Sécurité et protection des données

Informations générales sur la sécurité

Cette section a pour but de vous aider à évaluer tous les aspects de la sécurité des données et, en particulier, à déterminer les obligations auxquelles vous devez éventuellement vous conformer afin de respecter les exigences de votre pays en matière de protection des données. Pour nos clients établis dans l’UE, un guide complémentaire sur la protection des données dans l’UE est disponible ici.

Comment Capsule garantit-il le stockage sécurisé des données que je détiens ?

Notre page sur la sécurité technique explique notre approche pour garantir la sécurité de vos données, notamment en ce qui concerne la sécurité des centres de données, le chiffrement des données, leur localisation, les mises à jour de sécurité et les audits réalisés par des tiers.

Qui peut accéder à mes données ?

Vous choisissez les personnes que vous invitez à accéder à votre compte Capsule ainsi que les autorisations dont elles disposent. Vous pouvez également choisir d’accorder un accès à d’autres applications qui s’intègrent à Capsule. Vous devez appliquer la même évaluation de sécurité à toute application ou à tout tiers auquel vous accordez un accès.

Lorsque vous invitez un utilisateur à rejoindre Capsule, il choisit un nom d’utilisateur et un mot de passe qu’il utilisera pour se connecter à Capsule. Actuellement, lorsqu’un utilisateur définit un mot de passe, Capsule suit les recommandations du NIST, ce qui signifie que l’utilisateur doit choisir un mot de passe sécurisé comportant au moins 8 caractères et qui ne soit pas couramment utilisé (comme « password » ou « 12345678 »). Nous pourrons à l’avenir réviser les règles relatives aux mots de passe conformément aux recommandations du NIST ou à d’autres bonnes pratiques.

Les utilisateurs devraient également activer l’authentification à deux facteurs (2FA), qui contribue à protéger leur compte même si quelqu’un a obtenu ou deviné leur mot de passe.

Dans la liste des utilisateurs des paramètres de votre compte Capsule, vous pouvez voir quels utilisateurs ont activé l’authentification à deux facteurs.

Ces exigences sont présentées à vos utilisateurs dans le guide de démarrage de l’utilisateur

Quels sont les niveaux de service de Capsule et puis-je accéder à mes données où et quand je le souhaite ?

Nous nous efforçons de rendre Capsule disponible 24 h/24 et 7 j/7. Vous pouvez vous connecter en toute sécurité pour accéder à vos données au moment et à l’endroit qui vous conviennent, depuis un PC, un Mac ou votre téléphone portable.

Capsule bénéficie de l’accord de niveau de service d’Amazon EC2, conçu pour garantir une disponibilité de 99,95 %. En règle générale, nous dépassons ce niveau, comme le démontre notre rapport de disponibilité publié qui témoigne de nos performances passées.

Capsule dispose d’une capacité de réserve afin de répondre aux besoins de tous ses clients. De plus, Capsule étant hébergé sur une plateforme cloud, nous pouvons augmenter rapidement cette capacité. Des limites de débit fondées sur une utilisation raisonnable ainsi que d’autres mesures de protection s’appliquent également à tous les clients de Capsule, afin d’éviter que l’un d’entre eux ne nuise à la qualité du service.

Le personnel de Capsule et la sécurité de vos données

Vos données vous appartiennent et nous n’y touchons jamais sans votre autorisation explicite.

Afin de fournir le service, certains membres autorisés de notre personnel d’exploitation ont accès à l’infrastructure sous-jacente et, par conséquent, aux données brutes qu’elle contient. Toutefois, nous n’accédons jamais aux données d’un client en particulier, sauf lorsque nous collaborons avec celui-ci pour examiner un problème et que vous nous avez expressément autorisés à exécuter une requête précise sur les données afin de nous aider à en déterminer la cause.

La sécurité de notre équipe :

• Chaque membre de notre équipe est soumis au plus haut niveau de confidentialité par contrat.
• Le personnel de Capsule (ou les tiers auxquels nous faisons appel) n’a pas accès aux mots de passe et ne peut pas se connecter à votre compte. Vous pouvez choisir de nous inviter en tant qu’utilisateur temporaire afin que nous puissions vous aider à résoudre un problème.
• Nous n’avons jamais accès aux informations complètes des cartes de paiement, qui sont toutes stockées en dehors de nos serveurs.

Mes données seront-elles partagées avec des tiers ?

Nous ne divulguerons jamais vos informations personnelles à quiconque, sauf lorsque nous sommes tenus de le faire conformément à notre Politique de confidentialité, notamment à la section intitulée « Divulgation de vos informations »

Quelles informations sont disponibles pour savoir qui accède à mes données ?

Vos super-administrateurs peuvent surveiller l’activité de connexion au compte en consultant :

1. Accédez à Account SettingsUsers & Teams
2. Accédez à l’onglet « Connexions récentes ».

Certification de la capsule

Nous respectons les exigences du Règlement général sur la protection des données (RGPD) de l’UE. Les autorités chargées de la protection des données dans l’UE n’exigent ni ne proposent de certificat que nous pourrions demander. Elles exigent que nous respections la législation, ce qui est déjà notre cas.

Cet article est particulièrement utile pour comprendre la situation. Aucun organisme n’a été habilité par les services de la Commission européenne à auditer et à certifier la conformité au RGPD. Cela étant dit, nous pouvons vous assurer que Capsule offre le niveau de sécurité nécessaire pour vous permettre de respecter le RGPD, notamment grâce au chiffrement et aux accords juridiques, ainsi que les fonctionnalités requises pour gérer les données de vos clients de manière responsable.

Nous avons reçu des questions concernant les certifications ISO et SOC. Celles-ci ne sont pas directement liées au RGPD. Il s’agit de certifications qui attestent des niveaux de sécurité, ISO étant principalement utilisée dans l’UE et SOC principalement aux États-Unis. Nous avons obtenu notre certification SOC 2 Type II, sur laquelle vous pouvez en savoir plus dans cet article.

Comment mes données sont-elles chiffrées ?

Les données transférées entre vous et Capsule sont chiffrées pendant leur transmission à l’aide du protocole de sécurité de la couche de transport (TLS). Nous nous efforçons de prendre en charge les normes cryptographiques les plus strictes possible pour le chiffrement des données en transit et désactivons toute norme plus ancienne qui n’est plus considérée comme suffisamment robuste. Toutes les données des clients sont chiffrées au repos.

Que se passe-t-il lorsque je résilie mon compte ?

Comme indiqué dans la section Résiliation et annulation des Conditions de Capsule :

« Lorsqu’un compte est résilié ou annulé, ce compte ainsi que tout contenu qui y subsiste deviennent inaccessibles. Pendant une période de 14 jours suivant l’annulation d’un compte, vous pouvez nous demander de le restaurer. Passé ce délai, votre compte et toutes les Données client qu’il contient seront définitivement supprimés, et l’accord conclu entre nous, tel qu’il est défini dans les présentes Conditions client, prendra automatiquement fin. Veuillez noter que certaines données peuvent subsister dans nos systèmes de sauvegarde et/ou d’archivage pendant une période pouvant aller jusqu’à 50 jours. »

Comment sauvegarder mes données ?

Capsule propose une fonction permettant d’exporter vos données dans un fichier ZIP. Celui-ci contient des fichiers CSV distincts pour vos contacts, projets et opportunités, avec toutes les informations associées, notamment les notes et l’historique des e-mails. Les fichiers CSV peuvent être ouverts dans différentes applications de tableur. Un administrateur peut exporter une sauvegarde de la manière suivante :

1. Accédez à Account Settings, puis sélectionnez « Exporter les données ».
2. Cliquez sur le bouton pour exporter vers un fichier ZIP.
3. Un e-mail contenant le fichier ZIP avec les données sera envoyé à la première adresse e-mail figurant dans votre profil utilisateur.

Pour en savoir plus sur l’exportation de votre compte à des fins de sauvegarde, consultez notre article sur l’exportation.

Comment mes données sont-elles protégées contre toute destruction accidentelle ?

Nos systèmes répliquent automatiquement vos données en temps réel sur plusieurs sites afin de maximiser leur disponibilité. Les données sont également sauvegardées en permanence afin que nous puissions rétablir l’accès à vos données et au service dans le cas peu probable où les répliques de données de tous les sites tomberaient en panne simultanément.

Si l’un de vos utilisateurs supprime accidentellement un enregistrement, le super-administrateur dispose de 30 jours pour le restaurer. En savoir plus sur la procédure à suivre pour restaurer des enregistrements

De plus, vous avez la possibilité, et êtes encouragé, à télécharger et à conserver votre propre sauvegarde

En cas de violation de données, quelle est la procédure de notification et d’alerte de Capsule ?

Amazon est responsable de la sécurité de ses centres de données et des services qu’elle fournit, ainsi que de nous informer en cas de violation. Amazon prend très au sérieux la sécurité physique et celle du réseau afin de garantir la protection de vos données — pour en savoir plus, consultez la page AWS Cloud Security. Nous assurons la sécurité des couches supérieures aux services fournis par l’infrastructure.

En matière de violations de données, notre approche privilégiée consiste avant tout à réduire le risque qu’elles se produisent. Nous disposons de processus internes rigoureux afin de garantir l’installation rapide des mises à jour de sécurité, la protection de nos actifs (notamment grâce à l’authentification à deux facteurs pour les systèmes sensibles) et la limitation de l’accès aux données aux seuls collaborateurs clés qui en ont besoin. En outre, personne au sein de notre entreprise n’est autorisé à accéder à vos données sans votre permission. Nous faisons également appel à un organisme tiers spécialisé dans les tests d’intrusion afin de valider la sécurité de nos systèmes et d’examiner le code de notre application.

Dans l’éventualité où une faille de sécurité serait détectée, nous mènerions une enquête afin d’en déterminer l’étendue et de savoir si des données ont été affectées. Selon la nature de la faille, nous mettrions tout en œuvre pour comprendre ce qui s’est passé dans les meilleurs délais. Si vous étiez concerné par cette faille, nous nous efforcerions de vous en informer dès que possible, et au plus tard dans un délai de 72 heures.

Bien que nous soyons en mesure de sécuriser nos serveurs, vous avez, en tant que responsable du traitement des données de votre compte, la responsabilité de veiller à ce que votre équipe respecte également les bonnes pratiques de sécurité. Par exemple, assurez-vous que chaque service utilisé dispose d’un mot de passe fort et unique, et envisagez d’activer l’authentification à deux facteurs.

Protection des données et législation européenne relative au RGPD

Capsule s’est appuyé sur le Règlement général sur la protection des données (RGPD) de l’Union européenne pour définir sa norme en matière de protection des données. Ce règlement s’applique à toute personne qui stocke des données à caractère personnel concernant un résident de l’UE. Nous encourageons tous nos clients à évaluer leur conformité en matière de protection des données, qu’ils se trouvent dans l’UE ou ailleurs dans le monde, en se fondant sur la manière dont nous respectons ces normes. En complément de cet article, nous avons préparé une FAQ sur le RGPD pour vous aider à réaliser une analyse des risques pour vous-même ou votre organisation.

Emplacement des données

Toutes les données de Capsule sont stockées aux États-Unis auprès d’Amazon Web Services (AWS). Toute donnée stockée en dehors de l’UE doit l’être dans un pays sûr ou auprès d’une entreprise qui respecte les garanties exigées par le RGPD.

Veuillez consulter notre liste de sous-traitants disponible ici pour en savoir plus sur notre mécanisme de transfert de données pour AWS.

Vos obligations et exigences contractuelles en tant que responsable du traitement

La responsabilité du respect de la réglementation incombe au responsable du traitement des données. En tant que responsable du traitement des données à caractère personnel que vous stockez sur Capsule, il vous appartient de veiller au respect de cette législation si vous stockez des données de clients de l’Union européenne.

Afin de déterminer si Capsule vous permet de satisfaire aux exigences, nous vous recommandons de réaliser une analyse des risques simple. Les réponses à ces questions fréquentes sur le RGPD vous aideront à mener à bien une analyse des risques pour vous-même ou votre organisation. Nous sommes fermement convaincus que Capsule est parfaitement à même de protéger les données à caractère personnel que vous nous confiez.

Obligations et relation contractuelle en tant que sous-traitant de vos données

Capsule a l’obligation légale de protéger les informations personnelles identifiables de vos clients. Veuillez lire l’Accord sur le traitement des données afin de comprendre nos engagements et notre approche en matière de protection des données que vous stockez sur votre compte.

Obligations et relations contractuelles avec nos sous-traitants ultérieurs

Capsule fait appel à plusieurs sous-traitants, par exemple AWS. Tous ces sous-traitants sont liés par des accords garantissant que les données de vos clients sont protégées comme si nous les traitions directement au sein de l’UE. La liste de nos sous-traitants est tenue à jour ici.

Fonctionnalités de Capsule qui répondent à vos exigences de conformité

Consentement à l’enregistrement

Le RGPD exige que tout traitement des données des clients de l’UE repose sur une base juridique. Le consentement est l’un des moyens de garantir la licéité du traitement. Il existe d’autres bases juridiques, notamment l’intérêt légitime, qui peut vous autoriser à traiter les données d’un client. L’Information Commissioner’s Office (ICO) du Royaume-Uni a publié un projet de lignes directrices sur les bases juridiques du traitement. Celui-ci vous aidera à mieux comprendre ce que cela implique et à déterminer si vous devez solliciter activement le consentement. Cliquez ici pour consulter ces lignes directrices.

Si vous devez enregistrer le consentement explicite d’un client, vous pouvez utiliser la fonctionnalité Champs personnalisés de Capsule et ajouter un champ sous forme de case à cocher pour indiquer que le consentement a été donné. Vous pouvez l’associer à un champ de date afin d’enregistrer la date à laquelle le consentement a été donné.

Une autre façon de mettre en évidence les clients qui ont consenti au traitement de leurs données consiste à utiliser un DataTag. Les DataTags vous permettent d’enregistrer des informations supplémentaires à l’aide d’une étiquette. Par exemple, vous pouvez créer une étiquette « Consentement » et y associer la date à laquelle le consentement a été donné.

Droit à l’oubli

Le RGPD met l’accent sur le droit à l’oubli, qui permet à une personne de demander la suppression de ses données. Si l’un de vos clients vous demande de supprimer ses informations, vous pouvez utiliser la fonction « Corbeille » de Capsule pour le faire.

Un contact supprimé reste dans la corbeille pendant 30 jours, après quoi ses données sont définitivement supprimées de notre base de données active. Une option permet également aux super-administrateurs de purger immédiatement des fiches de contact individuelles du compte, sans attendre les 30 jours dans la corbeille.

Capsule conserve des sauvegardes. Comme indiqué dans nos Conditions générales d’utilisation, nous veillons à ce que toutes les données résiduelles soient supprimées dans les 50 jours suivant leur retrait des systèmes actifs. Vous pouvez consulter la politique actuelle en matière de suppression et de conservation des données ici.

Demande d’accès de la personne concernée (SAR)

Les demandes d’accès des personnes concernées étaient déjà prévues par la législation antérieure, mais elles ont pris davantage d’importance avec l’entrée en vigueur du RGPD. Ainsi, une personne peut demander à accéder à l’ensemble des données la concernant que vous avez stockées dans Capsule.

Sur demande, un utilisateur d’Administrator Capsule disposant de droits d’exportation peut préparer une demande d’accès aux données (SAR) à l’aide de la fonctionnalité « Imprimer le récapitulatif ». Celle-ci contiendra les informations complètes du client, ainsi que l’intégralité de l’historique et des notes. Pour ce faire :

1. Ouvrez le contact qui a demandé l’accès à ses données
2. À côté du nom du contact, cliquez sur la flèche vers le bas pour ouvrir un menu d’actions.
3. Sélectionner Imprimer le résumé
4. Imprimer la page
5. Vous pouvez désormais utiliser la fonction d’impression de votre navigateur pour imprimer les informations ou, par exemple, générer un PDF.

Comment Capsule traite vos données

Nous ne traiterons vos données personnelles que conformément à vos instructions en tant que responsable du traitement, dans le respect de nos Conditions générales et de notre Politique de confidentialité.