Qui décide et qui traite les données ?
Le responsable du traitement détermine les finalités et les moyens essentiels. Les prestataires peuvent agir comme sous-traitants selon leur rôle. Le règlement prévoit un cadre contractuel pour la sous-traitance, notamment à l’article 28.
Identifiez les parties qui interviennent dans le stockage, le logiciel et le support. Demandez le périmètre de leurs actions et les sous-traitants ultérieurs. Une certification ou une localisation ne remplace pas la description des responsabilités dans les documents applicables.
Quelles localisations faut-il examiner ?
La région des objets est un point de départ. Les copies, les métadonnées, les accès à distance et les services associés doivent aussi être identifiés. Un composant de votre sauvegarde peut traiter des données dans un autre pays que celui du bucket.
Les règles sur les transferts dépendent du traitement et des destinations. Le Royaume-Uni est hors de l’UE ; il ne faut pas l’inclure dans une liste de pays membres. Le cadre applicable doit être vérifié avec le responsable compétent avant de prendre un engagement de résidence.
Comment relier sécurité et durée de conservation ?
L’article 32 demande des mesures techniques et organisationnelles adaptées au risque. Cela peut conduire à limiter les accès, protéger les secrets et organiser la récupération. Les mesures doivent être évaluées selon les données et leur usage, pas seulement selon le nom d’une fonction.
La conservation doit être justifiée. Une rétention immuable peut protéger une sauvegarde tout en empêchant une suppression immédiate. Il faut définir une politique cohérente avec les durées et les droits applicables, plutôt qu’activer un verrouillage long sur toutes les données.
Quel dossier préparer pour le projet ?
Rassemblez la cartographie, les clauses de sous-traitance, les paramètres de localisation et les preuves de sécurité pertinentes. Ajoutez la procédure d’exercice des droits, de suppression et de gestion d’un incident. Les pièces demandées dépendent du périmètre et du risque.
WiFeel peut être sollicité pour cadrer les éléments techniques du projet. Les conditions effectives et la répartition des responsabilités doivent être précisées. Une page commerciale, une certification ISO ou un bucket européen ne constitue pas une validation juridique globale.
- Finalité et catégories de données.
- Parties, sous-traitants et contrats.
- Localisations et transferts éventuels.
- Accès, rétention, suppression et récupération.
Questions fréquentes
Un centre de données européen garantit-il le RGPD ?
Non. La localisation aide à satisfaire certains objectifs, mais la conformité dépend également du traitement, du contrat, de la sécurité, de la conservation et des droits des personnes.
La certification ISO 27001 remplace-t-elle le contrat de sous-traitance ?
Non. Une certification concerne un périmètre défini de management de la sécurité. Le cadre de sous-traitance et les obligations prévues par le RGPD doivent être traités séparément.
Sources et périmètre
Les caractéristiques de la plateforme sont attribuées à Impossible Cloud. Les tarifs et le périmètre d’accompagnement WiFeel sont précisés dans une proposition adaptée au projet.