Politique relative au sous-traitant de données à caractère personnel dans le cloud

La Politique relative au sous-traitant de données à caractère personnel dans le cloud définit les exigences obligatoires de protection de la vie privée applicables aux services cloud lorsque l’organisation agit en tant que sous-traitant ou sous-traitant ultérieur de données à caractère personnel. Son champ d’application inclut les services SaaS, PaaS, IaaS, les applications hébergées, le cloud managé, le support cloud, le stockage cloud, l’analytique cloud et les services d’infrastructure cloud qui traitent des données à caractère personnel pour le compte de clients. La politique vise à maintenir l’alignement du traitement cloud sur les accords clients documentés, les instructions du client, les instructions du sous-traitant en amont, les dispositifs relatifs aux sous-traitants ultérieurs, la configuration des régions cloud, l’accès au support cloud, l’administration des services, la sauvegarde, la réplication, la journalisation, la surveillance, la suppression, le retour, l’assistance en cas de violation, le support d’audit et les obligations d’assistance au client. Un objectif central de la politique est le contrôle fondé sur les éléments de preuve. Avant l’intégration d’un client ou toute modification substantielle du service, le responsable de la protection des données / responsable du PIMS doit enregistrer dans REG02 et REG08 chaque service de traitement cloud de données à caractère personnel, le rôle de traitement, la source des instructions du client, les catégories de données à caractère personnel, les catégories de personnes concernées, la finalité du service, le lieu du traitement, la dépendance vis-à-vis d’un sous-traitant ultérieur, la dépendance liée à la suppression et l’indicateur de transfert. La politique exige également que l’applicabilité des contrôles du sous-traitant cloud soit enregistrée dans REG03, que le routage des transferts et des emplacements soit consigné dans REG09 le cas échéant, que les incidents cloud relatifs aux données à caractère personnel soient gérés au moyen de REG10, et que la surveillance, les exceptions, les litiges, les résultats de validation et les actions correctives soient traités au moyen de REG12. Cette approche intègre les obligations du sous-traitant cloud dans l’ensemble existant de politiques du PIMS et évite la création de registres séparés pour les contrats, les services, l’isolement des locataires, les accès, les journaux, la suppression, le support, les audits, les violations ou les sous-traitants ultérieurs. La politique définit des exigences pratiques sur l’ensemble du cycle de vie des services cloud. Elle exige des instructions documentées du client ou du sous-traitant en amont avant le début du traitement, la revue des instructions qui semblent incompatibles avec les obligations ou le champ de service approuvé, ainsi qu’une approbation avant tout traitement de données à caractère personnel de clients en dehors des instructions documentées. Elle traite également la configuration cloud et les éléments de preuve de sécurité en exigeant des périmètres de responsabilité partagée, la validation de l’isolement des locataires, un accès administratif maîtrisé, une revue trimestrielle des accès à privilèges et de la couverture de journalisation, la séparation des environnements, ainsi que l’enregistrement des emplacements de sauvegarde, de réplication, de stockage des journaux et d’accès au support. Ces exigences sont délibérément articulées avec les contrôles de sécurité existants applicables aux données à caractère personnel, sans remplacer la Politique plus large de sécurité et de contrôle d’accès aux données à caractère personnel. La gouvernance des sous-traitants ultérieurs et de la chaîne d’approvisionnement cloud constitue une obligation essentielle du sous-traitant. Le responsable des fournisseurs / des achats doit enregistrer les sous-traitants ultérieurs cloud, les fournisseurs d’infrastructure, les prestataires d’hébergement, les prestataires de services managés, les prestataires de support et les autres dépendances substantielles de services cloud avant leur utilisation. La politique exige des éléments de preuve de l’autorisation du client ou d’une base d’autorisation documentée, des obligations répercutées en matière de protection de la vie privée, de sécurité, d’assistance, d’incidents, de retour, de suppression, de support d’audit et de transferts, ainsi que des enregistrements des emplacements de service, des emplacements de support à distance, des régions d’hébergement et du routage des transferts ultérieurs. Elle exige également la notification au client des changements prévus de sous-traitants ultérieurs cloud dans le délai contractuel de préavis requis et, au minimum, une revue annuelle des enregistrements actifs relatifs aux sous-traitants ultérieurs cloud et aux dépendances cloud. La politique couvre également l’assistance au client, le support d’audit, l’interface en cas de violation, la suppression et la sortie. Les obligations d’assistance au client relatives aux demandes d’exercice des droits, à la suppression, à la rectification, à la limitation, à l’accès, à l’audit, au support DPIA et à l’assistance en cas de violation doivent être enregistrées avant l’exécution du contrat ou l’activation du service. L’assistance aux demandes d’exercice des droits sollicitées par le client doit être achevée dans le délai convenu avec le client, les demandes d’assistance à une DPIA ou à une évaluation présentant un enjeu significatif pour la vie privée doivent être examinées dans un délai de dix jours ouvrés, et les demandes d’assistance en retard ou contestées doivent être suivies. Pour la sortie, la politique exige des éléments de preuve de capacité d’export, de retour, de transfert ou de suppression avant l’intégration ou toute modification substantielle du service, l’achèvement dans les délais convenus avec le client, l’inclusion des systèmes en production, des sauvegardes, des réplicas, des journaux, des fichiers temporaires, des environnements de préproduction et des copies de support, ainsi que le traitement des non-conformités lorsque les obligations ne peuvent pas être achevées à temps. La gouvernance est renforcée par des revues trimestrielles de complétude des éléments de preuve, des revues annuelles de la politique et des sous-traitants ultérieurs, des échantillonnages d’audit, des indicateurs, des actions de mise en application et l’approbation du Top Management pour les exceptions et modifications substantielles.