Addenda relatif au traitement des données

Dernière modification le 1 janvier 2023.

Le présent Addenda relatif au traitement des données (« ATD ») fait partie intégrante de l’Accord relatif aux conditions de service (« Accord ») entre Simple Vote Inc. (« Simple Vote ») et le Client, auxquelles il est par ailleurs soumis.

1. Définitions

1. « Client » désigne la personne morale ou physique qui a accepté l’Accord de Simple Vote, lequel inclut le présent ATD.
2. « Données client » désigne toutes les données à caractère personnel qui sont traitées par Simple Vote pour le compte du Client afin d’exécuter les Services prévus par l’Accord.
3. « Lois Applicables en matière de Protection des Données » désigne l’ensemble des lois encadrant la collecte, le stockage, le traitement et l’utilisation des Données client, avec toutes leurs modifications successives, en ce compris le RGPD, le RGPD britannique, la LPD suisse, la Loi canadienne sur la protection des renseignements personnels et les documents électroniques, la Loi québécoise sur la protection des renseignements personnels dans le secteur privé, la loi australienne de 1988 sur la protection de la vie privée, la loi californienne sur la protection de la vie privée des consommateurs et la loi générale de protection des données personnelles au Brésil.
4. « RGPD » désigne le règlement général (UE) 2016/679 relatif à la protection des données.
5. « Services » désigne l’utilisation du système de vote en ligne et autres services connexes de Simple Vote fournis au Client en vertu de l’Accord.
6. « Clauses contractuelles types » désigne la version la plus récente des Clauses contractuelles types pour le transfert de données à caractère personnel à des sous-traitants établis dans des pays tiers en vertu du RGPD (la version en vigueur à la date du présent ATD est celle annexée à la décision d’exécution (UE) 2021/914 de la Commission du 4 juin 2021).
7. « LPD Suisse » désigne la loi fédérale suisse sur la protection des données du 19 juin 1992 et son Ordonnance.
8. « Addenda britannique » désigne la version la plus récente de l’addenda du Royaume-Uni sur le transfert international des données aux Clauses contractuelles types de la Commission européenne figurant à l’adresse suivante : https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdf
9. « RGPD britannique » désigne le RGPD tel qu’il s’inscrit dans le droit interne du Royaume-Uni en vertu de l’article 3 de la loi de 2018 sur l’Union européenne (retrait).
10. Les termes « consentement », « responsable de traitement », « titulaire des données », « État membre », « données à caractère personnel », « violation de données à caractère personnel », « sous-traitant », « sous-traitant ultérieur », « traitement », et « autorité de contrôle », et « tiers » ont le sens qui leur est donné ou attribué en vertu des Lois applicables en matière de Protection des Données ou, s’ils ne sont pas définis, en vertu de l’article 4 du RGPD, qu’ils apparaissent avec des minuscules ou des majuscules dans le présent document.

2. Rôles et objet

1. Le Client autorise Simple Vote à traiter les Données client pour les besoins d’exécution des Services pour lesquels le Client a conclu l’Accord avec Simple Vote, tel que décrit à l’Annexe 1.
2. Les parties conviennent que le Client endosse le rôle de responsable de traitement, et Simple Vote celui de sous-traitant agissant pour le compte du Client.
3. Les parties sont tenues de respecter les dispositions et obligations contenues dans les Lois applicables en matière de Protection des Données s’agissant du traitement des Données client.
4. Les parties conviennent que les Données client demeurent la propriété du Client.
5. Il convient de noter que le présent ATD ne s’applique pas aux données à caractère personnel pour lesquelles Simple Vote endosse le rôle de responsable de traitement.

3. Obligations de Simple Vote

1. Simple Vote ne traite les Données client que dans le cadre des Services fournis au Client et conformément aux instructions du Client. Les instructions données par le Client doivent apparaître dans la description des services, dans la demande d’assistance ou dans toute autre communication écrite, ou doivent être enregistrées par le Client via les interfaces d’application en libre-service.
2. Simple Vote s’interdit de conserver, d’utiliser ou de divulguer les Données client à une quelconque autre fin que la fourniture des Services au Client au titre de l’Accord et du présent ATD.
3. Simple Vote doit pouvoir compter en permanence sur un(e) Délégué(e) à la Protection des Données qui veille au respect du présent ATD et qui constitue la personne-ressource de référence pour le Client lorsqu’il a besoin d’aide pour s’acquitter de ses obligations en vertu des Lois applicables en matière de Protection des Données.
4. Simple Vote doit informer immédiatement le Client si, d’après lui, les instructions de traitement données par le Client sont contraires aux Lois applicables en matière de Protection des Données. Le cas échéant, Simple Vote est en droit de différer l’exécution de l’instruction qui pose problème jusqu’à ce qu’elle soit modifiée par le Client ou qu’elle fasse l’objet d’un accord mutuel entre le Client et Simple Vote.

4. Obligations du Client

1. Le Client est en tout temps responsable du respect de l’ensemble des exigences imposées aux responsables de traitement, en ce compris, sans toutefois s’y limiter, de vérifier la base légale de toutes les activités de traitement menées par Simple Vote pour le compte du Client et d’obtenir le consentement des titulaires des données, le cas échéant. Le Client est seul responsable de l’exactitude, de la qualité et du caractère légal des Données client, ainsi que des moyens par lesquels le Client a obtenu les Données client.
2. Le Client s’engage à ce que les Données client qu’il transfère à Simple Vote ou auxquelles Simple Vote est autorisée à accéder à des fins de traitement se limitent strictement aux Données client nécessaires pour permettre à Simple Vote d’exécuter les Services.
3. Le Client veille à ce que la manière dont Simple Vote traite les Données client conformément aux instructions du Client n’amène pas Simple Vote à violer une loi, règlement ou une règle applicable, en ce compris, sans toutefois s’y limiter, les Lois applicables en matière de Protection des Données.

5. Traitement ultérieur

1. Le Client consent à ce que Simple Vote fasse appel à des sous-traitants ultérieurs pour le traitement des Données client pour le compte du Client. Les sous-traitants ultérieurs actuellement engagés par Simple Vote et autorisés par le Client sont mentionnés à l’Annexe 3. Simple Vote s’engage à informer le Client de tout changement sur cette liste au moins 10 jours avant que ledit changement ne soit effectif si le Client choisit de recevoir ce type de notifications en l’indiquant par écrit à confidentialite [@] simplevote [.] ca.
2. Si dans les cinq (5) jours suivant la réception de ladite notification, le Client informe Simple Vote par écrit qu’il s’oppose à la nomination proposée pour des motifs raisonnables liés à la protection des données, les parties échangent sur cette question de bonne foi en vue de parvenir à une résolution commercialement raisonnable.
3. Simple Vote conclut un contrat écrit avec chaque sous-traitant ultérieur, dans lequel sont précisées toutes ses obligations en matière de protection des données, lesquelles obligations assurent un niveau de protection des Données client au moins équivalent à celui prévu dans le présent ATD.
4. Simple Vote est responsable des actes et omissions des sous-traitants ultérieurs comme Simple Vote l’est envers le Client pour ses propres actes et omissions en ce qui concerne les questions prévues dans le présent ATD.

6. Sécurité

1. Simple Vote doit mettre en place les mesures techniques et organisationnelles appropriées pour protéger les Données client contre les violations de données à caractère personnel, comme décrit à l’Annexe 2. Nonobstant toute mention contraire, Simple Vote est susceptible de modifier ou de mettre à jour lesdites mesures techniques et organisationnelles à sa discrétion, à condition que cette modification ou mise à jour n’entraîne pas une réduction substantielle de la sécurité globale des Services.
2. Simple Vote doit veiller à ce que chacune des personnes que Simple Vote a autorisées à traiter les Données client (en ce compris son personnel, ses représentants et ses sous-traitants) soit soumise à une obligation de confidentialité appropriée (qu’il s’agisse d’une obligation contractuelle ou légale).
3. Simple Vote s’engage à informer le Client, conformément aux Lois applicables en matière de Protection des Données, le plus tôt possible dans un délai de quarante-huit (48) heures, de toute violation avérée de données à caractère personnel touchant les Données client et à prendre les mesures nécessaires pour en atténuer les éventuels effets négatifs. Sur demande écrite, Simple Vote doit fournir au Client, dans les plus brefs délais, l’assistance raisonnable nécessaire pour permettre au Client de notifier ladite violation aux autorités compétentes et/ou aux titulaires des données concernés, si Simple Vote est tenue de le faire en vertu des Lois applicables en matière de Protection des Données.
4. Il incombe au Client d’examiner les informations mises à sa disposition par Simple Vote concernant la sécurité des données et de déterminer de manière indépendante si les Services sont en phase avec les exigences du Client et les obligations légales du Client en vertu des Lois applicables en matière de Protection des Données.
5. Le Client doit observer une utilisation sécuritaire des Services, passant notamment par la sécurisation de ses identifiants, la protection de la sécurité des Données client lorsqu’elles sont en transit vers et depuis les Services, ainsi que la prise de mesures appropriées pour crypter ou sauvegarder de manière sécurisée les Données client téléversées vers les Services.

7. Rapports de sécurité et Audit

1. Simple Vote s’engage à mettre à la disposition du Client toutes les informations raisonnablement nécessaires pour démontrer sa conformité au présent ATD et s’engage à autoriser les audits, et à y contribuer, en ce compris les inspections du Client visant à vérifier le respect du présent ATD. Le Client reconnaît et accepte d’exercer ses droits d’audit en vertu du présent ATD (notamment en vertu du présent article et, le cas échéant, en vertu des Clauses contractuelles types) en demandant à Simple Vote de se conformer aux mesures d’audit décrites dans les articles 7.2 à 7.3 ci-dessous.
2. Le Client comprend que Simple Vote fait l’objet d’audits réguliers par des auditeurs tiers indépendants afin d’assurer la conformité aux normes SOC 2 et PCI. Sur demande écrite, Simple Vote s’engage à fournir, à titre confidentiel et gratuit, un résumé de ses derniers rapports d’audit au Client afin que le Client puisse vérifier le bon respect par Simple Vote des normes d’audit sur la base desquelles Simple Vote a été évaluée et du présent ATD.
3. En sus des rapports décrits à l’article 7.2 ci-dessus, Simple Vote s’engage à répondre à toutes les demandes d’information raisonnables soumises par le Client pour vérifier la conformité de Simple Vote au présent ATD, en ce compris les réponses aux questionnaires de sécurité, de diligence raisonnable et d’audit, en mettant à disposition des informations supplémentaires concernant son programme de sécurité de l’information sur demande écrite du Client, étant entendu que le Client ne doit pas exercer ce droit plus d’une fois par année civile. Le Client assume tous les frais relatifs à un audit tel que décrit au présent article, notamment ceux induits par le temps consacré par Simple Vote à cet audit, selon les tarifs professionnels de Simple Vote en vigueur à ce moment-là.

8. Demandes formulées par les titulaires des données

1. Dans le cadre de ses Services, Simple Vote fournit des outils spécifiques afin d’aider les clients à répondre aux demandes reçues de la part des titulaires des données exerçant leurs droits en vertu des Lois applicables en matière de Protection des Données. Il s’agit notamment de services professionnels et d’interfaces d’application en libre-service permettant de récupérer, de corriger, de supprimer ou de restreindre l’utilisation des Données client. Simple Vote s’engage en outre (compte tenu de la nature du traitement) à fournir une assistance supplémentaire raisonnable au Client, dans la mesure du possible, afin de permettre au Client de se conformer à ses obligations en ce qui concerne les droits des titulaires des données en vertu des Lois applicables en matière de Protection des Données.
2. Dans le cas où Simple Vote recevrait de telles demandes directement de la part d’un titulaire de données, Simple Vote doit, sauf interdiction légale, inviter le titulaire de données à prendre contact avec le Client (dans la mesure où Simple Vote peut associer le titulaire de données au Client). Si le Client n’est pas en mesure de répondre à la demande du titulaire de données, Simple Vote s’adressera directement au titulaire de données, à la demande du Client, comme l’exigent les Lois applicables en matière de Protection de Données.

9. Analyse d’impact de la protection des données

1. Dans la mesure requise par les Lois applicables en matière de Protection de Données, Simple Vote doit (compte tenu de la nature du traitement et des informations dont dispose Simple Vote) fournir toutes les informations raisonnablement demandées concernant les Services pour permettre au Client d’effectuer des évaluations de l’impact sur la protection des données ou des consultations préalables avec les autorités responsables de la protection, comme l’exigent les Lois applicables en matière de Protection de Données. Simple Vote s’engage à respecter ce qui précède en : (i) se conformant à l’article 7 ci-dessus; (ii) fournissant les informations contenues dans l’Accord, en ce compris le présent ATD; et (iii) si le contenu des points (i) et (ii) ci-dessus est insuffisant pour permettre au Client de se conformer à ces obligations, en fournissant, sur demande, une assistance raisonnable supplémentaire. Le Client assume tous les frais liés à cette assistance supplémentaire, notamment ceux induits par le temps consacré par Simple Vote à cette assistance, selon les tarifs professionnels de Simple Vote en vigueur à ce moment-là.

10. Restitution ou destruction des données

1. Le Client peut, par avis écrit adressé à Simple Vote, demander la restitution de toutes les copies des Données client qui sont sous le contrôle ou en possession de Simple Vote et des sous-traitants ultérieurs. Simple Vote s’engage à fournir, dans les plus brefs délais, une copie des Données client sous une forme qui peut être lue et traitée ultérieurement.
2. Le Client peut, par avis écrit adressé à Simple Vote, demander le certificat de suppression de toutes les copies des Données client qui sont sous le contrôle ou en possession de Simple Vote et des sous-traitants ultérieurs. Dans un délai de 30 jours suivant la réception dudit avis, Simple Vote s’engage à supprimer toutes les Données clients traitées en vertu du présent ATD et à fournir le certificat de suppression correspondant au Client.
3. Dans un délai de 15 jours suivant la résiliation du compte du Client, Simple Vote s’engage à supprimer toutes les Données client traitées en vertu du présent ATD.
4. Les présentes dispositions ne s’appliquent pas dans le cas où Simple Vote est légalement tenue de conserver certaines Données client ou une partie de celles-ci.
5. Le Client reconnaît et accepte que le certificat de suppression des Données client décrit dans les Clauses contractuelles types ou les Lois applicables en matière de Protection des Données ne soit fourni par Simple Vote au Client que sur demande écrite du Client.

11. Transferts internationaux

1. Le Client autorise le transfert, le traitement et le stockage des Données client vers et dans n’importe quel endroit du monde où Simple Vote et ses sous-traitants ultérieurs effectuent des opérations de traitement des données dans le but de pouvoir exécuter correctement les Services. Simple Vote doit veiller à tout moment à ce que les transferts soient effectués conformément aux exigences des Lois applicables en matière de Protection des Données et du présent ATD.
2. Pour les transferts de Données client soumis au RGPD, les Clauses contractuelles types sont incorporées par renvoi et font partie intégrante de l’Accord, comme suit :
   1. les conditions du Module 2 (Responsable de traitement à Sous-traitant) s’appliquent avec le Client en tant que responsable de traitement et Simple Vote en tant que sous-traitant;
   2. dans la Clause 7, la clause d’adhésion (docking clause) facultative s’applique;
   3. dans la Clause 9 (a), l’option 2 s’applique et les changements de sous-traitants ultérieurs sont notifiés conformément à l’article 5 (Sous-traitement ultérieur) ci-dessus;
   4. dans la Clause 11, la langue facultative ne s’applique pas;
   5. dans la Clause 17, l’Option 1 s’applique et les lois de la République d’Irlande sont applicables;
   6. dans la Clause 18 (b), les litiges sont tranchés par les tribunaux de Dublin;
   7. les annexes aux Clauses contractuelles types sont réputées renseignées avec les informations figurant dans les annexes du présent ATD; et
   8. si les Clauses contractuelles types entrent en contradiction avec une disposition du présent ATD, les Clauses contractuelles types prévalent dans la mesure de la contradiction en question.
3. Pour les transferts de Données client soumis au RGPD britannique, les Clauses contractuelles types sont incorporées par renvoi conformément à l’article 11.2 ci-dessus et aux modifications suivantes :
   1. les Clauses contractuelles types sont modifiées et interprétées conformément à l’Addenda britannique, qui est incorporé par renvoi et fait partie intégrante de l’Accord;
   2. les tableaux 1, 2 et 3 de l’Addenda britannique sont réputés renseignés avec les informations des Annexes au présent ATD et le tableau 4 est réputé renseigné en sélectionnant « aucune des parties »; et
   3. tout conflit entre les termes des Clauses contractuelles types et ceux de l’Addenda britannique sera résolu conformément aux articles 10 et 11 de l’Addenda britannique.
4. S’agissant des transferts de Données client soumis à la LPD suisse, les parties conviennent d’incorporer par renvoi les Clauses contractuelles types conformément à l’article 11.2 ci-dessus et aux modifications suivantes :
   1. toute référence au « règlement général (UE) 2016/679 » doit être interprétée comme un renvoi à la LPD suisse;
   2. toute référence à un article précis du « règlement général (UE) 2016/679 » doit être remplacée par l’article ou le paragraphe équivalent dans la LPD suisse;
   3. toute référence à l’« UE », à l’« Union » ou à un « État membre » doit être remplacée par « Suisse »;
   4. toute référence à une « autorité de contrôle compétente » et à des « tribunaux compétents » doit être remplacée par « le préposé fédéral à la protection des données et à la transparence » et par « tribunaux suisses compétents », respectivement;
   5. la Clause 13 (a) et la Partie C de l’Annexe I doivent être supprimées;
   6. le contenu de la Clause 17 doit être remplacé par la mention suivante : « les Clauses sont régies par le droit suisse »; et
   7. le contenu de la Clause 18 doit être remplacé par la mention suivante « tout différend découlant des présentes Clauses est soumis à la compétence des tribunaux suisses. Les parties acceptent de se soumettre à la juridiction desdits tribunaux ».

12. Limitation de responsabilité

1. La responsabilité de chacune des parties induite par le présent ATD (en ce compris les Clauses contractuelles types) ou s’y rapportant est soumise aux exclusions et limitations de responsabilité énoncées dans l’Accord.
2. Toute réclamation faite contre Simple Vote sur la base du présent ATD (en ce compris les Clauses contractuelles types) ne peut être introduite que par le Client qui est partie à l’Accord.
3. La responsabilité des parties ne saurait être limitée lorsqu’il s’agit des droits de protection des données d’une personne en vertu du présent ATD (en ce compris les Clauses contractuelles types) ou sur une quelconque autre base.

13. Dispositions générales

1. Le présent ATD reste en vigueur tant que Simple Vote traite les Données client ou jusqu’à ce que l’Accord soit résilié (et jusqu’à ce que toutes les Données client aient été restituées ou supprimées conformément à l’article 10 ci-dessus).
2. Les parties conviennent que le présent ATD remplace tout autre accord existant en matière de traitement de données ou tout autre document similaire que les parties auraient pu conclure antérieurement en rapport avec les Services.
3. En cas de divergence entre les dispositions du présent ATD et celles de l’Accord, les dispositions du présent ATD prévalent.
4. Si une disposition du présent ATD est déclarée nulle par un tribunal compétent, il est convenu que ledit tribunal s’efforcera de donner plein effet aux intentions des parties telles qu’elles ressortent de ladite disposition, et il est convenu que les autres dispositions du présent ATD resteront pleinement en vigueur.
5. Le droit et la juridiction applicable sont ceux prévus par l’Accord, sauf indication contraire aux présentes. Tout différend relatif à l’interprétation du présent ATD et/ou les obligations des parties au titre du présent ATD sera traité conformément aux dispositions régissant les différends ou les réclamations énoncées dans l’Accord.

 

ANNEXE 1

 

A. LISTE DES PARTIES

Exportateur de données : indiqué dans le bloc-signature de l’Accord
Adresse : indiquée dans le bloc-signature de l’Accord
Personne-ressource : Bureau de protection des données ou autre représentant légal du Client. Le Client s’engage à communiquer ces informations si Simple Vote lui en fait la demande.
Activités liées au transfert : consommation des Services selon les modalités prévues dans la documentation relative aux Services.
Rôle : Responsable de traitement

Importateur de données : Simple Vote Inc.
Adresse : 5160 Boulevard Décarie, Bureau 502, Montréal, QC H3X 2H9 Canada
Personne-ressource : Brian Lack, Délégué à la protection des données, confidentialite [@] simplevote [.] ca
Activités liées au transfert : fourniture des Services selon les modalités prévues dans la documentation relative aux Services.
Rôle : Sous-traitant

B. DESCRIPTION DU TRANSFERT

Catégories de titulaires de données

Le Client peut transmettre des Données client aux fins des Services, dont l’étendue est déterminée et contrôlée par le Client lui-même à sa seule discrétion; lesdites données pouvant inclure, sans s’y limiter, les catégories suivantes de titulaires de données :

• des utilisateurs du Client autorisés par le Client à utiliser les Services;
• des candidats;
• des électeurs (ex. : membres, étudiants, résidents, partenaires, actionnaires, clients, participants).

Catégories de données à caractère personnel

Le Client peut transmettre des Données client aux fins des Services, dont l’étendue est déterminée et contrôlée par le Client lui-même à sa seule discrétion; lesdites données pouvant inclure, sans s’y limiter, les catégories suivantes de données à caractère personnel :

• des coordonnées (ex. : nom, courriel, adresse postale, nom de l’organisation, numéro de téléphone cellulaire);
• des informations électorales (ex. : identifiant, mot de passe, segment de vote, poids du vote).

Données sensibles transférées

• Les Données client transférées sont déterminées et contrôlées par l’exportateur de données et peuvent inclure des données sensibles telles que l’affiliation politique ou syndicale ou toute autre donnée sensible devant être traitée pour pouvoir exécuter les Services;
• les mesures de sécurité techniques et organisationnelles décrites à l’Annexe 2 garantissent un niveau de sécurité adéquat pour protéger les données sensibles.

Fréquence du transfert

Les transferts sont réalisés en continu, en fonction de l’utilisation que fait le Client des Services.

Nature du traitement

Les Données client sont traitées en conformité avec l’Accord (en ce compris le présent ATD) et peuvent faire l’objet d’un stockage et d’autres formes de traitement nécessaires à la fourniture des Services, ainsi que d’une assistance technique destinée au Client.

Objet du transfert et du traitement ultérieur

Simple Vote traite les Données client dans la mesure nécessaire pour exécuter les Services, comme indiqué ci-après dans la documentation relative aux Services et selon les instructions données par le Client dans le cadre de son utilisation des Services.

Durée de conservation

Sous réserve de l’article 10 du présent ATD, les Données client sont conservées jusqu’à ce que le Client résilie son compte ou jusqu’à ce que le Client demande à Simple Vote de les détruire, sauf disposition contraire de la loi.

Transferts à des sous-traitants ultérieurs

Pour les transferts de données à des sous-traitants ultérieurs, l’objet, la nature et la durée du traitement sont les mêmes que ceux de l’importateur de données.

C. AUTORITÉ DE CONTRÔLE COMPÉTENTE

Si le Client est établi dans un État membre de l’UE, l’autorité de contrôle qui veille au respect par le Client du règlement général (UE) 2016/679 en ce qui concerne le transfert de données est désignée comme l’autorité de contrôle compétente.

Si le Client n’est pas établi dans un État membre de l’UE, mais relève du champ d’application territorial du règlement général (UE) 2016/679 conformément à son article 3, paragraphe 2, et a désigné un représentant en vertu de l’article 27, paragraphe 1, du règlement général (UE) 2016/679, l’autorité de contrôle de l’État membre dans lequel le représentant, au sens de l’article 27, paragraphe 1, du règlement général (UE) 2016/679 est établi est désignée comme l’autorité de contrôle compétente.

Si le Client n’est pas établi dans un État membre de l’UE, mais relève du champ d’application territorial du règlement général (UE) 2016/679 conformément à son article 3, paragraphe 2, sans toutefois devoir désigner un représentant en vertu de l’article 27, paragraphe 2, du règlement général (UE) 2016/679, l’autorité de contrôle irlandaise est désignée comme l’autorité de contrôle compétente.

ANNEXE 2

SÉCURITÉ DE L’INFORMATION — MESURES TECHNIQUES ET ORGANISATIONNELLES

Simple Vote met en œuvre les mesures ci-après pour protéger les Données client.

Contrôle des accès physiques

Afin d’empêcher les personnes non autorisées d’accéder physiquement aux systèmes de traitement des données :

• Simple Vote s’appuie sur les principaux fournisseurs d’infrastructure infonuagique. L’accès aux centres de données est strictement contrôlé. Tous les centres de données sont équipés de systèmes de surveillance et de contrôle d’accès. En outre, tous les fournisseurs justifient de toutes les certifications standard du secteur.
• Le siège social de Simple Vote est équipé de systèmes de surveillance, d’une alarme anti-intrusion et de systèmes de contrôle des accès. Les invités et les visiteurs doivent être accompagnés par le personnel autorisé de Simple Vote.

Contrôle des accès aux systèmes

Afin d’empêcher l’utilisation de systèmes de traitement des données sans autorisation :

• l’accès administratif aux systèmes internes et externes est basé sur le principe du « besoin de savoir » et est également fonction du rôle et des responsabilités du poste de la personne qui souhaite obtenir cet accès. Des contrôles d’accès sont effectués tous les trimestres. Les processus d’intégration et d’annulation d’intégration sont documentés afin de garantir une gestion adéquate des accès;
• Simple Vote utilise des identifiants uniques qui ne peuvent pas être partagés ou réattribués à une autre personne. Dans la mesure du possible, les services tiers utilisent la fonctionnalité d’authentification unique (SSO) qui permet une gestion centralisée et applique une authentification à deux facteurs;
• le personnel de Simple Vote utilise un système de gestion des mots de passe qui impose certaines exigences minimales en matière de longueur et de complexité et qui permet un stockage des mots de passe sous forme cryptée;
• les applications de Simple Vote imposent des exigences minimales en matière de longueur et de complexité de mot de passe pour les utilisateurs des Clients. Les Clients qui interagissent avec les applications doivent s’authentifier pour pouvoir accéder aux Données client non publiques;
• les postes de travail des employés se verrouillent automatiquement après une période d’inactivité prolongée. Les applications de Simple Vote déconnectent les utilisateurs après une période d’inactivité prolongée;
• des pare-feu dotés de règles de trafic strictes sont utilisés pour limiter le trafic d’entrée et de sortie indésirable de l’infrastructure de Simple Vote. Ces pare-feu comprennent des systèmes de détection des intrusions (SDI) utilisés pour détecter et empêcher les éventuels accès non autorisés;
• les applications de Simple Vote sont protégées par un pare-feu d’applications Web pour identifier et empêcher les attaques;
• l’accès au réseau est protégé par un réseau privé virtuel (RPV) et une authentification à deux facteurs (2 FA);
• tous les postes de travail et serveurs font l’objet d’une gestion des correctifs de sécurité et d’une analyse de routine des vulnérabilités afin d’assurer le déploiement régulier des mises à jour de sécurité pertinentes et de réagir rapidement à la divulgation de vulnérabilités critiques;
• un logiciel antivirus à jour est utilisé pour veiller à ce que les postes de travail et les serveurs soient protégés contre les virus connus;
• les vulnérabilités du code stocké dans les référentiels de code source de Simple Vote sont vérifiées par un fournisseur d’analyse statique du code reconnu par le secteur;
• Simple Vote fait appel à un prestataire reconnu par le secteur pour la réalisation de tests de pénétration annuels des couches d’application et d’infrastructure.

Contrôle des accès aux données

Pour garantir que les utilisateurs autorisés à utiliser les systèmes de traitement des données n’aient accès qu’aux données pour lesquelles ils bénéficient d’un droit d’accès et que les données à caractère personnel ne puissent être lues, copiées, modifiées ou supprimées sans autorisation au cours du traitement, de l’utilisation et du stockage :

• les environnements des Clients sont à tout moment séparés sur le plan logique. Les Clients n’ont accès qu’à leurs propres données;
• les Clients accèdent à leurs données via les interfaces d’application en libre-service. Les Clients ne bénéficient pas d’un accès direct à l’infrastructure d’application sous-jacente. Le modèle d’autorisation des utilisateurs est conçu pour garantir que seules les personnes désignées de manière appropriée peuvent accéder aux fonctions et aux données pertinentes;
• le personnel de Simple Vote a besoin d’accéder aux Données client pour fournir des services, proposer une assistance efficace aux clients, mener des activités de recherche et développement liées aux produits et résoudre les problèmes éventuels. L’accès administratif aux données est basé sur le principe du « besoin de savoir » et est fonction du rôle et des responsabilités du poste de la personne qui souhaite obtenir cet accès. Les autorisations font l’objet d’une vérification trimestrielle.

Contrôle des transmissions de données

Pour garantir que les données à caractère personnel ne puissent être lues, copiées, modifiées ou supprimées sans autorisation lors de la transmission ou du transport par voie électronique :

• les Données client sont cryptées lorsqu’elles transitent vers et depuis les systèmes de Simple Vote sur les réseaux publics. La version 1.2 du protocole TLS avec des suites de chiffrement standard est utilisée pour se protéger contre les attaques de chiffrement actuelles et futures;
• les Données client stockées dans les systèmes de Simple Vote sont cryptées au repos grâce à l’utilisation du cryptage AES-256;
• les sauvegardes des Données client sont cryptées en transit et au repos à l’aide d’un cryptage AES-256;
• Simple Vote est alertée des problèmes de cryptage par des évaluations périodiques des risques, par des tests de vérification de la solidité du protocole SSL effectués par des tiers, ainsi que par des tests de pénétration effectués par des tiers.

Contrôle des données saisies

Pour garantir qu’il soit possible de vérifier et de déterminer si et par qui des données à caractère personnel ont été introduites dans les systèmes de traitement des données, modifiées ou supprimées :

• l’infrastructure de Simple Vote est conçue pour enregistrer de nombreuses informations sur le comportement du système, le trafic reçu, l’authentification du système et autres évènements techniques. Un système d’agrégation des journaux stocke et indexe les évènements de journaux de manière centralisée et alerte le personnel compétent en cas d’activités malveillantes, involontaires ou anormales;
• les applications de Simple Vote enregistrent des évènements détaillés, en ce compris l’introduction, la mise à jour et la suppression de Données client. Ces évènements comprennent les noms d’utilisateur uniques avec horodatage pour enquêter sur des non-conformités ou des évènements de sécurité.

Contrôle de la disponibilité

Pour garantir que les données à caractère personnel soient protégées contre la destruction ou la perte accidentelle ou non autorisée :

• les centres de données sont équipés d’au moins une redondance N+1 pour l’alimentation électrique, la mise en réseau et l’infrastructure de refroidissement;
• des mesures de protection du réseau ont été déployées pour atténuer l’impact des attaques par déni de service distribué (DDoS);
• l’infrastructure de Simple Vote est conçue pour garantir une redondance et éviter les points uniques de défaillance;
• toutes les données sont sauvegardées toutes les 15 minutes et une récupération à un instant donné est disponible;
• les stratégies de sauvegarde et de réplication sont conçues pour assurer la redondance et le basculement des protections en cas de défaillance importante du traitement. Les Données client sont sauvegardées hors site et répliquées dans plusieurs régions géographiques;
• Simple Vote dispose d’un plan de reprise d’activité, qu’elle teste régulièrement, afin de garantir la disponibilité des informations en cas d’interruption ou de défaillance d’une infrastructure critique.

Certifications en matière de sécurité

Simple Vote possède les certifications ci-après en matière de sécurité, délivrées par des vérificateurs tiers indépendants :

• Rapport SOC2 de type 1
• Conformité à la norme PCI-DSS

 

ANNEXE 3

SOUS-TRAITANTS ULTÉRIEURS AUTORISÉS