Contrat de traitement des données (DPA)

Structure

Le présent DPA est structuré comme suit :

Section A – Termes principaux:
Les variables principales s’appliquant au présent DPA sont définis dans la section A.

Section B – Termes juridiques:
Contient les dispositions juridiques générales applicables au traitement

Section C – TOMs:
Les mesures techniques et organisationnelles applicables.

 

Section A – Termes principaux

Responsable du traitement:
Client

Sous-traitant:
ServiceHunter AG, Birmensdorferstrasse 94, 8003 Zurich
Contact : Marie-Christin Kamann ([email protected])
(collectivement avec le Responsable du traitement, les « Parties« )

Finalité du traitement:
Administration des relations de travail.

Durée du traitement:
Aussi longtemps que nécessaire pour le contrat de base, mais pas avant la fin du traitement.

Catégories de personnes concernées:
Employés du Responsable de traitement

Catégories de données personnelles:

  • Informations personnelles (par ex. nom, date de naissance, âge)
  • Données d’utilisation (adresse IP, fichiers journaux, mot de passe, nom d’utilisateur, session)
  • Données de contact (p. ex. adresse, e-mail, numéro de téléphone)
  • Données relatives à l’emploi (par exemple, salaire, titre du poste, horaires de travail, nationalité, permis de séjour, numéro de compte) 
  • Données comptables relatives à l’emploi (par ex. numéro AVS, situation familiale, nombre d’enfants, noms/dates de naissance des enfants)
  • Données relatives à la santé (par exemple, rapports médicaux, informations sur les accidents du travail, les maladies, les handicaps, la grossesse)

Lieu de stockage et de traitement:
A l’adresse professionnelle du Sous-traitant et de ses sous-traitants agréés, comme indiqué dans le présent DPA.

Audits sur place:
Limités aux dossiers du Sous-traitant et à l’information nécessaire pour le but du présent DPA

Sous-traitants ultérieurs:

  • Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irlande : Logiciels pour le développement et DevOps, email et informations personnelles, collaboration et communication, et gestion de documents. 
  • Mailgun Technologies, Inc., San Antonio, 112 E Pecan St #1135, États-Unis : Fournisseur de services d’email.
  • MobileTechnics AG, Hardturmstrasse 161, 8005 Zurich, Suisse : Fournisseur de solutions informatiques mobiles.
  • Zendesk, Inc., 989 Market St, San Francisco, CA 94103, États-Unis : Logiciel de service client.
  • Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Allemagne : Fournisseur de services d’hébergement web.

Transferts en dehors de la Suisse:
Le stockage des données a lieu en principe en Suisse et dans l’UE. Certains transferts de données ont lieu en dehors de la Suisse/de l’EEE (voir Sous-traitants ultérieurs).

Les variables définies dans la section A servent de définitions dans la section B.

 

Section B – Termes juridiques

1. Objectif et champ d’application

  1. Le présent contrat de traitement des données (« DPA« ) a pour objet de garantir le respect de l’article 9 de la loi fédérale suisse sur la protection des données (« LPD« ). 
  2. Le présent DPA s’applique au traitement des données personnelles spécifié dans la section A.

2. Interprétation

  1. Lorsque des termes définis dans la LPD sont utilisés dans le présent DPA, ils ont la même signification que dans la LPD.
  2. Le présent DPA doit être lu et interprété à la lumière des dispositions de la LPD.
  3. Ces clauses ne doivent pas être interprétées d’une manière qui soit contraire aux droits et obligations prévus par la LPD ou qui porte atteinte aux libertés et droits fondamentaux des personnes concernées.

3. Hiérarchie

En cas de contradiction entre le présent DPA et les dispositions d’un autre accord entre les parties, existant au moment de l’entrée en force du présent DPA ou conclu par la suite, le présent DPA prévaut, sauf s’il en a été expressément convenu autrement par écrit.

4. Description du/des traitement(s)

Les détails des traitements, notamment les catégories de données personnelles et les finalités du traitement pour lequel les données personnelles sont traitées pour le compte du Responsable du traitement, figurent dans la section A.

5. Obligations des parties

5.1 Généralités

  1. Le Sous-traitant ne traite les données personnelles que sur instruction documentée du Responsable du traitement, à moins qu’il n’y soit obligé par la législation suisse à laquelle le Sous-traitant est soumis. De telles instructions sont énumérées dans la section A. Dans ce cas, le Sous-traitant informe le Responsable du traitement de cette obligation légale avant le traitement, à moins que la loi ne l’interdise pour des motifs importants d’intérêt public. Le Responsable du traitement peut également donner des instructions a posteriori pendant toute la durée du traitement des données personnelles. De telles instructions doivent toujours être documentées.
  2. Le Sous-traitant informe immédiatement le Responsable du traitement si, de l’avis du Sous-traitant, les instructions du Responsable du traitement sont contraires à la législation suisse en vigueur en matière de protection des données.

5.2 Affectation des fonds

Le Sous-traitant traite les données personnelles uniquement en accord avec les finalités du traitement mentionnées dans la section A.

5.3 Suppression ou restitution des données

  1. Le traitement par le Sous-traitant ne peut être effectué que pendant la durée du traitement indiquée dans la section A.
  2. En cas de cessation de la prestation de services de traitement des données personnelles ou de résiliation en vertu de l’article 8 du présent DPA, le Sous-traitant doit effacer toutes les données personnelles traitées pour le compte du Responsable du traitement et certifier au Responsable du traitement que cela a été effectué ainsi qu’effacer les copies existantes, à moins que le droit suisse n’exige la conservation des données personnelles.

5.4 Sécurité du traitement

  1. Le Sous-traitant prend les mesures techniques et organisationnelles précisées dans la section C afin de garantir la sécurité des données personnelles, y compris la protection contre la destruction accidentelle ou illicite, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé à ces données (violation de la sécurité des données personnelles) conformément à l’article 8 LPD. Pour évaluer le niveau de sécurité approprié, le Sous-traitant tient notamment compte des risques liés au traitement, de la nature des données personnelles ainsi que du type, de l’étendue, du contexte et des finalités du traitement.
  2. En cas de violation de la sécurité des données personnelles concernant des données traitées par le Sous-traitant, ce dernier en informe le Responsable du traitement dans les meilleurs délais et, en tout état de cause, dans les 48 heures suivant la prise de connaissance de la violation. Cette notification contient les coordonnées d’un point de contact auprès duquel des informations supplémentaires sur la violation de la sécurité des données personnelles peuvent être obtenues, une description de la nature de la violation (y compris, si possible, les catégories et le nombre approximatif de personnes et d’ensembles de données concernés), ses conséquences probables et les mesures prises ou à prendre pour en atténuer les effets négatifs potentiels. S’il n’est pas possible de fournir toutes les informations en même temps, la première notification contiendra les informations disponibles à ce moment-là, et les informations supplémentaires seront fournies sans retard excessif dès qu’elles seront disponibles.
  3. Le Sous-traitant coopère de bonne foi avec le Responsable du traitement et l’assiste de toute manière nécessaire pour permettre au Responsable du traitement d’avertir, le cas échéant, l’autorité compétente en matière de protection des données et les personnes concernées, ce en tenant compte de la nature du traitement et des informations dont dispose le Sous-traitant.
  4. Le Sous-traitant n’accorde à son personnel l’accès aux données personnelles que dans la mesure où cela est strictement nécessaire pour l’exécution, la gestion et le suivi du contrat. Le Sous-traitant veille à ce que les personnes autorisées à traiter les données personnelles reçues se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale de secret équivalente.
  5. Lorsque le traitement porte sur des données personnelles qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, des données génétiques ou biométriques permettant d’identifier une personne physique de manière unique, des données relatives à la santé ou à la vie sexuelle ou à l’orientation sexuelle d’une personne, des données relatives aux mesures d’aide sociale ou des données relatives aux condamnations pénales et aux infractions (catégories particulières de données), le Sous-traitant applique les restrictions particulières et/ou des garanties supplémentaires que le Responsable du traitement peut raisonnablement exiger.

5.5 Documentation et conformité

  1. Les Parties doivent être en mesure de démontrer le respect du présent DPA.
  2. Le Sous-traitant est tenu de répondre rapidement et correctement à toutes les demandes raisonnables du Responsable du traitement concernant le traitement dans le cadre du présent DPA.
  3. Le Sous-traitant met à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations définies dans le présent DPA et découlant directement de la LPD et, à la demande du Responsable du traitement, permet et contribue à l’examen des fichiers et des documents ou aux audits des activités de traitement couvertes par la présente clause, notamment lorsqu’il existe des indices de non-conformité. 
  4. Le Responsable du traitement a le choix de réaliser l’audit lui-même, de faire appel à un auditeur indépendant à ses propres frais ou de s’appuyer sur un audit indépendant mandaté par le Sous-traitant. Si le Responsable du traitement fait appel à un audit, il doit prendre en charge les frais de l’auditeur indépendant. Les droits d’audit, d’accès et d’inspection du Responsable du traitement en vertu de cette clause sont limités exclusivement aux dossiers du Sous-traitant (y compris, entre autres, les registres des activités de traitement des données personnelles et les registres des destinataires des données personnelles) et ne s’appliquent pas aux locaux physiques du Sous-traitant. Tout examen et toute demande d’information doivent être limités aux informations nécessaires aux fins du présent DPA et doivent tenir dûment compte des obligations de confidentialité du Sous-traitant et de son intérêt légitime à protéger les secrets commerciaux.
  5. Le Sous-traitant et le Responsable du traitement doivent mettre les informations mentionnées dans la présente clause, y compris les résultats d’éventuels audits, à la disposition de l’autorité de surveillance compétente sur demande, si et dans la mesure où la LPD l’exige.

5.6 Recours à des sous-traitants ultérieurs

  1. Le Sous-traitant dispose de l’autorisation générale du Responsable du traitement pour engager des sous-traitants ultérieurs. La liste des sous-traitants ultérieurs du Sous-traitant figure dans la section A. Le Sous-traitant informe le Responsable du traitement, par écrit et au moins 30 jours à l’avance, des modifications qu’il entend apporter à cette liste en ajoutant ou en remplaçant des sous-traitants ultérieurs, de sorte que le Responsable du traitement ait la possibilité de s’opposer à ces modifications avant d’engager le ou les sous-traitants ultérieurs concernés. Une telle objection ne doit pas être formulée de manière déraisonnable. Les Parties tiennent la liste à jour.
  2. Lorsque le Sous-traitant confie à un sous-traitant ultérieur l’exécution de certaines activités de traitement (pour le compte du Responsable du traitement), il le fait dans le cadre d’un contrat qui impose au sous-traitant ultérieur les mêmes obligations que celles qui incombent au Sous-traitant en vertu du présent DPA. Le Sous-traitant veille à ce que le sous-traitant ultérieur respecte les obligations auxquelles le Sous-traitant est soumis en vertu du présent DPA et de l’article 9 alinéa 3 de la LPD.
  3. Le Sous-traitant fournit au Responsable du traitement, à la demande de ce dernier, une copie d’un tel accord de sous-traitance et de ses modifications ultérieures.
  4. Le Sous-traitant reste entièrement responsable vis-à-vis du Responsable du traitement de l’exécution par le sous-traitant ultérieur des obligations découlant de son contrat avec le Sous-traitant. Le Sous-traitant signale au Responsable du traitement tout manquement du sous-traitant ultérieur à ses obligations découlant du contrat y relatif.

5.7 Transferts internationaux

  1. Tout transfert de données personnelles vers un « pays tiers » (tout pays autre que la Suisse) ou vers une organisation internationale par le Sous-traitant ne peut avoir lieu que s’il a été autorisé conformément à la section A et doit être effectué conformément au chapitre 2, section 3 de la LPD.
  2. Le Responsable du traitement accepte que, lorsque le Sous-traitant fasse appel à un sous-traitant ultérieur conformément à la clause 5.6 ci-dessus pour effectuer certaines activités de traitement (pour le compte du Responsable du traitement) dans un pays tiers et que ces activités de traitement impliquent le transfert de données personnelles au sens de la LPD, le Sous-traitant et le sous-traitant ultérieur puissent utiliser des clauses contractuelles types adoptées par la Commission européenne sur la base de l’article 46 paragraphe 2 du RGPD afin de satisfaire aux exigences du chapitre 2 section 3 de la LPD, pour autant que les conditions d’utilisation de ces clauses soient remplies et qu’une évaluation interne ait conclu qu’un tel transfert respecte le niveau de protection des données de la LPD.

6. Droits de la personne concernée

  1. Le Sous-traitant doit informer immédiatement le Responsable du traitement de toute demande formulée directement par la personne concernée. Il ne répond pas lui-même à cette demande, sauf s’il y a été autorisé par le Responsable du traitement.
  2. Le Sous-traitant assiste le Responsable du traitement dans l’exécution de ses obligations de répondre aux demandes d’exercice des droits des personnes concernées conformément au chapitre 4 de la LPD, à savoir: 
    1. le droit d’être informé lorsque des données personnelles sont collectées auprès de la personne concernée,
    2. le droit d’être informé lorsque des données personnelles n’ont pas été obtenus de la personne concernée,
    3. le droit d’accès de la personne concernée,
    4. le droit de rectification,
    5. le droit à l’effacement (« droit à l’oubli »),
    6. le droit à la limitation du traitement,
    7. l’obligation de notifier la rectification ou l’effacement des données personnelles ou la limitation du traitement,
    8. le droit à la portabilité des données,
    9. le droit de s’opposer au traitement,
    10. le droit de ne pas être soumis à une décision fondée exclusivement sur un traitement automatisé, y compris le profilage,
    11. le droit de retirer son consentement.
  1. Le Sous-traitant assiste le Responsable du traitement lorsqu’une personne concernée a déposé une plainte auprès de l’autorité de surveillance compétente concernant des données traitées sur la base du présent DPA.
  2. Outre l’obligation du Sous-traitant d’assister le Responsable du traitement conformément à la clause 6 point b) ci-dessus, le Sous-traitant aide le Responsable du traitement à respecter les obligations suivantes, compte tenu de la nature du traitement et des informations dont il dispose :
    1. l’obligation de notifier toute violation de la sécurité des données personnelles à l’autorité de surveillance compétente dès qu’elle est connue (à moins qu’il ne soit pas probable que la violation de la sécurité des données personnelles entraîne un risque pour les droits et libertés des personnes physiques), conformément à l’article 24 al.1 à 3 LPD ; 
    2. l’obligation de notifier sans délai à la personne concernée la violation de la sécurité des données personnelles lorsque cette violation est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques, conformément à l’article 24 al. 3 LPD ;
    3. l’obligation de procéder à une analyse des conséquences des traitements envisagés sur la protection des données personnelles (une « analyse d’impact relative à la protection des données ») lorsqu’un type de traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques, conformément à l’article 22 LPD ;
    4. l’obligation de consulter l’autorité de surveillance compétente avant le traitement lorsqu’une analyse d’impact relative à la protection des données révèle que le traitement entraînerait un risque élevé si le Responsable du traitement ne prenait pas de mesures pour atténuer le risque, conformément à l’article 23 LPD.
  1. Les Parties définissent dans la section C ci-après les mesures techniques et organisationnelles appropriées par lesquelles le Sous-traitant doit assister le Responsable du traitement dans l’application de la présente clause, ainsi que l’étendue et le niveau de l’assistance requise.

7. Notification des violations de la sécurité des données personnelles

  1. En cas de violation de la sécurité des données personnelles, le Sous-traitant coopère de bonne foi avec le Responsable du traitement et l’assiste de toutes les manières nécessaires pour lui permettre de remplir ses obligations conformément à l’article 24 LPD, ce en tenant compte de la nature du traitement et des informations dont dispose le Sous-traitant.
  2. Cas échéant, le Sous-traitant assiste le Responsable du traitement dans la notification de la violation de la sécurité des données personnelles à l’autorité de surveillance compétente. Le Sous-traitant est tenu d’aider notamment à obtenir les informations suivantes, qui doivent figurer dans la notification du responsable du traitement conformément à l’article 24 al. 2 LPD :
    1. le type de données personnelles, y compris, dans la mesure du possible, les catégories et le nombre approximatif de personnes concernées ainsi que les catégories et le nombre approximatif d’ensembles de données personnelles concernés
    2. les conséquences probables de la violation de la sécurité des données personnelles ;
    3. les mesures que le Responsable de traitement a prises ou entend prendre pour remédier à la violation de la sécurité des données personnelles, y compris, le cas échéant, les mesures visant à en atténuer les éventuelles conséquences négatives.

8. Résiliation

  1. Sans préjudice des dispositions de la LPD, et en cas de violation du Sous-traitant de ses obligations en vertu du présent DPA, le Responsable du traitement peut ordonner au Sous-traitant de suspendre temporairement le traitement des données personnelles jusqu’à ce qu’il se conforme au présent DPA ou jusqu’à ce que le contrat soit résilié. Le Sous-traitant informe immédiatement le Responsable du traitement si, pour une raison quelconque, il n’est pas en mesure de respecter le présent DPA.
  2. Le Responsable du traitement est en droit de résilier le présent DPA si :
    1. le traitement de données personnelles par le Sous-traitant a été temporairement suspendu par le Responsable du traitement conformément au point a) ci-dessus, la violation commise par le Sous-traitant est importante et le respect du présent DPA n’est pas rétabli dans un délai raisonnable et, en tout état de cause, dans un délai d’un mois ;
    2. le Sous-traitant enfreint de manière grave ou persistante le présent DPA ou ses obligations au titre de la LPD, et il ne faut pas s’attendre à ce que le Sous-traitant remédie à cette infraction ;
    3. le Sous-traitant ne se conforme pas à une décision contraignante d’un tribunal compétent ou de l’autorité de surveillance compétente en ce qui concerne ses obligations découlant du présent DPA ou de la LPD.

 

Section C – TOMs

Description des mesures techniques et organisationnelles mises en œuvre par le Sous-traitant :

1. Mesures de sécurité organisationnelles

1.1 Gestion de la sécurité

  1. Concept et procédures de sécurité : le Sous-traitant dispose d’un concept de sécurité documenté pour le traitement des données personnelles.
  2. Rôles et responsabilités :
    1. Les rôles et les responsabilités liés au traitement des données personnelles sont clairement définis et attribués conformément au concept de sécurité. 
    2. En cas de restructuration interne ou de licenciement et de changement de poste, la révocation des droits et des responsabilités est clairement définie, avec des procédures de transfert appropriées.
  1. Politique de contrôle d’accès : des droits de contrôle d’accès spécifiques sont attribués à chaque rôle impliqué dans le traitement des données personnelles, selon le principe du « besoin de savoir ».
  2. Gestion des ressources/actifs : le Sous-traitant dispose d’un registre des ressources informatiques (matériel, logiciels et réseau) utilisées pour le traitement des données personnelles. Une personne désignée est chargée de la gestion et de la mise à jour du registre (par exemple, le responsable informatique). 
  3. Gestion des changements : le Sous-traitant veille à ce que toutes les modifications apportées au système informatique soient enregistrées et suivies par une personne désignée (par exemple, le responsable informatique ou le responsable de la sécurité). Ce processus fait l’objet d’un suivi régulier.

1.2 Réaction aux incidents et continuité des activités

  1. Gestion des incidents / violations de la sécurité des données personnelles :
    1. Un plan de réponse aux incidents est établi, avec des procédures détaillées, afin de garantir une réponse efficace et appropriée aux incidents liés aux données personnelles.
    2. Le Sous-traitant signale immédiatement au Responsable du traitement tout incident de sécurité ayant entraîné une perte, une utilisation abusive ou une prise de connaissance non autorisée de données personnelles.
  1. Continuité des activités : le Sous-traitant a défini les principales procédures et contrôles à suivre pour garantir le niveau requis de continuité et de disponibilité du système informatique de traitement des données personnelles (en cas d’incident/de violation de la sécurité des données personnelles).

1.3 RH

  1. Confidentialité du personnel : le Sous-traitant s’assure que tous les membres du personnel connaissent leurs responsabilités et leurs obligations en matière de traitement des données personnelles. Les rôles et les responsabilités sont clairement communiqués au cours de la procédure préalable au recrutement et/ou lors de la formation initiale. 
  2. Formation : le Sous-traitant veille à ce que tous les membres du personnel soient informés de manière adéquate des contrôles de sécurité du système informatique relatifs à leur travail quotidien. Le personnel impliqué dans le traitement des données personnelles est également informé de manière adéquate des exigences pertinentes en matière de protection des données et des obligations légales, par le biais de campagnes de sensibilisation régulières.

2. Mesures de sécurité techniques

2.1 Contrôle d’accès et authentification

  1. Un système de contrôle d’accès applicable à tous les utilisateurs qui accèdent au système informatique a été mis en place. Ce système permet de créer, d’approuver, de vérifier et de supprimer des comptes d’utilisateurs.
  2. L’utilisation de comptes d’utilisateurs communs est évitée. Dans les cas où cela est nécessaire, on veillera à ce que tous les utilisateurs du compte commun aient les mêmes rôles et responsabilités.
  3. Lors de l’octroi de l’accès ou de l’attribution de rôles aux utilisateurs, il convient de respecter le principe du « besoin de savoir » afin de limiter le nombre d’utilisateurs ayant accès aux données personnelles à ceux qui ont besoin de cet accès pour réaliser les finalités du traitement effectué par le Sous-traitant. 
  4. Si les mécanismes d’authentification sont basés sur des mots de passe, le Sous-traitant exige que le mot de passe comporte au moins huit caractères et qu’il réponde à des paramètres de contrôle des mots de passe très stricts, notamment la longueur, la complexité des caractères et la non-répétabilité.
  5. Les données d’authentification (par exemple l’ID utilisateur et le mot de passe) ne doivent jamais être transmises sans protection sur le réseau.

2.2 Journalisation et surveillance

Des fichiers journaux sont activés pour chaque système/application utilisé(e) pour le traitement des données personnelles. Ils couvrent tous les types d’accès aux données (consultation, modification, suppression).

2.3 Sécurité des données au repos

  1. Sécurité du serveur/de la base de données
    1. Les serveurs de bases de données et d’applications sont configurés pour fonctionner sous un compte séparé avec un minimum de privilèges du système d’exploitation afin de fonctionner correctement.
    2. Les serveurs de bases de données et d’applications ne traitent que les données personnelles dont le traitement est effectivement nécessaire pour atteindre la finalité du traitement.
  1. la sécurité sur le lieu de travail :
    1. Les utilisateurs ne peuvent pas désactiver ou contourner les paramètres de sécurité.
    2. Les applications antivirus et les signatures de détection sont régulièrement configurées.
    3. Les utilisateurs n’ont pas le droit d’installer ou de désactiver des applications logicielles non autorisées.
    4. Le système dispose de délais de session lorsque l’utilisateur n’a pas été actif pendant un certain temps.
    5. Les mises à jour de sécurité critiques publiées par le développeur du système d’exploitation sont installées régulièrement.

2.4 Sécurité des réseaux/communications

  1. Lors de chaque accès via Internet, la communication est cryptée par des protocoles cryptographiques.
  2. Le trafic vers et depuis le système informatique est surveillé et contrôlé par des pares-feux et des systèmes de détection d’intrusion.

2.5 Sauvegardes

  1. Les procédures de sauvegarde et de récupération des données sont définies, documentées et clairement associées aux rôles et aux responsabilités.
  2. Les sauvegardes bénéficient d’une protection physique et environnementale appropriée, conformément aux normes applicables aux données d’origine.
  3. L’exécution des sauvegardes est surveillée pour s’assurer qu’elles sont complètes.

2.6 Appareils mobiles/portables

  1. Des procédures de gestion des dispositifs mobiles et portables sont établies et documentées, avec des règles claires pour leur bonne utilisation.
  2. Les appareils mobiles autorisés à accéder au système d’information sont préalablement enregistrés et autorisés.

2.7 Sécurité du cycle de vie des applications

Au cours du cycle de développement, les meilleures pratiques, l’état de l’art et les procédures ou normes de développement sûres reconnues sont suivis.

2.8 Suppression/élimination des données

  1. Les supports de données sont écrasés par le logiciel avant d’être éliminés. Dans les cas où cela n’est pas possible (CD, DVD, etc.), ils sont physiquement détruits.
  2. Le papier et les supports de données portables utilisés pour stocker les données à caractère personnel sont détruits.

2.9 Sécurité physique

L’environnement physique de l’infrastructure des systèmes informatiques n’est pas accessible au personnel non autorisé. Les zones de sécurité et leurs accès doivent être protégés contre l’intrusion de personnes non autorisées par des mesures techniques appropriées (p. ex. système de détection d’intrusion, tourniquet commandé par carte à puce, système d’accès de sécurité pour une personne, système de fermeture) ou des mesures organisationnelles (p. ex. service de surveillance).

Rechercher