Logiciel de gestion de projet conforme au RGPD
Chercher un logiciel de gestion de projet conforme au RGPD conduit vite à une liste de clauses et de certificats. C'est un mauvais point de départ, parce que la question qui décide de tout se pose avant : de quel droit relève l'entreprise qui détient vos données. Une clause contractuelle ne protège pas d'une obligation légale à laquelle votre prestataire est soumis ailleurs.
Ce qu'un outil de projet contient vraiment.
On le classe volontiers parmi les outils sans enjeu de données personnelles. C'est inexact, et cela mérite d'être regardé de près.
Des personnes nommées
Vos équipes et celles du client : identité, fonction, adresse professionnelle, rattachement à des projets.
Du temps de travail
Qui a travaillé, combien, sur quoi. C'est une donnée personnelle, et elle est structurante.
Des écrits
Comptes rendus, actions, rapports d'équipe. Des textes rédigés par des personnes, sur des personnes parfois.
De la donnée client
Le projet de votre client, ses jalons, ses risques. Vous en êtes dépositaire, et vous en répondez devant lui.
Par construction, et non par clause.
Le Cloud Act permet à une autorité américaine de réclamer des données à une entreprise relevant du droit américain, où que ces données soient physiquement stockées. La localisation d'un centre de données ne suffit donc pas à s'en prémunir : ce qui compte est le droit dont relève l'entreprise qui l'exploite, et celui dont relève son actionnaire.
C'est pourquoi une clause contractuelle, si bien rédigée soit-elle, ne règle pas la question. Elle engage votre prestataire envers vous ; elle ne le dispense pas d'une obligation légale à laquelle il est soumis dans un autre pays.
Hors Cloud Act par construction veut dire que la question ne se pose pas : l'hébergeur relève du droit français, les données restent dans l'Union européenne, et l'éditeur n'est détenu par personne hors de France. Le détail figure sur la page souveraineté et sécurité, et les quatre niveaux de ce que « français » recouvre sur le logiciel de gestion de projet français.
Ce qui est en place.
Quatre éléments vérifiables, et une conception qui rend certaines fautes impossibles plutôt que interdites.
L'étanchéité entre organisations
Chaque organisation est un espace clos. Un objet n'est visible que des deux organisations qu'il relie, et cette frontière est portée par la donnée elle-même, pas par une matrice de droits à maintenir.
Les journaux d'audit
Les accès et les modifications laissent une trace. C'est ce qui permet de répondre à une demande d'exercice de droits autrement que de mémoire.
Aucun profilage des personnes
Personne n'est noté, rien n'est scoré. Aucun indice individuel, aucune inférence d'émotion, aucune prédiction. Voir l'engagement des collaborateurs.
Un site sans traceur
Ce site ne pose aucun cookie et ne mesure pas l'audience ; les polices sont auto-hébergées, donc aucune adresse de visiteur n'est transmise à un tiers.
Le détail du traitement est sur la politique de confidentialité, et le tour fonctionnel sur la page produit.
La conformité n'est pas une certification.
Nous ne sommes pas qualifiés SecNumCloud et nous ne le laissons pas entendre : l'hébergement se fait sur des instances standard, hors de tout périmètre qualifié. Une organisation dont le cahier des charges l'exige doit le savoir avant de nous consulter.
Nous ne détenons pas non plus de certification de sécurité, ni d'agrément sectoriel. Le règlement général sur la protection des données n'est d'ailleurs pas une certification : c'est une obligation, et personne ne délivre un label qui prouverait qu'on la respecte.
Ce que nous pouvons faire, en revanche, est répondre point par point à une grille de sécurité ou à un questionnaire d'achat, y compris là où la réponse est négative.
Ce qu'on nous demande sur la conformité.
Où sont hébergées les données de mon outil de gestion de projet ?
Chez pylotik, en France, chez un hôte de droit français, avec des données qui restent dans l'Union européenne et des sauvegardes chez un second prestataire français. Poser cette question à tout éditeur, en distinguant le lieu du stockage et le droit dont relève l'hébergeur, est le meilleur filtre qui soit.
Un outil américain peut-il être conforme au RGPD ?
Il peut respecter le règlement dans ses traitements, et rester soumis à des obligations légales dans son propre pays. Les deux questions sont distinctes, et la seconde ne se règle pas par une clause contractuelle.
Qui est responsable de traitement ?
Pour les données de vos projets et de vos équipes, c'est vous. L'éditeur agit comme sous-traitant au sens du règlement, dans le cadre défini par le contrat. Voir les conditions générales.
Comment répondre à une demande d'exercice de droits ?
Les accès et modifications étant journalisés et les données rattachées à des personnes identifiées, une demande d'accès ou d'effacement se traite sur des faits plutôt que de mémoire. Le détail est sur la politique de confidentialité.
Le client voit-il les données de mes équipes ?
Non. L'étanchéité entre organisations est portée par la donnée : ressources humaines, management, charge et marges restent invisibles du client, quelle que soit sa position.
Répondez-vous aux questionnaires de sécurité ?
Oui, point par point, y compris quand la réponse est négative. Écrivez-nous depuis la page contact.
Pour aller plus loin.
- Hébergement, RGPD et sécurité : le détail technique, et ce que nous ne revendiquons pas.
- Le logiciel de gestion de projet français : les quatre niveaux derrière le mot.
- La politique de confidentialité : ce qui est collecté, et ce qui ne l'est pas.
- Le tour du produit : droits, accès client, étanchéité.