Center WizyVision. Il est public et présente nos certifications ainsi que les 198 contrôles surveillés.
2. Demandez les documents dont vous avez besoin depuis l'onglet Documents : la lettre de référence SOC 2 et le rapport d'audit ISO 27001.
3. Consultez notre documentation technique sur support.wizyvision.com, qui comprend des articles et des guides consacrés à la sécurité.
4. N'hésitez pas à nous contacter si votre questionnaire de sécurité comporte des questions supplémentaires : notre équipe les examinera avec vous. Contactez-nous.

La sécurité est un engagement, pas un badge

Le SOC 2 Type II et l'ISO 27001 ne sont pas des lignes d'arrivée. Ce sont des engagements vérifiés chaque année, avec des contrôles quotidiens. Pour nos clients, cela signifie moins de temps passé à prouver qu'un fournisseur est digne de confiance et plus de temps pour digitaliser ce qui compte vraiment : le travail réalisé sur le terrain.

Si vos équipes évaluent une plateforme d'opérations terrain, ou réexaminent un fournisseur existant, commencez par notre Trust Center, puis parlons de votre cas d'usage.