Accord relatif
au traitement
des données

Annexe B : mesures techniques et organisationnelles

La Société déploie et maintient des mesures de sécurité techniques et organisationnelles destinées à protéger les Données personnelles. Vous trouverez ci-dessous un aperçu des mesures mises en œuvre par la Société pour assurer la sécurité de notre plateforme et des Données personnelles.

Généralités

• La Société maintient une politique de sécurité de l’information documentée et conforme aux normes du secteur, qui est révisée et mise à jour chaque année. L’élaboration et la mise à jour de cette politique sont confiées à des membres du personnel spécialisés dans le domaine de la sécurité de l’information.
• Tous les ordinateurs du personnel sont équipés d’un logiciel antivirus à jour ou de mécanismes de protection similaires.

Formation et personnel

• Tout le personnel de la Société suit un programme de formation en matière de sécurité au moins une fois par année civile.
• À la cessation de ses fonctions, aucun membre du personnel ne peut conserver de clé ou de code d’accès, ni aucun autre moyen similaire permettant d’accéder aux Données personnelles ou aux locaux de la Société.

Contrôle des accès

• Les politiques de sécurité de l’information de la Société prévoient des mesures raisonnables destinées à empêcher l’accès non autorisé aux Données personnelles ou leur perte.
• La Société désigne un administrateur système chargé de restreindre l’accès des autres membres du personnel aux Données personnelles conformément aux présentes mesures techniques et organisationnelles. Les autorisations d’accès sont réexaminées chaque année.
• La Société exige le recours à un processus d’authentification pour tout accès de son personnel, y compris tout accès à distance. Ce processus peut reposer sur des mots de passe robustes, l’authentification à deux facteurs ou d’autres mécanismes empêchant tout accès non autorisé.
• Les accès aux données ainsi que les opérations d’insertion, de suppression et de modification des données sont journalisés et horodatés.

Sécurité physique

• La Société assure la sécurité physique de ses locaux et contrôle les entrées et les accès à ceux-ci.
• La Société exige de l’ensemble de son personnel qu’il ne conserve aucune copie physique de données sensibles au-delà de la durée nécessaire, conformément à ses politiques.
• L’accès des visiteurs aux locaux de la Société est surveillé et restreint sous la responsabilité de membres du personnel désignés.
• Toutes les Données personnelles sont hébergées et stockées sur des équipements situés dans des installations dotées de mesures environnementales raisonnables, notamment des systèmes de régulation de la température et d’extinction des incendies ainsi que des détecteurs de fumée.

Intégrité

• La Société sauvegarde régulièrement ses systèmes et s’engage à examiner ses logiciels afin de détecter et de corriger les vulnérabilités de sécurité lors de leur mise en œuvre initiale ainsi qu’à l’occasion de toute modification ou mise à jour importante.
• La Société réalise des tests d’intrusion au moins une fois par année civile et remédie à tout problème identifié conformément à ses politiques internes.
• Pour tout nouveau système mis en œuvre après la date d’entrée en vigueur du présent Accord, la Société s’engage à modifier, avant sa mise en service, toutes les configurations d’accès aux comptes par défaut ainsi que les clés d’authentification.
• Tous les ordinateurs portables du personnel sont gérés par la Société et font l’objet d’une surveillance régulière.
• La Société ne stocke aucune Donnée personnelle en dehors de ses environnements surveillés, sauf si celle-ci est protégée par un chiffrement robuste.

Suppression

• La Société s’engage à supprimer toutes les Données personnelles conformément au DPA.
• La Société applique des procédures de sauvegarde automatique des Données personnelles, les sauvegardes étant supprimées à intervalles définis.

Gestion des risques liés aux tiers

Avant de faire appel à un nouveau prestataire de services tiers qui aura accès aux Données personnelles, la Société procède à une évaluation des risques liés aux pratiques de ce prestataire en matière de sécurité de l’information.

Politique relative aux demandes des autorités

• Le respect des droits humains est l’une des valeurs fondamentales de la Société. À ce titre, la Société veille à ce que toute demande de données reçue d’un organisme chargé de l’application de la loi ou d’une autorité gouvernementale, réglementaire ou judiciaire soit valide et formulée conformément aux procédures légales applicables.
• Toute divulgation de Données personnelles aux autorités est effectuée conformément au présent DPA.