Politique de Gouvernance et de Gestion des Données

Finalité

Cette politique établit un cadre global pour la gestion et la protection de toutes les données au sein de Humanics Global Advisors (HGA). Elle garantit que HGA collecte, utilise, stocke et supprime les informations de manière responsable et licite, afin de protéger la vie privée des personnes et la confidentialité des informations commerciales. Cette politique vise à maintenir la confiance des consultants, des clients et des partenaires en protégeant les données, en empêchant tout accès ou divulgation non autorisés et en assurant la conformité aux lois et réglementations applicables (telles que le RGPD et le CCPA) [1] . Elle vise également à répondre aux attentes des bailleurs de fonds multilatéraux et des organisations internationales en alignant les pratiques de HGA en matière de données sur les meilleures pratiques du secteur et les normes éthiques.

Portée

Cette politique s’applique à toutes les données traitées ou stockées par HGA sur l’ensemble des systèmes et environnements. Elle couvre les données de la plateforme numérique HGA (anciennement DevTender), les comptes de messagerie électronique des consultants et du personnel, les outils administratifs internes, les référentiels de documents, les systèmes de tickets d’assistance et tout autre emplacement sous le contrôle de HGA où des données sont traitées. La politique régit l’ensemble du personnel de HGA, y compris les employés à temps plein, les employés à temps partiel et les consultants externes engagés par l’intermédiaire de HGA. Les sous-traitants, prestataires de services ou partenaires tiers ayant accès aux données de HGA sont également tenus de respecter des normes équivalentes en matière de protection des données dans le cadre d’accords contractuels. Le champ d’application couvre toutes les catégories de données (données personnelles, données commerciales, données clients, etc.) et s’étend à l’ensemble du cycle de vie des informations, de leur collecte et création à leur suppression définitive.

Définitions

Données personnelles : Toute information se rapportant à une personne physique identifiée ou identifiable (personne concernée). Cela inclut les identifiants évidents tels que les noms, les coordonnées, les numéros d’identification officiels, ainsi que des informations telles que les CV, les qualifications professionnelles, les références, les photographies et tout autre détail permettant d’identifier une personne. Les données personnelles peuvent concerner les consultants, le personnel, les clients ou toute autre personne dont HGA traite les données.
Informations confidentielles : Toute information non publique (écrite, électronique ou orale) divulguée ou générée dans le cadre des activités de HGA. Cela inclut, sans s’y limiter, les stratégies commerciales de HGA, ses données tarifaires, ses listes de clients et leurs coordonnées, ses propositions ou appels d’offres, ses processus internes et ses documents confidentiels. Sont également concernées les informations confiées à HGA par ses clients ou partenaires (telles que les données de projet, les rapports ou la documentation technique) et toute information que HGA ou ses clients/consultants désignent comme confidentielle. (Voir la section « Classification des données » ci-dessous pour plus de détails sur la catégorisation et le traitement des informations confidentielles.)
Gouvernance des données : Gestion globale de la disponibilité, de l’utilisabilité, de l’intégrité et de la sécurité des données au sein de l’organisation. Cette politique est un élément clé du cadre de gouvernance des données de HGA ; elle attribue les responsabilités et établit les règles de traitement des données.
RGPD : Le Règlement général sur la protection des données de l’UE, qui impose des obligations en matière de traitement des données personnelles des personnes physiques dans l’UE, notamment les principes de licéité, de loyauté, de transparence, de limitation des finalités, de minimisation des données, d’exactitude, de limitation de la conservation, d’intégrité et de confidentialité, et de responsabilité.
CCPA : La loi californienne sur la protection de la vie privée des consommateurs (California Consumer Privacy Act) accorde des droits et des protections en matière de confidentialité aux résidents de Californie, notamment le droit d’être informé, d’accéder à leurs informations personnelles, de les supprimer et de refuser leur vente.
PCI DSS : Norme de sécurité des données de l’industrie des cartes de paiement, un ensemble d’exigences de sécurité pour les organisations qui traitent des informations relatives aux cartes de crédit et aux paiements. Si HGA traite ou stocke des données de cartes de crédit, la conformité à la norme PCI DSS (par exemple, la protection des données des titulaires de carte par chiffrement et restriction d’accès) est obligatoire.
Violation de données : tout incident entraînant l’accès, la divulgation ou la perte non autorisés de données. Cela inclut les intrusions informatiques, la divulgation ou l’envoi accidentels de données à des destinataires incorrects, la perte ou le vol d’appareils contenant des données HGA, ou toute situation où des données confidentielles ou personnelles peuvent être compromises. (Voir la section Gestion des incidents pour connaître les procédures d’intervention.)
Personne concernée : Toute personne physique dont les données personnelles sont traitées par HGA. Cela peut inclure les consultants de la plateforme HGA, les employés de HGA, le personnel du client ou toute personne identifiable dans les fichiers de HGA. Les personnes concernées disposent de droits en vertu des lois sur la protection des données (par exemple, le droit d’accéder à leurs données ou de les supprimer), que HGA s’engage à respecter.

Classification des données

Toutes les données couvertes par cette politique sont classées dans l’une des catégories suivantes, afin de déterminer leur sensibilité et les exigences de traitement correspondantes. HGA utilise trois niveaux principaux de classification des données : publiques, confidentielles et hautement sensibles .

Données publiques : Informations destinées à être diffusées publiquement et sans restriction. Cela inclut le contenu que HGA publie sur ses sites web, ses supports marketing, ses offres d’emploi et autres communications accessibles au grand public. La divulgation de ces données publiques présente un risque minimal pour HGA et les personnes concernées. Exemples : recherches ou articles publiés, communiqués de presse, brochures marketing et statistiques agrégées anonymisées. Bien que ces données puissent être partagées librement, HGA en garantit l’exactitude et l’intégrité. Les données publiques n’incluent pas les données personnelles ni les données internes de l’entreprise dont la diffusion publique n’a pas été autorisée.
Données confidentielles : Informations sensibles dont l’usage est strictement interne à HGA ou limité à un usage externe autorisé. Toute divulgation ou modification non autorisée de données confidentielles pourrait nuire aux activités, aux clients ou aux consultants de HGA. Cette catégorie comprend la plupart des données opérationnelles et commerciales de HGA. Les données personnelles (consultants, employés ou contacts clients) sont par défaut classées comme confidentielles, sauf si elles relèvent de la catégorie supérieure « Très sensibles ». Les données confidentielles incluent également les informations fournies par les clients, les données non publiques relatives aux projets clients, les communications internes et toutes les données que HGA s’est engagée à garder confidentielles contractuellement. Exemples : CV et profils des consultants ; documents de projets clients ; propositions et offres ; contrats et accords ; documents financiers internes ; échanges par courriel contenant des informations commerciales ; et tickets d’assistance contenant les demandes des utilisateurs. Seules les personnes autorisées doivent avoir accès aux données confidentielles, et ce, uniquement dans le cadre de leurs fonctions. Ces données ne doivent pas être divulguées à l’extérieur de HGA (ou à l’extérieur des destinataires externes prévus, tels que le client concerné) sans autorisation préalable.
Données hautement sensibles : Informations nécessitant la protection la plus stricte en raison de leur nature critique ou personnelle. Cette catégorie est un sous-ensemble des Données confidentielles, mais avec des exigences de traitement renforcées. Elle inclut les données dont la divulgation ou l’utilisation abusive pourrait causer un préjudice important aux personnes ou à HGA. Les Données personnelles sensibles (par exemple, les numéros d’identification officiels, les scans de passeport, les informations de compte bancaire ou de carte de paiement, les informations de santé ou médicales, ou les informations personnelles détaillées) sont classées comme hautement sensibles. HGA traite toutes les données personnelles avec soin, mais certains éléments de données personnelles sont reconnus comme nécessitant un niveau de protection élevé. Parmi les autres exemples de Données hautement sensibles figurent : les identifiants d’authentification (mots de passe, clés d’authentification multifacteur), les clés de chiffrement, les secrets commerciaux ou les plans d’affaires hautement sensibles de HGA, et toutes les données clients ou donateurs classées comme hautement confidentielles. Conformément à la politique de l’entreprise, les Données personnelles fournies par les consultants ou les clients sont considérées comme confidentielles indéfiniment et conservent leur statut de protection au fil du temps. Les données hautement sensibles doivent être chiffrées lors de leur transmission et de leur stockage, conservées uniquement dans des environnements sécurisés et accessibles au strict minimum de personnes. Une extrême prudence est de mise lors de leur manipulation (par exemple, elles ne doivent pas être envoyées par courriel ni transférées sans chiffrement, et ne doivent pas être stockées sur des appareils portables, sauf en cas d’absolue nécessité et avec chiffrement).

Chaque membre du personnel ou consultant de HGA est responsable de la classification des données qu’il manipule et de leur traitement conformément aux règles définies dans la présente politique. En cas de doute, les données doivent être traitées comme confidentielles au minimum. Pour toute information à classer, veuillez consulter la direction de HGA. Les données publiques doivent être clairement identifiées ou leur diffusion publique doit être approuvée. Les données confidentielles et hautement sensibles doivent être signalées comme telles lorsque cela est possible (par exemple, la mention « Confidentiel » peut figurer dans l’en-tête ou le pied de page d’un document) afin d’inciter les personnes concernées à les traiter avec précaution.

Rôles et responsabilités

Une gouvernance des données adéquate exige que toutes les parties prenantes comprennent leurs responsabilités en matière de protection et de gestion des données. Les rôles et responsabilités suivants sont définis par la présente politique :

Personnel HGA (employés et consultants) : Toute personne travaillant avec ou pour HGA a la responsabilité fondamentale de protéger les données de HGA. L’ensemble du personnel doit se conformer à la présente politique et aux procédures associées. Cela implique de respecter les règles de traitement des données dans le cadre de son travail quotidien, de préserver la confidentialité des informations et de ne pas tenter de contourner les contrôles de sécurité. Le personnel doit classer les informations qu’il crée ou manipule conformément au système de classification des données de HGA et les traiter en conséquence. Il doit utiliser les données confidentielles et hautement sensibles uniquement à des fins professionnelles autorisées et ne pas les divulguer à des tiers non autorisés . Il est attendu de tout le personnel qu’il fasse preuve d’un niveau de diligence raisonnable pour protéger les données (au moins équivalent à celui qu’il appliquerait à la protection de ses propres informations sensibles). Si un employé ou un consultant n’est pas certain d’être autorisé à accéder à certaines données ou à les partager, il lui incombe de consulter un supérieur hiérarchique ou le responsable de la gouvernance des données avant de poursuivre. De plus, toute suspicion de violation de données ou d’incident de sécurité (perte, vol ou divulgation accidentelle de données) doit être signalée sans délai à la direction de HGA dès sa découverte (voir Gestion des incidents). La tolérance zéro est appliquée en cas de non-respect des politiques de sécurité connues ou de mauvaise gestion des données.
Direction générale : La direction de HGA (PDG, directeurs et autres cadres) est responsable de l’application de cette politique et de la mise à disposition des ressources et du soutien nécessaires à une gouvernance des données efficace. Elle doit promouvoir une culture de conformité et de protection des données, notamment en veillant à ce que l’ensemble du personnel et des consultants reçoivent une formation adéquate sur cette politique. La direction désigne également des personnes spécifiques pour les rôles clés en matière de gouvernance des données (par exemple, un délégué à la protection des données ou un responsable de la sécurité informatique, le cas échéant) et s’assure que des évaluations des risques et des audits sont réalisés régulièrement. En définitive, la direction est responsable du respect par HGA de ses obligations légales et contractuelles en matière de protection des données et de la mise en œuvre de mesures correctives en cas de non-conformité.
(Si désigné par HGA) – Cette personne (ou équipe) sera chargée de superviser la stratégie et la conformité en matière de protection des données et de confidentialité. Ses responsabilités incluent le contrôle du respect de la présente politique et des lois applicables en matière de protection des données, le conseil sur les analyses d’impact relatives à la protection des données pour les nouveaux projets, le rôle de point de contact pour les autorités de protection des données ou les demandes des clients, et la coordination des réponses aux demandes des personnes concernées (telles que les demandes d’accès ou de suppression). Le DPO / Responsable de la conformité devra se tenir informé des évolutions de la réglementation en matière de protection des données (RGPD, CCPA, etc.) et mettre à jour les politiques et pratiques de HGA en conséquence. Remarque : Compte tenu des activités internationales de HGA (y compris le traitement de données personnelles de l’UE), même si la désignation d’un DPO n’est pas légalement requise, HGA confiera la responsabilité de la supervision de la conformité en matière de protection des données à un membre du personnel ou à un conseiller juridique .
Équipe Systèmes et Sécurité Informatiques : Le personnel informatique de HGA, ainsi que les administrateurs de la plateforme numérique et des systèmes internes de HGA (y compris le responsable système décrit dans la documentation technique DevTender ), sont chargés de la mise en œuvre et du maintien des contrôles techniques nécessaires à l’application de cette politique. Leurs missions comprennent la gestion des droits d’accès des utilisateurs (attribution et révocation des accès système en fonction des changements de rôle), la maintenance des systèmes d’authentification (par exemple, l’application de mots de passe robustes et de l’authentification multifacteur), la configuration du chiffrement pour le stockage et le transfert des données, et la surveillance de l’activité du système afin de détecter tout comportement suspect. L’équipe informatique veille à ce que des sauvegardes régulières des données soient effectuées et stockées en toute sécurité, et que des plans de reprise d’activité soient en place et testés . Elle gère également les mises à jour logicielles, les correctifs de sécurité, la configuration des pare-feu et de la sécurité réseau, les protections anti-malware et autres mesures de protection de l’environnement numérique de HGA. L’équipe Sécurité Informatique réalise ou coordonne des audits de sécurité et des évaluations de vulnérabilité périodiques , et corrige les failles identifiées. En résumé, l’équipe informatique met en œuvre la section « Contrôles de sécurité » de cette politique et travaille en étroite collaboration avec la direction pour répondre aux incidents.
Personnel financier et administratif : Le personnel responsable des documents financiers (tels que les responsables des comptes fournisseurs et clients de HGA, les comptables, etc.) doit traiter les données financières et contractuelles conformément à la présente politique. Les documents financiers (y compris les contrats de consultants, les bons de commande, les factures, les relevés de paiement, etc.) contiennent souvent des informations personnelles et confidentielles ; ils doivent être classés comme confidentiels ou hautement sensibles, selon le cas, et stockés dans des systèmes sécurisés. Le personnel financier doit s’assurer que les données de cartes de paiement, si elles sont traitées, le sont conformément aux exigences PCI DSS (par exemple, ne jamais stocker les numéros de carte de crédit complets ni les codes CVV sous forme non chiffrée) . Il est également responsable du respect du calendrier de conservation des données pour les documents financiers et contractuels (généralement une conservation des documents pendant au moins 7 ans à des fins d’audit et de conformité). Si le personnel financier utilise des systèmes financiers ou des services cloud tiers, il doit collaborer avec les services informatiques et de conformité pour s’assurer que ces systèmes disposent de contrôles de sécurité et de protection des données adéquats.
Consultants externes : Les consultants mandatés par HGA (qui ne sont pas des employés à part entière, mais sont liés par le contrat de consultant de HGA) sont tenus de respecter la présente politique de gouvernance et de gestion des données lorsqu’ils traitent des données relatives à la plateforme, aux clients ou aux projets de HGA. Les consultants doivent protéger les données HGA ou les informations clients auxquelles ils accèdent avec le même niveau de vigilance et les mêmes obligations que le personnel de HGA . Conformément au contrat de consultant, toutes les données personnelles concernant le personnel de HGA ou les clients auxquelles un consultant pourrait avoir accès doivent être traitées comme confidentielles et protégées indéfiniment . Les consultants doivent utiliser les données uniquement aux fins de la mission pour laquelle ils sont mandatés et non à des fins personnelles ou non autorisées . Il leur est interdit de divulguer les informations confidentielles de HGA (y compris les données clients ou les données personnelles d’autres consultants) à des tiers, sauf si cela est nécessaire à la mission et autorisé par HGA . Les consultants doivent également s’assurer que les appareils ou comptes qu’ils utilisent pour accéder aux systèmes HGA respectent les exigences de sécurité de HGA (par exemple, en utilisant des mots de passe robustes et en ne partageant pas leurs identifiants de connexion). Si un client ou un donateur exige du consultant la signature d’un accord de confidentialité distinct ou le respect de règles spécifiques de traitement des données pour un projet, le consultant est tenu de s’y conformer comme condition de sa mission . Toute violation de la confidentialité ou utilisation abusive des données par un consultant est considérée comme une violation grave de son contrat avec HGA et peut entraîner la résiliation du contrat de conseil et, le cas échéant, des poursuites judiciaires. Les consultants sont encouragés à signaler à HGA tout problème ou incident de sécurité, au même titre que les employés, et coopéreront à toute enquête menée sur un incident.
Prestataires de services tiers : Bien qu’ils ne soient pas employés par HGA, les fournisseurs tiers ou les services cloud qui stockent ou traitent des données HGA (par exemple, les fournisseurs d’hébergement cloud, de messagerie, de CRM ou d’analyse de données) sont considérés comme relevant des responsabilités de HGA en matière de gestion des données. La direction de HGA doit s’assurer que des accords de traitement des données (ATD) ou des clauses contractuelles appropriées sont en place avec ces tiers, les obligeant à mettre en œuvre des mesures de protection des données adéquates, conformément à la présente politique et aux lois applicables. Les fournisseurs peuvent être tenus de se soumettre à des évaluations ou des audits de sécurité et doivent informer HGA en cas de violation de données de leur côté. HGA ne fera appel qu’à des sous-traitants qui offrent des garanties suffisantes quant à leurs contrôles de sécurité et leur conformité (par exemple, les fournisseurs de services cloud certifiés selon des normes de sécurité reconnues internationalement). Les services informatiques et de conformité doivent tenir un inventaire des sous-traitants de données tiers et évaluer régulièrement leurs performances et leur respect des obligations en matière de protection des données.

En définissant clairement ces rôles et devoirs, HGA vise à créer un modèle de responsabilité partagée pour la gouvernance des données. Chaque personne et partenaire a un rôle à jouer pour garantir le bon traitement des données. Tout manquement à ses responsabilités peut mettre en danger les données et l’organisation et sera traité conformément aux dispositions relatives à l’application de la présente politique.

Règles relatives au traitement des données

Les règles suivantes régissent la manière dont les données doivent être traitées à chaque étape de leur cycle de vie : depuis leur collecte ou leur création, en passant par leur utilisation active et leur stockage, jusqu’à leur conservation et leur suppression. Ces règles s’appliquent conformément au niveau de classification des données (public, confidentiel, hautement sensible) tel que défini ci-dessus. Tout le personnel de HGA est tenu de respecter strictement ces règles.

Collecte de données

HGA ne collecte de données personnelles et autres informations sensibles que pour des finalités commerciales spécifiques et légitimes , et uniquement dans la mesure nécessaire à ces finalités. Ceci est conforme au principe de minimisation des données prévu par des réglementations telles que le RGPD, qui exige que les données collectées soient « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités » pour lesquelles elles sont traitées . Lorsque HGA demande à des personnes (consultants, employés ou autres) de fournir des données, elle s’assure de l’existence d’un besoin clair et d’une base légale pour chaque donnée.

La collecte de données sera effectuée de manière licite, loyale et transparente . Concrètement, cela signifie que HGA informera les personnes concernées des données collectées et de leur finalité. Par exemple, lors de leur inscription sur la plateforme numérique HGA, les consultants fournissent des informations personnelles et professionnelles afin d’être mis en relation avec des missions de conseil ; la politique de confidentialité ou le formulaire de consentement de la plateforme précisera cette finalité. HGA obtiendra le consentement de la personne concernée pour la collecte de données lorsque cela est requis (par exemple, pour toute utilisation de données personnelles allant au-delà de ce qui est nécessaire à l’exécution du contrat ou à la poursuite d’intérêts légitimes). Dans d’autres cas, la collecte peut être justifiée par un contrat (par exemple, la collecte d’informations bancaires pour le paiement d’un consultant) ou par une obligation légale. Quel que soit le fondement juridique, aucune donnée personnelle ne sera collectée en secret ou à l’insu de la personne concernée – HGA ne pratique aucune collecte de données clandestine.

Lors de la collecte de données auprès de tiers ou de sources publiques (par exemple, si HGA obtient des informations de référence ou des données de profil public concernant un consultant pour l’aider dans ses propositions), le personnel de HGA doit s’assurer que cette collecte est conforme aux conditions d’utilisation et que les données sont pertinentes et non excessives.

HGA s’engage à éviter la collecte de données personnelles sensibles (telles que l’origine raciale ou ethnique, les opinions politiques, les données de santé, etc.) sauf si cela est absolument nécessaire à une fin précise et autorisé par la loi. De manière générale, les activités de HGA ne requièrent pas ce type de données sensibles, et nos systèmes ne sont pas conçus pour les demander. En cas d’exception (par exemple, si un client exige des vérifications d’antécédents ou des certifications impliquant des données de santé ou d’identité), HGA traitera chaque cas individuellement, en appliquant les garanties appropriées et en obtenant le consentement du client.

En résumé, ne collectez que les données nécessaires et expliquez clairement et honnêtement pourquoi nous en avons besoin. Tous les formulaires, applications et processus de collecte de données chez HGA doivent être conçus dans cette optique : recueillir le minimum d’informations requises et fournir aux utilisateurs des informations sur la protection de leurs données. Les pratiques de collecte de données seront revues périodiquement afin de garantir leur conformité aux principes de limitation des finalités et de minimisation des données.

Stockage des données

Toutes les données doivent être stockées de manière sécurisée et adaptée à leur niveau de sensibilité. HGA met en œuvre une combinaison de mesures techniques et organisationnelles pour protéger les données au repos (stockées). Les principales règles de stockage des données sont les suivantes :

Utilisation de systèmes sécurisés : Les données confidentielles et hautement sensibles doivent être stockées exclusivement dans des systèmes ou emplacements sécurisés et approuvés. Cela inclut les bases de données cloud de HGA, les services de stockage chiffrés et les serveurs sur site (le cas échéant) ayant été validés par l’équipe informatique. Les données ne doivent pas être stockées sur des appareils personnels non approuvés ni sur des comptes cloud personnels. Par exemple, les consultants doivent éviter de télécharger les ensembles de données clients sur leurs ordinateurs portables personnels ; ils doivent plutôt utiliser la plateforme HGA ou le stockage sécurisé fourni par HGA. Si un stockage local temporaire est nécessaire (par exemple, pour travailler sur un document hors ligne), l’utilisateur doit s’assurer que l’appareil est chiffré et sécurisé, et que les données sont transférées vers un référentiel approuvé dès que possible, puis supprimées de l’appareil local.
Chiffrement : HGA met en œuvre le chiffrement des données au repos dans ses systèmes. Toutes les informations personnelles sensibles et les identifiants contenus dans les bases de données sont chiffrés à l’aide d’algorithmes robustes (par exemple, AES-256) . Les bases de données de la plateforme numérique de HGA sont protégées par des pare-feu et utilisent le chiffrement pour protéger les données contre tout accès non autorisé . De même, tous les documents téléchargés (tels que les CV des consultants, les contrats ou les rapports) sont stockés sous forme chiffrée (par exemple, les documents dans le cloud sont stockés dans des compartiments Amazon S3 avec chiffrement côté serveur activé) . Les clés de chiffrement et les mots de passe sont gérés de manière sécurisée par le service informatique ; ils ne sont ni stockés en clair ni partagés de manière inappropriée.
Contrôle d’accès au stockage : Les emplacements de stockage (bases de données, répertoires de fichiers, dossiers SharePoint/Drive, etc.) doivent être configurés avec des autorisations d’accès afin que seuls les utilisateurs ou systèmes autorisés puissent accéder aux données. Un contrôle d’accès basé sur les rôles est utilisé pour restreindre les personnes autorisées à consulter ou à modifier les données dans chaque système. Par exemple, la base de données des consultants est accessible uniquement au personnel de HGA qui doit gérer les profils, et chaque consultant ne peut consulter que ses propres données ; les documents financiers sont accessibles uniquement au personnel financier et à la direction. L’administrateur système veille à ce que, pour chaque référentiel de données, les droits d’accès soient accordés selon le principe du moindre privilège.
Prévention du stockage non autorisé : Il est rappelé aux employés et aux consultants que les données confidentielles ou hautement sensibles ne doivent jamais être stockées dans des emplacements non sécurisés tels que les dossiers publics, les partages ouverts, les clés USB non chiffrées ou les comptes de messagerie personnels. HGA propose des solutions de stockage sécurisé ; si un espace de stockage sécurisé supplémentaire est nécessaire, il convient d’en faire la demande auprès du service informatique. Par ailleurs, l’impression de données sensibles doit être réduite au minimum ; si des copies physiques sont réalisées, elles doivent être conservées en lieu sûr (par exemple, dans des armoires verrouillées) et détruites lorsqu’elles ne sont plus nécessaires.
Segmentation des données : Le cas échéant, HGA segmente les données par environnement et finalité. Par exemple, les données de production sont séparées des données des environnements de test et de développement ; les données personnelles utilisées pour les tests ou la formation (le cas échéant) sont anonymisées ou masquées. HGA distingue également les données par client ou projet, selon les besoins, afin d’éviter tout mélange inapproprié de données.
Stockage des sauvegardes : Les copies de sauvegarde des données sont stockées en toute sécurité. Les sauvegardes des systèmes critiques sont chiffrées et stockées hors site ou dans un espace de stockage cloud à accès contrôlé . L’accès aux sauvegardes est limité aux administrateurs informatiques. (Pour plus d’informations sur les sauvegardes et la reprise après sinistre, consultez la section « Contrôles de sécurité » .)

En résumé, toutes les données stockées sont protégées conformément à leur classification . HGA utilise des normes de sécurité modernes pour protéger les données au repos, et les employés et consultants doivent veiller à ne stocker les données que dans des emplacements autorisés et sécurisés. En cas de doute sur la sécurité ou l’autorisation d’une méthode de stockage (par exemple, l’utilisation d’un nouvel outil SaaS pour stocker des données HGA), veuillez consulter l’équipe de sécurité informatique avant toute mise en œuvre.

Accès aux données

L’accès aux données est restreint en fonction des besoins de l’entreprise et du rôle de chacun, conformément à la classification des données. Les règles suivantes régissent l’accès aux données :

Contrôle d’accès basé sur les rôles (RBAC) : les systèmes HGA mettent en œuvre le RBAC, ce qui signifie que les utilisateurs se voient attribuer des autorisations d’accès au système et aux données en fonction de leur rôle au sein de l’organisation ou de la plateforme. Par exemple, un consultant se connectant à la plateforme HGA peut accéder à son propre profil et à ses applications, mais pas aux données des autres consultants ; un développeur commercial HGA peut consulter et gérer les annonces de missions et les profils des consultants ; un administrateur système dispose d’un accès plus étendu à la configuration du système, mais ne peut pas nécessairement accéder aux données personnelles, sauf si cela est nécessaire pour le support. Ces rôles et les autorisations associées sont définis dans la conception du système et appliqués par la logique applicative et les requêtes de base de données. Aucun utilisateur ne doit tenter d’accéder à des données en dehors du cadre de son rôle. Si le rôle d’un utilisateur change ou s’il quitte HGA, ses droits d’accès doivent être rapidement ajustés ou révoqués par l’équipe informatique.
Principe du moindre privilège : même au sein d’un même rôle, les utilisateurs et les processus doivent fonctionner avec le niveau d’accès minimal nécessaire. Par exemple, si certaines données financières ne sont nécessaires qu’au personnel du service financier, les autres employés ne doivent pas y avoir accès dans les systèmes. Dans la mesure du possible, les actions sensibles (comme l’exportation de grands ensembles de données ou la suppression d’enregistrements) sont réservées à des administrateurs spécifiques. Le nombre de comptes d’administration (disposant de droits d’accès étendus) est limité et ils ne sont utilisés qu’en cas de nécessité. HGA examine régulièrement les droits d’accès des utilisateurs afin de s’assurer que les autorisations restent appropriées (au moins une fois par an, et lors de l’intégration/du départ des employés ou des modifications de contrats de consultants).
Sécurité de l’authentification : Tout accès aux systèmes HGA contenant des données confidentielles ou hautement sensibles doit être sécurisé par une authentification forte. L’authentification multifacteurs (AMF) est obligatoire pour toute connexion utilisateur à la plateforme numérique HGA et aux systèmes internes. Cela signifie que les utilisateurs doivent fournir un deuxième facteur d’authentification (tel qu’un code à usage unique via une application d’authentification ou par SMS) en plus de leur mot de passe, ce qui réduit considérablement le risque de compromission des identifiants. Les mots de passe doivent respecter les normes de complexité de HGA (composante complexe, longueur minimale, absence de mots courants) et les mots de passe par défaut ou temporaires doivent être modifiés immédiatement après leur première utilisation . Le système informatique impose des changements réguliers de mots de passe ou envoie des rappels périodiques afin d’éviter l’obsolescence des identifiants. Le partage de mots de passe ou de comptes est strictement interdit ; chaque utilisateur est responsable de toutes les actions effectuées avec ses propres identifiants.
Journalisation et surveillance des accès : Les systèmes conservent des journaux d’accès et d’actions des utilisateurs, notamment pour les opérations privilégiées sur des données confidentielles ou hautement sensibles. Par exemple, si un membre du personnel consulte le profil personnel d’un consultant ou télécharge un document, cette action peut être enregistrée. Les journaux d’accès sont surveillés afin de détecter les schémas d’accès inhabituels pouvant indiquer une activité non autorisée. Les outils de surveillance de sécurité de HGA (décrits dans la section « Contrôles de sécurité ») génèrent des alertes si, par exemple, un utilisateur tente d’accéder à des données auxquelles il ne devrait pas avoir accès, ou si un compte présente un comportement suspect (comme l’accès à une grande quantité de données en peu de temps).
Accès distant et physique : Le personnel et les consultants de HGA travaillent souvent à distance ; par conséquent, la sécurité des accès est primordiale. L’accès distant aux outils internes de HGA (tels que les panneaux d’administration ou les bases de données) s’effectue via un VPN sécurisé ou des connexions chiffrées. L’accès physique aux ordinateurs de bureau de HGA et aux serveurs sur site est contrôlé : les bureaux doivent être verrouillés en cas d’absence et les serveurs (le cas échéant) sont situés dans des emplacements sécurisés. Les consultants et le personnel utilisant des appareils personnels pour accéder à leur messagerie ou aux systèmes doivent s’assurer que ces appareils sont correctement sécurisés (système d’exploitation à jour, antivirus, chiffrement et verrouillage de l’écran). En cas de perte ou de vol d’un appareil ayant accès aux données de HGA, il convient de le signaler immédiatement afin que l’accès puisse être révoqué et, si possible, qu’un effacement à distance des données puisse être tenté.
Partage des données strictement nécessaires : Les utilisateurs ayant accès à des données confidentielles/hautement sensibles ne doivent pas les partager avec quiconque (au sein ou en dehors de HGA) qui n’a pas besoin d’en connaître. Le simple fait d’avoir accès à un système n’autorise pas sa diffusion libre. Par exemple, un employé de HGA disposant d’une exportation de base de données ne doit pas envoyer ce fichier par courriel à un collègue, sauf si ce dernier est autorisé à consulter ces informations. Les équipes internes doivent utiliser les outils de collaboration sécurisés fournis par HGA et respecter les directives internes de partage des données. Les données personnelles, en particulier, sont strictement contrôlées ; en cas de doute quant à l’autorisation d’accès, il est préférable de consulter un supérieur hiérarchique.

En résumé, l’accès aux données est strictement limité aux personnes qui en ont besoin et applique le principe du moindre privilège . Grâce à une combinaison de mesures techniques (contrôle d’accès basé sur les rôles, authentification multifacteur, journalisation) et de mesures de conformité (sensibilisation et discipline des utilisateurs), HGA garantit que chacun n’accède qu’aux données auxquelles il est autorisé. Toute tentative de contournement des contrôles d’accès (par exemple, l’utilisation de l’identifiant d’une autre personne ou l’exploitation d’une faille du système pour récupérer des données) constitue une violation de cette politique et entraînera des sanctions disciplinaires.

Utilisation des données

L’utilisation des données désigne tout traitement ou toute exploitation des données au sein de HGA après leur collecte et leur consultation. Toute utilisation des données doit être conforme aux finalités pour lesquelles elles ont été collectées et aux conditions convenues avec les personnes concernées ou les clients. Les règles d’utilisation des données sont les suivantes :

Limitation de la finalité : Les données personnelles ne doivent être utilisées qu’aux fins spécifiques et explicites pour lesquelles elles ont été collectées (ou à d’autres fins expressément autorisées). Par exemple, si HGA collecte des informations sur des consultants afin de les affecter à des projets, l’utilisation de ces données pour préparer une proposition à un client est acceptable (et attendue). En revanche, l’utilisation de ces mêmes données à des fins non liées (comme la commercialisation d’un produit auprès du consultant, sans son consentement) serait contraire à la finalité initiale et est interdite. Le personnel et les consultants de HGA ne doivent ni détourner ni exploiter les données à des fins incompatibles avec ce qui a été communiqué à la personne concernée. Si une nouvelle utilisation des données survient, HGA sollicitera un nouveau consentement ou s’assurera de l’existence d’une base légale avant de procéder. Toutes les données personnelles doivent être utilisées uniquement à des fins commerciales légitimes liées aux services et contrats de HGA [16] .
Minimisation des données en usage : Même lors de la collecte et du stockage de données, les employés ne doivent utiliser ou divulguer que les données strictement nécessaires à l’exécution d’une tâche. Par exemple, lors de la génération d’un rapport ou du partage d’informations, il convient d’éviter d’inclure des données personnelles inutiles. En interne, il est préférable de ne pas diffuser des ensembles de données complets si un résumé suffit. Si l’on vous demande de fournir des données à un client ou un partenaire, examinez la possibilité de les anonymiser ou de les agréger. Par exemple, si un client souhaite consulter les profils de consultants potentiels, HGA peut partager les CV pertinents, mais ne doit pas diffuser d’informations personnelles superflues qui ne sont pas nécessaires à la prise de décision du client.
Utilisation personnelle non autorisée : les ressources de données de HGA sont exclusivement réservées à l’usage interne de HGA. Les employés et les consultants ne sont pas autorisés à utiliser les bases de données, les informations clients ou toute donnée non publique de HGA à des fins personnelles ou pour des activités non professionnelles. Par exemple, il est strictement interdit d’interroger la base de données des consultants pour constituer une liste de contacts pour un projet externe ou de rechercher des informations sur un projet par simple curiosité personnelle. Toute utilisation abusive des données internes à des fins non autorisées par HGA constitue une grave violation de la confiance.
Contrôles du partage et de la divulgation : Lors de l’utilisation des données, veuillez respecter les règles de partage des données (section suivante). Toute divulgation de données dans le cadre de leur utilisation (par exemple, l’envoi de données à un tiers, la publication d’un document) doit être validée. En aucun cas, les données confidentielles ou hautement sensibles ne doivent être partagées en dehors de HGA, sauf si cela correspond à un objectif commercial autorisé et est assorti de garanties et d’approbations appropriées . Par exemple, l’envoi à un client d’un rapport contenant une analyse sensible est acceptable s’il fait partie du projet ; en revanche, la publication de ce même rapport ou son envoi à un autre client sont interdits sans autorisation.
Anonymisation et pseudonymisation : Dans la mesure du possible, notamment pour les analyses et les tests, HGA devrait utiliser des données anonymisées ou pseudonymisées. Avant d’utiliser des données personnelles réelles pour l’entraînement d’un algorithme d’IA ou pour réaliser une analyse à grande échelle, il convient d’examiner si l’objectif peut être atteint avec des données anonymisées (dont les identifiants directs sont supprimés ou masqués). L’équipe technique de HGA devrait intégrer le principe de protection des données dès la conception, c’est-à-dire concevoir des systèmes qui limitent l’identification des personnes sauf en cas de nécessité.
Exactitude et actualité des données : Tous les utilisateurs de données doivent veiller à ce qu’elles restent exactes et à jour. Si, lors de leur utilisation, il s’avère que certaines données sont incorrectes ou obsolètes (par exemple, si les coordonnées d’un consultant ont changé ou si une erreur de saisie est détectée dans un enregistrement), les utilisateurs doivent les mettre à jour dans le système de référence ou en informer l’équipe de gestion des données. Ceci contribue à la qualité des données : garantir que les décisions sont prises sur la base de données correctes et réduire le risque d’utiliser des informations erronées.
Conformité lors de l’utilisation : L’utilisation des données doit également être conforme aux lois et aux exigences contractuelles. Par exemple, le RGPD encadre non seulement la collecte, mais aussi tout profilage ou prise de décision automatisée utilisant des données personnelles. Si HGA utilise un agent d’IA pour soumettre automatiquement les candidatures de consultants, elle doit garantir l’équité du processus et permettre aux personnes concernées d’examiner les décisions prises par l’IA . HGA s’abstiendra de toute utilisation discriminatoire ou contraire à l’éthique des données. Toute utilisation des données devra également respecter les droits de propriété intellectuelle et les obligations de confidentialité. En cas d’utilisation de données fournies par le client ou par un tiers, les restrictions d’utilisation imposées par ces derniers devront être respectées.

En résumé, les données doivent être utilisées uniquement aux fins prévues et dans le respect de la vie privée des personnes concernées et des engagements de HGA . Toute utilisation des données qui pourrait paraître douteuse doit être validée par le délégué à la protection des données/à la conformité ou par la direction avant toute mise en œuvre.

Partage des données

Le partage de données désigne le transfert ou la divulgation de données de HGA à un tiers, voire entre services ou personnes en interne, en dehors du contexte initial. Le partage pouvant accroître le risque d’accès non autorisé ou d’utilisation abusive, il est soumis à des règles strictes.

Partage interne (Besoin d’en connaître) : Au sein de HGA, les données confidentielles et hautement sensibles ne peuvent être partagées qu’avec les collègues qui ont un besoin légitime d’en connaître dans le cadre de leurs fonctions . Même en interne, employés et consultants doivent faire preuve de discrétion. Par exemple, un employé de HGA en charge du recrutement de consultants peut partager le profil d’un consultant avec un développeur commercial pour une opportunité de projet, mais il serait inapproprié de partager ce même profil avec des équipes non concernées qui n’en ont pas besoin. Lors de partages internes, utilisez des canaux sécurisés (par exemple, le partage de fichiers interne de HGA ou une messagerie chiffrée) plutôt que les messageries instantanées publiques ou les courriels personnels. Indiquez clairement la nature confidentielle de l’information si cela n’est pas évident, afin que le destinataire sache qu’il doit la traiter avec précaution.
Partage externe avec les clients/donateurs : Une part essentielle des activités de HGA consiste à présenter les informations relatives aux consultants à ses clients (agences des Nations Unies, Banque mondiale, etc.) dans le cadre d’opportunités de projets. Ce partage est autorisé et même attendu, à condition qu’il soit effectué dans le but légitime d’obtenir ou d’exécuter un contrat et qu’il se limite à ce qui est nécessaire . HGA ne partagera les CV, les qualifications et les données personnelles nécessaires des consultants avec ses clients ou les organismes donateurs que dans la mesure où cela est requis pour les propositions, la gestion de projet ou les vérifications de conformité . Par exemple, il est permis de joindre le CV et le formulaire de renseignements personnels d’un consultant à une proposition. Toutefois, HGA ne partagera aucune donnée personnelle sans lien avec le projet (par exemple, les identifiants personnels dont le client n’a pas besoin) et ne divulguera aucune donnée des consultants à des tiers autres que le client/donateur concerné sans leur consentement. Conformément au contrat de consultant, HGA s’engage à ne pas dénaturer ni altérer les informations d’un consultant lors de leur partage avec ses clients et à s’assurer que tout client recevant ces données a consenti à une obligation de confidentialité appropriée (généralement stipulée dans les clauses contractuelles ou les accords de confidentialité du client). Si un client demande des informations hautement sensibles (comme des copies de passeports ou de certificats) à des fins de vérification préalable, HGA ne les transmettra que par des moyens sécurisés et s’assurera que le client les traitera conformément à la loi.
Partage avec des sous-traitants : HGA peut parfois faire appel à des services externes pour traiter ou stocker des données (par exemple, un service de marketing par courriel ou une plateforme d’analyse dans le cloud). Avant de partager des données personnelles ou confidentielles avec ces services tiers, HGA doit s’assurer de la mise en place d’un accord de traitement des données conforme aux exigences, comme indiqué dans la section « Rôles et responsabilités ». Le tiers doit s’engager à respecter la confidentialité et à assurer une sécurité adéquate. Seules les données nécessaires au service doivent être partagées (par exemple, si un service de traduction automatique est utilisé pour un document, il convient d’éviter d’envoyer des documents contenant des données personnelles, sauf en cas d’absolue nécessité). Les données transmises à des outils tiers doivent être chiffrées lors de leur transfert (par exemple, en utilisant des connexions HTTPS ou un système de transfert de fichiers sécurisé). De plus, HGA vérifie que les serveurs du tiers sont situés dans des juridictions conformes à ses règles de transfert de données (par exemple, en cas de transfert de données personnelles de l’UE vers un sous-traitant situé hors de l’UE, des mécanismes de transfert légaux tels que les clauses contractuelles types ou une décision d’adéquation sont en place ).
Transferts transfrontaliers de données : HGA opère à l’international et des données (notamment les données personnelles des consultants et des clients) peuvent être transférées au-delà des frontières nationales (par exemple, stockées sur des serveurs cloud aux États-Unis ou consultées par le personnel de HGA en déplacement à l’étranger). Tous les transferts transfrontaliers de données personnelles doivent être conformes à la législation applicable en matière de protection des données. Pour les données personnelles de l’UE, HGA les conserve sur des serveurs situés dans des juridictions jugées adéquates par l’UE ou utilise des garanties approuvées par l’UE, telles que les clauses contractuelles types, et obtient le consentement des personnes concernées lorsque cela est requis . Les consultants ont consenti au transfert et au stockage de leurs données à l’international dans le cadre de leur contrat , et HGA s’engage à protéger ces données, quel que soit leur emplacement, conformément aux normes du RGPD. Concrètement, cela signifie que si HGA partage des données avec, par exemple, un fournisseur de services cloud basé aux États-Unis, elle le fera dans le cadre d’accords garantissant le respect des principes du RGPD.
Méthode de partage : Lors du partage de données confidentielles/hautement sensibles avec des tiers (lorsqu’il y est autorisé), le personnel de HGA doit utiliser des méthodes de transmission sécurisées. Cela inclut l’utilisation de courriels chiffrés (ou de fichiers protégés par mot de passe), de portails de transfert de fichiers sécurisés ou le téléchargement sur les systèmes sécurisés du client. Les données ne doivent pas être simplement jointes en clair à un courriel ni envoyées par des canaux non sécurisés. Par exemple, lors de l’envoi d’un rapport financier à un donateur, il est recommandé de chiffrer le PDF avec un mot de passe et de communiquer ce mot de passe par un canal distinct. Pour les données extrêmement sensibles, il est préférable de privilégier un lien de téléchargement sécurisé et temporaire plutôt que des pièces jointes permanentes aux courriels.
Partage interdit : Certains types de partage de données sont formellement interdits. HGA ne vend pas de données personnelles à des tiers. HGA ne partage aucune donnée personnelle avec des tiers à des fins de marketing ou pour des objectifs sans lien avec ses activités, sans le consentement explicite des personnes concernées. De plus, le personnel de HGA doit s’abstenir de divulguer des informations confidentielles, professionnelles ou personnelles, sur les forums publics ou les réseaux sociaux. Même dans un cadre professionnel, la prudence est de mise : par exemple, ne partagez pas les informations d’un client ou les détails d’un projet avec un autre client ou une personne extérieure sans autorisation.
Exigences des clients et des donateurs : Dans certains cas, les clients ou les donateurs peuvent imposer des restrictions supplémentaires au partage des données. Par exemple, une agence des Nations Unies peut exiger que tous les documents de projet restent confidentiels et ne soient pas publiés ailleurs, ou une banque de développement peut avoir des règles concernant la diffusion des données d’évaluation. HGA se conformera à toutes ces exigences contractuelles. Si un contrat client comporte une règle plus stricte (par exemple, interdisant la diffusion publique de toute donnée de projet pendant X années, ou exigeant que les données soient stockées uniquement à certains endroits), ces règles seront intégrées au processus de HGA pour ce projet. Les consultants de HGA sont informés et doivent se conformer à toutes les dispositions relatives aux données spécifiques au client (comme indiqué, en signant un accord de confidentialité distinct si nécessaire).

En résumé, le partage de données est strictement encadré et ne doit être effectué que pour des raisons légitimes, par des méthodes sécurisées et avec les autorisations requises . Tous les employés et consultants doivent examiner attentivement la situation avant de diffuser des informations confidentielles : qui les reçoit ? Ces personnes sont-elles autorisées à les recevoir ? Le mode de transmission est-il sécurisé ? En cas de doute, veuillez consulter la politique en vigueur ou le responsable de la conformité.

Conservation des données

HGA ne conserve les données que le temps nécessaire à la réalisation des finalités pour lesquelles elles ont été collectées ou pour satisfaire aux obligations légales, contractuelles ou réglementaires. La conservation excessive des données peut engendrer des risques pour la confidentialité et la sécurité ; c’est pourquoi HGA a défini des durées de conservation pour différentes catégories de données, conformément aux principes de minimisation et de limitation de la conservation des données . Passé ce délai, les données doivent être détruites de manière sécurisée. Les règles de conservation sont conformes aux meilleures pratiques du secteur, notamment aux attentes des donateurs et aux réglementations telles que le RGPD, qui insistent sur la nécessité de ne pas conserver les données personnelles plus longtemps que nécessaire.

Voici quelques directives clés en matière de fidélisation :

Documents financiers et contractuels : Les documents tels que les contrats (y compris les contrats de consultants et les contrats clients), les ordres de travail, les factures, les justificatifs de paiement et les journaux de transactions financières sont généralement conservés pendant au moins sept (7) ans . Cette durée est conforme aux exigences légales courantes (par exemple, le droit fiscal, les normes comptables et les exigences d’audit des bailleurs de fonds). De nombreux projets multilatéraux financés par des bailleurs de fonds exigent que la documentation soit disponible pour audit pendant plusieurs années après la fin du projet (souvent de 5 à 7 ans). HGA utilise une durée de 7 ans comme norme afin de garantir le respect des exigences les plus strictes. Dans certaines juridictions ou certains cas, ces documents peuvent être conservés plus longtemps si nécessaire (ou indéfiniment pour les documents d’entreprise essentiels), mais 7 ans constituent la durée minimale pour les documents opérationnels de cette catégorie.
Candidatures de consultants (non retenues) : Les candidatures soumises par les consultants pour des missions – y compris celles soumises automatiquement par l’IA de HGA – seront conservées pendant une durée limitée si elles n’aboutissent pas à une mission. Concrètement, si la candidature d’un consultant n’est pas retenue (le consultant n’est pas sélectionné), HGA conservera les données de sa candidature pendant deux (2) ans maximum à compter de la date de dépôt. Cette période de deux ans permet à HGA de consulter les candidatures antérieures (par exemple, pour améliorer la mise en relation par l’IA ou pour proposer le consultant à des opportunités similaires dans un délai raisonnable) sans conserver indéfiniment les données personnelles relatives aux missions refusées. Cette pratique est conforme aux normes courantes de conservation des données RH, selon lesquelles les candidatures non retenues sont conservées pendant une période donnée (souvent de 1 à 2 ans) puis supprimées . Après deux ans, ces données seront supprimées ou anonymisées dans notre système. (Si le consultant souhaite que ses données soient supprimées plus tôt, il peut en faire la demande, ce à quoi HGA donnera suite sous réserve du respect des obligations légales.)
Profils et données personnelles des consultants : Les données des comptes des consultants sur la plateforme numérique HGA (par exemple, informations de profil, CV, qualifications, références) sont conservées tant que le consultant est actif au sein de notre réseau. Si un consultant devient inactif ou demande la fermeture de son compte, HGA archive ses données et les supprime de la plateforme. En règle générale, les données personnelles d’un consultant inactif sont supprimées après deux ans d’inactivité, sauf en cas d’obligations contractuelles ou légales de conservation. Toutefois, certains éléments peuvent être conservés plus longtemps si le consultant a mené à bien des projets (voir point suivant) ou si leur conservation est nécessaire en cas de litige. Les consultants ont le droit de demander la suppression de leurs données personnelles ; HGA se conformera à ces demandes dans la mesure du possible, après avoir conservé les données requises par la loi (par exemple, les justificatifs de paiement ou les contrats). Concrètement, une fois tous les délais de conservation applicables expirés, les données personnelles du consultant sont supprimées de nos systèmes (seules les informations minimales d’identification sont conservées dans une liste d’exclusion, le cas échéant, afin d’éviter tout nouveau contact).
Livrables et rapports de projet : Les documents et données produits dans le cadre des projets de conseil (livrables, rapports, études, analyses) et les communications relatives au projet sont conservés pendant au moins sept (7) ans après la fin du projet. Ils font souvent partie des archives contractuelles avec le client et peuvent être nécessaires pour des références ultérieures, des audits ou des projets de suivi. Les projets financés par des bailleurs de fonds précisent généralement une durée de conservation des livrables (généralement de 5 à 7 ans) dans leurs contrats, et HGA respecte ces exigences. Par conséquent, sauf stipulation contraire dans le contrat, la durée de conservation par défaut est de 7 ans. Passé ce délai, les livrables peuvent être archivés ou supprimés selon le cas. (Les livrables publics ou publiés peuvent être conservés plus longtemps dans les archives, mais les données de travail internes associées sont soumises aux règles de conservation.)
Informations relatives aux clients et aux contacts : Les informations concernant les organisations clientes ou leurs contacts (noms, adresses électroniques, historique des projets, etc.) sont conservées pendant toute la durée de la relation commerciale et selon les besoins du développement des affaires. À la fin d’une mission, les informations essentielles sont conservées pour la gestion de la relation client et l’archivage des missions passées (souvent indéfiniment dans les systèmes CRM à titre de référence). Les données personnelles du personnel du client sont tenues à jour et supprimées sur demande ou si elles sont obsolètes. Lorsque la loi l’exige (par exemple, pour les personnes physiques de l’UE exerçant leurs droits en vertu du RGPD), HGA supprime ou anonymise les données de contact devenues inutiles.
Tickets d’assistance et communications : Les enregistrements des demandes d’assistance, des tickets d’assistance et des demandes générales soumises via le système d’assistance de HGA seront conservés pendant environ deux ans après la résolution du ticket . Cela permet à HGA d’analyser les tendances d’assistance et de se référer aux problèmes récents s’ils se reproduisent. Les enregistrements d’assistance datant de plus de deux ans seront supprimés ou anonymisés, sauf s’ils contiennent des informations devant être conservées plus longtemps pour des raisons légales. Les communications par courriel interne ne sont généralement pas supprimées systématiquement, mais HGA pourrait mettre en place ultérieurement des limites de conservation des courriels (par exemple, un archivage automatique ou une suppression après un certain nombre d’années) afin de gérer le stockage. Les communications importantes qui constituent des documents commerciaux doivent être enregistrées dans un référentiel approprié (et relèvent donc d’autres catégories telles que les documents de projet ou les contrats). Les courriels non archivés peuvent être supprimés périodiquement par les utilisateurs ou le service informatique conformément à la politique de conservation (généralement deux à trois ans pour les communications courantes, sauf en cas d’obligation de conservation pour litige).
Journaux système : Les journaux système et de sécurité (journaux de connexion des utilisateurs, événements système, etc.) sont conservés pendant une période plus courte, généralement de 6 à 12 mois , pour des raisons de stockage et de pertinence. Ils servent au dépannage et aux audits de sécurité. Par exemple, les journaux d’accès web peuvent être conservés pendant 6 mois et les journaux d’audit des accès aux bases de données pendant 1 an. Passé ce délai, ils sont supprimés de manière sécurisée, sauf si une enquête exige une conservation plus longue. Les statistiques agrégées issues des journaux (sans identifiants personnels) peuvent être conservées plus longtemps à des fins d’analyse.
Conservation légale et exceptions : Si HGA a connaissance de procédures judiciaires, d’enquêtes ou de litiges exigeant la conservation de certaines données ( conservation pour litige ), ces documents spécifiques ne doivent pas être supprimés, même si leur délai de conservation est expiré. Par exemple, si un consultant ou un client est en litige avec HGA, les communications et les fichiers pertinents seront conservés jusqu’à la résolution du problème, nonobstant le calendrier de conservation standard. De même, si une loi ou une réglementation impose une durée de conservation plus longue que celle prévue par HGA (par exemple, certains documents fiscaux ou relatifs à l’emploi peuvent être soumis à une obligation de conservation de 10 ans dans certaines juridictions), HGA se conformera à la loi. Inversement, si la loi exige une suppression plus rapide (par exemple, certaines juridictions limitent la durée de conservation de certaines données personnelles), ces dispositions prévaudront sur notre calendrier de conservation par défaut.

Le tableau ci-dessous récapitule les durées de conservation des principales catégories de données gérées par HGA :

Catégorie de données	Période de rétention	Notes
Documents financiers et contrats	7 ans (minimum)	Comprend les factures, les relevés de paiement, les contrats de consultants, les contrats clients et les bons de commande. Peut être conservé plus longtemps si le donateur ou la loi l’exige .
Livrables et rapports du projet	7 ans après l’achèvement du projet	Conforme aux exigences d’audit des donateurs, sauf stipulation contraire dans le contrat client. Les documents essentiels du projet sont archivés à titre de référence.
Candidatures de consultant (non retenues)	2 ans à compter de la date de dépôt de la demande	Suppression automatique après 2 ans si aucune interaction n’est constatée . Facilite les opportunités futures dans les délais impartis ; minimise le stockage à long terme des données personnelles.
Profils des consultants et données personnelles	Durée d’activité + environ 2 ans après l’inactivité	Suppression du compte deux ans après le départ du consultant de la plateforme ou sa demande de suppression (sous réserve des obligations légales de conservation). Les données principales du profil sont supprimées des systèmes actifs ; seules les informations minimales sont conservées, le cas échéant, à des fins comptables ou pour éviter une nouvelle inscription.
Tickets d’assistance et demandes des clients	2 ans après la résolution	Utilisé pour l’amélioration du service. Les tickets les plus anciens sont supprimés, sauf s’ils contiennent des informations qui doivent être conservées pour des raisons légales.
Journaux d’accès au système	environ 1 an	Journaux de sécurité et d’accès à des fins d’audit. Ils sont automatiquement archivés et supprimés s’ils sont plus anciens que la période de conservation, sauf en cas d’incident.
Contenu du site Web public	Indéfini (comme archive)	Les données publiques (communiqués de presse, articles de blog) sont conservées à des fins d’archivage historique, sauf si elles sont mises à jour ou supprimées pour des raisons d’exactitude. Elles ne contiennent aucune donnée personnelle sensible.
Données de carte de crédit (PCI)	Non conservé au-delà de la transaction	HGA évite autant que possible de stocker les données des titulaires de carte. Si nécessaire (par exemple, les quatre derniers chiffres de la carte pour enregistrement), ces données sont tokenisées ou chiffrées. Aucune donnée CVV ni donnée d’authentification sensible n’est conservée.

(Tableau : Calendrier de conservation des données HGA – les périodes de conservation sont calculées à partir de la fin de l’année civile au cours de laquelle les données ont été créées ou reçues, sauf indication contraire. Toute conservation peut être prolongée pour des raisons légales ou réduite si la loi l’exige.)

L’équipe informatique et conformité de HGA mettra en œuvre ce calendrier de conservation des données en configurant la suppression automatique des données par le système lorsque cela est possible, et en effectuant des examens périodiques afin d’identifier les données à supprimer. Par exemple, la plateforme peut anonymiser ou supprimer automatiquement les demandes de consultation datant de plus de deux ans. D’autres données, comme les contrats plus anciens, pourront être examinées annuellement et archivées de manière sécurisée ou supprimées si leur durée de conservation est dépassée.

Il est important de noter qu’une fois la durée de conservation des données atteinte et qu’elles ne font l’objet d’aucune restriction, elles seront supprimées de manière sécurisée afin d’empêcher tout accès non autorisé (voir la section « Suppression des données » ci-dessous). HGA conserve des journaux ou des certificats de destruction pour certaines suppressions de données à haut risque, conformément aux exigences légales, afin de démontrer le respect de la présente politique.

Suppression des données

Lorsque les données ne sont plus nécessaires conformément au calendrier de conservation ou lorsqu’une demande de suppression valide est reçue, HGA les supprime ou les détruit définitivement et en toute sécurité. La suppression appropriée des données garantit que les informations sensibles ne persistent pas indéfiniment et réduit les risques en cas de compromission des systèmes. Les règles suivantes s’appliquent :

Procédures de suppression sécurisée : Différents types de données requièrent différentes méthodes de suppression. Pour les données numériques stockées dans des bases de données ou des systèmes de fichiers, la « suppression » consiste à supprimer toute référence aux données et, idéalement, à écraser ou à détruire les blocs de stockage sous-jacents afin d’empêcher toute récupération facile des données. HGA utilise les fonctionnalités du système ou des outils spécialisés pour assainir les données. Par exemple, lors de la suppression du profil d’un consultant, la plateforme supprime toutes les données personnelles de la base de données de production (ou anonymise les champs qui doivent être conservés, par exemple en remplaçant le nom par un identifiant pour les statistiques). Les copies de sauvegarde de ces données (le cas échéant) sont supprimées automatiquement à leur expiration. Pour les documents physiques, un broyage sécurisé ou une incinération est utilisé. Si HGA fait appel à un service de destruction de documents, celui-ci est agréé et un certificat de destruction est obtenu.
Confirmation de suppression : Lors de la suppression d’ensembles importants de données confidentielles ou hautement sensibles, le personnel ou un responsable de HGA doit confirmer cette suppression. Le contrat de consultant HGA stipule qu’à la fin de la mission, le destinataire doit restituer ou détruire les informations confidentielles et, sur demande, certifier que leur destruction a été effectuée. En pratique, HGA peut documenter l’effacement des données d’un consultant, par exemple, à sa demande, à des fins de traçabilité. En interne, le service informatique peut consigner l’exécution des scripts de purge des données. Si une partie externe (consultant ou client) demande la suppression, HGA peut en fournir la confirmation une fois l’opération terminée.
Exceptions – Archival Copies: HGA acknowledges there are some practical limitations and legal allowances regarding deletion. The Consultant Contract allows retaining an archival copy of confidential data solely for dispute resolution or legal compliance purposes, even after other copies are destroyed. Therefore, HGA may retain minimal data if needed to defend legal claims or to comply with laws (such as tax records), even if a deletion request is made – but such data remains protected under continuing confidentiality obligations and is not used for other purposes. Additionally, if data resides in routine backups that are not immediately accessible, HGA is not required to delete those backups immediately, provided they are secured and eventually overwritten as per the backup retention cycle. For example, if a certain record was deleted from the live database, it might still exist in last week’s backup tape; HGA will not restore that backup just to delete one record, but the backup tape will be destroyed in due course. During that interim, the backup remains safely stored and is not used for active operations.
Data Subject Rights (GDPR and CCPA): If an individual (consultant or any data subject) submits a request to delete their personal data (the “right to erasure” or “right to be forgotten”), HGA will promptly evaluate and honor the request to the extent required. Before deletion, HGA will identify if any data must be retained (e.g., to comply with a legal obligation or if an exemption applies). Sometimes, as allowed by GDPR Article 17, we may not delete data that is still needed (for example, a consultant who had a contract might have financial records we must keep for 7 years). In such cases, we would inform the individual that certain data cannot be erased and the reason (legal requirement, etc.). We will then delete all other personal data that is not exempt. For CCPA requests, a similar process is followed for California residents – though CCPA has certain exemptions for business transactions and legal compliance, we will delete what we can and confirm to the requester.
Third-Party Deletion: Whenever HGA deletes data that had been shared with or processed by a third-party (say, data stored on a third-party CRM or a cloud backup), HGA will ensure that the third-party also deletes the data from their systems. Contracts with processors include obligations to delete or return data upon instruction or contract termination. HGA’s IT team will follow up with vendors to certify deletion if HGA systems are decommissioned or if we migrated data off a service.
Nettoyages réguliers : Afin de respecter le calendrier de conservation des données, HGA effectue des nettoyages réguliers. Par exemple, trimestriellement ou annuellement, HGA peut exécuter une tâche pour supprimer les tickets d’assistance datant de plus de deux ans ou anonymiser les anciens enregistrements d’applications. Ces nettoyages sont consignés. Tout problème (comme l’impossibilité de supprimer certains enregistrements) est traité rapidement.

En respectant ces pratiques de suppression, HGA minimise la quantité de données qu’elle détient à tout moment, réduisant ainsi les risques. Aucune procédure de suppression ne sera exécutée en violation de la loi ou d’une obligation contractuelle – les obligations de conservation prévalent sur la suppression en cas de conflit, comme indiqué. Une fois les données autorisées à la suppression, HGA s’engage à les éradiquer définitivement afin qu’elles ne puissent plus être ni reconstituées ni consultées.

Contrôles de sécurité

HGA met en œuvre un ensemble de contrôles de sécurité rigoureux afin de garantir la confidentialité, l’intégrité et la disponibilité des données en permanence. Ces contrôles s’appliquent à l’ensemble des systèmes et du personnel et font l’objet d’un examen et d’une mise à jour continus. Vous trouverez ci-dessous un aperçu des principales mesures de sécurité en place :

Chiffrement : Toutes les données sensibles sont chiffrées lors de leur transmission et de leur stockage. HGA applique un chiffrement de bout en bout pour les données transmises sur les réseaux. Par exemple, la plateforme numérique HGA utilise le protocole HTTPS (SSL/TLS) pour l’ensemble du trafic web, garantissant ainsi la confidentialité des données personnelles et financières lors de leur transmission. Pour les données stockées, HGA utilise un chiffrement robuste (tel que AES-256) pour les bases de données et les systèmes de stockage contenant des données personnelles ou confidentielles . Les mots de passe et les identifiants d’authentification sont stockés sous forme hachée (avec des hachages salés) et non en clair. Les documents téléchargés sur la plateforme (CV, contrats, etc.) sont stockés sous forme chiffrée sur un espace de stockage cloud sécurisé . La gestion des clés de chiffrement est sécurisée ; seul le personnel informatique autorisé y a accès, et les clés sont renouvelées périodiquement conformément aux bonnes pratiques.
Gestion des identités et des accès : HGA utilise l’authentification multifacteur (AMF) et des contrôles d’accès stricts pour ses systèmes. L’AMF est activée pour tous les comptes utilisateurs (consultants, clients et personnel) sur la plateforme, ce qui requiert une étape de vérification supplémentaire à la connexion. En interne, l’accès administrateur aux serveurs ou aux consoles cloud nécessite également l’AMF. Le principe du moindre privilège est mis en œuvre grâce au contrôle d’accès basé sur les rôles : les utilisateurs n’ont accès qu’aux données et aux fonctions dont ils ont besoin, en fonction de leur rôle (consultant, utilisateur de l’organisation, HGA Finance, HGA Admin, etc.). Les privilèges d’administrateur ou les privilèges élevés sont limités à des comptes de personnel et de service spécifiques, et ces comptes utilisent des identifiants uniques (aucun compte administrateur partagé). Les droits d’accès sont régulièrement revus (au moins une fois par an et lors de changements de personnel) afin de supprimer tout privilège excessif. De plus, l’expiration automatique des sessions et la réauthentification sont utilisées pour les systèmes sensibles afin de réduire les risques liés aux sessions inactives.
Sécurité du réseau : Les systèmes de HGA (y compris la plateforme numérique et les réseaux internes) sont protégés par des pare-feu et la segmentation du réseau. Les bases de données de la plateforme ne sont pas directement exposées à Internet ; elles résident dans des sous-réseaux sécurisés accessibles uniquement aux serveurs d’applications et aux administrateurs autorisés . Les pare-feu et les groupes de sécurité sont configurés pour n’autoriser que le trafic nécessaire (par exemple, HTTPS sur des ports spécifiques). Des systèmes de détection et de prévention des intrusions (IDS/IPS) et des outils de surveillance continue sont déployés pour détecter toute activité réseau inhabituelle ou toute attaque . Pour son infrastructure cloud, HGA utilise des services de sécurité cloud et applique les bonnes pratiques (comme la désactivation des ports inutilisés et l’utilisation d’un VPN pour l’accès administratif). Des analyses de vulnérabilité régulières sont effectuées sur le réseau et les systèmes afin d’identifier les ports ouverts, les services non sécurisés ou les erreurs de configuration.
Pratiques de développement sécurisé : La plateforme numérique HGA est développée selon des directives de codage sécurisé afin de prévenir les vulnérabilités courantes telles que les injections SQL, les attaques XSS et CSRF. L’équipe de développement effectue des revues de code et des tests de sécurité (incluant l’analyse statique du code et l’analyse des vulnérabilités des dépendances) dans le cadre du cycle de publication. La configuration de l’application (clés API, identifiants de base de données, etc.) est gérée de manière sécurisée (non codée en dur et stockée dans un environnement de configuration sécurisé à accès restreint). La plateforme évite de stocker des données sensibles côté client (navigateur) au-delà de ce qui est nécessaire à l’expérience utilisateur. De plus, les données de production ne sont pas utilisées dans les environnements de test, sauf si elles sont anonymisées. Toutes les modifications apportées aux systèmes font l’objet de tests et d’une procédure d’approbation (gestion des changements) afin d’éviter tout problème de sécurité involontaire.
Sécurité des terminaux et des appareils : HGA garantit la sécurité de tous les ordinateurs et appareils utilisés dans le cadre de ses activités. Les ordinateurs portables et serveurs gérés par l’entreprise disposent de systèmes d’exploitation à jour et de correctifs de sécurité appliqués rapidement. Ils exécutent des solutions antivirus/antimalware réputées, offrant une protection en temps réel et des analyses régulières. Le chiffrement complet du disque est activé sur les ordinateurs portables contenant des données sensibles, garantissant ainsi la protection des données en cas de perte. Les utilisateurs sont tenus de ne jamais désactiver les logiciels de sécurité ni d’installer d’applications non autorisées susceptibles d’introduire des logiciels malveillants. Pour les appareils personnels (utilisés pour accéder à la messagerie ou aux données HGA), HGA exige au minimum un mot de passe/code PIN robuste, le chiffrement et l’absence de toute compromission connue. La fonction d’effacement à distance est disponible pour les appareils mobiles connectés aux systèmes HGA (par exemple, en cas de perte d’un téléphone contenant la messagerie HGA).
Journalisation et surveillance : Comme indiqué dans la section Accès aux données et gestion des incidents, HGA dispose d’un système de journalisation étendu. Les journaux de sécurité (connexions, actions d’administration, exportations de données, etc.) sont collectés et surveillés. Des systèmes automatisés signalent les événements suspects, tels que des tentatives de connexion infructueuses répétées (potentiellement une attaque par force brute) ou des connexions provenant de localisations inhabituelles. HGA utilise soit un tableau de bord de sécurité interne, soit un service SIEM (Gestion des informations et des événements de sécurité) dans le cloud pour corréler et analyser les journaux en temps réel. De plus, les systèmes critiques envoient des alertes au responsable de la sécurité informatique en cas d’anomalie (par exemple, la connexion d’un nouvel appareil au serveur de base de données ou une augmentation soudaine du trafic réseau sortant).
Sauvegarde et restauration des données : HGA effectue des sauvegardes régulières des données de tous les systèmes et bases de données critiques . Ces sauvegardes sont réalisées selon un calendrier défini (par exemple, des sauvegardes différentielles nocturnes et des sauvegardes complètes hebdomadaires pour les bases de données), et leur intégrité est testée périodiquement par des restaurations de test. Les données de sauvegarde sont chiffrées et stockées dans un emplacement hors site sécurisé (pour les systèmes cloud, les sauvegardes peuvent se trouver dans une région distincte ou être soumises à des contrôles d’accès). La combinaison des sauvegardes et d’un plan de reprise d’activité garantit que, même en cas de perte ou de corruption de données, ou d’incident majeur (tel qu’une attaque par rançongiciel ou une panne de centre de données), HGA peut restaurer les systèmes et les données à un état récent et reprendre ses activités. Le plan de reprise d’activité définit les objectifs de temps et de point de restauration (RTO/RPO) pour les systèmes critiques et est testé (par des exercices ou des simulations) au moins une fois par an afin de vérifier que HGA peut atteindre ces objectifs.
Sécurité physique : Bien que la majeure partie de l’infrastructure de HGA soit basée sur le cloud, les bureaux et équipements sur site sont protégés. Les portes des bureaux sont verrouillées et l’accès est contrôlé (clés ou cartes d’accès réservées au personnel autorisé). Les serveurs, le cas échéant, sont conservés dans des pièces ou armoires fermées à clé et à accès limité. Les documents imprimés contenant des informations sensibles sont rangés dans des armoires sécurisées lorsqu’ils ne sont pas utilisés. L’accès des visiteurs aux bureaux (le cas échéant) est supervisé. La politique de HGA est de maintenir un environnement de travail propre : le personnel ne doit pas laisser de documents confidentiels à la vue de tous lorsqu’il s’absente de son bureau et doit détruire les documents inutiles. Les tableaux blancs et les notes contenant des informations sensibles doivent être effacés. Ces mesures réduisent le risque de divulgation accidentelle dans un environnement physique.
Formation et sensibilisation à la sécurité : Une formation régulière de sensibilisation à la sécurité est dispensée à l’ensemble du personnel de HGA (et aux consultants clés). Cette formation aborde la reconnaissance des courriels d’hameçonnage, la gestion appropriée des données sensibles, l’utilisation de mots de passe robustes et de l’authentification multifacteur (MFA), l’identification des tentatives d’ingénierie sociale et l’importance du respect de ces politiques. Les nouveaux employés et consultants bénéficient d’une formation à la confidentialité et à la sécurité dès leur arrivée afin de comprendre les attentes de HGA. HGA envoie également des rappels périodiques et organise des exercices de simulation d’hameçonnage pour maintenir la sécurité au cœur des préoccupations. Une culture de la sécurité est encouragée : les employés sont félicités lorsqu’ils signalent des problèmes potentiels ou contestent des demandes suspectes. Des directives claires sont en place, notamment concernant l’interdiction de brancher des clés USB inconnues, d’installer des logiciels non autorisés et le signalement immédiat des appareils perdus.
Protection des données dès la conception et par défaut : lors du développement de nouveaux systèmes ou fonctionnalités, HGA intègre systématiquement les enjeux de protection des données dès le départ. Cela implique de définir par défaut les paramètres les plus protecteurs (par exemple, tout nouveau champ de données est configuré par défaut en accès confidentiel) et de réaliser des analyses de risques pour les nouveaux traitements de données. Par exemple, avant le déploiement de la fonctionnalité d’application automatique de l’IA, HGA a analysé son impact sur les données des consultants et s’est assuré qu’elle leur permette de se désinscrire ou de consulter les applications de l’IA . Tout changement significatif dans le traitement des données personnelles déclenche un examen (semblable à une analyse d’impact relative à la protection des données au titre du RGPD) afin de garantir la mise en place de contrôles appropriés et le maintien de la conformité.
Sécurité des tiers : Comme indiqué, les services tiers font l’objet d’un examen rigoureux. HGA privilégie les fournisseurs possédant des certifications de sécurité reconnues (ISO 27001, SOC 2, etc.) ou jouissant d’une excellente réputation. Les accords de traitement des données conclus avec les fournisseurs incluent des exigences de sécurité spécifiques. En cas de violation de données chez un fournisseur, ce dernier est tenu d’en informer immédiatement HGA afin que nous puissions prendre les mesures nécessaires. HGA limite également les données partagées avec les fournisseurs au strict minimum nécessaire, afin de minimiser les risques d’exposition.
Mesures PCI DSS : Si HGA traite des paiements (transactions par carte bancaire pour les services ou frais proposés sur la plateforme), elle se conformera à la norme PCI DSS. En pratique, HGA s’efforce d’externaliser le traitement des paiements auprès de prestataires de services de paiement certifiés afin que les données de cartes bancaires ne soient pas stockées sur ses serveurs (par redirection ou tokenisation). Toutefois, si des données de cartes transitent par notre système, HGA garantit leur chiffrement, la troncature des numéros de carte (seuls les quatre derniers chiffres sont conservés si nécessaire), des analyses PCI régulières et le respect des 12 exigences fondamentales de la norme PCI . Par exemple, nos pages de paiement seront intégrées de manière sécurisée et notre réseau segmenté afin d’isoler tout environnement de paiement. Des auto-évaluations ou des audits annuels de conformité PCI seront réalisés, le cas échéant.

Ces mesures de sécurité, prises collectivement, constituent une défense en profondeur robuste. Elles protègent contre les accès non autorisés, les fuites de données et autres menaces. Ces mesures de sécurité sont évolutives ; HGA s’engage à les améliorer en permanence en se tenant informée des nouvelles menaces et des meilleures pratiques. Nous réalisons régulièrement des audits et des tests d’intrusion afin de valider notre niveau de sécurité et de corriger rapidement toute anomalie constatée. Notre objectif est non seulement de respecter les normes de conformité, mais aussi de protéger efficacement les données qui nous sont confiées par nos consultants, clients et partenaires, et ainsi de préserver leur confiance en HGA.

Gestion des incidents

Malgré des contrôles rigoureux, des incidents de sécurité ou des violations de données peuvent survenir. HGA dispose d’un plan de gestion des incidents afin de garantir une réponse rapide et efficace à toute violation de données ou incident de sécurité, avéré ou suspecté. Les objectifs sont de limiter les dommages, de sécuriser le système, de respecter les obligations légales (comme la notification des violations) et de tirer les enseignements de l’incident afin d’éviter toute récidive. Les éléments clés de la gestion des incidents sont les suivants :

Détection et signalement : L’ensemble du personnel doit rester vigilant et surveiller tout incident de sécurité potentiel. Cela peut inclure des signes de cyberattaque (comportement inhabituel du système, messages de rançongiciel), du matériel perdu ou volé, des communications mal acheminées (par exemple, un courriel contenant des informations sensibles envoyé à la mauvaise adresse) ou toute situation où des données confidentielles ou hautement sensibles pourraient avoir été divulguées sans autorisation. Si un employé ou un consultant soupçonne un incident de sécurité ou une violation de données, il doit le signaler immédiatement à l’équipe de réponse aux incidents désignée ou à la direction de HGA. HGA met à disposition des points de contact clairement identifiés (par exemple, courriel/téléphone du responsable de la sécurité informatique ou une ligne d’assistance téléphonique dédiée aux incidents). Le signalement d’une fausse alerte n’est pas sanctionné ; il est préférable de signaler et d’enquêter plutôt que de passer à côté d’un incident. Les systèmes de surveillance de HGA automatisent également la détection ; par exemple, si un système de détection d’intrusion signale une anomalie ou si une activité inhabituelle sur un compte est détectée, une alerte est générée pour que l’équipe de sécurité puisse l’examiner.
Équipe de réponse aux incidents : HGA dispose d’une équipe de réponse aux incidents (même réduite, elle comprend les responsables informatiques, le délégué à la conformité et à la protection des données, ainsi que les membres de la direction concernés). Cette équipe est formée et habilitée à prendre les mesures nécessaires lorsqu’un incident est signalé. Elle suit un plan de réponse aux incidents (PRI) prédéfini qui décrit les étapes suivantes : évaluation initiale, confinement, éradication, rétablissement et analyse post-incident. L’équipe consulte également un conseiller juridique si nécessaire, notamment lorsque des données personnelles sont impliquées et que des notifications sont susceptibles d’être requises.
Confinement : Dès qu’un incident est confirmé (ou fortement suspecté), la priorité absolue est de le confiner et d’empêcher toute aggravation. Selon le scénario, les mesures de confinement peuvent inclure : l’isolement des systèmes affectés (par exemple, la mise hors ligne d’un serveur ou sa déconnexion du réseau), la désactivation des comptes compromis, l’application de correctifs d’urgence ou la modification des mots de passe/clés. Par exemple, si le compte d’un consultant est suspecté d’avoir été piraté, nous le verrouillerons et exigerons une réinitialisation du mot de passe par mesure de sécurité. En cas de propagation d’un logiciel malveillant, les hôtes affectés sont mis en quarantaine. Le plan de réponse aux incidents (PRI) fournit des recommandations sur les stratégies de confinement pour différents types d’incidents.
Éradication et restauration : Une fois l’incident maîtrisé, l’équipe identifiera sa cause première (par exemple, une vulnérabilité exploitée ou la manière dont une fuite de données par e-mail s’est produite) et s’efforcera de l’éliminer. Cela peut impliquer la suppression de logiciels malveillants, la fermeture des ports attaqués, la restauration de versions saines des fichiers, etc. L’intégrité des données est vérifiée : si des données ont été altérées ou corrompues, des sauvegardes sont utilisées pour les restaurer à leur état correct lorsque cela est possible. Par exemple, si un attaquant a modifié des enregistrements, nous les restaurerons à partir d’une sauvegarde après en avoir confirmé l’authenticité. La restauration consiste également à remettre les systèmes en service après s’être assuré de leur sécurité. Par exemple, un serveur mis hors ligne est corrigé/formaté si nécessaire, puis remis en ligne. Tout au long de la restauration, des mesures rigoureuses sont prises pour garantir que l’attaquant ou le problème ne persiste pas et ne se reproduise pas.
Communication et remontée d’informations : La communication interne est essentielle. Le responsable de la gestion des incidents tiendra la direction de HGA informée de la situation et transmettra les décisions (comme l’arrêt d’un système ou la notification des clients) au niveau approprié. HGA évite les communications publiques impulsives, mais se prépare à informer les parties concernées.
Notification de violation de données : En cas de violation de données entraînant un accès non autorisé à des données personnelles , notamment celles de personnes physiques résidant dans l’UE ou d’autres données réglementées, HGA se conformera à la législation applicable en matière de notification des violations de données. Conformément au RGPD, HGA (en tant que responsable du traitement) est généralement tenu de notifier l’autorité de contrôle dans les 72 heures suivant la découverte d’une violation de données personnelles, si celle-ci est susceptible d’engendrer un risque pour les droits des personnes concernées. Par conséquent, notre plan de réponse aux incidents prévoit une évaluation rapide de la gravité et de l’impact de toute violation. Si des données personnelles sont concernées, le délégué à la protection des données ou le responsable de la protection de la vie privée sera consulté afin de déterminer les obligations de notification. HGA informera les personnes concernées sans délai indu si la violation est susceptible d’entraîner un risque élevé pour elles (par exemple, si leurs informations sensibles ou leurs données financières ont été compromises). De même, si la violation concerne des données traitées par HGA pour le compte d’un client (HGA agissant en tant que sous-traitant), HGA en informera immédiatement ce client, conformément aux termes du contrat. La notification précisera les circonstances de l’incident, les données concernées, les mesures prises par HGA pour l’atténuer et les précautions à prendre par les personnes concernées (comme la modification de leur mot de passe). HGA comprend l’importance de la transparence et ne dissimulera aucune infraction ; notre priorité est d’aider les personnes concernées et de respecter la loi.
Documentation : Chaque incident de sécurité est consigné dans un journal d’incidents. Nous y enregistrons la chronologie des événements, les personnes ayant découvert et signalé l’incident, les actions entreprises, les données concernées, les communications effectuées et le résultat obtenu. Cette documentation est non seulement utile pour l’analyse interne, mais elle répond également aux exigences de responsabilité (par exemple, le RGPD exige des responsables du traitement qu’ils documentent les violations de données et leurs réponses, même s’ils ne les ont pas notifiées aux autorités).
Analyse post-incident : Après la résolution d’un incident, l’équipe d’intervention et les parties prenantes concernées mènent une analyse post-mortem afin de comprendre les causes du problème et d’identifier les mesures préventives. Elles tirent des enseignements de cette expérience et adaptent les mesures et procédures de sécurité en conséquence. Par exemple, si l’incident était une attaque de phishing ayant trompé un employé, HGA pourrait renforcer ses filtres anti-phishing et intensifier ses formations sur la prévention de ce type d’attaque. Si l’incident était dû à un correctif manquant, la gestion des correctifs sera optimisée. Le plan de réponse aux incidents est également mis à jour si une étape de la gestion de l’incident peut être améliorée.
Entraînement et préparation : HGA teste régulièrement son processus de réponse aux incidents. Cela peut se faire par le biais d’exercices de simulation (un exercice sur table où l’on simule un scénario d’intrusion hypothétique) ou en tirant des enseignements d’incidents mineurs réels. L’équipe veille à ce que les listes de contacts soient à jour et que chacun connaisse son rôle en cas de crise. Grâce à cet entraînement, HGA peut réagir avec plus d’assurance et de rapidité lors d’un incident réel.

L’objectif principal de la gestion des incidents est de minimiser les dommages – pour nos consultants, nos clients et l’entreprise – en cas d’événements indésirables. Dans ces situations, la rapidité d’intervention est cruciale. C’est pourquoi tous les employés et consultants doivent comprendre : si vous constatez un problème, signalez-le immédiatement . La culture d’HGA encourage le signalement rapide des erreurs ou des problèmes (par exemple, si quelqu’un envoie accidentellement un fichier par courriel au mauvais client, il doit le signaler plutôt que d’espérer que cela passe inaperçu). Un signalement rapide permet à l’équipe d’intervention de contenir la faille (il est possible, par exemple, de demander au destinataire erroné de supprimer le courriel avant de le lire).

En cas de violation de données importante, HGA agira de manière responsable, informera les parties concernées et prendra toutes les mesures nécessaires pour rétablir la sécurité. Nos clients et consultants nous confient des données précieuses et, en cas d’incident, nous sommes prêts à œuvrer sans relâche pour les protéger, ainsi que leurs informations.

Conformité et audit

HGA s’engage à respecter pleinement toutes les lois applicables en matière de protection des données, les réglementations sectorielles et les exigences spécifiques de ses clients et donateurs. Cette section décrit comment HGA assure cette conformité et comment nous auditons et vérifions nos pratiques :

Conformité légale et réglementaire : HGA se conforme aux principales lois sur la protection des données, telles que le Règlement général sur la protection des données (RGPD) de l’UE et la loi californienne sur la protection de la vie privée des consommateurs (CCPA) . Même dans les cas où ces lois ne s’appliquent pas strictement (par exemple, HGA, en tant que LLC basée aux États-Unis, traite les données d’une personne non résidente de Californie), HGA a choisi d’ adopter par défaut les meilleures pratiques internationales en matière de protection des données. Cela signifie que des principes tels que le consentement à l’utilisation des données personnelles, le respect du droit d’opposition, l’exercice des droits des personnes concernées (accès, rectification, suppression) et une sécurité des données renforcée sont intégrés à nos politiques. Nous respectons également les autres lois applicables dans les juridictions où nous exerçons nos activités ou traitons des données de personnes concernées (par exemple, la loi CAN-SPAM pour les courriels, les lois étatiques américaines relatives à la notification des violations de données, etc.). Pour le traitement des paiements, comme indiqué précédemment, nous suivons les directives PCI DSS afin de sécuriser les données de paiement . Si les services de HGA devaient s’étendre au traitement des données de santé ou d’autres données réglementées, nous intégrerions la loi HIPAA ou toute autre réglementation similaire, le cas échéant.
Exigences des clients et des bailleurs de fonds : HGA collabore fréquemment avec des organisations internationales de développement (agences des Nations Unies, Banque mondiale, banques régionales de développement, etc.) qui ont leurs propres exigences en matière de gestion des données. Nous veillons au respect de toutes les exigences de gouvernance des données stipulées dans les contrats clients. Par exemple, si un contrat de projet financé par la Banque mondiale prévoit la confidentialité des données du projet et leur conservation pendant X années, HGA intègre ces conditions (notre pratique standard de conservation pendant 7 ans couvre d’ailleurs les périodes d’audit habituelles des bailleurs de fonds). Le contrat de consultant de HGA exige explicitement le respect des directives des bailleurs de fonds [49] – cela s’étend aux dispositions relatives aux données, telles que la protection des données fournies par les bailleurs de fonds et l’interdiction de transférer certaines données sans autorisation. De plus, si les bailleurs de fonds exigent que les données soient stockées dans certaines juridictions ou imposent des règles de souveraineté des données, HGA s’y conforme en utilisant des centres de données appropriés ou en obtenant les autorisations nécessaires. Nous traitons les données des bailleurs de fonds et des clients comme un dépôt spécial : toutes les données fournies par un client pour un projet restent sa propriété et nous les utilisons uniquement aux fins prévues, en les restituant ou en les supprimant à la fin du projet, conformément aux dispositions contractuelles. Le respect des accords de confidentialité avec les clients (y compris les accords de non-divulgation signés par les consultants pour leurs clients) est surveillé ; toute violation sera traitée comme une rupture de contrat.
Conformité des données transfrontalières : Comme indiqué dans la section Partage de données, lors du transfert de données personnelles à l’étranger, HGA met en œuvre des mécanismes de conformité. Cela inclut l’utilisation de clauses contractuelles types (CCT) pour les exportations de données vers l’UE, le cas échéant, la vérification de la participation des fournisseurs aux cadres réglementaires (tels que le cadre de protection des données UE-États-Unis, s’il est utilisé) et l’obtention du consentement des personnes concernées pour les transferts internationaux lorsque cela est requis. HGA respecte également les lois locales relatives à la résidence des données ; par exemple, si un pays où nous exerçons nos activités exige que certaines données restent sur son territoire, nous utiliserons un stockage de données local ou nous conformerons à ces lois.
Analyses d’impact relatives à la protection des données (AIPD) : Pour tout traitement de données à caractère personnel à haut risque (nouveaux projets impliquant un volume important de données personnelles, prise de décision automatisée ayant des effets juridiques, etc.), HGA réalise une AIPD conformément au RGPD. Ce processus, mené par le délégué à la protection des données/conformité, évalue la nécessité et la proportionnalité du traitement, identifie les risques pour les personnes concernées et recherche des moyens de les atténuer. Les conclusions des AIPD permettent d’ajuster la conception du système ou de décider de la pertinence de certaines activités liées aux données. Si une AIPD révèle des risques élevés non maîtrisables, HGA réexamine la situation ou consulte les autorités compétentes, le cas échéant.
Audit et examen : Des audits et des contrôles de conformité réguliers sont effectués afin de garantir le respect continu de la présente politique et des normes pertinentes. HGA adopte une approche d’audit à plusieurs niveaux :
Audits internes : Notre responsable de la conformité et/ou notre responsable de la sécurité informatique réalisent des audits internes (au moins une fois par an) portant sur des pratiques telles que la gestion des accès utilisateurs, le respect de la politique de conservation des données, les paramètres de sécurité et la réalisation des formations. Par exemple, un audit peut vérifier si les comptes de tous les consultants ayant quitté l’entreprise il y a un an ont été désactivés et leurs données supprimées conformément à la politique en vigueur, ou si la journalisation est activée et surveillée sur chaque système. Tout écart est documenté et corrigé.
Audits externes : Le cas échéant, HGA peut faire appel à des sociétés de sécurité externes ou obtenir des certifications. Par exemple, si un contrat l’exige ou pour démontrer notre engagement, nous pourrions nous soumettre à un audit SOC 2 Type II ou à un audit de certification ISO 27001. De plus, des évaluations de vulnérabilité et des tests d’intrusion sont régulièrement commandés auprès d’experts tiers ; ces tests permettent d’identifier les failles de nos systèmes qui pourraient échapper à notre équipe interne. Les résultats sont utilisés pour renforcer la sécurité.
Audits des donateurs/clients : Nous sommes conscients que les donateurs (tels que les agences des Nations Unies ou les banques) peuvent exercer des droits d’audit dans le cadre des contrats. HGA coopérera pleinement à tout audit externe autorisé de nos dossiers de projet ou du traitement des données effectué par un client ou un donateur. Nous tenons des registres organisés afin de faciliter ces audits. Les documents financiers et la documentation relative aux projets sont conservés de manière à pouvoir être facilement consultés par les auditeurs (les données personnelles sensibles étant protégées, le cas échéant, durant ce processus).
Analyses PCI : Le cas échéant, des analyses trimestrielles du réseau et un questionnaire d’auto-évaluation annuel (SAQ) pour PCI DSS sont effectués afin de valider la conformité continue aux normes de sécurité des paiements.
Surveillance de la conformité aux politiques : La conformité à la présente politique de gouvernance des données est surveillée. Les responsables veillent à ce que leurs équipes respectent les procédures (par exemple, en vérifiant ponctuellement que les fichiers sensibles sont stockés sur des disques autorisés et non sur des clés USB personnelles). Le responsable de la conformité peut effectuer des contrôles ponctuels ou utiliser des outils (comme un logiciel de prévention des pertes de données – DLP) pour s’assurer qu’aucun transfert de données confidentielles important n’a lieu en dehors des canaux autorisés. Par exemple, les règles DLP peuvent signaler toute tentative d’envoi par courriel d’une liste de tous les courriels des consultants externes à l’entreprise. Bien que nous ayons confiance en notre équipe, ces outils contribuent à l’application proactive des politiques.
Formation et certification : La formation est une obligation de conformité. Tous les employés doivent suivre une formation annuelle sur la protection et la sécurité des données, et nous en assurons le suivi. Tout manquement à cette obligation entraîne un suivi. Le personnel clé (administrateurs informatiques, développeurs, etc.) peut bénéficier de formations spécialisées ou obtenir des certifications (telles que CIPP ou CISSP) afin d’approfondir notre expertise interne. Maintenir un personnel compétent est essentiel à la conformité, car cela réduit les erreurs humaines et renforce notre capacité à respecter les réglementations complexes.
Documentation et enregistrements : HGA conserve une documentation relative à ses activités de traitement des données (une obligation légale pour de nombreuses organisations en vertu du RGPD). Ce registre interne recense les données détenues, leur emplacement de stockage, les personnes y ayant accès, les finalités du traitement et la base juridique – il s’agit essentiellement d’un inventaire des données et d’un registre des traitements. La mise à jour régulière de ce registre nous permet de garantir notre conformité. Nous documentons également tous les consentements obtenus, les mentions d’information relatives à la protection des données émises, les contrats comportant des clauses de protection des données et les rapports d’incidents. Ces documents seraient essentiels si nous devions un jour démontrer notre conformité aux autorités de régulation ou à nos clients.
Amélioration continue : La conformité n’est pas une tâche ponctuelle. Dès que la législation évolue ou que de nouvelles directives apparaissent (par exemple, de nouvelles clauses contractuelles types, une modification du CCPA ou de nouvelles lois sur la protection de la vie privée dans d’autres États ou pays), HGA met à jour ses pratiques et la présente politique en conséquence. Cette politique sera révisée au moins une fois par an et à chaque changement significatif de la législation ou de notre activité. Toute modification de la politique est formellement approuvée par la direction et communiquée à l’ensemble du personnel (une formation sera dispensée si nécessaire pour couvrir les nouveaux aspects).
Confidentialité et sécurité par contrat : HGA s’assure que tous ses employés, consultants et tiers sont contractuellement tenus au respect de la confidentialité et de la protection des données. Les employés signent des accords de confidentialité dans le cadre de leur contrat de travail. Les consultants signent le Contrat de représentation et de services, qui contient des clauses de protection des données (les articles 2.2 et 11 du contrat traitent explicitement de la confidentialité et de la protection des données). Les fournisseurs signent des accords de protection des données (APD). Ces contrats confèrent à HGA un recours légal en cas de violation délibérée des obligations de protection des données, renforçant ainsi le respect de la réglementation.
Responsabilité et sanctions : La direction de HGA est pleinement consciente que la non-conformité peut entraîner de graves conséquences (amendes, poursuites judiciaires, atteinte à la réputation). C’est pourquoi la responsabilisation est primordiale. Si un audit révèle des lacunes, nous désignons des responsables et fixons des échéances pour les corriger. En cas d’infraction, nous prenons des mesures coercitives rigoureuses. Notre objectif est de promouvoir un environnement où la conformité est perçue non seulement comme un moyen d’éviter les sanctions, mais aussi comme un devoir envers les personnes dont nous détenons les données .

En conclusion, HGA s’efforce non seulement de respecter , mais aussi de surpasser les exigences minimales des lois sur la protection des données et les attentes des donateurs. Grâce à des audits réguliers et à une approche proactive de la conformité, nous maintenons une position solide, clairement démontrable à nos clients, consultants et autorités de réglementation. Nous « garantirons le respect continu de toutes les lois, réglementations et normes applicables, et adapterons nos mesures en fonction des nouvelles réglementations ou normes sectorielles » , comme indiqué dans les exigences de notre plateforme. Cette politique et sa mise en œuvre témoignent de l’engagement de HGA en faveur d’une gestion éthique et licite des données dans toutes ses opérations.

Application

Cette politique constitue une directive officielle de Humanics Global Advisors. Son respect est obligatoire . HGA appliquera cette politique de gouvernance et de gestion des données par le biais d’une combinaison de contrôle, de mesures disciplinaires et d’autres recours appropriés. L’ensemble du personnel, des consultants et des tiers concernés de HGA sont tenus de connaître et de respecter les règles énoncées dans le présent document. Tout manquement à cette politique entraînera des conséquences pouvant inclure les suivantes :

Mesures disciplinaires à l’encontre des employés : Tout employé de HGA qui enfreint cette politique (par négligence ou faute intentionnelle) s’expose à des mesures disciplinaires conformément à la politique RH de HGA. Selon la gravité de l’infraction, ces mesures peuvent aller d’un avertissement ou d’une formation de recyclage obligatoire jusqu’au licenciement. Par exemple, un employé qui divulgue accidentellement un fichier confidentiel à l’extérieur de l’entreprise pourrait recevoir un avertissement et être tenu de suivre une formation complémentaire, tandis qu’un employé surpris à voler intentionnellement des données ou à enfreindre de manière répétée les règles de sécurité serait vraisemblablement licencié pour faute grave. La direction de HGA examinera chaque incident individuellement, en privilégiant une application stricte afin de protéger l’organisation et ses parties prenantes.
Recours contractuels pour les consultants : Les consultants externes mandatés par HGA sont liés par le Contrat de représentation et de services, la présente politique en faisant suite. Tout manquement d’un consultant à ses obligations de protection des données – par exemple, utilisation abusive de données confidentielles du client ou défaut de protection des données personnelles – constitue une rupture de contrat. HGA peut alors résilier le contrat du consultant ou la mission concernée pour faute grave. De plus, le contrat prévoit qu’en cas de divulgation non autorisée d’informations confidentielles, HGA est en droit d’engager une action en référé et d’exercer tout autre recours légal . Autrement dit, HGA peut saisir les tribunaux pour faire cesser la divulgation et obtenir des dommages et intérêts. Les consultants concernés pourraient également être exclus de toute future collaboration avec HGA ou ses partenaires. Nous prenons très au sérieux les manquements de nos consultants, non seulement pour protéger les données, mais aussi parce que notre réputation auprès de nos clients repose sur le respect de la confidentialité par tous les membres de notre équipe.
Action en justice : Certaines violations peuvent enfreindre non seulement la politique de l’entreprise, mais aussi la loi (par exemple, le vol de données personnelles ou le sabotage délibéré). HGA se réserve le droit de saisir les autorités compétentes et d’engager des poursuites civiles si nécessaire. Si les agissements d’une personne causent un préjudice à HGA ou entraînent des sanctions légales (par exemple, une violation de données donnant lieu à des amendes réglementaires ou à des poursuites judiciaires), HGA peut engager des poursuites pour recouvrer ces coûts auprès de la partie responsable. Les employés et les consultants doivent être conscients qu’ils peuvent être tenus personnellement responsables des violations de la sécurité des données commises de manière malveillante ou par négligence grave. Les obligations de confidentialité prévues dans les contrats restent généralement applicables après la rupture du contrat ; ainsi, même si une personne a quitté HGA, nous pouvons faire respecter ces obligations après son départ .
Application des obligations par les tiers : Dans le cadre de ses relations avec les fournisseurs et partenaires, HGA veille au respect des clauses contractuelles. Si un fournisseur ne respecte pas les normes de protection des données requises ou si des violations surviennent par sa négligence, HGA se réserve le droit d’exercer tous les droits prévus par le contrat, y compris la résiliation du contrat de service et d’éventuelles poursuites judiciaires en dommages et intérêts. HGA sélectionne rigoureusement ses fournisseurs, mais n’hésitera pas à rompre tout lien avec un tiers qui met en danger ses données ou qui échoue aux audits, etc.
Enquête sur les incidents : En cas de suspicion de violation de la présente politique, HGA mènera une enquête rapide et impartiale. Selon la nature de l’incident, cette enquête pourra être menée par le responsable de la conformité, les ressources humaines et/ou la sécurité informatique. Les personnes soupçonnées d’une violation grave pourront être suspendues d’accès au système pendant la durée de l’enquête afin de prévenir tout préjudice supplémentaire. Tous les employés et consultants sont tenus de coopérer pleinement à l’enquête (fourniture d’informations pertinentes, accès aux appareils si nécessaire, etc.). Les conclusions seront consignées et, si une violation est confirmée, les mesures appropriées (telles que décrites ci-dessus) seront prises.
Aucune représailles pour les signalements : Dans le cadre de sa politique de contrôle, HGA encourage une culture du signalement et de l’amélioration. Toute personne signalant de bonne foi un incident de sécurité ou une violation potentielle du règlement ne subira aucune représailles ni conséquence négative sur son emploi, même s’il s’agit d’une fausse alerte. Nous souhaitons que les problèmes soient mis en lumière afin qu’ils puissent être résolus. Cependant, les signalements abusifs ou malveillants (accusations sciemment mensongères) seront considérés comme une faute professionnelle.
Mesures correctives et formation : L’application de la réglementation n’est pas uniquement punitive. Lorsqu’une infraction est due à un manque de connaissances ou à des directives imprécises, HGA prend également des mesures pour améliorer ses contrôles et ses formations. La personne concernée peut être tenue de suivre une formation ou un accompagnement complémentaire en matière de protection des données. Si la politique elle-même n’était pas claire ou si une nouvelle situation n’était pas prise en compte, nous la mettrons à jour ou communiquerons des clarifications afin de prévenir tout problème ultérieur. Les mesures d’application s’accompagnent donc d’efforts visant à renforcer notre programme global de conformité.
Accusé de réception de la politique : Tous les employés et consultants actuels et futurs de HGA doivent accuser réception de la présente politique. Cette confirmation peut se faire par un document signé ou par voie électronique. Ainsi, chacun est informé du caractère obligatoire de ces règles. HGA peut exiger une nouvelle confirmation de lecture périodiquement, notamment en cas de modifications importantes de la politique.
Suivi de l’efficacité de l’application des règles : La direction de HGA et le responsable de la conformité assureront le suivi des infractions aux politiques et de leur résolution. Si des tendances se dégagent (par exemple, plusieurs personnes commettant la même erreur), cela indiquera la nécessité d’améliorer la formation ou les contrôles. L’efficacité de l’application des règles doit avant tout dissuader la non-conformité. Nous prévoyons qu’à terme, les infractions internes seront très rares, grâce à une application rigoureuse et à une sensibilisation accrue.

Enfin, il convient de souligner que HGA considère la protection des données comme un élément essentiel de son intégrité organisationnelle . Tout manquement à cette politique n’est pas une simple infraction ; il constitue une atteinte à la confiance que nos clients et consultants nous accordent. Par conséquent, nous réagissons en conséquence. Dans les cas graves d’abus de données, le préjudice peut être irréparable : « l’utilisation ou la divulgation non autorisée d’informations confidentielles peut entraîner un préjudice irréparable » pour HGA ou les personnes concernées . Nous prendrons toutes les mesures nécessaires, y compris des mesures judiciaires, pour prévenir ou remédier à un tel préjudice. Cette position rigoureuse en matière d’application de la politique est, en fin de compte, bénéfique à tous : elle protège la vie privée des individus, préserve la confiance de nos clients et renforce la réputation et la conformité légale de HGA.

Conclusion : Cette politique de gouvernance et de gestion des données représente l’approche globale de HGA en matière de gestion responsable des données. L’ensemble du personnel et des partenaires de HGA doivent intégrer ces principes et procédures dans leurs activités quotidiennes. Ce faisant, nous honorons la confiance qui nous est accordée, réduisons les risques et contribuons à la réussite de la mission de HGA et de sa communauté : « Ensemble pour un monde meilleur ». La conformité ne se limite pas à éviter les sanctions ; il s’agit de gérer de manière éthique les informations qui sous-tendent notre activité et ont un impact concret sur la vie des gens. La direction de HGA soutient pleinement cette politique et attend son application rigoureuse. Contribuons tous au maintien des normes les plus élevées en matière de gouvernance et de sécurité des données.

Finalité

Portée

Définitions

Classification des données

Rôles et responsabilités

Règles relatives au traitement des données

Collecte de données

Stockage des données

Accès aux données

Utilisation des données

Partage des données

Conservation des données

Suppression des données

Contrôles de sécurité

Gestion des incidents

Conformité et audit

Application

Recevez les dernières actualités de Global Consulting

Directement vers

Directement vers

Aperçu

Objectif

Contact

Services

Industries

Études

Perspectives

Réflexion

Carrière

Humanics Global Advisors

Humanics Sénégal

Cadre Stratégique de HGA