Dossier de conformité client
Modèle de dossier remis aux clients réglementés, sensibles ou qui demandent une documentation formelle des mesures Alpene.
Périmètre
Le dossier est préparé lorsque :
- le secteur du client impose une documentation spécifique ;
- les données présentent une sensibilité particulière ;
- le client le demande pendant le cadrage ;
- un audit ou une consultation fournisseur le nécessite.
Il décrit les mesures techniques et organisationnelles mises en œuvre par Alpene. Il ne constitue ni une certification, ni un avis juridique, ni une validation de la conformité globale du client.
Structure du dossier
Le dossier contient uniquement les sections utiles au client :
- périmètre des services Alpene ;
- architecture et flux de données ;
- catégories de données traitées ;
- localisation des données ;
- extrait du registre des sous-traitants ;
- gestion des identités et accès ;
- chiffrement et gestion des secrets ;
- sauvegarde et restauration ;
- supervision et traitement des incidents ;
- conservation et suppression ;
- réversibilité et fin de service ;
- contacts et responsabilités.
Les secrets, configurations sensibles et contrats confidentiels ne sont pas joints au dossier.
Responsabilités
Alpene documente :
- ses services et fournisseurs ;
- les mesures qu'elle opère ;
- les accès qu'elle détient ;
- les limites de son périmètre ;
- les actions attendues du client.
Le client reste responsable :
- de ses obligations métier et réglementaires ;
- de la base légale de ses traitements ;
- de l'information de ses utilisateurs ;
- de ses durées de conservation ;
- de la validation par son conseil ou son délégué à la protection des données.
Format
La source du dossier est rédigée en Markdown et versionnée. Une version PDF est générée pour la remise au client.
Les annexes peuvent inclure :
- schéma d'architecture ;
- tableau des flux ;
- extrait du registre ;
- politique de sauvegarde ;
- procédure d'incident ;
- preuve de tests ou de contrôles convenus.
Mise à jour
Le dossier est produit au déploiement lorsque le besoin a été identifié. Il est mis à jour lors d'un changement significatif :
- fournisseur ou région ;
- architecture ;
- catégorie de données ;
- mesure de sécurité ;
- durée de conservation ;
- périmètre du service.
Aucune réédition périodique n'est imposée en l'absence de changement.
Validation et remise
Avant remise :
- le périmètre est vérifié ;
- les fournisseurs correspondent au déploiement réel ;
- les régions sont confirmées ;
- les responsabilités sont explicites ;
- aucun secret n'est présent ;
- la version et la date sont indiquées.
Le dossier est remis par un canal sécurisé et conservé dans le dossier client.
Décisions validées
- Le dossier est réservé aux clients réglementés, sensibles ou qui le demandent.
- Il décrit les mesures Alpene sans constituer une certification ou un avis juridique.
- La source est en Markdown et la livraison en PDF.
- La mise à jour intervient au déploiement puis lors d'un changement significatif.
- Baptiste porte le modèle et son évolution.