Où les données sont-elles traitées ?
Il faut distinguer le modèle local, les connecteurs cloud, les sauvegardes, les journaux et les services de maintenance. Une seule intégration externe peut suffire à créer un transfert qui doit être documenté.
Quelles questions poser avant le déploiement ?
- Quelles données sont réellement nécessaires ?
- Qui peut les consulter, les corriger et les supprimer ?
- Combien de temps sont-elles conservées ?
- Quels sous-traitants et pays interviennent ?
- Comment restaurer ou rendre les données en fin de contrat ?
Local ne veut pas dire sans risque
Un poste mal protégé, un compte trop puissant ou une sauvegarde non chiffrée peuvent exposer les données même sans cloud. La sécurité doit couvrir les droits, le réseau, le chiffrement, les mises à jour et la traçabilité.
Important : ce guide donne des repères techniques généraux et ne remplace pas un conseil juridique adapté au traitement concerné.
Une méthode raisonnable
- Réduire les données au strict nécessaire.
- Séparer les environnements et les rôles.
- Tester sans données sensibles.
- Documenter les accès et les durées.
- Prévoir l’export, la suppression et la restauration.