DPA

DÉTAILS DES TRAITEMENTS (RGPD)

Ce document définit les principales caractéristiques des traitements de données à caractère personnel que le Fournisseur est amené à réaliser dans le cadre des Prestations. Ce document peut être amendé et/ou complété par les Parties en fonction des réalités opérationnelles résultant des Prestations commandées.

I.DESCRIPTION DU TRAITEMENT

Objet et finalité du traitement

T001 : Analyse de données et des supports informatiques dans le cadre de réponse à incident et d'investigation numérique et conservation de copies intègres de supports informatiques pour besoin de preuve.

T002 : Gestion des données, structurées ou non, fournies par le Client dans le cadre d'une mission de sécurité opérationnelle de l'information visant à produire un rapport d'état / à traiter une exigence de conformité.

Catégories de personnes concernées dont les données à caractère personnel sont traitées

Les utilisateurs du Client, ainsi que toute personne dont les données apparaissent dans les données et supports analysées par le Fournisseur dans le cadre des services correspondant au traitement T001 et transmises par le Client au Fournisseur dans le cadre du service correspondant au traitement T002.

Catégories de données à caractère personnel traitées

Données de connexion :

• T001 : Ensemble de données techniques générées par un système informatique recueillies dans le cadre d'une investigation numérique (e.g. journaux d’évènements, adresse IP, historique de navigation web)
• T002 : Identifiant (compte)

Données d’identification :

• T002 : Identité et fonction

Ainsi que les données apparaissant dans les informations et supports analysées par le Fournisseur dans le cadre des services correspondant au traitement T001 et transmises par le Client au Fournisseur dans le cadre du service correspondant au traitement T002.

Nature du traitement

T001 : Collecte, extraction, analyse et conservation de données et supports numériques dans le cadre de réponse à incident et d'investigation numérique.

T002 : Consultation de données opérationnelles nécessaires à la réalisation des missions contractualisées.

Durée du traitement

 T001 : Limitée à la durée de la Prestation au profit du Client ou, en cas de conservation pour besoin de preuve au bénéfice du Fournisseur, durée maximale correspondant à la durée de prescription applicable.

T002 : Limitée à la durée de la Prestation au profit du Client.

Obligations et droits du responsable du traitement

Les obligations et droits du responsable du traitement sont mentionnés dans le Contrat.

II.MESURES DE SECURITÉ

Sauf demande spécifique du Client s’il estime ces mesures insuffisantes au regard des données traitées, le Fournisseur met en œuvre les mesures suivantes :

• Chiffrement des données en transit (flux chiffrés et donnée chiffrée avant envoi) et au repos (disque dur chiffré, partage chiffré, solution certifiée CSPN ANSSI) ;
• Contrôle d’accès aux données respectant le principe du besoin d’en connaitre, où seuls les personnels nécessitant un accès en disposent. Double facteur d’authentification actif pour connexion à l’environnement bureautique ;
• Contrôle d’accès physiques aux locaux (badge) et mesures renforcées pour accès au centre de données (accès sur rendez-vous et vérification d’identité) ;
• Journalisation des évènements de connexion et d’activité sur les données et les systèmes ;
• Diffusion d’une PSSI, surveillance des alertes et du maintien en condition opérationnel des infrastructures et services, formation des personnels analystes ;
• Protection avancée des machines contre les actions malveillantes (solution EPP/EDR).

• SOUS-TRAITANTS ULTÉRIEURS

La liste des sous-traitants du Fournisseur autorisés à intervenir dans le cadre de la fourniture de Prestations impliquant un accès aux données personnelles, est la suivante :

• Microsoft
• Scille