{"id":15836,"date":"2018-05-09T04:40:46","date_gmt":"2018-05-09T02:40:46","guid":{"rendered":"https:\/\/www.exoplatform.com\/blog\/?p=15836"},"modified":"2023-05-10T16:42:58","modified_gmt":"2023-05-10T14:42:58","slug":"conformite-rgpd-avec-exo-platform","status":"publish","type":"post","link":"https:\/\/www.exoplatform.com\/blog\/fr\/conformite-rgpd-avec-exo-platform\/","title":{"rendered":"Conformit\u00e9 RGPD avec eXo Platform"},"content":{"rendered":"

Depuis le 25 mai 2018, l\u2019union europ\u00e9enne a renforc\u00e9 ses exigences en mati\u00e8re de protection des donn\u00e9es personnelles. Le R\u00e8glement G\u00e9n\u00e9ral sur la Protection des Donn\u00e9es<\/a> (RGPD<\/strong> ou GDPR<\/strong> en anglais) renforce les droits des personnes et les obligations des organisations qui collectent et traitent ces donn\u00e9es.<\/p>\n

Ce document a pour but d\u2019une part de sensibiliser les clients d\u2019eXo<\/a> sur leurs obligations r\u00e9glementaires pour \u00eatre en conformit\u00e9 avec le RGPD<\/strong> ainsi que de les informer de l\u2019impact de leur installation existante d\u2019eXo Platform<\/strong> en mati\u00e8re de donn\u00e9es personnelles.<\/p>\n

Est-ce que votre organisation est concern\u00e9e ?<\/h2>\n

Si vous utilisez eXo Platform<\/a>, vous \u00eates forc\u00e9ment concern\u00e9 par le RGPD.<\/strong> En effet, par nature il s\u2019agit d\u2019un logiciel de collaboration<\/a> qui met des personnes en relation, g\u00e9n\u00e9ralement au travers de leur identit\u00e9 r\u00e9elle.<\/p>\n

Bien que ces donn\u00e9es sont g\u00e9n\u00e9ralement librement fournies par les utilisateurs, elles correspondent \u00e0 la d\u00e9finition des informations \u00e0 caract\u00e8re personnel<\/a> du r\u00e8glement. Vous devez donc vous assurer d\u2019\u00eatre en conformit\u00e9<\/strong>.<\/p>\n

Qui est responsable des donn\u00e9es?<\/h2>\n

Votre organisation est responsable des donn\u00e9es<\/strong> \u00e0 caract\u00e8re personnel stock\u00e9es sur vos instances d\u2019eXo Platform<\/strong> o\u00f9 qu\u2019elles soient h\u00e9berg\u00e9es (dans le cloud ou dans vos locaux) et quel qu\u2019en soit l\u2019usage.<\/p>\n

Lorsque vous avez un contrat de souscription avec eXo Platform<\/a>, nous agissons en qualit\u00e9 de sous-traitant <\/strong>car nous assurons parfois l’h\u00e9bergement de ces donn\u00e9es, mais aussi la maintenance du logiciel qui les utilise. Nous sommes donc soumis \u00e0 l\u2019Article 28.<\/p>\n

A ce titre, nous avons \u00e9galement une obligation de vous assister dans votre mise en conformit\u00e9. \u00a0C\u2019est pourquoi, outre les recommandations pr\u00e9sentes dans ce guide, nous restons \u00e0 votre disposition au travers du canal de support<\/strong> pour toute demande d’information ou d’analyse d’impact concernant les donn\u00e9es \u00e0 caract\u00e8re personnel.<\/p>\n

Nos ing\u00e9nieurs et consultants sont sensibilis\u00e9s et form\u00e9s aux probl\u00e9matiques de protection de donn\u00e9es<\/strong> personnelles et disposent de toute l’expertise et des moyens n\u00e9cessaires pour \u00e9tudier vos questions en relation avec nos logiciels et proposer des solutions de rem\u00e9diation ou des conseils de mise en oeuvre.<\/p>\n

Quelles sont les donn\u00e9es personnelles ?<\/h2>\n

Dans eXo Platform<\/strong>, les principales donn\u00e9es personnelles sont rassembl\u00e9es sur la fiche profil<\/strong>. Elles comprennent les informations de contact suivantes : nom, pr\u00e9nom, sexe, adresses email, t\u00e9l\u00e9phones, identifiants de messagerie, adresses internet, ainsi qu\u2019une photo portrait. Une section \u201cA propos de moi\u201d permet d\u2019ajouter un paragraphe de pr\u00e9sentation personnelle.<\/p>\n

\"1\"<\/p>\n

De plus, les utilisateurs peuvent \u00e9galement renseigner librement leurs exp\u00e9riences pass\u00e9es et leurs comp\u00e9tences:<\/p>\n

\"2\"<\/h2>\n

Quels sont les traitements effectu\u00e9s ?<\/h2>\n

eXo n’exploite pas les donn\u00e9es<\/strong> \u00e0 caract\u00e8re personnel de vos utilisateurs eXo Platform<\/a> et ne transf\u00e8re en aucun cas ces donn\u00e9es <\/strong>\u00e0 des tiers \u00e0 votre insu. En tant qu\u2019\u00e9diteur de logiciel, nous sommes d\u00e9termin\u00e9s \u00e0 assurer directement la protection des donn\u00e9es que nous h\u00e9bergeons et \u00e0 vous permettre de faire de m\u00eame lorsque vous les h\u00e9bergez vous-m\u00eame.<\/p>\n

Attention toutefois si vous avez install\u00e9 des add-ons suppl\u00e9mentaires ne provenant pas d’eXo<\/a>. Nous ne pouvons pas garantir que des logiciels tiers install\u00e9s sur la plateforme n\u2019acc\u00e8dent pas \u00e0 ces donn\u00e9es<\/strong>.<\/p>\n

L\u00e0 encore, m\u00eame si ce n’est pas une obligation, l’open source vous donne l\u2019avantage de pouvoir auditer le code que vous installez pour vous assurer qu’il n’effectue r\u00e9ellement aucun traitement sur les donn\u00e9es personnelles de vos utilisateurs.<\/p>\n

Les donn\u00e9es sont soit renseign\u00e9es manuellement par des administrateurs ou les utilisateurs eux-m\u00eame, soit synchronis\u00e9es avec un annuaire d’entreprise. Ce traitement de synchronisation est \u00e0 consigner dans un <\/strong>registre des activit\u00e9s de traitement<\/strong><\/a> que vous devez pouvoir produire sur demande.<\/p>\n

Dans le cadre de notre offre h\u00e9berg\u00e9e, un traitement de sauvegarde des donn\u00e9es<\/strong> est effectu\u00e9. C’est l’ensemble des donn\u00e9es qui est trait\u00e9 indistinctement pour pouvoir les restaurer en cas d’incident. Ces sauvegardes sont faites de mani\u00e8re quotidienne et stock\u00e9es sur une infrastructure s\u00e9curis\u00e9e redond\u00e9e et s\u00e9par\u00e9e pour y \u00eatre conserv\u00e9es pendant 30 jours maximum.<\/p>\n

Informer les personnes concern\u00e9es<\/h2>\n

Vous devez informer vos utilisateurs des raisons pour lesquelles vous collectez leurs donn\u00e9es personnelles. Vous pouvez par exemple le faire au travers d\u2019une charte d\u2019utilisation<\/strong> \u00e0 accepter \u00e0 la premi\u00e8re connexion ou par un consentement lors de l\u2019inscription<\/strong>. Dans les deux cas vous devrez obtenir explicitement leur consentement, g\u00e9n\u00e9ralement par le biais d\u2019une case \u00e0 cocher dans un formulaire. Ce sont des choses faciles \u00e0 mettre en oeuvre avec eXo Platform<\/strong>. Nos \u00e9quipes techniques pourront vous expliquer comment les mettre en place tr\u00e8s simplement sur votre instance sur simple demande via le support.<\/p>\n

Dans le cadre d’eXo Platform<\/strong>, les donn\u00e9es de profil sus-cit\u00e9es sont uniquement l\u00e0 pour repr\u00e9senter l\u2019identit\u00e9 num\u00e9rique de la personne sur le syst\u00e8me. Elles sont utilis\u00e9es dans le cadre des fonctionnalit\u00e9s collaboratives et sociales<\/strong> principalement \u00e0 des fins de repr\u00e9sentation (pour \u00eatre identifi\u00e9, reconnu, contact\u00e9 et pour pouvoir leur attribuer des contributions) et d\u2019interaction <\/strong>(chatter, mentionner, commenter, etc.).<\/p>\n

\"3\"\"4\"<\/p>\n

 <\/p>\n

 <\/p>\n

 <\/p>\n

 <\/p>\n

Les autres informations du profil restent sur la fiche profil et sont index\u00e9es dans une base de donn\u00e9es pour pouvoir retrouver les personnes en fonction de leurs expertises et exp\u00e9riences.<\/p>\n

\"5\"<\/h2>\n

Exercer leurs droits<\/h2>\n

Vos utilisateurs ont le droit d’acc\u00e9der, de rectifier, ou d’effacer leurs donn\u00e9es personnelles. \u00a0\u00a0Pour cela, la fiche profil standard permet \u00e0 chaque utilisateur de modifier tous les champs<\/strong> pour exercer les deux premiers droits. Pour restituer les donn\u00e9es de profil d\u2019un utilisateur, il est possible de les obtenir au format JSON via API.<\/p>\n

Pour le droit d’effacement, l’op\u00e9ration est possible par un administrateur tr\u00e8s simplement. Elle consiste \u00e0 supprimer le compte de l’utilisateur<\/strong>. Attention, cela interdira l’acc\u00e8s \u00e0 la plateforme pour cet utilisateur de fa\u00e7on d\u00e9finitive et irr\u00e9m\u00e9diable. S’il s’agit d’une demande de suspendre l’acc\u00e8s aux donn\u00e9es, pensez \u00e0 la fonction de d\u00e9sactivation de compte. Le profil d’un compte utilisateur supprim\u00e9 ou d\u00e9sactiv\u00e9 sera automatiquement inaccessible.<\/p>\n

Nous vous recommandons de mettre en place un moyen simple et facile pour faire la demande de rectification. Vous pouvez par exemple d\u00e9velopper un formulaire de demande de rectification des donn\u00e9es<\/strong> \u00e0 l’aide des fonctions ECMS ou bien un simple envoi d’email \u00e0 la personne d\u00e9sign\u00e9e comme responsable de la protection des donn\u00e9es. L\u00e0 encore, nos \u00e9quipes techniques sont \u00e0 votre disposition pour vous aiguiller sur la mise en place d\u2019un tel formulaire dans eXo Platform<\/a>.<\/p>\n

S\u00e9curisation des donn\u00e9es<\/h2>\n

L’acc\u00e8s aux comptes est s\u00e9curis\u00e9 par un mot de passe chiffr\u00e9. En revanche, il convient de vous assurer que vos utilisateurs puissent modifier leur mot de passe afin de s\u00e9curiser leurs donn\u00e9es d\u00e8s qu’ils pensent que leur mot de passe a pu \u00eatre compromis. La r\u00e9initialisation du mot de passe<\/strong> est \u00a0une fonctionnalit\u00e9 standard dans le produit que vous devriez laisser accessible depuis la page de connexion.<\/p>\n

\"6\"\"7\"<\/p>\n

Dans de nombreux cas, vous g\u00e9rez les mots de passe dans un syst\u00e8me autre que eXo Platform<\/strong>, comme un annuaire ou un service d’authentification unique (SSO). L\u00e0 encore, il convient de s\u00e9curiser ces mots de passes<\/strong>. Rapprochez-vous de vos fournisseurs de ces services.<\/p>\n

Hormis le mot de passe, les donn\u00e9es ne sont pas stock\u00e9es de mani\u00e8re chiffr\u00e9e dans la base<\/strong> de donn\u00e9es. Si vous h\u00e9bergez vous-m\u00eame votre propre instance, il conviendra de vous assurer que vos syst\u00e8mes de gestion de base de donn\u00e9es sont suffisamment prot\u00e9g\u00e9s. Rapprochez-vous de l\u2019\u00e9diteur de votre solution de base de donn\u00e9es pour conna\u00eetre les bonnes pratiques.<\/p>\n

Dans le cadre de notre offre h\u00e9berg\u00e9e, les serveurs de base de donn\u00e9es sont inaccessibles depuis internet. De plus, les donn\u00e9es stock\u00e9es sont chiffr\u00e9es sur le disque<\/strong> (encryption at rest).<\/p>\n

Enfin, l\u2019acc\u00e8s au service force l\u2019utilisation du protocole HTTPS<\/strong> qui chiffre les donn\u00e9es en transit entre le navigateur et le serveur. eXo s\u2019appuie sur des fournisseurs d\u2019infrastructure cloud de premier plan (OVH et Google) qui sont certifi\u00e9s compatibles sur de nombreux standards de s\u00e9curit\u00e9, vous pouvez consulter leurs engagements de conformit\u00e9 au RGPD ici :
\nhttps:\/\/www.google.com\/intl\/fr\/cloud\/security\/gdpr\/<\/a>
\nhttps:\/\/www.ovh.com\/fr\/protection-donnees-personnelles\/gdpr.xml<\/a><\/p>\n

Protection d\u00e8s la conception et par d\u00e9faut<\/h2>\n

Le fait qu’il limite les donn\u00e9es \u00e0 caract\u00e8re personnel \u00e0 des champs du profil<\/strong> utilisateur est un choix de conception du logiciel eXo Platform<\/strong> (privacy by design).<\/p>\n

En revanche, les nombreuses applications collaboratives<\/strong> qu\u2019il contient offrent multitudes de champs de saisie libre puisque c’est le principe m\u00eame de la collaboration<\/strong>. Nous ne pouvons donc \u00e9videmment pas emp\u00eacher vos utilisateurs de divulguer des informations personnelles dans des endroits non pr\u00e9vus \u00e0 cet effet (par exemple en donnant un num\u00e9ro de t\u00e9l\u00e9phone un post sur le flux d’activit\u00e9, un forum, une t\u00e2che, un \u00e9v\u00e9nement, etc.).<\/p>\n

Pour faire face \u00e0 ces cas, le logiciel donne toujours aux administrateurs la possibilit\u00e9 de supprimer les donn\u00e9es <\/strong>en question (voir notre article sur les outils de mod\u00e9ration<\/a>). \u00a0De m\u00eame, dans le cadre de notre offre h\u00e9berg\u00e9e, vos administrateurs fonctionnels auront cette possibilit\u00e9.<\/p>\n

Dans le cas tr\u00e8s improbable o\u00f9 la suppression d’une donn\u00e9e personnelle serait impossible par les fonctions d’administration, les administrateurs syst\u00e8me auront toujours la possibilit\u00e9 d’effectuer l’op\u00e9ration directement sur la base de donn\u00e9es<\/strong>. Pour cela, nos \u00e9quipes techniques sauront les guider pas \u00e0 pas. Il suffira d’ouvrir un ticket de support avec la mention \u2018privacy\u2019, qui sera trait\u00e9 avec une priorit\u00e9 \u00e9lev\u00e9e.<\/p>\n

D\u2019autres questions ?<\/h2>\n

Nous sommes particuli\u00e8rement sensibles \u00e0 la protection des donn\u00e9es et nous apportons le plus grand soin dans la conception de nos logiciels, dans nos proc\u00e9dures internes et dans la formation de nos \u00e9quipes pour que vous puissiez b\u00e9n\u00e9ficier de nos services en toute s\u00e9curit\u00e9 et pleine conformit\u00e9 avec la r\u00e9glementation.
\nPour toute autre demande en rapport avec la confidentialit\u00e9 des donn\u00e9es, n\u2019h\u00e9sitez pas \u00e0 nous contacter \u00e0 l\u2019adresse suivante :<\/p>\n

data-privacy@exoplatform.com<\/a><\/p>\n

\"Digital<\/a><\/div>\n","protected":false},"excerpt":{"rendered":"Depuis le 25 mai 2018, l\u2019union europ\u00e9enne a renforc\u00e9 ses exigences en mati\u00e8re de protection des donn\u00e9es personnelles. Le R\u00e8glement G\u00e9n\u00e9ral sur la Protection des Donn\u00e9es (RGPD ou GDPR en anglais) renforce les droits des personnes et les obligations des organisations qui collectent et traitent ces donn\u00e9es. Ce document a pour but d\u2019une part de […]","protected":false},"author":25,"featured_media":15844,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"image","meta":[],"categories":[411],"tags":[608,1131],"lang":"fr","translations":{"fr":15836},"pll_sync_post":[],"_links":{"self":[{"href":"https:\/\/www.exoplatform.com\/blog\/wp-json\/wp\/v2\/posts\/15836"}],"collection":[{"href":"https:\/\/www.exoplatform.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.exoplatform.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.exoplatform.com\/blog\/wp-json\/wp\/v2\/users\/25"}],"replies":[{"embeddable":true,"href":"https:\/\/www.exoplatform.com\/blog\/wp-json\/wp\/v2\/comments?post=15836"}],"version-history":[{"count":0,"href":"https:\/\/www.exoplatform.com\/blog\/wp-json\/wp\/v2\/posts\/15836\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.exoplatform.com\/blog\/wp-json\/wp\/v2\/media\/15844"}],"wp:attachment":[{"href":"https:\/\/www.exoplatform.com\/blog\/wp-json\/wp\/v2\/media?parent=15836"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.exoplatform.com\/blog\/wp-json\/wp\/v2\/categories?post=15836"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.exoplatform.com\/blog\/wp-json\/wp\/v2\/tags?post=15836"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}