Sécurité et confiance
Monotree conserve les données personnelles de vos employés pour votre compte : la sécurité fait donc partie du produit, ce n'est pas une option. Cette page décrit ce qui est en place aujourd'hui, dans les termes qu'attendent votre service informatique et votre délégué à la protection des données. Le détail figure dans le rapport ISAE 3000 et dans l'accord de traitement des données, l'un et l'autre disponibles sur demande.
Certifications et rapports d'assurance
Monotree dispose d'un rapport d'assurance ISAE 3000, de type 1 et de type 2, délivré par BDO Danemark. Il couvre les contrôles relatifs à l'hébergement, aux accès, à la gestion des changements et au traitement des incidents, et il est renouvelé chaque année. Monotree agit comme sous-traitant pour les données à caractère personnel traitées pour le compte de ses clients, dans le cadre d'un accord de traitement des données conclu au titre de l'article 28 du RGPD. Une certification ISO 27001 est en cours.
Un serveur dédié pour chaque client
Chaque client fonctionne sur un serveur dédié, avec sa propre base de données. Les données applicatives et le stockage de chaque client sont logiquement isolés de ceux des autres clients, de sorte que la charge ou la configuration d'un client ne peut pas en affecter un autre.
Les données restent dans l'UE
Les serveurs et les sauvegardes sont hébergés chez des fournisseurs cloud situés dans l'Union européenne. Les clients qui opèrent hors de l'UE sont eux aussi servis depuis l'UE. Monotree ApS est une société danoise, soumise au droit danois et au droit de l'Union européenne.
Chiffrement et accès
Les données sont chiffrées en transit et au repos. Chez Monotree, les accès suivent le principe du moindre privilège : nos collaborateurs n'accèdent au système d'un client que lorsque le support ou l'exploitation l'exige, les accès de nos collaborateurs sont journalisés, et la sécurité est testée et revue en continu. Dans votre application, une structure de droits détermine ce que chaque employé, manager et éditeur peut voir et modifier.
Canal anonyme pour les lanceurs d'alerte
Les formulaires de lanceur d'alerte sont anonymes par conception. La plateforme n'enregistre pas qui a déposé un signalement, l'anonymat d'un signalement ne peut pas être modifié après coup, et les signalements ne parviennent qu'aux personnes désignées pour ce formulaire. Le canal de lanceur d'alerte est conçu pour répondre aux exigences applicables aux canaux de signalement interne au titre des règles européennes et danoises sur les lanceurs d'alerte, notamment le traitement confidentiel et l'accès restreint aux signalements.
Accord de traitement des données et sous-traitants ultérieurs
Chaque client signe l'accord de traitement des données standard de Monotree, au titre de l'article 28 du RGPD. Les sous-traitants ultérieurs applicables sont listés dans l'accord, et les clients sont informés avant toute modification. Pour obtenir l'accord, la liste des sous-traitants ultérieurs ou le rapport ISAE 3000, écrivez à contact@monotree.com.
Vos données restent les vôtres
Les contenus de votre application vous appartiennent. Vous pouvez exporter vos données dans un format standard pendant toute la durée de l'abonnement et pendant 30 jours après sa fin. Les données sont ensuite supprimées conformément à l'accord de traitement des données et aux obligations de conservation applicables. Les employés exercent leurs droits RGPD auprès de leur employeur, qui reste le responsable du traitement.
Incidents
En cas de violation de données à caractère personnel, Monotree en informe les clients concernés dans les meilleurs délais, avec les informations dont ils ont besoin pour évaluer et remplir leurs propres obligations de notification.
Questions
Les questionnaires de sécurité, les évaluations fournisseurs et les questions liées aux achats sont à adresser à contact@monotree.com. Nous y répondons nous-mêmes ; il n'y a pas de premier niveau externalisé.