Vos données dans un logiciel SaaS : neuf questions RGPD à poser avant de choisir

Clients, installations, rapports, factures : le logiciel d’une société de service contient la mémoire de l’entreprise. Si vous le choisissez dans le cloud, mieux vaut poser dès le départ les questions qui, sinon, n’apparaissent qu’après un incident.

DigitalnatiePublié 29 octobre 20265 min de lecture

Quels sont les risques des données dans le cloud ?

Un logiciel en SaaS signifie que vos données se trouvent sur les serveurs d’un fournisseur, et plus sur un PC ou un serveur au bureau. Une partie du souci passe à ce fournisseur, et les risques changent de forme :

L’accès par des personnes qui ne devraient pas : un mot de passe partagé, un ancien collaborateur qui peut encore se connecter, un rôle qui voit trop.
La perte ou l’altération : une erreur lors d’un import, un client supprimé, un incident chez le fournisseur.
Le départ : vous arrêtez le logiciel, ou le fournisseur s’arrête, et la question est de savoir comment récupérer vos données.
L’endroit où se trouvent les données : dans ou hors de l’Europe, et sous quelles règles.

Aucun service n’est totalement sans risque. Ce que vous pouvez vérifier, c’est comment un fournisseur limite ces risques et ce qu’il attend de vous.

Neuf questions à poser à votre fournisseur

Où se trouvent les données ? Dans l’Espace économique européen, le stockage relève du RGPD. Demandez aussi ce qu’il en est des services de support : des données sont-elles traitées hors de l’EEE, et avec quel mécanisme de transfert ?
Les clients sont-ils séparés les uns des autres ? Une base de données propre à chaque client est une réponse claire.
Comment l’accès est-il organisé ? Des comptes nominatifs, des droits par rôle, et le principe selon lequel chacun voit ce dont il a besoin pour son travail.
L’authentification à deux facteurs est-elle possible ? Un second facteur, comme un code d’une application d’authentification, protège un compte même si un mot de passe fuite.
À quelle fréquence les sauvegardes sont-elles faites, où sont-elles et combien de temps sont-elles conservées ? Une copie sur le même serveur ne protège pas d’un problème de ce serveur.
La restauration est-elle testée, et que perd-on lors d’une restauration ? Une sauvegarde jamais restaurée reste une promesse. Une restauration remet en place une copie plus ancienne : ce qui a changé ensuite n’y figure pas.
À qui appartiennent les données, et comment les récupérer en partant ? Demandez le délai pour exporter après la fin du contrat, et quand les données sont ensuite supprimées.
Existe-t-il un accord de sous-traitance (DPA) et une liste des sous-traitants ultérieurs ? Pour les données personnelles de vos clients, vous êtes responsable du traitement et le fournisseur est sous-traitant. L’accord de sous-traitance fixe ces rôles.
Que se passe-t-il en cas d’incident de sécurité ? Qui prévient qui, et dans quel délai ?

Ce qui reste entre vos mains

Une partie de la sécurité reste chez vous :

Donnez à chaque collaborateur son propre compte et ne partagez pas les mots de passe.
Retirez immédiatement l’accès de quelqu’un qui quitte l’entreprise.
Revoyez régulièrement les rôles : qui voit les chiffres financiers, qui peut modifier les données ?
Activez l’authentification à deux facteurs, surtout pour les administrateurs.
Exportez ce que vous souhaitez conserver avant de mettre fin à un contrat.

En 30 secondes · 0:30

Waar staan uw bedrijfsgegevens, en wie kan erbij?

In Europa, met een eigen database per klant en toegang op naam, volgens de rol. Elke nacht een versleutelde kopie buiten de server, en het herstel wordt regelmatig getest.

Vidéo en néerlandais, sous-titrée en néerlandais

Toutes les vidéos courtes

Comment Digitalnatie Service Suite répond à ces questions

Les réponses viennent des questions fréquentes de ce site, où vous trouverez aussi les formulations complètes.

Question	Réponse
Où sont les données ?	L’hébergement et le stockage principaux se situent dans l’EEE. Pour certains services de support ou optionnels, une partie limitée peut être traitée hors de l’EEE, avec un mécanisme de transfert autorisé par le chapitre V du RGPD.
Clients séparés ?	Chaque client dispose de sa propre base de données.
Accès ?	Des comptes individuels nominatifs, des droits par rôle et le principe du besoin d’en connaître. Les accès administratifs sont journalisés, et les données sont chiffrées lors du transport.
Deux facteurs ?	Oui : les utilisateurs l’activent sur leur compte, avec une application d’authentification.
Sauvegardes ?	Chaque nuit, une copie chiffrée est placée hors du serveur. Une copie par jour pour les 7 derniers jours, par semaine pour les 4 dernières semaines et par mois pour les 6 derniers mois.
Restauration ?	La restauration est testée régulièrement. Une restauration remet en place une copie conservée ; ce qui a changé depuis n’y figure pas.
Propriété et départ ?	Les données restent votre propriété. Vous pouvez les exporter pendant 30 jours après la fin du contrat ; elles sont ensuite supprimées dans les 90 jours.
Accord de sous-traitance ?	Disponible pour chaque client, comme la liste des sous-traitants ultérieurs, sur demande via [email protected].
Incident ?	En tant que sous-traitant, Digitalnatie vous informe sans retard injustifié et vous assiste dans vos propres obligations.

Des engagements de restauration spécifiques, comme un délai maximal de restauration, peuvent être fixés séparément dans un accord de niveau de service. Pour le démarrage, voyez les tarifs et l’implémentation.

Questions fréquentes

Un logiciel dans le cloud est-il plus sûr qu’un serveur au bureau ?

Cela dépend des mesures des deux côtés. Avec un serveur au bureau, vous assurez vous-même les mises à jour, les sauvegardes hors du bâtiment et les tests de restauration. Avec un logiciel dans le cloud, le fournisseur en prend une partie ; demandez-lui précisément laquelle, avec les neuf questions ci-dessus.

Qu’est-ce qu’un accord de sous-traitance ?

Un accord qui établit que vous, client, êtes responsable du traitement des données personnelles dans le logiciel, et que le fournisseur est sous-traitant. Il décrit ce que le fournisseur peut faire de ces données. Chez Digitalnatie, vous le demandez via [email protected].

Mes données servent-elles à entraîner une IA ?

Pas chez Digitalnatie. Le contenu des clients n’est pas utilisé à des fins propres et n’est jamais vendu.

Combien de temps puis-je exporter mes données après la fin du contrat ?

Pendant 30 jours après la fin du contrat ; il vous appartient d’exporter dans ce délai ce que vous souhaitez conserver. Les données du client sont ensuite supprimées dans les 90 jours.