Annexe 2 — Mesures de sécurité et sous-traitants ultérieurs
A. Mesures techniques et organisationnelles
| Domaine | Mesures |
|---|---|
| Identités et accès | Mots de passe stockés sous forme d'empreinte, authentification multifacteur TOTP, passkeys, désactivation des comptes, codes QR/PIN personnels pour les Kiosques |
| Cloisonnement | Isolation logique par Espace Entreprise ; rôles et matricules propres à chaque relation personne–entreprise ; pièces jointes servies uniquement aux personnes autorisées |
| Traçabilité | Journalisation des opérations sensibles ; conservation de la valeur d'origine, du motif, de l'auteur et de la décision pour chaque correction ; export d'inspection avec manifeste et contrôle d'intégrité |
| Chiffrement | Chiffrement des échanges en transit (TLS) ; sauvegardes chiffrées |
| Continuité | Sauvegardes séparées du stockage de production et documentaire, complétées par les journaux de transactions de la base de données ; tests de restauration périodiques ; séparation logique des environnements de production et de test, hébergés sur le même serveur (bases de données, stockages, identifiants et configurations distincts) |
| Exploitation | Mises à jour de sécurité régulières ; supervision de la disponibilité ; accès administrateur à l'infrastructure limité au personnel habilité et protégé par authentification forte |
| Organisation | Engagement de confidentialité des personnes autorisées ; accès du support aux Données Client limité au besoin et journalisé ; procédure de gestion des incidents et des violations de données |
| Minimisation | Géolocalisation désactivée par défaut et capturée uniquement au moment du pointage ; alternatives sans géolocalisation (Localisations, Kiosque) ; mesure d'audience du site sans cookie d'analyse et avec adresse IP anonymisée |
B. Sous-traitants ultérieurs traitant des Données Client
| Sous-traitant | Service | Localisation des données | Garantie de transfert |
|---|---|---|---|
| OVH SAS (OVHcloud), France | Hébergement de l'application, des bases de données, des fichiers et des sauvegardes ; Matomo auto-hébergé | EEE | Sans objet |
| Cloudflare, Inc., États-Unis (via Cloudflare Ltd / entité européenne selon le contrat) | Résolution DNS, proxy inverse, terminaison TLS, mise en cache, protection contre les attaques (DDoS, pare-feu applicatif) ; traitement du trafic en transit, dont les adresses IP et le contenu des requêtes | Réseau mondial ; données en transit possiblement traitées hors EEE | Cadre UE–États-Unis de protection des données (certification de Cloudflare) et clauses contractuelles types de son DPA |
| Brevo (Sendinblue SAS), France | Envoi des e-mails transactionnels (invitations, notifications, réinitialisations) | EEE (Belgique, France et Allemagne) | Sans objet |
| Services de notification push des navigateurs et systèmes (notamment Google Firebase Cloud Messaging, Apple Push Notification service, Mozilla Push Service) | Acheminement des notifications push chiffrées vers les appareils des Utilisateurs | Possiblement hors EEE | Cadre UE–États-Unis de protection des données ou clauses contractuelles types, selon le fournisseur ; contenu chiffré de bout en bout |
C. Prestataires des traitements propres au Prestataire
Pour les traitements dont il est responsable (article 17.3), le Prestataire recourt notamment à Stripe (Stripe Payments Europe Limited, Irlande) pour les paiements et à Brevo pour les communications. Ces prestataires sont décrits dans la notice de confidentialité du Prestataire.
La liste à jour est consultable dans le Service et sur www.cloketa.eu. Ses modifications suivent la procédure du point 5 de l'Annexe 1.