Préambule
SENIRIS est une société par actions simplifiée spécialisée dans le conseil en cybersécurité, les audits de sécurité des systèmes d'information et l'accompagnement en conformité réglementaire. La protection des données personnelles constitue pour SENIRIS non seulement une obligation légale, mais une valeur fondamentale cohérente avec son positionnement professionnel.
La présente politique informe des traitements de données à caractère personnel mis en œuvre par SENIRIS en qualité de responsable de traitement, qu'ils résultent de l'utilisation du site seniris.com ou de ses relations commerciales et contractuelles, conformément aux articles 12, 13 et 14 du Règlement (UE) 2016/679 et à la loi n° 78-17 du 6 janvier 1978 modifiée.
Elle ne couvre pas les traitements que SENIRIS met en œuvre en qualité de sous-traitant, pour le compte de ses clients et sur leurs instructions, dans le cadre de l'exécution de ses missions. Ces traitements sont régis par le contrat conclu avec le client concerné, conforme à l'article 28 du RGPD, et sont décrits à l'Article 11 de la présente politique.
Article 1. Responsable du traitement
SENIRIS ne dispose pas d'un délégué à la protection des données désigné au sens de l'article 37 du RGPD, son effectif et ses activités n'atteignant pas les seuils imposant cette désignation. Le Président de SENIRIS exerce la fonction de référent en matière de protection des données, cette fonction ne constitue pas celle de délégué au sens des articles 37 à 39 du RGPD.
Article 2. Données collectées, finalités et bases légales
SENIRIS collecte uniquement les données strictement nécessaires aux finalités poursuivies, conformément au principe de minimisation de l'article 5(1)(c) du RGPD.
2.1 Formulaire de contact
| Champ | Caractère | Donnée personnelle | finalité | Base légale |
|---|---|---|---|---|
| Prénom | Obligatoire | Oui | Identification du contact | Intérêt légitime, art. 6(1)(f) |
| Nom | Obligatoire | Oui | Identification du contact | Intérêt légitime, art. 6(1)(f) |
| Organisation | Obligatoire | Oui si identifiante | Qualification BtoB du besoin | Intérêt légitime, art. 6(1)(f) |
| Email professionnel | Obligatoire | Oui | Réponse à la demande | Intérêt légitime, art. 6(1)(f) |
| Besoins (cases à cocher) | Facultatif | Non | Orientation de la réponse | Intérêt légitime, art. 6(1)(f) |
| Code de résultats | Facultatif | Indirectement | Accès aux résultats du test | Consentement, art. 6(1)(a) |
| Message et contexte | Obligatoire | Possible | Traitement de la demande | Intérêt légitime, art. 6(1)(f) |
La fourniture des champs signalés comme obligatoires conditionne le traitement de la demande : à défaut, SENIRIS ne peut y répondre. Les champs facultatifs peuvent être laissés vides sans conséquence sur la prise en charge de la demande.
2.2 Prospection commerciale BtoB
SENIRIS met en œuvre une activité de prospection commerciale auprès de professionnels, à partir de données professionnelles collectées par le formulaire de contact, lors d'échanges professionnels ou sur des sources professionnelles publiquement accessibles.
| Élément | Contenu |
|---|---|
| Données traitées | Nom, prénom, fonction, organisation, adresse électronique professionnelle, coordonnées professionnelles |
| Finalité | Présentation des prestations de SENIRIS à des professionnels dont l'activité est en rapport avec ces prestations |
| Base légale | Intérêt légitime, art. 6(1)(f) du RGPD, et art. L34-5 du Code des postes et des communications électroniques pour la prospection par voie électronique entre professionnels |
| Garanties | Objet des messages en rapport avec la profession de la personne démarchée, identification de l'expéditeur, moyen d'opposition simple et gratuit dans chaque message |
Le droit d'opposition à la prospection est absolu : il s'exerce à tout moment, sans motif, par simple demande à contact@seniris.com.
2.3 Module de test de maturité cyber
Le test de maturité cyber permet à tout visiteur d'évaluer sa posture de sécurité en répondant à un questionnaire fixe d'une durée approximative de dix minutes. Principe fondamental : aucune donnée permettant d'identifier directement le répondant n'est requise ni collectée. Aucun compte, aucun email, aucune inscription.
| Donnée | Nature | Finalité | Conservation |
|---|---|---|---|
| Réponses aux questions | Fonctionnelle, non nominative | Calcul du score et du diagnostic | Session uniquement, sauf transmission du code au sens de l'Article 2.4 |
| Code de résultats généré | Jeton pseudonyme | Partage facultatif des résultats | Session uniquement, sauf transmission du code au sens de l'Article 2.4 |
| Adresse IP (journal technique) | Technique | Sécurité et lutte contre les abus | Selon la politique de journalisation de l'hébergeur, au plus 12 mois |
| Horodatage de la session | Technique | Journalisation | Selon la politique de journalisation de l'hébergeur, au plus 12 mois |
Les journaux d'accès techniques sont produits et conservés par l'hébergeur du Site dans le cadre de son propre service. SENIRIS n'en télécharge ni n'en conserve de copie, hors extraction ponctuelle nécessaire au traitement d'un incident de sécurité, supprimée à la clôture de celui-ci.
2.4 Transmission du code de résultats via le formulaire de contact
2.5 Gestion de la relation contractuelle
Dans le cadre de l'exécution de ses missions, SENIRIS traite en qualité de responsable de traitement les données professionnelles de ses interlocuteurs chez le client : identité, fonction, coordonnées professionnelles, échanges relatifs à la mission. La base légale est l'exécution du contrat au sens de l'article 6(1)(b) du RGPD, et le respect de ses obligations légales, notamment comptables et fiscales, au sens de l'article 6(1)(c).
2.6 Prise de rendez-vous en ligne
Le Site permet de réserver un premier échange téléphonique au moyen d'un service de prise de rendez-vous en ligne opéré par meetergo GmbH, vers lequel renvoie le bouton « Réserver un créneau ». Les données saisies lors de la réservation sont collectées par meetergo pour le compte de SENIRIS, qui en est responsable de traitement ; meetergo agit en qualité de sous-traitant au sens de l'article 28 du RGPD. Ces données sont hébergées dans l'Union européenne.
| Champ | Caractère | Donnée personnelle | finalité | Base légale |
|---|---|---|---|---|
| Prénom | Obligatoire | Oui | Identification du contact | Intérêt légitime, art. 6(1)(f) |
| Nom de famille | Obligatoire | Oui | Identification du contact | Intérêt légitime, art. 6(1)(f) |
| Courriel | Obligatoire | Oui | Confirmation et suivi du rendez-vous | Intérêt légitime, art. 6(1)(f) |
| Numéro de téléphone | Obligatoire | Oui | Réalisation de l'appel | Intérêt légitime, art. 6(1)(f) |
| Date et heure du rendez-vous | Obligatoire | Oui, associée au contact | Organisation du rendez-vous | Intérêt légitime, art. 6(1)(f) |
La fourniture des champs signalés comme obligatoires conditionne la réservation : à défaut, le rendez-vous ne peut être enregistré. À l'issue du rendez-vous, les données sont traitées dans les mêmes conditions que celles du formulaire de contact.
Article 3. Durées de conservation
| Catégorie | Base active | Archivage |
|---|---|---|
| Données du formulaire de contact | 3 ans à compter du dernier contact | Sans objet |
| Données de prise de rendez-vous en ligne | 3 ans à compter du dernier contact | Sans objet |
| Prospection commerciale | 3 ans à compter du dernier contact | Sans objet |
| Code de résultats et réponses au test, si le code a été transmis | 3 ans à compter du dernier contact | Sans objet |
| Éléments transmis par le client et données de mission | 30 jours calendaires à compter de la fin de la mission | Sans objet |
| Livrables, ordre de mission et trace de leur transmission | 5 ans à compter du terme de la mission, à des fins de preuve | Sans objet |
| Pièces comptables et factures | Sans objet | 10 ans, art. L123-22 du Code de commerce |
| Résultats agrégés d'une campagne de sensibilisation | 12 mois à compter de la clôture de la campagne | Sans objet |
| Journaux techniques (adresse IP, horodatage) | Politique de l'hébergeur, au plus 12 mois | Sans objet |
| Consentements recueillis | Durée du traitement associé | 3 ans, à titre de preuve |
Les durées applicables aux données de mission résultent des engagements contractuels de SENIRIS. La conservation des livrables et de l'ordre de mission pendant cinq ans répond à un intérêt légitime de preuve et de défense en justice ; ces éléments sont conservés sous forme chiffrée et accessibles aux seuls associés.
Article 4. Destinataires des données
- Personnel habilité de SENIRIS. Les associés et, le cas échéant, les intervenants sur les missions, liés par des obligations contractuelles de confidentialité.
- OVH SAS (OVHcloud), hébergeur du Site, de la plateforme de sensibilisation et de sa base de données, et de la messagerie professionnelle de SENIRIS. Données hébergées en France. Aucun transfert hors Union européenne.
- Youtrust SAS (anciennement Yousign SAS), prestataire de services de confiance qualifié, pour la signature électronique avancée des documents contractuels. Données hébergées en France.
- Tiime Software SAS, plateforme de facturation, pour l'émission et la transmission des factures. Données hébergées en France.
- meetergo GmbH, service de prise de rendez-vous en ligne, pour la réservation d'un premier échange. Données hébergées dans l'Union européenne.
- Expert-comptable de SENIRIS, dans le cadre de ses obligations légales.
- Autorités légales, en cas d'obligation légale, de réquisition judiciaire ou de décision de justice.
SENIRIS s'engage à ne pas vendre, céder, louer ni communiquer les données à des tiers à des fins commerciales. Tout sous-traitant fait l'objet d'un contrat conforme à l'article 28 du RGPD.
Article 5. Transferts hors Union européenne
À la date de la présente politique, l'ensemble des traitements décrits dans la présente politique sont hébergés et traités au sein de l'Union européenne, et aucun transfert hors Union européenne n'est mis en œuvre à leur titre. L'outil de visioconférence employé par SENIRIS pour ses seuls échanges internes entre associés, qui ne reçoit ni donnée de client, ni coordonnée de tiers, ni fichier de mission, ne relève pas des traitements décrits ci-dessus ; sa localisation et ses garanties sont documentées au registre interne de SENIRIS.
Article 6. Droits des personnes concernées
Modalités d'exercice : par courriel à contact@seniris.com ou par courrier au siège social. Délai de réponse : un mois à compter de la réception.
Article 7. Cookies et traceurs
Le dépôt de cookies et de traceurs est régi par l'article 82 de la loi Informatique et Libertés.
| Traceur | Finalité | Durée | Consentement |
|---|---|---|---|
| Aucun traceur (test de maturité) | Les réponses restent dans la page ouverte et sont perdues à sa fermeture | Sans objet | Sans objet |
| Stockage local de la progression du parcours (outil de simulation) | Permettre au participant de reprendre son parcours après une actualisation ou une fermeture de la page | 4 heures | Non requis, exempté |
| Cookie technique de parcours (outil de simulation) | Éviter l'enregistrement en double d'un même parcours | 4 heures | Non requis, exempté |
| Stockage local de la préférence d'affichage (outil de simulation) | Mémoriser le thème clair ou sombre choisi par l'utilisateur | Jusqu'à suppression par l'utilisateur | Non requis, exempté |
| Cookie de session (espace d'administration de l'outil de simulation) | Authentification et sécurité des comptes d'administration | 8 heures | Non requis, exempté |
Le Site ne dépose aucun cookie de mesure d'audience, de publicité ou de suivi comportemental, et ne recourt à aucun traceur tiers.
Les polices typographiques utilisées sur le Site (Bricolage Grotesque, Syne) sont auto-hébergées sur les serveurs OVHcloud du Site. Aucun appel vers les serveurs de Google LLC n'est effectué, ce qui évite toute transmission de l'adresse IP des visiteurs vers un pays tiers sans consentement préalable. La protection du formulaire de contact contre les soumissions automatisées repose sur des mécanismes auto-hébergés (champ leurre et limitation du nombre de soumissions par adresse IP, côté serveur) et ne fait appel à aucun service tiers ; aucune donnée n'est transmise en dehors des serveurs du Site à cette occasion.
Article 8. Sécurité des données
Conformément à l'article 32 du RGPD, SENIRIS met en œuvre des mesures techniques et organisationnelles adaptées au risque, formalisées dans sa politique de sécurité des systèmes d'information (référence PSSI-SEN-001), dont un extrait est communiqué sur demande des clients. Ces mesures comprennent notamment :
- le chiffrement intégral des postes de travail et le cloisonnement des données de chaque client dans des conteneurs chiffrés dédiés ;
- le contrôle des accès logiques fondé sur le principe du moindre privilège et l'authentification à deux facteurs sur les comptes professionnels qui le permettent ;
- le chiffrement des données en transit, HTTPS et TLS sur l'ensemble du Site, et l'interdiction d'échanger des informations confidentielles par messagerie non chiffrée ;
- des sauvegardes chiffrées quotidiennes selon la règle des trois copies sur deux supports dont un hors site ;
- la journalisation des événements de sécurité et une procédure documentée de suppression sécurisée ;
- la tenue d'un registre des activités de traitement au sens de l'article 30 du RGPD ;
- une procédure de notification des violations de données, prévoyant la notification à la CNIL dans les 72 heures lorsque SENIRIS agit en qualité de responsable de traitement, et l'information du client dans les 24 heures suivant la connaissance de la violation lorsqu'elle agit en qualité de sous-traitant.
Article 9. Absence de décision automatisée
SENIRIS ne met en œuvre aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant significativement une personne, au sens de l'article 22 du RGPD. Les résultats du module de test constituent des indicateurs informatifs calculés sur la base des seules réponses de l'utilisateur.
Article 10. Mineurs
Le site seniris.com est exclusivement destiné à un public professionnel. SENIRIS ne collecte pas sciemment de données relatives à des personnes mineures. Si vous avez connaissance d'une collecte de données concernant un mineur, contactez contact@seniris.com.
Article 11. Traitements réalisés en qualité de sous-traitant
Lorsque SENIRIS traite des données à caractère personnel pour le compte d'un client, dans le cadre d'une mission d'audit, d'accompagnement ou de documentation, elle agit en qualité de sous-traitant au sens de l'article 4(8) du RGPD. Le client demeure responsable de traitement.
Ces traitements sont encadrés par le contrat conclu avec le client, conforme à l'article 28 du RGPD, qui définit leur objet, leur durée, leur nature, leur finalité, les catégories de données et de personnes concernées, ainsi que les obligations de SENIRIS. SENIRIS tient à ce titre le registre prévu à l'article 30.2 du RGPD.
Les personnes concernées par ces traitements exercent leurs droits auprès du client, responsable de traitement. SENIRIS l'assiste dans cette tâche dans les conditions prévues au contrat.
Cas particulier des campagnes de sensibilisation. Les campagnes de mise en situation proposées par SENIRIS se déroulent dans un environnement de simulation fictif, sans envoi sur les boîtes de messagerie réelles des participants et sans interaction avec le système d'information du client. La qualification repose sur cinq caractéristiques cumulatives, énoncées dans les mêmes termes à l'article 4 du mandat de campagne et à la politique de sécurité de SENIRIS : aucun nom, prénom, adresse électronique, numéro de téléphone ni aucune autre coordonnée n'est collecté ; aucune adresse réseau, aucune empreinte de navigateur, aucun agent utilisateur n'est enregistré ; l'interface ne comporte aucun champ de saisie libre, les saisies effectuées dans les pages de connexion simulées n'étant ni lues, ni transmises, ni enregistrées ; aucun identifiant ne permet de rattacher une participation à une personne déterminée, l'accès s'effectuant au moyen d'un code de campagne commun à l'ensemble des participants ; aucun horodatage plus précis que la date du jour n'est conservé, l'identifiant de session étant aléatoire, propre à une session et non reconductible d'une phase à l'autre, de sorte que les résultats des phases avant et après ne sont jamais appariés individuellement. Le client ne communique par ailleurs à SENIRIS aucune liste nominative de participants. Ces campagnes n'impliquent donc aucun traitement de données à caractère personnel au sens de l'article 4(1) du RGPD.