Ce document complète l'Annexe II : Mesures techniques et organisationnelles de l'Addendum sur le traitement des données (DPA) entre Vtiger et le Client en vertu de l'Art 28 (Sous-traitant) du RGPD (Règlement général de l'UE sur la protection des données).
Vtiger met en œuvre des mesures techniques et organisationnelles conformément à l'article 32 (Sécurité du traitement) du RGPD. Ces mesures sont continuellement améliorées en fonction de la faisabilité et des dernières technologies, y compris la certification ISO 27001 active pour améliorer la sécurité et la protection.
Chez Vtiger, nous nous engageons à maintenir et à appliquer diverses politiques, normes et processus pour sécuriser les données personnelles et autres données auxquelles nos employés ont accès. Notre engagement en faveur de la protection des données comprend la mise en place d'une équipe spécialisée dans la confidentialité et la sécurité, la protection des données des parties externes, la garantie d'une protection cohérente dans toute l'organisation, un contrôle strict sur les sous-traitants et la réalisation d'audits et de certifications réguliers. Nous mettons périodiquement à jour ces mesures pour nous assurer qu’elles sont alignées sur les normes de l’industrie.
La description suivante des mesures techniques et organisationnelles sera différenciée, le cas échéant, en fonction de ces catégories de données.
1. Confidentialité
1.1 Contrôle d'accès physique
Des mesures sont en place pour empêcher les personnes non autorisées d'accéder aux systèmes de traitement de données utilisés pour traiter les données personnelles.
| Mesures techniques |
- Immeuble et bureau verrouillés
- accès biométrique
- Système de verrouillage manuel
- Portes avec système de verrouillage automatique
- Personnel de sécurité
- Vidéosurveillance de l'entrée
- Aucun serveur de production sur site
|
| Mesures organisationnelles |
- Liste de contrôle des réglementations clés
- Réception avec le personnel des agents de sécurité
- Livre d'or
- Badge employé/visiteur
- Visiteur accompagné d'un employé
- Politique de sécurité des informations
- Instructions de travail Contrôle d'accès
|
Bien que Vtiger donne la priorité à la sécurité des données, il est important de reconnaître le modèle de responsabilité partagée dans le cloud computing. Vtiger utilise des fournisseurs de services cloud (CSP) tels qu'AWS, DigitalOcean et OV pour fournir des ressources cloud. Ces CSP sécurisent l’infrastructure sous-jacente et maintiennent des contrôles de sécurité robustes. Plus de détails sur la façon dont les contrôles de sécurité du FAI peuvent être trouvés ici.
1.2 Contrôle d'accès logique
Des mesures de sécurité sont en place pour empêcher tout accès non autorisé aux systèmes de traitement des données.
| Mesures techniques |
- Connectez-vous avec un nom d'utilisateur et un mot de passe fort
- Pare-feu
- Systèmes de détection d'intrusion
- Utilisez VPN pour l'accès à distance
- Chiffrement des disques, appareils/ordinateurs portables/tablettes
- Authentification à deux facteurs
- Verrouillage automatique des ordinateurs de bureau/ordinateurs portables
- Logiciel antivirus installé sur les appareils et les serveurs
- L'accès est surveillé et enregistré
- Verrouillage automatique du compte en cas d'échec des connexions/authentifications
- Toutes les activités d'utilisation et les modifications de données sont enregistrées
|
| Mesures organisationnelles |
- Gestion des autorisations des utilisateurs, y compris l'autorisation basée sur les rôles
- Création de profils spécifiques à l'utilisateur
- Politique de sécurité des informations
- Politique de mot de passe
- Politique relative aux appareils mobiles
- Instructions de travail : SOP de sécurité informatique et contrôle d'accès des employés
- Vérification des employés
- Formation et sensibilisation
- Principe de minimis
|
Accès des employés de Vtiger et contrôle des clients
Les employés de Vtiger peuvent accéder aux produits Vtiger et aux données clients uniquement via des interfaces sécurisées. Cet accès est accordé uniquement lorsque les clients l'activent explicitement dans leurs paramètres. Toutes les demandes d'accès sont méticuleusement enregistrées à des fins d'audit.
Vtiger limite l'accès des employés à du personnel spécifique en fonction des besoins, garantissant que seules les personnes autorisées peuvent consulter les données des clients pour des raisons légitimes. L'application client est accessible pour :
- Fournir un support client
- Dépannage des problèmes techniques rencontrés par les clients
- Identifier et répondre aux menaces potentielles pour la sécurité
1.3 Contrôle des autorisations
Des mesures sont en place pour garantir que seules les personnes autorisées peuvent accéder au système de traitement des données. Les données personnelles ne peuvent pas être lues, copiées, modifiées ou supprimées sans autorisation appropriée pendant le traitement, l'utilisation et le stockage.
| Mesures techniques |
- Suppression physique des supports de données/appareils
- Accès crypté SSH
- Cryptage SSL certifié
- Déchiquetez les fichiers et les papiers qui ne sont plus utilisés
- Suppression automatique des sauvegardes des archives après la période de conservation ou à la demande du client
- Journalisation des accès aux applications, notamment lors de la saisie, de la modification et de la suppression de données
|
| Mesures organisationnelles |
- Politique de sécurité des informations
- Réduire les rôles d'administrateur
- Gestion des droits des utilisateurs par les administrateurs
- Instructions de travail sur le traitement des informations et des actifs
|
1.4 Contrôle de séparation
Des mesures sont mises en œuvre pour des pratiques strictes de ségrégation des données afin de garantir que les données collectées à différentes fins restent isolées. Cela inclut une séparation logique, où les données sont classées et stockées dans des sections distinctes au sein du système, et potentiellement une séparation physique, où les données sont stockées sur un matériel entièrement différent.
| Mesures techniques |
- Séparation physique (systèmes/bases de données/supports de données)
- Multilocation des applications pertinentes
- L'application client et les données sont logiquement séparées
- Mise en scène de l'environnement de développement, de test et de production
|
| Mesures organisationnelles |
- Politique de sécurité des informations
- Politique de protection des données
- Contrôle via le concept d'autorisation
- Instruction de travail pour : Sécurité opérationnelle et, Sécurité dans le développement et les tests de logiciels
|
2. Intégrité
2.1 Contrôle des transferts
Des mesures sont en place pour empêcher tout accès non autorisé aux données personnelles pendant la transmission électronique ou pendant leur stockage sur des dispositifs de stockage de données, garantissant qu'elles ne peuvent pas être lues, copiées, modifiées ou supprimées.
| Mesures techniques |
- Utilisation du VPN
- Journalisation des accès et des récupérations
- Provisionnement via des connexions cryptées telles que SFTP, HTTPS et des magasins cloud sécurisés
|
| Mesures organisationnelles |
- Enquête sur les processus réguliers de récupération et de transmission
- Sélection rigoureuse du personnel de transport et des véhicules
- Remise personnelle avec protocole
- Politique de sécurité des informations
- Politique de protection des données
|
2.2 Contrôle d'entrée
Les mesures sont en place pour vérifier et examiner qui a saisi, modifié ou supprimé des données personnelles des systèmes de traitement de données. La journalisation contrôle les entrées à différents niveaux, tels que le système d'exploitation, le réseau, le pare-feu, la base de données et l'application.
| Mesures techniques |
- Journalisation technique de la saisie, de la modification et de la suppression des données
- Contrôle manuel ou automatisé des logs (selon un cahier des charges interne strict)
|
| Mesures organisationnelles |
- Enquête sur les programmes qui peuvent être utilisés pour saisir, modifier ou supprimer quelles données
- Traçabilité de la saisie, de la modification et de la suppression des données via les noms d'utilisateurs individuels
- Attribution de droits de saisie, de modification et de suppression de données sur la base d'un concept d'autorisation
- Des responsabilités claires pour les suppressions
- Politique de sécurité des informations
|
3. Disponibilité et résilience
3.1 Contrôle de disponibilité
Des mesures sont en place pour protéger les données personnelles contre la destruction ou la perte accidentelle (par exemple, UPS, climatisation, protection incendie, sauvegardes de données, stockage sécurisé sur supports de données).
| Mesures techniques |
- Une disponibilité minimale de 99.9 % (hors maintenance programmée les nuits de week-end).
- Disponibilité continue des données
- Systèmes de détection d'incendie et de fumée
- Salle des serveurs d'extincteurs
- Surveillance de la température et de l'humidité de la salle des serveurs
- Climatisation salle serveur
- Système UPS et générateurs diesel de secours
- Barrettes de protection dans la salle des serveurs
- Système RAID / mise en miroir du disque dur
- Salle des serveurs de vidéosurveillance
|
| Mesures organisationnelles |
- Notion de sauvegarde
- Existence d'un plan d'urgence
- Stockage de sauvegarde hors site
- Séparation du système d'exploitation et des partitions de données si nécessaire
|
3.2 Contrôle de la récupérabilité
Des mesures sont en place pour rétablir rapidement l'accès aux données personnelles en cas d'incident physique ou technique.
| Mesures techniques |
- Surveillance et reporting des sauvegardes
- Restauration à partir d'outils d'automatisation
- Concept de sauvegarde selon criticité et spécifications client
|
| Mesures organisationnelles |
- Plan de reprise après sinistre
- Contrôle du processus de sauvegarde
- Tests réguliers de récupération de données et journalisation des résultats
- Stockez les supports de sauvegarde dans un endroit sûr à l'extérieur de la salle des serveurs
- Existence d'un plan d'urgence
|
4. Procédures d'examen, d'évaluation et d'évaluation régulières
4.1 Gestion de la protection des données (DPM)
La gestion de la protection des données (DPM) englobe une stratégie complète et un ensemble de pratiques pour sécuriser, gérer et protéger les informations sensibles tout au long de leur cycle de vie. Cela inclut le contrôle de l'accès, la prévention des utilisations non autorisées et la garantie de la récupération des données en cas d'incident.
| Mesures techniques |
- Documentation centrale de toutes les règles de protection des données avec accès pour les employés
- Certification de sécurité selon ISO 27001
- Un examen de l'efficacité des TOM est effectué au moins une fois par an et les TOM sont mis à jour.
|
| Mesures organisationnelles |
- Un délégué à la protection des données (DPD) est nommé.
- Tous les membres du personnel ont été formés et sont tenus au respect de la confidentialité et du secret des données. Ils reçoivent régulièrement des formations de sensibilisation au moins une fois par an.
- Des analyses d’impact sur la protection des données (DPIA) sont réalisées selon les besoins.
- Des processus ont été établis pour se conformer aux obligations d'information conformément aux articles 13 et 14 du RGPD.
- Un processus formalisé pour traiter les demandes d’informations des personnes concernées est en place.
- Les aspects liés à la protection des données sont intégrés dans notre gestion des risques d’entreprise.
- Les éléments clés de l'entreprise, y compris les opérations du centre de données, sont certifiés ISO 27001 et des audits de surveillance annuels sont effectués.
|
4.2 Gestion de la réponse aux incidents
Des mesures sont en place pour soutenir la réponse aux failles de sécurité et le processus de violation des données.
| Mesures techniques |
- Utilisation d'un pare-feu et mise à jour régulière
- Utilisation d'un filtre anti-spam et mise à jour régulière
- Utilisation d'un antivirus et mise à jour régulière
- Système de détection d'intrusion (IDS) pour les systèmes clients sur commande
- Système de prévention des intrusions (IPS) pour les systèmes clients sur commande
|
| Mesures organisationnelles |
- Un processus documenté pour identifier et signaler les incidents de sécurité et les violations de données, y compris les obligations de signaler aux autorités de contrôle
- La procédure standard de traitement des incidents de sécurité impliquant le Délégué à la Protection des Données (DPD)
- Documenter les incidents de sécurité et les violations de données à l'aide du système de tickets interne
- Le processus standard de suivi des incidents de sécurité et des violations de données
- Politique de notification de violation
|
4.3 Protection des données dès la conception et par défaut
Des mesures sont en place pour respecter les principes de protection des données dès la conception et par défaut conformément à l'article 25 du RGPD.
| Mesures techniques |
- Approbation des applications tierces : l'approbation des chefs d'équipe et des responsables des opérations informatiques est requise pour toutes les applications tierces utilisées dans le développement.
- Source de téléchargement sécurisée : n'exigez le téléchargement d'outils de développement qu'à partir de sources sûres telles que les serveurs du fabricant.
- Authentification unique (SSO) : implémentez l'authentification unique lorsque cela est possible pour les applications tierces afin de gérer l'accès de manière centralisée.
- Désactivation des applications moins sécurisées : désactivez par défaut les applications tierces moins sécurisées via les configurations de l'administrateur.
|
| Mesures organisationnelles |
- Conception soucieuse de la confidentialité : encouragez le développement de produits qui minimise la quantité de données que les utilisateurs doivent saisir. Évitez les champs de données inutiles ou rendez-les facultatifs.
- Paramètres de confidentialité par défaut : présélectionnez par défaut les paramètres respectueux de la confidentialité pour donner la priorité à la protection des données des utilisateurs.
- PbD : Politique de protection des données (comprend les principes « confidentialité dès la conception / par défaut »)
|
4.4 Contrôle des commandes (externalisation, sous-traitants et traitement des commandes)
Des mesures sont en place pour garantir que les données personnelles traitées au nom du client ne sont traitées que selon les instructions du client.
| Mesures techniques |
- Surveillance de l'accès à distance par des parties externes, par exemple dans le cadre d'une assistance à distance
- Suivi des sous-traitants en conséquence.
|
| Mesures organisationnelles |
- Traiter les données selon les instructions du client
- Créer des instructions de travail pour la gestion des fournisseurs et l'évaluation des fournisseurs
- Respecter la réglementation concernant le recours à des sous-traitants supplémentaires
- Sélectionnez soigneusement les sous-traitants, en vous concentrant principalement sur la protection et la sécurité des données.
- Conclure les accords de traitement de données nécessaires, tels que le traitement commandé ou les clauses contractuelles types de l'UE
- Veiller à ce que les employés de l'entrepreneur maintiennent la confidentialité des données et respectent la politique de sécurité des informations.
- Assurez-vous de détruire les données après la résiliation du contrat.
|