Mesures techniques et organisationnelles selon l'art. 32 RGPD

1. Introduction et cadre général

1.1 Introduction
Les organisations qui collectent, traitent ou utilisent des données à caractère personnel, elles-mêmes ou en sous-traitance, doivent prendre les mesures techniques et organisationnelles nécessaires pour garantir l’exécution des dispositions de la législation sur la protection des données. Les mesures ne sont nécessaires que si leur coût est proportionnel à l’objectif de protection visé.

1.2 Entreprise / Autorité
Les définitions suivantes représentent le concept de protection des données de la:
Wikando GmbH
Peter Kral (directeur général)
Schießgrabenstraße 32
86150 Augsbourg
Allemagne

1.3 Délégué externe à la protection des données
Datenschutzberatung Mundanjohl
Andreas Mundanjohl
Zeller Straße 30
73101 Aichelberg
Allemagne

2. Mesures techniques et organisationnelles

Compte tenu de l’état de l’art, des coûts de mise en œuvre et de la nature, de la portée, des circonstances et des finalités du traitement, ainsi que des différents degrés de probabilité et de gravité des risques pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de protection adapté au risque, y compris les mesures suivantes :

2.1 Garantie de confidentialité
2.1.1 Contrôle d’accès
Les mesures susceptibles d’empêcher des personnes non autorisées d’accéder aux installations de traitement des données avec lesquelles des données à caractère personnel sont traitées ou utilisées. Ces mesures sont :

• Examen et évaluation du poste de travail mobile

2.1.2 Contrôle d’accès
Mesures propres à empêcher que les systèmes de traitement des données (ordinateurs) puissent être utilisés par des personnes non autorisées. Ces mesures sont :

• Directive générale sur la protection des données et / ou la sécurité
• Instructions « Verrouillage manuel du bureau »
• Logiciel antivirus
• Application d’une authentification à deux facteurs
• Verrouillage automatique du bureau
• Utilisation d’un pare-feu logiciel
• Utilisation du VPN pour l’accès à distance
• Connexion avec nom d’utilisateur et mot de passe
• Politique en matière d’appareils mobiles
• Attribution de mot de passe
• Politique « Mot de passe sécurisé » adaptée au niveau de protection constaté appropriée au niveau de sécurité
• Chiffrement des ordinateurs portables / tablettes
• Gérer les autorisations des utilisateurs
• Gestion des droits par un administrateur système
• Attribution de profils d’utilisateurs à des systèmes informatiques
• Attribution des droits d’utilisateur
• Authentification avec des clés SSH
• Systèmes de détection d’intrusion
• Directive « Clean Desk » (bureau rangé)
• Blocage de l’accès en cas de plus de 3 tentatives de connexion

2.1.3 Contrôle d’accès
Mesures garantissant que les personnes autorisées à utiliser un système de traitement des données ne peuvent accéder qu’aux données soumises à leur autorisation d’accès et que les données à caractère personnel ne peuvent être lues, copiées, modifiées ou supprimées de manière non autorisée pendant le traitement, l’utilisation et après le stockage. Ces mesures sont :

• Supports de données Inventaires
• Autorisations différenciées (applications)
• Autorisations différenciées (système d’exploitation)
• Autorisations différenciées (données)
• Utilisation du nombre minimal d’administrateurs
• Recours à des entreprises de collecte pour l’élimination des supports de données
• Utilisation de concepts d’autorisation écrits
• Protocole de suppression
• Consignation de la sortie des supports de données
• Directives pour l’élimination / la destruction des supports de données qui ne sont plus utilisés
• Gestion des droits des utilisateurs par les administrateurs
• Évaluation manuelle des protocoles

2.1.4 Contrôle de la séparation
Des mesures garantissant que les données collectées à des fins différentes peuvent être traitées séparément. Cela peut être garanti par exemple par une séparation logique et physique des données. Ces mesures sont :

• Définition des droits sur la base de données
• Contrôle via un concept d’autorisation
• Séparation des environnements de production et de test
• Séparation logique des mandants (côté logiciel)

2.2 Garantie d’intégrité
2.2.1 Contrôle de la transmission
Des mesures garantissant que les données à caractère personnel ne puissent être lues, copiées, modifiées ou supprimées de façon non autorisée lors de leur transmission par voie électronique ou pendant leur transport ou leur stockage sur un support de données, et qu’il puisse être vérifié et constaté à quelles instances des données à caractère personnel sont destinées par des installations de transmission de données. Ces mesures sont :

• Mise à disposition via des connexions cryptées comme sftp, https
• Documentation des délais de suppression
• Utilisation de la technologie VPN
• Cryptage des e-mails

2.2.2 Contrôle de la saisie
Des mesures garantissant qu’il puisse être vérifié et constaté a posteriori si et par qui des données à caractère personnel ont été introduites, modifiées ou supprimées dans des systèmes de traitement de données. Ces mesures sont :

• Responsabilités claires en matière de suppression des données
• Journalisation technique de la suppression des données
• Utilisation des droits d’accès
• Contrôle manuel des protocoles
• Traçabilité du traitement des données grâce à des noms d’utilisateurs individuels
• Attribution de droits pour le traitement des données
• Aperçu de l’utilisation des programmes de traitement des données

2.3 Pseudonymisation et cryptage

2.3.1 Pseudonymisation
Des mesures garantissant la pseudonymisation des données. Ces mesures sont :

• Instruction interne de pseudonymiser au moins les données à caractère personnel à l’expiration du délai de suppression ou de les supprimer

2.3.2 Cryptage
Des mesures garantissant le cryptage des données. Ces mesures sont :

• Accès crypté aux bases de données des clients
• Chiffrement des supports de données dans les ordinateurs portables / bloc-notes
• Accès crypté aux solutions SaaS externes
• Cryptage des données de la Fundraisingbox pendant le transport et le stockage, avec la souveraineté des clés chez Wikando

2.4 Garantie de disponibilité, de résilience et de récupérabilité
2.4.1 Disponibilité (des données)
Mesures visant à garantir que les données à caractère personnel sont protégées contre la destruction ou la perte accidentelle – garantie de la disponibilité des données. Ces mesures sont :

• Concept de sauvegarde & Recovery
• Exploitation de serveurs web à haute disponibilité
• Concept de sauvegarde des données disponible
• Sauvegardes mensuelles
• Sauvegardes hebdomadaires
• Sauvegardes quotidiennes
• Sauvegardes hors ligne (conservation dans un endroit sûr)
• SLA avec le prestataire de services d’hébergement
• Disponibilité de 99,99% du matériel du serveur
• Alimentation électrique sans interruption (UPS)

2.4.2 Capacité de charge (des systèmes)
Mesures visant à garantir que les données à caractère personnel sont protégées contre la destruction ou la perte accidentelle – garantie de la résilience des systèmes. Ces mesures sont :

• Utilisation de pare-feu logiciels
• Mise en place des dernières mises à jour de sécurité sur tous les serveurs d’applications
• Mise en place de mises à jour de sécurité sur tous les systèmes de développement
• Utilisation de systèmes de détection d’intrusion

2.4.3 Récupérabilité (des données / des systèmes)
Mesures visant à garantir que les données à caractère personnel sont protégées contre la destruction ou la perte accidentelle – garantie de la possibilité de récupérer les données et les systèmes. Ces mesures sont :

• Restauration des bases de données et des systèmes de fichiers à partir de la sauvegarde des serveurs web
• Tests réguliers de récupération des données et journalisation des résultats
• Existence d’un plan d’urgence

2.5 Procédures de suivi, d’évaluation et d’appréciation périodiques

2.5.1 Contrôle de la commande
Les mesures garantissant que les données à caractère personnel traitées en sous-traitance ne peuvent être traitées que conformément aux instructions du donneur d’ordre. Ces mesures sont :
État : 22.11.2023

• Conclusion des accords nécessaires en matière de traitement des commandes
• La conclusion des clauses contractuelles standard nécessaires
• Réglementation sur le recours à la sous-traitance
• Vérification du niveau de protection du contractant (initial)
• Vérification du niveau de protection du contractant (en continu)
• Assurer la destruction des données à la fin d’une mission
• Obligation des employés du sous-traitant de respecter la confidentialité des données
• Obligation pour le personnel du contractant de respecter les règles spécifiques de confidentialité

2.5.2 Gestion de la protection des données
Des mesures garantissant que des méthodes ont été évaluées afin de planifier, d’organiser, de gérer et de contrôler systématiquement les exigences légales et opérationnelles en matière de protection des données. Ces mesures sont :

• Désignation d’un délégué à la protection des données externe
• Bemise à disposition d’une équipe interne Équipe de protection des données
• Documentation de toutes les procédures et dispositions relatives à la protection des données
• Réalisation d’analyses d’impact sur la protection des données (si nécessaire)
• Respect des obligations d’information conformément à l’article 13 du RGPD
• Respect des obligations d’information conformément à l’article 14 du RGPD
• Utilisation de solutions logicielles pour la gestion de la protection des données
• Évaluation d’un processus formalisé de traitement des demandes d’information
• Sensibilisation régulière des employés à la protection des données
  État : 22.11.2023
• Formation du personnel à la protection des données
• Vérification de l’efficacité des TOM (effectuée au moins une fois par an)
• Obligation des employés de respecter la confidentialité des données
• Possibilité pour les employés d’accéder aux règles de protection des données (wiki / intranet)

2.5.3 Gestion des réponses aux incidents
Mesures garantissant que les incidents de sécurité peuvent être prévenus ou, dans le cas d’incidents de sécurité déjà survenus, que les données et les systèmes peuvent être protégés et qu’une analyse et une réparation rapides de l’incident de sécurité peuvent être effectuées. Ces mesures sont :

• Documentation des incidents de sécurité
• Processus documenté de notification des incidents de sécurité
• Implication des délégués à la protection des données dans les incidents de sécurité
• Recours à des prestataires de services externes pour enquêter sur les violations de données et y remédier
• Utilisation d’un pare-feu et mise à jour régulière de celui-ci
• Utilisation d’un antivirus et mise à jour régulière de celui-ci
• Processus clair de définition des responsabilités en cas d’incident de sécurité
• Utilisation de systèmes de journalisation

2.5.4 Préférences en matière de protection des données
Mesures qui garantissent qu’un certain niveau de protection des données prévaut déjà par la conception technique correspondante (privacy by design) et les réglages d’usine (privacy by default) d’un logiciel. Ces mesures sont :

• Les données personnelles ne sont collectées que si elles sont nécessaires à la réalisation de l’objectif

Wikando GmbH

Peter Kral (directeur général)

Schießgrabenstraße 32

86150 Augsbourg

Allemagne

Téléphone : +49 821 66609000

E-mail : info@fundraisingbox.com

État : 22.11.2023