A lire également...

La réponse est non. Que ce soit sous la réglementation actuelle ou sous le RGPD, nous ne pouvons traiter des données que sur instruction directe de nos clients. Les données sont les vôtres, et seulement une poignée de collaborateurs chez itslearning a accès à celles-ci et ce, de manière strictement confidentielle et sécurisée. Notez que nous pouvons tout de même traiter des données personnelles sans instruction dès lors que cela relève de l'intégrité et la sécurité de nos services, ou pour analyser et évaluer la qualité des services fournis.

Le droit à la transparence et à l'information des utilisateurs (ou de leur parents) est très fort dans le cadre du RGPD. Les informations dont vous avez besoin afin de vous conformer peuvent inclure :

• L'identité et les coordonnées du gestionnaire des données
• Les coordonnées du Responsable de la Protection des Données
• L'objectif du traitement ainsi que la base légale permettant le traitement des données
• Toute intention de transferer des données personnelles à un pays tiers (en dehors de l'EU/EEE), quels dispositifs de sécurité ont été mis en place ainsi que les moyens permettant d'obtenir une copie des données.
• La période durant laquelle les données seront stockées, ou les critères permettant de déterminer cette dernière
• Les droits des utilisateurs (accès, rectification, effacement, etc.)
• Le droit de saisir l'autorité de contrôle compétente
• La source/l'origine des données
• Toute utilisation d'un logiciel de prise de décision/de profilage automatique.

De manière générale probablement pas. Il existe cependant quelques exeptions régies par l'article 17 du Réglement Européen sur la Protection des Données permettant à un utilisateur de demander la suppression de ses données. Les gestionnaires de données (nos clients) auront besoin de processus leur permettant d'évaluer attentivement les demandes de suppression. Vous pouvez contacter notre Responsable de la Protection des Données pour obtenir des conseils pour des cas sensibles. Enfin, si un utilisateur voit sa demande sa demande d'accès à ses données acceptée, nous serons capables de les fournir soit par l'intermédiaire de notre système ou de notre service support.

Dans une certaine mesure oui. Nous assurons la même transparence, la même information et l'accès aux données pour tous nos utilisateurs. Toute personne concernée peut demander à recevoir une copie de l'ensemble de ses données personnelles à condition que cela n'ait pas d'impact négatif sur d'autres personnes, et que ses données n'aient pas déjà été mises à sa disposition. Cependant, ce n'est pas un droit absolu, d'autres réglementations peuvent requérir à des fins de protection de l'utilisateur, de limiter l'accès à certains types d'informations. Vous pouvez contacter notre Responsable de la Protection des Données pour obtenir des conseils pour des cas sensibles. Enfin, si un utilisateur voit sa demande sa demande d'accès à ses données acceptée, nous serons capables de les fournir soit par l'intermédiaire de notre système ou de notre service support.

La réponse est non. Dans le cadre du RGPD, un utilisateur souhaitant faire appliquer ses droits devra directement contacter son administrateur (notre client). C'est pourquoi, toute demande émise à notre attention sera transmise à l'administrateur concerné (notre client). Nous ferons tout de même tout notre possible afin d'assurer aux personnes concernées le respect et l'application de leurs droits.

A partir du moment où un client nous en fait la demande, où dès lors que le contrat nous liant à ce dernier prend fin, nous supprimons les données personnelles. Toutefois, les procédures de suppression devront être fournies par écrit (ex : un accord de traitement).

La suppression d'un utilisateur nécéssite avant tout d'emettre une demande à notre support technique. Celle-ci peut étre effectuée manuellement depuis la plateforme par un administrateur, ou automatiquement par le biais d'une intégration.

Notez que la suppression d'un utilisateur de notre base de données est sécurisée par des dispositifs. Ceux-ci permettent d'éviter les erreurs pouvant mener à des pertes de données. Dans la plupart des cas, les clients devront confirmer manuellement la suppression.

La réponse est oui. Dans le cas d'une fuite de données, nous sommes tenus de notifier nos clients ainsi que leurs utilisateurs. Notez qu'en fonction de la nature de la fuite, nous pouvons également exiger de nos clients de fournir la liste de leurs utilisateurs affectés.

Dans la plupart des cas oui. Il est plus précisement nécessaire de nommer un Responsable de la Protection des Données si :
a) Vous êtes une institution publique/Gouvernementale
b) Vous traitez des données sensibles à grande échelle
c) Le traitement des données implique un contrôle et une surveillance à grande échelle

Le RGPD n'interdit pas la circulation des données en dehors de l'espace économique Européen (EEE). c'est pourquoi, de puissants dispositifs de sécurité ont été développés afin d'assurer que la moindre donnée traitée en dehors de l'Union Européenne le soit en conformité avec le RGPD. De plus, tout responsable/gestionnaire traitant des données hors UE est tenu de fournir des informations détaillées sur la nature du traitement et dans certains cas, de permettre aux clients comme aux utilsateurs de pouvoir contester le traitement.

Nous concernant, l'ensemble des données que nous traitons, l'est au sein de l'EEE. Il arrive que pour faciliter certaines intégrations (c'est une option), nous fassions appel à un partenaire tiers situé hors EEE. Pour ces cas de figure, nous devrons au même titre que nos clients respecter les conditions imposées par le RGPD.

Le RGPD n'a jusqu'à présent pas défini de pré-requis spécifiques censés constituer un service cloud sécurisé. Il est donc de notre responsabilité conjointe à celle denos clients de mettre en place une organisation technique adéquate afin de traiter les données personnelles de façon sécurisée. Il convient tout de même de noter que le RGPD renforce la notion de responsabilité pour les organisations dont la sécurité ne serait pas assez forte.

Nous avons pendant vingt ans protégé et traité les données de millions d'utilisateurs. Nous restons cependant concients que nos performances passées ne constituent en rien un gage de réussite future. Voilà pourquoi nous investissons sans relache nos efforts dans notre organisation, notre réseau, nos infrastructures techniques ainsi que nos applications afin d'offrir un niveau maximal de sécurité à nos utilisateurs. Cette volonté se traduit également par le fait que nous organisons régulièrement des audits sur le niveau de notre sécurité.

Parmi nos dispositifs et nos processus déjà en place pour contrer les menaces, il y a notamment :

• la sécurité des applications : il est question ici du cryptage du l'ensemble du trafic, de mots de pass forts, de dispositifs contre les vulnérabilités telles que le cryptage du trafic, les scripts inter-site, les injections SQL, le hameçonnage (phishing) etc.
• la sécurité des réseaux : des pare-feux et des systèmes de détection de comportements suspects afin de contrer/stopper des tentatives d'accès et/ou la mise en péril l'intégrité du service (une Attaque par Déni De Service ou DDOS par exemple)
• la sécurité organisationnelle telle que la politique d'accès aux données, le journal des transactions et les accords de confidentialité
• la sécurité physique afin de prévenir l'accès non autorisé à une infrastructure qui traite des données personnelles
• la sécurité procédurale : la gestion des processus informatiques afin de minimiser les riques d'erreurs humaines
• des programmes de tests pour identifier les faiblesses produit avant le lancement de nouvelles fonctionnalités

Il faut savoir que nous n'obtenons aucune des données utilisateurs de manière indépendante. Ces dernières peuvent être soit manuellement soumises via la plateforme par les administrateurs, soit par le biais d'une intégration avec un système tiers, ou dans certains cas, par les utilisateurs eux-mêmes.

Les données personnelles sont pour la plupart du temps issues du “système d'information des élèves" sous le contrôle de nos clients. Nous n'importons des données issues d'un système tiers que sur instruction de nos clients.

Nous n'envoyons des données à des parties tierces que dans deux cas :

Une instruction venant d'un client doit être émise sous la forme d'un accord d'intégration de service/d'outil tiers, ou lorsqu'un administrateur lui-même configure une integration. Dans tous les cas, nous prenons les mesures nécessaires afin d'éviter aux clients d'envoyer des données à des parties tierces qui pourraient ne pas être conformes vis-à-vis du RGPD. Ceci n'empêche en rien le fait que nous encourageons nos clients à mettre en place des dispositifs de sécurité afin de se prémunir contre des transmissions vers des parties à risque.