Moment de sécurité
« Pouvez-vous nous envoyer votre liste de sous-traitants ultérieurs? »
Voici comment répondre avec exactitude, dès aujourd’hui, à la question d’un client sur les sous-traitants ultérieurs, et comment en faire la raison pour laquelle il vous fait confiance. La demande arrive de l’équipe juridique d’un prospect ou se glisse dans une révision de contrat, et la vente est suspendue tant que vous n’avez pas répondu. Nommez le mauvais fournisseur, en oubliez un ou mettez trois semaines, et vous passez pour un risque.
Bâtir mon inventaire des fournisseurs gratuitement Voir comment répondre
La vente attend cette réponse? ThreeShield peut vous aider : 1-403-538-5053
Comment bien répondre à la question sur les sous-traitants ultérieurs
1. Sachez ce qu’on vous demande réellement
Un sous-traitant ultérieur est tout service externe qui touche aux données de vos clients en votre nom. Le client veut une liste nominative : qui est chaque fournisseur, ce qu’il fait pour vous et, de plus en plus, dans quel pays il stocke les données. Les réponses vagues comme « des fournisseurs conformes aux normes de l’industrie » échouent; les listes précises et à jour réussissent.
2. Ne répondez pas de mémoire
L’outil non autorisé auquel un service s’est inscrit le trimestre dernier est celui qui transforme une réponse assurée en correction embarrassante. Votre liste de sous-traitants ultérieurs doit refléter ce que vous utilisez réellement aujourd’hui, pas ce dont vous vous souvenez d’avoir approuvé. C’est pourquoi elle devrait provenir d’un inventaire vivant plutôt que d’un document que quelqu’un a rédigé une seule fois.
3. Signalez quels fournisseurs font traverser une frontière aux données
La question de suivi est toujours « et où se trouvent les données? ». Un fournisseur qui stocke des données à l’extérieur de votre pays déclenche des obligations de divulgation supplémentaires en vertu de la LPRPDE, du RGPD et des lois provinciales sur la protection des renseignements personnels. Savoir lesquels de vos sous-traitants ultérieurs traitent des données à l’étranger, avant que le client le demande, distingue un examen fluide d’un branle-bas de combat.
4. Remettez-leur une page, pas une promesse
Le fournisseur qui répond avec une liste de sous-traitants ultérieurs claire et datée et une courte page de confiance paraît le choix sûr. Celui qui dit « laissez-moi vérifier avec les TI et je vous reviens » paraît le risque. Même entreprise, impression opposée, décidée entièrement par la disponibilité de la réponse.
5. Gardez-la à jour, car les contrats exigent un préavis
La plupart des ententes de traitement des données exigent que vous avisiez vos clients avant d’ajouter ou de changer un sous-traitant ultérieur. C’est impossible si vous ne savez pas quand un nouvel outil entre dans votre environnement. La découverte continue fait de l’obligation d’aviser en cas de changement une promesse qui se tient d’elle-même, au lieu d’une promesse impossible à tenir.
Les outils Résilience qui répondent à votre place
Les questions sur les sous-traitants ultérieurs sont en réalité des questions de gouvernance des données. L’ensemble Résilience de Lavawall® garde la réponse à jour; la prochaine prendra donc quelques minutes.
Inventaire des fournisseurs
Une liste vivante des fournisseurs et des outils qui touchent vos données, découverts à partir de ce que vous utilisez réellement; votre liste de sous-traitants ultérieurs devient une consultation plutôt qu’un test de mémoire.
En savoir plus →Documentation des flux de données
Montre quels renseignements circulent entre vos systèmes et chaque fournisseur, pour que vous puissiez expliquer à la fois qui sont vos sous-traitants ultérieurs et ce qu’ils reçoivent.
En savoir plus →Divulgation du traitement à l’étranger
Signale automatiquement les sous-traitants ultérieurs qui font sortir les données du pays et produit la divulgation de traitement hors Canada que la plupart des plateformes ne produisent pas.
En savoir plus →Centre de confiance
Une seule page à envoyer à un client, qui montre votre posture, vos sous-traitants ultérieurs et votre traitement des données; vous répondez une seule fois à la même question.
En savoir plus →Également utiles : un addenda à la politique de confidentialité qui nomme vos fournisseurs de services et le traitement à l’international, et des questionnaires aux parties prenantes pour recueillir ce que chaque fournisseur atteste.
Vous voulez qu’on prépare avec vous la liste de sous-traitants ultérieurs et les divulgations?
ThreeShield, l’équipe CISSP/CISA qui conçoit Lavawall®, dresse l’inventaire de vos fournisseurs, cartographie vos flux de données et produit la liste de sous-traitants ultérieurs, la divulgation du traitement à l’étranger et la page de confiance que demandent les clients; le prochain examen commence ainsi déjà terminé.
Questions fréquentes
- Qu’est-ce qu’un sous-traitant ultérieur, exactement?
- Tout tiers qui traite en votre nom les renseignements personnels de vos clients : votre hébergeur infonuagique, votre courriel, votre sauvegarde, votre CRM, votre analytique, votre centre d’assistance et votre processeur de paiements. Les lois sur la protection des renseignements personnels et la plupart des contrats exigent que vous les divulguiez et que vous leur transmettiez vos obligations.
- Avons-nous vraiment besoin d’une liste de sous-traitants ultérieurs si nous sommes une petite entreprise?
- Si vous traitez les renseignements personnels d’autres organisations, oui. Les clients, les assureurs et les organismes de réglementation la demandent de plus en plus, et une liste manquante ou périmée bloque les ventes. La liste est habituellement courte; le plus difficile est de la tenir à jour et de savoir quels fournisseurs font sortir les données du pays.
- Comment Lavawall aide-t-il à répondre aux questions sur les sous-traitants ultérieurs?
- Il tient un inventaire des fournisseurs vivant, cartographie la circulation des données vers chaque fournisseur, signale le traitement transfrontalier, puis produit une divulgation du traitement à l’étranger et une page du Centre de confiance que vous pouvez remettre à un client; la réponse devient une consultation plutôt qu’un branle-bas de combat.