Accord de niveau de service

Plateforme TurboStack et Managed Services

Niveaux de SLA Standard et Platinum

1. Objet et statut juridique

Le présent Service Level Agreement (« SLA ») définit les niveaux de service, l’étendue du support, les responsabilités, les limitations et le cadre des crédits de service pour les environnements TurboStack Managed de Hosted Power et les Managed Services associés.

Le présent SLA s’applique uniquement lorsqu’il est mentionné dans un bon de commande, un contrat-cadre de services, un énoncé des travaux ou tout autre accord écrit conclu entre Hosted Power BV (« Hosted Power ») et le client ou partenaire (« Client »).

Principe en langage clair

Hosted Power gère l’infrastructure et la couche plateforme. Le Client, le revendeur, l’agence ou le partenaire de développement reste responsable du code applicatif, du comportement de l’application, du contenu des utilisateurs finaux, des services tiers gérés par le client et des décisions commerciales. La sécurité, les performances et la disponibilité relèvent de responsabilités partagées.

Priorité contractuelle : en cas de conflit entre le présent SLA et un bon de commande signé, un contrat-cadre de services signé ou un avenant spécifique signé, le document signé le plus spécifique prévaut.

Tous les objectifs du présent SLA sont des objectifs de service et ne constituent pas une garantie que des incidents, événements de sécurité, flux de bots, interruptions de services tiers ou problèmes applicatifs ne surviendront jamais.

2. Définitions

3. Périmètre du service TurboStack

TurboStackTurboStack est la plateforme Managed de Hosted Power pour les plateformes numériques critiques en matière de performances. Elle est conçue pour les développeurs, les agences, les équipes de commerce électronique, les plateformes SaaS et les applications critiques pour l’entreprise qui exigent rapidité, stabilité, évolutivité et transparence.

TurboStack associe une gestion automatisée de la plateforme à un accès direct à des ingénieurs expérimentés. Elle peut inclure une infrastructure cloud Managed, des systèmes d’exploitation pris en charge, des composants de serveur web et de base de données, la mise en cache, des outils de déploiement, la surveillance, des sauvegardes, des contrôles de sécurité et TurboShield, selon le forfait et le niveau de SLA sélectionnés.

4. modèle de responsabilité partagée

TurboStack est volontairement transparent et cogéré. Hosted Power assume la responsabilité de la couche de plateforme Managed. Le Client ou partenaire conserve le contrôle de l’application, du contenu, des données, des utilisateurs et de l’utilisation commerciale de l’environnement.

5. Niveaux de SLA : standard et platinum

Hosted Power utilise deux niveaux de SLA afin de maintenir une offre claire. Standard est le SLA Managed par défaut pour les environnements de production professionnels. Platinum s’adresse aux plateformes critiques pour l’activité, sensibles aux campagnes ou essentielles au chiffre d’affaires, qui nécessitent un triage plus rapide, une supervision plus étendue, des options de reprise renforcées et un suivi plus proactif.

Le niveau de SLA ne modifie pas la responsabilité du code client, des données ou des services tiers. Platinum améliore la priorité, la visibilité, la communication, les options de reprise et le suivi opérationnel. Il ne transforme pas les problèmes applicatifs, le trafic des bots ou les défaillances de tiers en indisponibilité de l’infrastructure de Hosted Power.

6. Priorités des incidents et objectifs de réponse

Les incidents sont classés en fonction de leur impact sur l’activité et selon qu’ils affectent l’infrastructure couverte ou les Managed Services. La réponse signifie que Hosted Power a pris acte de l’incident, a commencé son analyse et a mobilisé l’équipe ou le processus approprié. La réponse ne constitue pas une résolution complète.

7. Disponibilité, temps de fonctionnement et crédits de service

La disponibilité est mesurée chaque mois pour l’infrastructure de production couverte et les services de plateforme Managed sous le contrôle de Hosted Power. La source de mesure est le système de surveillance de Hosted Power, sauf si l’accord définit explicitement une autre source de mesure.

Les temps d’indisponibilité sont exclus du calcul de la disponibilité lorsqu’ils sont dus à une maintenance planifiée, une maintenance d’urgence, des actions du client ou d’un partenaire, des problèmes au niveau de l’application, des services tiers, des problèmes de réseau externes, des incidents de sécurité qui ne sont pas causés par une défaillance de l’infrastructure gérée par Hosted Power, un cas de force majeure ou l’absence de coopération requise du client.

Des crédits de service peuvent être demandés si l’objectif mensuel de disponibilité applicable n’est pas atteint pour des raisons relevant du contrôle de Hosted Power. Les crédits doivent être demandés par écrit dans les 30 jours calendaires suivant la fin du mois concerné et la demande doit inclure des justificatifs suffisamment détaillés.

L’indemnisation maximale prévue par cet SLA est limitée aux frais mensuels récurrents du Service concerné. Les crédits ne constituent pas des remboursements en espèces et ne s’appliquent pas aux projets ponctuels, aux migrations, aux audits, aux travaux de développement, aux Expert Services, aux coûts répercutés ni aux frais de tiers.

8. TurboShield et protection contre le trafic

TurboShield est une couche de protection contre le trafic, gérée par Hosted Power, conçue pour réduire l’impact du trafic malveillant, des bots abusifs, des schémas de requêtes suspects, des tentatives de scraping, des comportements de force brute, de l’analyse des vulnérabilités, du spam et de la pression exercée au niveau applicatif.

TurboShield peut inclure une limitation du débit, des règles de pare-feu, un filtrage des requêtes, des règles d’atténuation des bots, des contrôles de réputation des adresses IP, des listes d’autorisation et de blocage, des règles personnalisées, des intégrations WAF, de la surveillance, des alertes et des ajustements manuels par les ingénieurs de Hosted Power. Les fonctionnalités exactes dépendent de l’environnement, du niveau de SLA sélectionné, de la visibilité disponible sur le trafic et de l’accord commercial.

Réalité en matière de sécurité

TurboShield réduit considérablement les risques et l’impact, mais aucun service d’atténuation des bots, WAF ou de protection contre les attaques DDoS ne peut garantir la prévention complète de tout trafic malveillant, automatisé ou indésirable. L’atténuation des bots est un processus continu qui exige des ajustements, une surveillance et une coopération permanents entre Hosted Power, le Client et toute agence ou tout partenaire de développement impliqué.

8.1 Événements de sécurité et crédits SLA

Le trafic causé par des acteurs malveillants, des bots abusifs, du scraping, des attaques par bourrage d’identifiants, des tentatives de déni de service, de l’analyse des vulnérabilités, du spam, des abus au niveau applicatif ou tout autre trafic hostile ne constitue pas une indisponibilité au titre du SLA, sauf si l’indisponibilité est directement causée par une défaillance de l’infrastructure gérée par Hosted Power et couverte par le périmètre du SLA convenu.

Les objectifs de temps de réponse s’appliquent au traitement, au triage et aux efforts d’atténuation des incidents. Ils ne garantissent pas la suppression complète de tous les bots, attaquants, scrapers, scans ou trafics indésirables dans un délai fixe.

8.2 Responsabilités du client, du revendeur et de l’agence concernant TurboShield

• Maintenir un code applicatif, des plugins, des modules, des dépendances, des flux d’authentification, des formulaires, des API et des points de terminaison exposés sécurisés.

• Fournir rapidement l’accès aux journaux applicatifs pertinents, aux journaux du serveur web, aux journaux Cloudflare, à l’historique des déploiements, aux informations sur les modifications récentes et aux contacts techniques lors de l’analyse d’incidents de sécurité.

• Informer Hosted Power à l’avance des campagnes, lancements de produits, opérations Black Friday, envois d’e-mails volumineux, importations, périodes de soldes, volumes de trafic élevés générés par des bots ou autres pics de trafic prévus.

• Éviter toute modification du pare-feu, du DNS, du CDN, du WAF ou de l’application gérée par le client qui réduirait la visibilité ou contournerait les protections convenues sans coordination préalable.

• Accepter que des mesures d’atténuation d’urgence, des limitations de débit, des blocages ou des défis puissent affecter temporairement le trafic légitime lorsqu’ils sont nécessaires à la protection de l’environnement.

• En tant que revendeur ou agence, coordonner la communication de première ligne avec le client final et éviter de présenter des problèmes au niveau de l’application, de tiers ou gérés par le client comme des défaillances de l’infrastructure de Hosted Power, sauf confirmation de Hosted Power.

8.3 Fournisseurs de services edge tiers

Lorsqu’un CDN, un fournisseur DNS, un WAF, un proxy inverse, une protection DDoS ou une couche de sécurité tiers tel que Cloudflare est placé devant l’environnement de Hosted Power et n’est pas entièrement géré par Hosted Power, Hosted Power ne peut pas garantir la disponibilité publique de bout en bout, la visibilité du trafic, la précision de la détection des bots, le comportement du cache, le comportement SSL/TLS, le comportement du DNS ou les délais de réponse aux incidents pour cette couche externe.

Dans ce cas, les mesures SLA s’appliquent à l’infrastructure d’origine gérée par Hosted Power, à condition que Hosted Power dispose d’une méthode fiable pour surveiller directement l’origine ou par l’intermédiaire d’un chemin de surveillance convenu.

Le Client doit fournir les accès, la configuration, l’autorisation sur liste blanche, les en-têtes, les journaux, l’accès aux API, les points de terminaison de vérification de l’état de l’origine et les exceptions de surveillance requis, le cas échéant. Sans ces accès ou cette configuration, la surveillance, l’analyse des incidents et l’efficacité de TurboShield peuvent être limitées.

Si Cloudflare ou un autre fournisseur de services edge tiers bloque, soumet à un défi, met en cache, modifie, limite le débit, redirige, renvoie des erreurs, interrompt incorrectement TLS, masque les erreurs de l’origine, dissimule les adresses IP des clients ou ne transmet pas le trafic vers l’origine, cela n’est pas considéré comme une indisponibilité de Hosted Power, sauf si Hosted Power gère ce composant et que la défaillance relève du contrôle de Hosted Power.

Si Hosted Power gère séparément Cloudflare ou un autre service edge tiers pour le Client, la configuration gérée est traitée conformément au périmètre convenu. Les pannes du fournisseur, les défaillances généralisées de la plateforme tierce, les modifications du client et les limitations du service tiers restent exclues, sauf accord explicite contraire.

8.4 Faux positifs et mesures d’atténuation d’urgence

Les règles de TurboShield peuvent occasionnellement soumettre à un défi, retarder ou bloquer du trafic légitime, notamment lors d’attaques actives, de scraping intensif ou de schémas de trafic anormaux. Hosted Power traitera les faux positifs confirmés comme un problème d’assistance et ajustera les règles lorsque cela sera approprié.

Les faux positifs causés par des mesures d’atténuation d’urgence, des règles approuvées par le client, des paramètres Cloudflare/CDN/WAF gérés par le client, un contexte applicatif incomplet, l’absence de journaux ou une action de protection urgente ne constituent pas automatiquement une indisponibilité au titre du SLA.

9. Supervision, sauvegardes et restauration

9.1 Supervision

Hosted Power surveille en continu l’infrastructure couverte et les composants de la plateforme Managed. La supervision est conçue pour détecter les défaillances techniques, les risques liés à la capacité et les comportements anormaux au niveau de la plateforme. Elle ne remplace pas la supervision des applications, des transactions commerciales ou des utilisateurs finaux, ni les outils d’analyse et de détection de la fraude, sauf accord explicite.

Les contrôles de base peuvent inclure la disponibilité, l’état du système, le stockage, le processeur, la mémoire, les processus des services Managed, l’état des sauvegardes et certains indicateurs de la plateforme. L’offre Platinum peut inclure des contrôles étendus, tels que des seuils personnalisés, une supervision synthétique ou des recommandations plus détaillées, lorsque cela a été convenu et est techniquement réalisable.

9.2 Sauvegardes et restauration

Des sauvegardes Managed sont fournies pour les systèmes couverts, conformément au niveau de SLA sélectionné et à la configuration technique. Sauf accord contractuel contraire, la durée de conservation des sauvegardes est de 20 jours par défaut.

Les sauvegardes réduisent les risques, mais ne remplacent pas la rigueur du client en matière de mises en production, la validation des données au niveau de l’application, les tests d’acceptation, les stratégies d’exportation ou la planification de la continuité d’activité. Hosted Power ne garantit pas que les données des applications, les espaces de stockage gérés par le client, les données SaaS de tiers ou les systèmes externes sont inclus, sauf s’ils ont été explicitement configurés et convenus.

10. Sécurité, correctifs et maintenance

10.1 Référentiel de sécurité

• SSL/TLS est pris en charge pour les services hébergés afin de protéger les données en transit.

• Les systèmes d’exploitation pris en charge et les composants de la plateforme Managed reçoivent des correctifs de sécurité en fonction du risque opérationnel, du statut de support et du niveau de SLA sélectionné.

• La mitigation des attaques DDoS peut inclure la limitation du débit, la répartition de charge, le routage blackhole, la coordination avec les fournisseurs et les contrôles TurboShield. Des services avancés de protection DDoS ou de CDN de tiers peuvent être utilisés lorsqu’ils font l’objet d’un accord distinct.

• Des fonctionnalités WAF telles que ModSecurity, Fortinet FortiWeb ou d’autres contrôles peuvent être disponibles sous forme de services ou d’extensions optionnels, selon l’environnement et l’accord.

10.2 Maintenance planifiée

Les mises à jour courantes, les correctifs de sécurité, les mises à jour de firmware, les redémarrages et la maintenance de la plateforme sont normalement planifiés en dehors des heures ouvrées, généralement entre 22:00 et 04:00 CET/CEST lorsque les conditions opérationnelles le permettent. Hosted Power s’efforce d’informer les Clients au moins deux jours ouvrés à l’avance pour toute maintenance planifiée non standard susceptible d’affecter la disponibilité.

10.3 Maintenance d’urgence

Hosted Power peut effectuer une maintenance d’urgence sans respecter le délai de préavis habituel en cas de risque critique pour la sécurité, d’abus actif, de défaillance imminente, d’exigence d’un fournisseur ou de besoin opérationnel urgent. Hosted Power communiquera ces informations dès que cela sera raisonnablement possible.

10.4 Mises à niveau majeures et Expert Services

Les mises à niveau majeures d’applications, les mises à niveau de frameworks, les migrations de moteurs de base de données, la refonte de l’architecture, l’optimisation personnalisée des performances, la reconstruction de pipelines CI/CD et les migrations complexes ne sont pas couvertes par le SLA standard, sauf si elles sont explicitement incluses. Hosted Power peut proposer ces prestations sous forme d’Expert Services.

11. Responsabilités du client

Un SLA solide ne fonctionne que lorsque les deux parties veillent au bon fonctionnement de la plateforme. Le Client, le revendeur, l’agence et/ou le partenaire de développement restent responsables des décisions et des modifications effectuées au niveau applicatif et métier.

• Maintenir, tester et sécuriser le code applicatif, les plugins, les modules, les thèmes, les dépendances, les intégrations personnalisées et les pipelines de déploiement.

• Tenir à jour les coordonnées des responsables applicatifs, des contacts techniques et des contacts d’escalade, et veiller à ce qu’ils restent joignables lors des incidents et des opérations de maintenance planifiées.

• Informer Hosted Power des campagnes importantes, des pics de trafic prévus, des importations, des déploiements volumineux, des tâches inhabituelles, des risques de sécurité ou des interruptions de service planifiées au moins un jour ouvré à l’avance. Pour les campagnes à fort impact, il est vivement recommandé de prévenir plus tôt.

• Éviter les modifications non gérées de l’infrastructure, du DNS, des contrôles d’accès, des secrets, des règles de pare-feu, de Cloudflare, du CDN, du WAF ou de la configuration critique sans concertation lorsque ces modifications peuvent affecter la disponibilité ou la supervision.

• Fournir rapidement les journaux, les horodatages, les URL, les messages d’erreur, les captures d’écran, les informations sur les modifications récentes et les informations relatives à l’impact métier lors de l’ouverture d’un incident.

• Valider les données restaurées et confirmer l’acceptation par l’entreprise après les actions de récupération.

• Utiliser les canaux d’assistance appropriés. La ligne d’urgence est réservée aux incidents P1 répondant aux critères requis.

• Veiller à ce que les services revendus et les attentes des clients finaux reflètent la portée réelle du SLA de Hosted Power, ses exclusions et le modèle de responsabilité partagée.

12. Exclusions et limitations

Les éléments suivants sont exclus des calculs de disponibilité du SLA, des garanties de temps de réponse et des crédits de service, sauf accord explicite contraire :

• Les bugs au niveau de l’application, les requêtes lentes, les fuites de mémoire, les conflits entre plugins, les problèmes de thème, les mises en production de code, les tâches cron, les files d’attente, la corruption de données ou les problèmes de performance causés par des facteurs échappant au contrôle de Hosted Power.

• Les actions du client, de l’agence, du revendeur, du développeur ou de l’utilisateur final, les configurations incorrectes, l’utilisation abusive des accès, la divulgation d’identifiants, les fichiers supprimés, les bases de données supprimées ou les déploiements échoués.

• Les fournisseurs ou services tiers, notamment le DNS, les bureaux d’enregistrement, les CDN, Cloudflare, les prestataires de paiement, les API externes, les outils SaaS, la réputation des e-mails, les problèmes liés aux fournisseurs de cloud public échappant au contrôle de Hosted Power ou les problèmes affectant le backbone Internet.

• Les événements de sécurité, le trafic de bots, le scraping, les attaques par bourrage d’identifiants, le spam, les tentatives de déni de service, l’analyse de vulnérabilités, l’utilisation abusive des applications ou le trafic malveillant, sauf lorsque l’indisponibilité est directement causée par une défaillance de l’Infrastructure couverte sous le contrôle de Hosted Power.

• La maintenance planifiée, la maintenance d’urgence, la maintenance imposée par un fournisseur et les mesures de protection urgentes.

• Les cas de force majeure, les injonctions légales, la gestion des abus, la suspension d’un compte en cas de manquement, le non-paiement, les sanctions, les contenus illicites ou les mesures d’urgence nécessaires pour protéger Hosted Power, les autres clients ou la plateforme.

• Les services qui ne sont pas explicitement inclus dans le bon de commande, notamment les migrations majeures, les audits, les projets DevOps personnalisés, les mises à niveau d’applications ou l’optimisation des performances au niveau du code.

La responsabilité de Hosted Power au titre de ce SLA est limitée aux crédits de service décrits à la Section 7, sauf indication contraire dans un accord signé.

13. Escalade et contacts

13.1 Par type d’escalade

13.2 Par type de demande