Moment de sécurité
« Où nos données se trouvent-elles vraiment, et quittent-elles le pays? »
Répondre aux questions sur la résidence et la localisation des données, c’est savoir exactement où chaque système et chaque fournisseur stockent les données de vos clients. Voici comment avoir cette réponse en main, avec la divulgation transfrontalière à l’appui. Quand un client, un assureur ou un organisme de réglementation pose la question, un haussement d’épaules signifie une vente perdue ou un audit échoué.
Cartographier l’emplacement de mes données Voir comment répondre
Un délai serré? ThreeShield peut vous aider : 1-403-538-5053
Comment répondre aux questions sur la résidence et la localisation
1. Séparez les deux questions
La résidence des données est l’endroit où se trouvent vos données. La localisation des données est une règle qui impose qu’elles se trouvent à un endroit précis. Un client commence généralement par la résidence (« où sont-elles? »), et seuls certains secteurs sont soumis à la localisation (« elles doivent rester ici »). Répondez avec précision à la première et la seconde devient gérable.
2. Cartographiez chaque endroit où les données vont réellement
Les données de vos clients se trouvent rarement dans un seul système. Elles circulent du courriel à la sauvegarde, au CRM, puis à l’analytique, et chaque étape peut se situer dans une région différente. Vous ne pouvez pas répondre à une question de résidence à partir de la page promotionnelle d’un seul fournisseur; il vous faut une carte de chaque système et de chaque sous-traitant ultérieur qui détient les données, et de l’endroit où chacun les conserve.
3. Sachez quels fournisseurs franchissent une frontière
Dès qu’un fournisseur stocke des données à l’extérieur de votre pays, des obligations supplémentaires s’ajoutent en vertu de la LPRPDE, des lois provinciales sur la protection des renseignements personnels et du RGPD. Les clients veulent la version honnête : quels fournisseurs traitent des données à l’étranger, dans quels pays, et quelles protections s’y appliquent. Les nommer d’emblée donne l’image de la compétence, pas du risque.
4. Mettez-le par écrit, dans un document qu’ils peuvent conserver
Les évaluateurs veulent un document écrit. Une divulgation du traitement à l’étranger énumère exactement ceux de vos services qui font traverser la frontière aux données; elle est produite à partir de votre environnement réel plutôt que copiée d’un modèle. Remettez ce document et la plus grande partie du questionnaire sur la résidence se remplit d’elle-même.
5. Gardez-le exact à mesure que votre environnement change
Ajoutez un nouvel outil et votre situation en matière de résidence peut changer du jour au lendemain. Si la réponse provient d’une carte vivante plutôt que d’un chiffrier périmé, elle reste exacte; la question du prochain client, ou le prochain audit, ne vous renvoie donc pas à la case départ.
Les outils Résilience qui gardent la réponse prête
La résidence et la localisation des données sont des questions de gouvernance des données. L’ensemble Résilience de Lavawall® suit l’endroit où se trouvent vos données pour que vous puissiez répondre sur-le-champ.
Documentation des flux de données
Cartographie les renseignements qui circulent entre vos systèmes et vos fournisseurs, et l’endroit où chacun les conserve; la question « où se trouvent nos données? » obtient ainsi une réponse précise et à jour.
En savoir plus →Divulgation du traitement à l’étranger
Produit l’avis de traitement hors Canada qui nomme exactement les services traitant ou stockant des données de l’autre côté de la frontière, soit le document que demandent les évaluateurs.
En savoir plus →Inventaire des fournisseurs
Une liste vivante des fournisseurs qui touchent vos données, pour que vous sachiez toujours quels fournisseurs vérifier en matière de résidence.
En savoir plus →Centre de confiance
Une page partageable qui montre où se trouvent vos données et comment elles sont gérées; vous répondez une seule fois aux questions sur la résidence, puis vous y renvoyez tout le monde.
En savoir plus →Votre console Lavawall® et ses données sont hébergées au Canada, un bon point de départ quand un client s’informe de la résidence. Consultez notre approche du traitement transfrontalier.
Vous voulez qu’on bâtisse avec vous votre carte des données et vos divulgations?
ThreeShield, l’équipe CISSP/CISA qui conçoit Lavawall®, cartographie l’endroit où se trouvent vos données, repère le traitement transfrontalier et produit les réponses sur la résidence, la divulgation du traitement à l’étranger et la page de confiance qu’attendent vos clients et les organismes de réglementation.
Questions fréquentes
- Quelle est la différence entre la résidence et la localisation des données?
- La résidence est l’endroit où vos données sont physiquement stockées; la localisation est une exigence légale selon laquelle elles doivent rester à l’intérieur d’un pays donné. Un client qui s’informe de la résidence veut savoir où se trouvent ses données; une règle de localisation précise où elles doivent se trouver. Dans les deux cas, il faut d’abord savoir exactement où chaque système et chaque fournisseur conservent les données.
- Pourquoi les clients et les organismes de réglementation se soucient-ils de l’endroit où nos données sont stockées?
- L’emplacement détermine les lois qui s’appliquent et les personnes qui peuvent accéder aux données. Des données stockées à l’étranger peuvent être soumises à l’accès de gouvernements étrangers et à des protections différentes. C’est pourquoi la LPRPDE, les lois provinciales, le RGPD et la plupart des contrats exigent que vous divulguiez le traitement transfrontalier et, parfois, que vous gardiez les données au pays.
- Comment Lavawall répond-il aux questions sur la résidence des données?
- Il cartographie les trajets de vos données et les fournisseurs qui les stockent, signale le traitement transfrontalier, puis produit une divulgation du traitement à l’étranger ainsi qu’une page du Centre de confiance que vous pouvez remettre à un client; la réponse devient une consultation plutôt qu’une enquête.