Source: https://www.wimi-teamwork.com/fr/a-propos/securite-donnees-conformite-rgpd/
Timestamp: 2020-01-28 13:15:07+00:00

Document:
Sécurisation de vos données : conformité de Wimi (RGPD)
Politique de sécurité : conformité de Wimi (RGPD)
2.1 Mise a jour des donnees
2.2 Acces et copie de donnees
2.3 Portabilite des donnees
3.2 Conditions d'accès au produit
3.3 Conditions d'accès au produit
3.4 Sécurité technique et organisationnelle
3.5 Gestion des failles de sécurité
Même si l’obligation n’est pas formellement établie dans le RGPD il est indispensable que les logiciels, progiciels ou autres applications (que nous appelons par commodité de langage « produit ») permettent à leurs utilisateurs (entreprises ou acteurs publics) de respecter les obligations posées par le RGPD.
Il est précisé qu’en tant que client Wimi, vous êtes responsable de traitement au sens du RGPD et vous devez répondre directement aux exigences de ce référentiel.
Le présent document constitue la liste de ces exigences et précise comment Wimi vous permet d’y répondre.
Art. 16 RGPD : Droit de rectification« La personne concernée a le droit d’obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données à caractère personnel la concernant qui sont inexactes. Compte tenu des finalités du traitement, la personne concernée a le droit d’obtenir que les données à caractère personnel incomplètes soient complétées, y compris en fournissant une déclaration complémentaire. »
Réponse Wimi
Chaque utilisateur Wimi peut à tout moment modifier et rectifier ses données personnelles (Section Mon compte) et reçoit un message qui indique que l’enregistrement de ses modifications ont bien eu lieu.
« La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées (…) »
« Le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement. Le responsable du traitement peut exiger le paiement de frais raisonnables basés sur les coûts administratifs pour toute copie supplémentaire demandée par la personne concernée. Lorsque la personne concernée présente sa demande par voie électronique, les informations sont fournies sous une forme électronique d’usage courant, à moins que la personne concernée ne demande qu’il en soit autrement. »
Droit d’accès de la personne concernée : la politique de protection des données personnelles liste les traitements réalisés sur les données personnelles par Wimi. Le responsable de traitement peut à tout moment transmettre ce document à une personne souhaitant exercer ce droit.
Droit de copie : les données susceptibles d’être utilisées pour un traitement sont celles affichées dans la section Mon Compte (accessibles, modifiables et copiables par l’utilisateur final)
Art.20 RGPD : Droit à la portabilité des données : « Les personnes concernées ont le droit de recevoir les données à caractère personnel les concernant qu’elles ont fournies à un responsable du traitement, dans un format structuré, couramment utilisé et lisible par machine, et ont le droit de transmettre ces données à un autre responsable du traitement sans que le responsable du traitement auquel les données à caractère personnel ont été communiquées y fasse obstacle… »
Wimi propose une fonctionnalité d’export de toutes les activités liées à un utilisateur et permet la copie des données personnelles depuis la section Mon Compte.
Art. 5 e) RGPD : suppression des données au terme d’un certain délai : « Les données à caractère personnel doivent être conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées; les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l’article 89, paragraphe 1, pour autant que soient mises en œuvre les mesures techniques et organisationnelles appropriées requises par le présent règlement afin de garantir les droits et libertés de la personne concernée (limitation de la conservation); »
La durée de rétention des données personnelles n’excède pas celle nécessaire aux finalités pour lesquelles elles sont traitées (travail d’équipe transparent, gestion de projet, traçabilité).
Lorsqu’un compte Wimi est supprimé (les finalités des traitements étant devenues obsolètes), l’ensemble des données personnelles des utilisateurs de ce compte sont également supprimées dans les 30 jours suivant la suppression du compte.
– « limitation du traitement », le marquage de données à caractère personnel conservées, en vue de limiter leur traitement futur »
Wimi peut mettre en place une limitation de traitement sur simple demande écrite du client (responsable de traitement) à contact@wimi.pro spécifiant la nature de la limitation souhaitée, le ou les traitements concernés et le ou les utilisateurs concernés.
c) la personne concernée s’oppose au traitement en vertu de l’article 21, paragraphe 1, et il n’existe pas de motif légitime impérieux (…) »
Wimi s’engage à supprimer les données personnelles d’un utilisateur souhaitant exercer son droit à l’oubli sur simple demande écrite du client (responsable de traitement) à contact@wimi.pro spécifiant le ou les utilisateurs concernés.
Tout utilisateur de Wimi peut consulter notre politique de protection des données personnelles depuis le site www.wimi-teamwork.com qui fournit à l’utilisateur l’ensemble des informations requises par le RGPD.
« 1. Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant. »
Lorsqu’un nouvel utilisateur est ajouté sur un compte Wimi, il donne son consentement au traitement qui sera fait des données personnelles qu’il déposera sur Wimi.
Le serveur frontal chiffre toutes les connexions externes avec un mécanisme de politique de sécurité web (HTTP Strict Transport Security aka HSTS). Cela protège nos services contre les attaques de réseau actif et passif (écoute). Un attaquant « man-in-the-middle » a une capacité très réduite à intercepter les requêtes et les réponses entre un utilisateur et nos serveurs d’applications web.
Par ailleurs, Wimi bénéficie d’une isolation réseau. L’isolation réseau signifie que tous les serveurs de notre infrastructure sont isolés à l’intérieur du centre de données et reliés par des réseaux privés dédiés.
Wimi propose une authentification renforcée via l’activation de l’option « Politique de mot de passe avancée ». Dans ce cas, Les mots de passe doivent remplir les conditions suivantes :
Par ailleurs, Wimi propose une authentification via les identités existantes sur l’annuaire d’entreprise de ses clients via SAML V2. Dans ce cas, les identifiants sont strictement identiques à ceux utilisés chez le responsable de traitement (client).
3.3 Conditions d’accès au produit
Art. 5 f) RGPD :
Traitement garantissant la sécurité des données, protection contre le traitement illicite et la perte
Wimi dispose de journaux d’historisation et d’alertes permettant de tracer une activité suspecte.Les accès à ces journaux sont strictement contrôlés et limités. D’une manière générale, tous les accès à l’infrastructure Wimi se font via VPN – seules certaines Ips prédéfinies sont autorisées à établir un tunnel (liste blanche d’adresses Ips) à l’aide d’une clé RSA 4096. Ce tunnel de communication est alors chiffré en AES-256-CBC et haché en SHA-512. Les administrateurs doivent s’authentifier en SSH à l’aide de leur clé privée (ED25519 ou ECDSA) protégée par passphrase. Les centres de données utilisés par Wimi ont une sécurité physique maximale. Tous les accès aux locaux sont strictement contrôlés. Pour se prémunir contre les intrusions et les dangers, les centres de données sont sécurisés avec des clôtures barbelées. Des systèmes de détection de mouvement et de la surveillance vidéo sont également en fonctionnement continu. L’activité dans les centres de données et à l’extérieur des bâtiments est contrôlée et enregistrée sur les serveurs sécurisés, et l’équipe de surveillance est sur place 24/7.
Art.32 1. RGPD :
« (…) le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque (…) »
Art. 39 RGPD :
« Les données à caractère personnel devraient être traitées de manière à garantir une sécurité et une confidentialité appropriées, y compris pour prévenir l’accès non autorisé à ces données et à l’équipement utilisé pour leur traitement ainsi que l’utilisation non autorisée de ces données et de cet équipement. ».
Le nombre d’employés de Wimi ayant accès à l’infrastructure est extrêmement limité. Ces personnes sont tenues par un engagement de confidentialité spécifique et par une clause de confidentialité sur leur contrat de travail.
Tous les accès à l’infrastructure Wimi sont strictement contrôlés, monitorés et se font via VPN – seules certaines Ips prédéfinies sont autorisées à établir un tunnel (liste blanche d’adresses Ips) à l’aide d’une clé RSA 4096
Ce tunnel de communication est alors chiffré en AES-256-CBC et haché en SHA-512.
Les administrateurs doivent alors s’authentifier en SSH à l’aide de leur clé privée (ED25519 ou ECDSA) protégée par passphrase
Les bases de données sont sauvegardées toutes les 3 heures. Les fichiers sont quant à eux répliqués et sauvegardés toutes les nuits. Les serveurs de sauvegarde sont sécurisés, isolées et accessible uniquement par les applications de sauvegarde.
Référentiel RGPD Obligation de sécurité du RGPD
Notre infrastructure s’appuie très majoritairement sur des technologies open-source qui ont pour avantage de fédérer des communautés de contributeurs et d’utilisateurs extrêmement vastes grâce auxquelles les failles de sécurité sont découvertes rapidement. Nous appliquons systématiquement tous les patchs de sécurité approuvés et considérés comme stables.

References: Art. 16

Art.20

Art. 5

Art. 5

Art.32

Art. 39