Aperçu de la sécurité et de la protection des données

1. Notre approche

Nebs-Creative met en œuvre des mesures techniques et organisationnelles proportionnées afin de protéger les travaux, les comptes et les données personnelles de ses clients. Les contrôles sont choisis en fonction de la sensibilité des informations, des exigences des clients, des systèmes concernés et des risques de la mission.

2. Contrôle des accès

• L'authentification multifacteur est obligatoire sur les comptes compatibles utilisés pour le travail des clients.
• L'accès est limité aux personnes qui en ont besoin pour un projet précis et est supprimé lorsqu'il n'est plus nécessaire.
• Les identifiants partagés, lorsqu'ils sont inévitables, sont conservés dans un gestionnaire de mots de passe chiffré approuvé, et non dans des documents ordinaires ou des messages de messagerie instantanée.
• La politique interne fournie exige un examen des accès à la clôture du projet ainsi qu'un examen périodique des accès actifs.

3. Appareils et comptes

• Les appareils de travail doivent être dotés d'un verrouillage d'écran, de systèmes d'exploitation à jour et pris en charge, de mises à jour de sécurité automatiques et d'un chiffrement intégral du disque.
• Une protection anti-malware est exigée par la politique interne fournie pour les appareils utilisés pour le travail destiné aux clients.
• Les appareils personnels ne peuvent être utilisés que dans le respect des exigences internes d'approbation et de sécurité.
• Les membres de l'équipe doivent utiliser des identifiants uniques et respecter la politique de mots de passe de l'entreprise.

4. Traitement et minimisation des données

• Nous privilégions, dans la mesure du possible, des données d'exemple, anonymisées ou pseudonymisées plutôt que des données personnelles réelles.
• Les Données personnelles du client sont réservées aux outils approuvés et aux personnes autorisées.
• Les données personnelles réelles ne doivent pas être insérées dans les maquettes ou prototypes, sauf si le client nous en donne l'instruction et que des garanties appropriées s'appliquent.
• Les fichiers contenant des informations confidentielles sont partagés avec des restrictions d'accès adaptées au projet.

5. Chiffrement et transfert

Le DPA fourni prévoit le chiffrement des données en transit lors des transferts et le chiffrement au repos lorsque les systèmes de stockage approuvés le permettent, ainsi que des garanties applicables aux transferts internationaux lorsque la législation applicable en matière de protection des données l'exige.

6. Personnel et confidentialité

Le dossier juridique fourni exige que les employés, les sous-traitants et les freelances signent des engagements de confidentialité et de propriété intellectuelle avant d'accéder aux travaux des clients. Une formation à la sécurité et à la protection des données est requise à l'arrivée, puis périodiquement, conformément à la politique interne.

7. Développement sécurisé et travaux de projet

Les responsabilités en matière de sécurité pour un projet de développement dépendent de son périmètre. Nous pouvons recourir à la gestion de versions, à des accès contrôlés, à des revues, à des tests, à la gestion des dépendances et à des pratiques de déploiement structurées, adaptés à la mission. Un client qui exige un cadre de développement sécurisé spécifique, un test d'intrusion, une norme de sécurité, un audit de code ou une certification de conformité doit l'inclure expressément dans le SOW.

8. Outils d'IA

Les informations confidentielles et les données personnelles des clients ne doivent pas être saisies dans des outils d'IA non approuvés. Lorsqu'un outil d'IA approuvé est utilisé avec des informations du client, cette utilisation doit respecter le contrat client applicable, le DPA, les paramètres approuvés et les restrictions relatives à l'entraînement des modèles. Les clients peuvent restreindre les éléments générés par l'IA dans les documents propres à un projet.

9. Réponse aux incidents

La politique interne fournie exige que les incidents de sécurité suspectés soient signalés rapidement en interne et consignés. Lorsqu'un incident concerne des Données personnelles du client, le DPA exige que le client en soit informé dans les meilleurs délais et, selon le DPA en vigueur, en tout état de cause dans les 48 heures suivant le moment où Nebs-Creative a connaissance d'une violation de données personnelles pertinente. Les notifications aux autorités de contrôle ou aux personnes concernées sont effectuées conformément à la loi applicable et aux responsabilités du client/responsable du traitement.

10. Continuité d'activité et sauvegardes

Les travaux de projet sont généralement conservés dans des services cloud approuvés dotés de capacités de sauvegarde et de restauration fournies par le prestataire. La responsabilité des sauvegardes des systèmes de production, de l'hébergement et de l'infrastructure du client dépend du périmètre du projet et doit être précisée dans le SOW ou dans le contrat d'hébergement ou de maintenance.

11. Suppression des données

Pour les Données personnelles du client traitées dans le cadre du DPA, la position contractuelle actuelle est la restitution ou la suppression dans un délai de 30 jours après la fin des services concernés, sous réserve des instructions du client, des obligations légales de conservation et des cycles normaux d'écrasement des sauvegardes. Les autres documents commerciaux sont conservés conformément à notre Politique de confidentialité et à nos obligations légales.

12. Signalement de failles de sécurité

Si vous pensez avoir découvert un problème de sécurité affectant Nebs-Creative, veuillez écrire à contact@nebs-creative.com en indiquant « Security » dans l'objet du message et en fournissant suffisamment d'informations pour nous permettre d'enquêter. N'accédez pas à des données qui ne vous appartiennent pas, ne les téléchargez pas, ne les modifiez pas et ne les divulguez pas ; ne perturbez pas les services et n'effectuez pas de tests destructifs.

13. Absence de garantie de sécurité absolue

Aucune organisation ne peut garantir que chaque système, appareil ou transmission est totalement sécurisé. Le présent aperçu décrit les pratiques que nous entendons appliquer et ne crée aucune garantie au-delà des obligations expressément énoncées dans un contrat client ou un DPA applicable.