RGPD

1. En bref

Le moyen le plus simple de protéger les données personnelles est de ne pas les détenir. L’application évalue configuration, sécurité, conformité, licences et adoption à partir de métadonnées sur la façon dont un tenant est configuré, non à partir de son contenu, et elle est conçue pour que les éléments sensibles n’y entrent jamais.

2. Protection des données dès la conception et par défaut — article 25

Périmètre limité au niveau des permissions : l’accès est contraint par les permissions qu’un administrateur autorisé approuve sur l’écran de consentement Microsoft ; cette liste fait foi et ne peut être élargie ensuite.

Contenu délibérément hors périmètre : des questions comme « la MFA est-elle imposée », « quelles licences sont inutilisées » ou « ce compte de stockage est-il public » ne nécessitent la lecture d’aucun message ni document ; ces permissions ne sont donc pas demandées.

Rien de conservé que le résultat n’exige : une évaluation terminée, ce sont des constats et des références de preuves, pas une copie du tenant. Seuls les preuves que vous joignez et les instantanés auditeur que vous créez sont stockés, et ces derniers expirent après 24 heures.

Séparation des rôles dans le produit : un administrateur de plateforme peut créer une entreprise, enregistrer son tenant et fixer ses droits, mais ne peut ni ouvrir son évaluation, ni lire ses preuves, ni émettre un lien auditeur. Le serveur l’impose.

3. Ce à quoi l’application n’est pas conçue pour accéder

Le contenu des e-mails, conversations Teams, documents SharePoint, fichiers OneDrive, pièces jointes ou enregistrements audio et vidéo. Toute fonctionnalité future exigeant davantage serait annoncée avant autorisation ; le client décide.

4. Analyses IA facultatives

Les analyses IA utilisent Work IQ de Microsoft, appelé depuis le navigateur de l’utilisateur sous sa propre identité Entra ID, dans le périmètre de confiance du tenant et ses propres contrôles de conformité. Le résumé est réduit à des comptages, des statuts et des identifiants de contrôle publiés ; rien ne transite par les serveurs de NSE et aucun fournisseur de modèle tiers n’intervient.

5. Rôles et accord entre nous — article 28

Pour les enregistrements de compte, de contrat et de support, NSE est responsable de traitement. Pour les données de tenant traitées sur instruction du client, le client est responsable de traitement et NSE sous-traitant. Un accord de traitement des données couvrant les clauses de l’article 28(3) est disponible sur demande.

6. Bases légales — article 6

En tant que responsable : contrat, mesures précontractuelles, intérêts légitimes, obligation légale, et consentement lorsqu’il est requis. En tant que sous-traitant : la base légale du client.

7. Sécurité du traitement — article 32

Transport chiffré pour toute communication réseau. Authentification Microsoft Entra ID pour l’accès au tenant ; connexion à la plateforme protégée par un second facteur envoyé par e-mail. Accès par rôles et moindre privilège imposé côté serveur. Invalidation des sessions au changement de mot de passe et révocation administrative. Limitation de débit sur l’authentification et les opérations d’écriture. Journal d’audit en ajout seul. Liens auditeur en lecture seule, limités à un référentiel et à expiration automatique. Les mesures sont revues à mesure que le service évolue ; aucun système n’est garanti sûr.

8. Stockage, conservation et suppression — article 5(1)(e)

Comptes jusqu’à suppression par l’administrateur ; enregistrement du tenant jusqu’à sa suppression ; preuves jointes avec le tenant ; instantanés auditeur 24 heures ; journal d’audit 90 jours ; les demandes de démo ne sont pas supprimées automatiquement. Supprimer un tenant supprime ses preuves et ses liens auditeur.

9. Transferts internationaux — chapitre V

Clauses contractuelles types, décisions d’adéquation et mesures techniques et organisationnelles selon le cas. Les engagements de transfert de Microsoft régissent les services Microsoft consultés.

10. Droits des personnes — articles 12 à 23

Accès, rectification, effacement, copie, limitation, opposition, retrait du consentement et réclamation auprès d’une autorité de contrôle. Pour les données d’un tenant client, le client est responsable de traitement et nous l’assistons. Pour les enregistrements de compte et de support, contactez l’adresse protection des données ci-dessous.

11. Sous-traitants ultérieurs

Prestataires d’hébergement, d’authentification, d’e-mail transactionnel et de support, liés par des clauses contractuelles. La liste à jour et la procédure de notification des changements sont fournies avec l’accord de traitement des données.

12. Violations de données — articles 33 et 34

Procédures de détection, d’enquête et d’enregistrement des violations. En tant que sous-traitant, nous notifions le client concerné sans retard injustifié avec les informations dont il a besoin ; en tant que responsable, nous notifions l’autorité de contrôle sous 72 heures lorsque c’est requis, et les personnes lorsque le risque est élevé.

13. Registres et analyses d’impact — articles 30 et 35

Nous tenons les registres des traitements effectués pour le compte des clients et fournissons, pour l’analyse d’impact d’un client, les informations sur le traitement, les catégories de données, les mesures de sécurité et les sous-traitants ultérieurs.

14. Portée de cette page

Cette page décrit la conception et les mesures associées. Ce n’est pas un avis juridique. Le RGPD n’offre aucune certification de produit ; la conformité dépend de la manière dont un responsable déploie et utilise un outil. Le contrat et l’accord de traitement des données prévalent sur cette page.

Correspondance entre la conception et le règlement

Contact