Politique de conservation des données

La présente politique de conservation des données (la « Politique ») décrit les principes et pratiques selon lesquels Credenti «Credenti », « nous », « notre » ou « nos ») collecte, conserve et supprime les données personnelles et organisationnelles. La Politique est conçue pour garantir le respect des obligations légales et réglementaires applicables, des engagements contractuels et des meilleures pratiques du secteur.

Définitions

Données : toute information, sous forme numérique ou physique, qui est collectée, stockée, traitée ou transmise par Credenti .
Employé : toute personne employée par Credenti, y compris les sous-traitants, les employés temporaires et toute autre personne effectuant un travail sous la direction Credenti.
Délégué à la protection des données (DPO) : personne désignée par Credenti superviser la stratégie de protection des données, la conformité et la liaison réglementaire conformément aux lois applicables.
RGPD : Le règlement général sur la protection des données (UE) 2016/679, une loi complète sur la confidentialité régissant la protection des données et la confidentialité dans l'Union européenne.
Personne concernée : toute personne physique identifiée ou identifiable dont les données à caractère personnel sont traitées par Credenti pour son compte.
Données à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable, notamment un nom, un numéro d'identification, des données de localisation, un identifiant en ligne ou tout autre attribut.
Traitement : toute opération ou ensemble d'opérations effectuées sur des données à caractère personnel, que ce soit par des moyens automatisés ou non, telles que la collecte, l'enregistrement, l'organisation, le stockage, la modification, la récupération, la consultation, l'utilisation, la divulgation, la diffusion ou la destruction.
Sous-traitant : toute personne physique ou morale, autorité publique, agence ou autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement.
Catégories particulières de données à caractère personnel / Données à caractère personnel sensibles : Données à caractère personnel révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, les données génétiques, les données biométriques permettant l'identification, les données concernant la santé ou les données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique.
SIEM (Security Information and Event Management) : plateforme technologique ou solution qui fournit une analyse en temps réel des alertes de sécurité et des journaux générés par les applications, le matériel réseau et les systèmes. Les outils SIEM sont couramment utilisés pour collecter, normaliser, stocker et analyser des données à des fins de surveillance de la sécurité et de conformité réglementaire.

1. Objectif

La présente politique de conservation des données (« Politique ») fournit des directives concernant le stockage approprié et la destruction en temps opportun de toutes les informations, données et documents, quel que soit leur format, générés dans le cadre des activités de la Société.

Le propriétaire de ce document est le délégué à la protection des données de Credenti.

Ces directives sont révisées chaque année par le délégué à la protection des données et peuvent également être révisées et mises à jour en continu, si le délégué à la protection des données le juge nécessaire.

La présente politique a pour objectif de définir les durées et les procédures de conservation des données traitées par Credenti le cadre de ses produits et services. La conservation est limitée à la durée nécessaire pour satisfaire aux exigences contractuelles, légales et opérationnelles.

2. Champ d'application

La présente politique s'applique à toutes les données collectées, traitées ou stockées par Credenti, y compris, mais sans s'y limiter :

Journaux d'authentification du système et événements d'accès
Identité de l'utilisateur et métadonnées de l'appareil
Politiques d'accès et fichiers de configuration
Registres des activités administratives

3. Périodes de conservation

Sauf stipulation contraire expresse dans un accord contraignant, Credenti les données conformément aux calendriers classés par catégorie suivants. Ces calendriers sont établis afin de garantir le respect des obligations légales et réglementaires applicables tout en tenant compte de l'efficacité opérationnelle et des limites de performance du système. En particulier, en raison du volume élevé et de la nature transitoire de certains types de journaux, tels que les journaux d'activité des utilisateurs et les journaux administratifs, ces catégories sont conservées pendant des durées plus courtes. Il est fortement recommandé aux clients de mettre en œuvre des procédures d'exportation et d'archivage en temps opportun en tirant parti de solutions externes de gestion des informations et des événements de sécurité (SIEM) ou de systèmes comparables afin de faciliter la conservation à long terme, l'analyse et la conformité.

Cette politique s'applique à tous les modèles Credenti , y compris le cloud multi-locataires, le cloud privé dédié et les environnements sur site.

Journaux d'activité des utilisateurs : comprennent les enregistrements des sessions utilisateur, de l'utilisation des applications et des événements de connexion/déconnexion. Conservés pendant une période n'excédant pas 90 jours. Le transfert vers des systèmes SIEM externes ou des systèmes de conservation des journaux est fortement recommandé.
Journaux administratifs : englobent les actions effectuées dans les consoles administratives, telles que l'approvisionnement des utilisateurs, les mises à jour des politiques et les modifications de configuration. Conservés pendant 90 jours. Les clients doivent mettre en place le transfert des journaux vers des systèmes externes pour un accès prolongé.
Journaux d'authentification et d'accès : concernent les activités d'accès basées sur des identifiants, y compris les événements liés à l'utilisation de badges, les authentifications biométriques et l'utilisation de clés d'accès. Conservés pendant 90 jours à compter de la date de collecte.
Métadonnées utilisateur : désignent les enregistrements d'identité tels que les données de profil utilisateur, les associations d'appareils et les statuts d'inscription. Conservées pendant toute la durée du compte client ou jusqu'à la résiliation du compte.
Données de configuration et de politique : comprennent les paramètres, les modèles, les règles d'accès et les politiques de session. Conservées pendant toute la durée du compte client ou jusqu'à la résiliation du compte.

Des modifications aux délais de conservation standard peuvent être apportées sur demande, à condition que ces changements soient justifiés par des exigences légales ou réglementaires applicables et qu'ils soient conformes aux capacités de la plateforme. Les demandes doivent être documentées et autorisées dans le cadre d'un contrat officiel de traitement des données ou de prestation de services.

4. Conservation des données relatives aux employés

Credenti les données relatives aux employés uniquement dans la mesure où cela est nécessaire pour les opérations commerciales, les obligations réglementaires ou la gouvernance interne. La conservation et le traitement de ces données sont soumis aux lois applicables en matière d'emploi et aux réglementations relatives à la protection des données.

Journaux d'activité administrative : conservés pendant 24 mois
Enregistrements d'accès authentifiés : conservés pendant 12 mois à compter de la date de la dernière utilisation
Métadonnées relatives à l'emploi : supprimées dans les 90 jours suivant la fin du contrat de travail, sauf obligation légale contraire.

Toutes les données relatives aux employés sont soumises aux mêmes contrôles que ceux appliqués aux données clients, notamment le cryptage, les restrictions d'accès et les procédures d'audit.

5. Procédures de minimisation et de suppression des données

Credenti le principe de minimisation des données en ne conservant que les données nécessaires aux fins indiquées. Conformément à la législation applicable, y compris, mais sans s'y limiter, le RGPD, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire aux fins pour lesquelles elles ont été collectées. Une fois ces fins atteintes, les données à caractère personnel doivent être effacées de manière sécurisée, sauf si une période de conservation plus longue est requise ou autorisée par la loi.

Les méthodes de suppression et de destruction des données utilisées par Credenti sur les capacités d'effacement sécurisé fournies par Amazon Web Services (AWS), notre fournisseur d'infrastructure. Elles comprennent, sans s'y limiter, la suppression des clés de chiffrement gérées par AWS (crypto-shredding), les politiques de cycle de vie du stockage et les procédures de réécriture sécurisée ou de mise hors service. Toutes ces méthodes sont conçues pour être conformes aux normes reconnues du secteur et aux obligations réglementaires.

Credenti ce que l'effacement des données personnelles via les mécanismes AWS respecte l'une des méthodes légales reconnues suivantes :

Anonymisation : Il s'agit de la suppression ou de la transformation permanente de tous les éléments des données à caractère personnel qui pourraient permettre d'identifier une personne physique. Une anonymisation correcte garantit que les données ne peuvent en aucun cas être rattachées à une personne, même par la partie responsable de l'anonymisation. Il convient de noter que les données cryptées ou tokenisées ne sont pas considérées comme anonymisées s'il existe un moyen d'inverser le processus.
Destruction : il s'agit de l'élimination complète et irréversible des données personnelles, de manière à ce qu'elles ne puissent être reconstituées ou récupérées. Le cas échéant, la destruction peut être effectuée par effacement cryptographique (également appelé « crypto-shredding »), qui consiste à supprimer les clés de chiffrement utilisées pour sécuriser les données, les rendant ainsi inaccessibles de manière permanente. Ces processus de suppression sont exécutés à l'aide de mécanismes pris en charge par AWS et conçus pour répondre aux normes juridiques et techniques applicables. Le niveau de rigueur technique appliqué dépend de la classification et de la sensibilité des données en question.

Les méthodes spécifiques utilisées pour supprimer ou détruire les données personnelles dans les systèmes Credentisont mises en œuvre à l'aide des fonctionnalités sous-jacentes fournies par Amazon Web Services (AWS). Le délégué à la protection des données (DPO) Credentidéfinit les normes internes et les politiques de gouvernance qui appliquent ces mécanismes pris en charge par AWS de manière à respecter les obligations réglementaires, les normes de sécurité et les engagements contractuels applicables.

Lorsque les données à caractère personnel sont traitées ou stockées par un prestataire de services tiers (par exemple, des plateformes de logiciels en tant que service ou d'externalisation des processus métier), Credenti vérifier et documenter la méthode utilisée pour procéder à leur effacement. Dans ce cas, l'obligation de supprimer les données à caractère personnel de manière sécurisée doit être explicitement incluse dans les accords contractuels conclus avec le prestataire de services, afin de garantir que Credenti son sous-traitant désigné procède à l'effacement de manière légale et efficace.

6. Conformité réglementaire et légale

La présente politique vise à garantir le respect des lois applicables en matière de protection des données et de sécurité de l'information, y compris, mais sans s'y limiter :

Règlement général sur la protection des données (RGPD)
Privacy californienne Privacy des consommateurs (CCPA)
Loi sur la portabilité et la responsabilité en matière d'assurance maladie (HIPAA)
Programme fédéral de gestion des risques et des autorisations (FedRAMP)
Politique de sécurité des services d'information sur la justice pénale (CJIS)
Norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS)

7. Révision et modification des politiques

La présente politique est révisée au moins une fois par an ou selon les exigences liées aux modifications apportées aux lois, aux réglementations ou aux exigences opérationnelles. Toute modification importante apportée à la présente politique sera communiquée aux parties concernées par les voies officielles ou publiée sur notre portail Trust.

Coordonnées

Les questions concernant cette politique doivent être adressées à credenti ou par courrier à l'adresse suivante : 5177 Richmond Ave, STE 1160, Houston, TX 77056. Veuillez noter que les communications par e-mail peuvent ne pas être sécurisées. Par conséquent, vous ne devez pas inclure d'informations personnelles ou autres informations sensibles dans vos e-mails à notre intention.