Souveraineté des données
Où sont hébergées vos données de sécurité, qui peut y accéder, et comment cela évoluera à mesure que notre équipe basée au Portugal se développera. Nous précisons tout cela par écrit avant le début de toute mission.
Hébergées dans l'UE, sous juridiction de l'UE
Ce site et la plateforme de surveillance que nous construisons fonctionnent sur l'infrastructure de Hetzner Online GmbH en Allemagne ou en Finlande, un prestataire dont le siège est dans l'UE. Les données de télémétrie de sécurité des clients y seront stockées et traitées dès le premier jour de service.
Ce n'est pas la même chose que d'utiliser la région européenne d'un prestataire dont le siège est hors de l'UE. Une région détermine où se trouvent les données, et non qui peut légalement en exiger l'accès. Le CLOUD Act américain, par exemple, permet aux autorités des États-Unis d'exiger des prestataires américains qu'ils divulguent les données en leur possession, sous leur garde ou sous leur contrôle, quel que soit le lieu où ces données sont stockées.
Choisir un prestataire détenu dans l'UE et relevant de la juridiction de l'UE évite ce conflit au niveau de l'infrastructure.
Qui peut accéder à vos données, et comment
Accès fondé sur les rôles
Chacun ne peut accéder qu'aux données qu'exige son rôle.
Accès journalisés
Chaque accès aux données des clients est journalisé.
Aucune exportation en masse
Les données des clients ne peuvent pas être exportées en masse.
Privilèges juste-à-temps
L'accès à privilèges est accordé pour une tâche précise, puis retiré. Personne ne dispose d'un accès à privilèges permanent.
Serveurs de rebond
L'accès à distance passe par des serveurs de rebond (jump hosts) situés dans l'UE, jamais directement vers vos systèmes ou vos données.
Sessions enregistrées
Les sessions à privilèges sont enregistrées, afin que chaque action puisse être examinée.
La couverture par les analystes aujourd'hui
Notre centre des opérations de sécurité basé au Portugal est prévu, mais pas encore en activité. D'ici là, la capacité de surveillance est fournie par notre structure affiliée aux États-Unis, Cyberuptive LLC, en tant que fournisseur sous contrat.
Ses analystes travaillent uniquement dans le cadre des contrôles décrits ci-dessus. Au regard du RGPD, un accès à distance depuis l'extérieur de l'UE constitue un transfert international de données : des clauses contractuelles types et un contrat de sous-traitance ultérieure seront donc en place avant tout traitement de données des clients.
Notre feuille de route de couverture
La couverture par les analystes passe au Portugal en trois phases. Les données des clients restent sur une infrastructure située dans l'UE tout au long du processus.
Les clients reçoivent une information écrite sur la transition et la date à laquelle nous nous engageons pour la troisième phase.
Phase 1 Dès le lancement
Données hébergées dans l'UE ; capacité d'analystes sous contrat aux États-Unis, avec des garanties documentées.
Phase 2 Prévu pour 2028
Analystes L1 et L2 au Portugal, avec un appui pour l'escalade.
Phase 3 Prévu pour 2030
Couverture assurée entièrement par des analystes basés dans l'UE.
Par écrit, avant de commencer
Avant le début de toute mission, vous recevez une description écrite :
- du lieu où vos données sont stockées et traitées, et par quel prestataire ;
- des personnes qui peuvent y accéder, depuis quel endroit et avec quels contrôles ;
- de la phase de couverture en cours et des dates de la suivante ;
- de la manière dont nous vous informerons de tout changement.
Des questions sur vos données ?
Nous présentons volontiers ces dispositions en détail à vos équipes sécurité, juridique ou achats.
Prendre contact pour un échange