Chiffrement de bout en bout
TLS en transit et chiffrement au repos des données et des pièces jointes.
Sécurité et conformité
Ce que votre responsable informatique va demander
Chiffrement, contrôle des accès, journal d’audit, sauvegardes vérifiées et un contrat de sous-traitance qui se lit sans mauvaise surprise.
Les cinq questions de l’informatique, avec leurs réponses
Quand un responsable informatique évalue une plateforme, il pose toujours les mêmes questions : où sont les données, qui peut y accéder, que se passe-t-il en cas de violation et que dit le contrat de sous-traitance. Kimobox y répond avec une infrastructure en propre dans l’Union européenne, un chiffrement en transit et au repos, un contrôle des accès par profil avec double authentification, un journal d’audit de chaque action et un contrat au sens de l’art. 28 du RGPD rédigé pour être lu, et non signé sans y jeter un œil.
- Cadre applicable
- Règlement (UE) 2016/679 et LO 3/2018 RGPD applicable depuis le 25 mai 2018 ; LOPDGDD depuis décembre 2018
- Contrat de sous-traitance
- Art. 28 du RGPD Avec le contenu minimal énuméré par l’article lui-même
- Notification des violations
- 72 heures Art. 33 du RGPD, à compter de la prise de connaissance par le responsable
- Sanction maximale
- 20 M€ ou 4 % du chiffre d’affaires mondial Le montant le plus élevé, selon l’art. 83.5 du RGPD
- Localisation des données
- Centres de données dans l’UE Sans transfert international exigeant des garanties supplémentaires
Accès et double authentification
Droits par profil, SSO d’entreprise et second facteur obligatoire en option.
Journal d’audit
Qui a consulté ou modifié quoi, et quand, y compris l’accès du support.
RGPD et LOPDGDD
Contrat de sous-traitance, registre des activités et gestion des droits.
Exploitation
Comment le service est maintenu
- Supervision 24×7 avec alertes et astreinte
- Sauvegardes quotidiennes avec tests de restauration réguliers
- Environnements de test et de production séparés
- Mises à jour planifiées et annoncées à l’avance
- Plan de continuité et de reprise testé
- Audits de sécurité et tests d’intrusion réguliers
Cadre réglementaire
Sur quelle réglementation nous travaillons
Exemples réels
Ce qui casse habituellement
Entreprise avec DPO externe
Un registre des activités de traitement incomplet
Avant Le registre a été établi en 2019 et n’a pas bougé depuis, alors que l’entreprise a adopté trois nouveaux outils.
Après Chaque traitement est enregistré avec sa base juridique, ses catégories de données, ses durées et ses destinataires, et il est revu quand le système qui le supporte change.
Industrie · accès des entreprises extérieures
Des utilisateurs encore actifs des années après
Avant Personne ne revoit les droits. Des comptes de personnes parties en 2022 ont encore accès à la documentation qualité.
Après Revue périodique des accès par profil et désactivation automatique liée à la fiche salarié. L’accès expire quand la relation prend fin.
Services · audit client
Prouver qui a consulté un document
Avant Le système ne garde pas la trace de qui a accédé à quoi. Face à une réclamation, l’entreprise ne peut rien affirmer ni démentir.
Après Un journal d’audit avec utilisateur, action, objet et horodatage. La question « qui a téléchargé ceci » trouve une réponse datée.
Vocabulaire
Les termes à employer correctement
- Responsable du traitement
- Celui qui détermine les finalités et les moyens du traitement. Sur une plateforme comme celle-ci, le responsable est l’entreprise cliente, pas le prestataire.
- Sous-traitant
- Celui qui traite des données pour le compte du responsable. Il ne peut le faire que selon ses instructions documentées et dans le cadre du contrat de l’art. 28 du RGPD.
- Violation de données
- Atteinte à la sécurité entraînant la destruction, la perte, l’altération ou l’accès non autorisé à des données personnelles. Elle doit être notifiée à l’autorité sous 72 heures, sauf si elle est peu susceptible d’engendrer un risque.
- Chiffrement au repos
- Protection de la donnée pendant son stockage, et pas seulement pendant son transfert. C’est ce qui limite les dégâts si quelqu’un accède physiquement au support.
- Registre des activités
- Inventaire des traitements réalisés par l’organisme, exigé par l’art. 30 du RGPD. C’est la première chose que demande l’autorité lors d’un contrôle.
- Double authentification (2FA)
- Vérification qui combine ce que l’on sait avec ce que l’on possède. Elle transforme un mot de passe divulgué en problème gênant plutôt qu’en incident grave.
Questions fréquentes
Ce que l’on nous demande avant de commencer
Où les données sont-elles hébergées ?
Dans des centres de données de l’Union européenne, sur une infrastructure en propre.
Qui peut voir mes données ?
Uniquement le support, avec un accès enregistré et soumis à votre autorisation expresse.
Êtes-vous certifiés ISO 27001 ?
Le service est exploité selon les mesures de l’ISO 27001 ; nous vous fournissons la documentation pour votre évaluation des fournisseurs.
Qui est responsable et qui est sous-traitant du traitement ?
L’entreprise cliente est responsable : elle détermine les finalités et les moyens. Kimobox agit en tant que sous-traitant et ne traite les données que selon ses instructions documentées, dans le cadre du contrat exigé par l’art. 28 du RGPD.
Que se passe-t-il en cas de violation de données ?
L’art. 33 du RGPD impose de la notifier à l’autorité de contrôle dans un délai maximal de soixante-douze heures après en avoir pris connaissance. Le contrat de sous-traitance prévoit l’engagement de vous en informer sans délai pour que vous puissiez respecter cette échéance.
Quelle est la sanction maximale du RGPD ?
Vingt millions d’euros ou quatre pour cent du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, pour les infractions de l’art. 83.5. C’est pourquoi ces questions ont cessé d’être une formalité.
Peut-on savoir qui a accédé à un document ?
Oui. Le journal d’audit conserve l’utilisateur, l’action, l’objet et l’horodatage, et il est consultable et exportable. La question « qui a téléchargé ceci » trouve une réponse datée.
Comment sont gérés les droits des personnes concernées ?
Accès, rectification, effacement, limitation, portabilité et opposition sont traités depuis la plateforme elle-même, avec la localisation des données par personne et l’enregistrement de la réponse dans le délai d’un mois de l’art. 12.3.
Existe-t-il une double authentification ?
Oui, activable par profil. C’est ce qui transforme un mot de passe divulgué en incident gênant plutôt qu’en problème grave.
Transmettez notre fiche sécurité à votre équipe informatique
Nous vous montrons le module en fonctionnement avec des données proches des vôtres.
Poursuivez la visite
Pages associées
Un second facteur par le canal que chacun utilise déjà
Second facteur avec Google ou Microsoft Authenticator, SMS, WhatsApp, Telegram, e-mail ou passkey, exigé par…
RGPD · Protection des données
Parcours gratuit sur le RGPD : principes, droits des personnes, mesures de sécurité et violations de données…
Nos propres serveurs en Europe
Infrastructure propre dans des centres de données de l’UE, sauvegardes quotidiennes à restauration testée…
ISO 27001 sans classeurs ni surprises
Inventaire des actifs, analyse des risques et mesures de l’Annexe A avec leur statut et leur responsable.
Sources
D’où vient chaque donnée
Références au texte officiel en vigueur. Si une norme est révisée, cette page est mise à jour et la date de révision en témoigne.
- Règlement (UE) 2016/679, règlement général sur la protection des données EUR-Lex · Applicable depuis le 25 mai 2018
- Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales BOE-A-2018-16673 · 6 décembre 2018
- Guía para la notificación de brechas de datos personales (guide de notification des violations) Agencia Española de Protección de Datos · Guide de l’AEPD
- ISO/IEC 27001:2022 — Systèmes de management de la sécurité de l’information ISO/IEC · 25 octobre 2022
Sécurité de l’information et conformité au RGPD
La plateforme applique le chiffrement en transit et au repos, le contrôle des accès par profil, la double authentification, l’intégration au SSO d’entreprise et un journal d’audit de toutes les actions, y compris l’accès de l’équipe de support.
Le service est fourni depuis des centres de données de l’Union européenne, avec un contrat de sous-traitance conforme au RGPD et à la LOPDGDD, des sauvegardes quotidiennes vérifiées, des environnements séparés et un plan de continuité testé.