Confidentialité des données et RGPD chez Wooclap

Pour nos clients européens, l’infrastructure Wooclap est hébergée sur Amazon Web Services (AWS) sur le data center eu-west-3 à Paris en France (une autre infrastructure dissociée est disponible pour nos clients nord-américains).
Notre infrastructure est construite autour des bonnes pratiques AWS en matière d’architecture appelée AWS Well-Architected Framework. AWS permet à Wooclap de garantir une importante qualité de service et des taux importants de disponibilité. AWS apporte de nombreuses garanties de sécurité essentielles pour la protection des données comme le chiffrement de l’ensemble de nos données (à la fois au repos et en transit), répondent également à de nombreuses certifications (AWS Compliance Programs) et sont conforme aux normes de sécurité les plus exigeantes ainsi qu’aux lois sur la souveraineté des données et du Data Privacy Framework. AWS apporte également des réponses claires au CLOUD Act, à Schrems II, au RGPD, à l'interdiction des transferts de données hors de l'UE, etc.

Les données ne peuvent pas être déplacées par AWS, c’est une garantie légale entre Wooclap et AWS. Cette garantie repose également sur les certifications que AWS possède et qui les obligent (vis-à-vis des audits de certifications) à garantir la localité annoncée des données.

Également AWS ne peut pas accéder aux données Wooclap, c’est une garantie légale entre Wooclap et AWS. Cette garantie repose également sur les certifications que AWS possède et qui les obligent (vis-à-vis des audits de certifications) à garantir l’impossibilité des accès aux données. Techniquement cela n’est également pas possible grâce à l’architecture AWS qui est conçue nativement ainsi. Grâce aux règles d’accès (Identity Access Management - IAM) qui autorisent uniquement les accès au propriétaire du compte. Uniquement l’équipe tech de Wooclap peut accéder aux données (uniquement des comptes listés, pour des accès justifiés, tracés et une durée définie). Wooclap ne donnera pas d’accès aux données à AWS même pour des raisons d’assistance.

Concernant la conformité de AWS au RGPD, Wooclap voulait également être sûr que les services que nous utiliserions étaient conformes à la réglementation. Nous nous sommes basés sur le code de conduite du CISPE (Association des fournisseurs d'infrastructure Cloud en Europe) à destination des hébergeurs clouds qui est un framework qui liste les services cloud qui respectent le RGPD. Ce code conduite a été approuvé entre autres par l’European Data Protection Board (EDPB) et la Commission nationale de l'informatique et des libertés (CNIL) en 2021. Nous pouvons donc vous informer que l’ensemble des services AWS que nous utilisons chez Wooclap sont certifiés conformes au CISPE, au Data Privacy Framework et donc conformes au RGPD.

Le CLOUD Act est une loi américaine qui permet de clarifier comment les États-Unis peuvent collaborer avec les autres nations contre le crime organisé, le terrorisme, etc. Uniquement concernant des entreprises américaines, cette loi permet au gouvernement américain de formuler une requête pour obtenir certaines données concernant des faits graves. Cette requête doit être faite au travers d’un framework légal rigoureux qui doit être revu par un juge pour sa pertinence dans l’avancée d’une enquête, mais peut-être également être challengé par la loi elle-même, l’entreprise américaine qui héberge les données et le propriétaire de la donnée (ici Wooclap).

Au travers de sa forme juridique, la requête doit être précise, justifiée, concerné des données spécifiques et permettre l’avancée d’une enquête judiciaire.

Concernant, les données Wooclap, nous ne pensons pas qu’il peut y avoir des supports de présentation pédagogique qui hébergerais des données qui concernent l’organisation de crimes. Nous ne voyons pas d’impact possible du CLOUD Act sur les données Wooclap. (Si cela se passe Wooclap et notre fournisseur de service AWS seront en totale transparence avec nos partenaires afin de décider ensemble du déroulé la requête reçue).

D’autre part au niveau contractuel uniquement le seul jeu de données concernant le ou les malfaiteurs sera fourni, soit le strict minimum. Les données fournies seront chiffrées et sans clef de déchiffrement, car le CLOUD Act est qualifiée de loi “encryption neutral” donc ne demande pas de déchiffrement préalable ce qui rend le jeu de données non exploitable.

Plus d’information concernant le CLOUD Act ici et également concernant le point de vue AWS. Une video explique également les différents sujets de manière claire et comment AWS protèges les données et la confidentialité.

Toutes les données sont chiffrées chez Wooclap au repos et en transit.

Chiffrement au repos : Wooclap utilise Amazon Key Management Service (KMS) avec une clé AES 256-bit pour crypter les données stockées par Wooclap. Ce schéma de cryptage des données a été validé comme FIPS 197 par le NIST. Concernant le stockage des clés, AWS utilise des équipements spécifiques appelés boitiers Hardware Security Module (HSM), ce dispositif garantit qu'aucun accès technique n'est possible aux clés pour AWS, Wooclap ou toute autre personne.

Chiffrement en transit : Seul le protocole TLS 1.2 ou supérieur est utilisé chez Wooclap. Cet algorithme cryptographique asymétrique permet à Wooclap de chiffrer et de prévenir les attaques sur les communications entre la plateforme Wooclap et les navigateurs des utilisateurs.

Une video AWS explique les mécanismes de chiffrements et services AWS qui protèges les données Wooclap.

Le Privacy Shield (EU-US) était un cadre juridique destiné à réglementer les échanges de données personnelles à des fins commerciales entre l'Union européenne et les États-Unis.

En juillet 2020, le Privacy Shield a été invalidé par la Cour de justice de l'Union européenne (CJUE) à la suite de l'arrêt Schrems II. Par ailleurs, la CJUE a confirmé que les clauses contractuelles types (CCS) mises à jour restaient un mécanisme de transfert valable pour les données personnelles vers les États-Unis et internationalement, à condition que des mesures supplémentaires appropriées (juridiques, techniques et/ou organisationnelles) soient mises en œuvre si nécessaire.

L’arrêt Schrems II a permis d’encadrer encore d’avantage les transferts vers et depuis l’Europe. Les transferts doivent maintenant comporter des garanties appropriées pour assurer un niveau de protection équivalent à celui garanti au sein de l'UE et c’est ce que Wooclap s’engage à faire et à maintenir.

Pour chaque sous-traitant dont les données sont situées en dehors de l'UE :

Wooclap détient les Clauses Contractuelles Types mises à jour avec ces sous-traitants

Wooclap possède un Accord sur le Traitement des Données (ATD) signé avec chacun de ces partenaires

Wooclap a réalisé et rédigé des Analyses d'Impact des Transferts (AIT) pour être sur du niveau de sécurité des transferts avec ces sous-traitants.

Wooclap et les sous-traitants concernés ont mis en œuvre les mesures supplémentaires appropriées (juridiques, techniques et/ou organisationnelles)

Depuis 10 juillet 2023, la Commission européenne a adopté une nouvelle décision d'adéquation concernant le cadre de protection des données UE - États-Unis ; cet accord est appelé EU-US Data Privacy Framework et remplace-le précédemment et invalidé Privacy Shield (voir ci-dessus).

Suite à cet accord, les données à caractère personnel peuvent circuler librement et en toute sécurité depuis l'Espace économique européen vers des sous-traitants américains qui assurent un niveau de protection équivalent à celui de l’Union européenne.

Wooclap a 95% de sous-traitants qui hébergent leurs données en Europe. Pour les sous-traitants restants, toutes les garanties de sécurité et de confidentialité ont été vérifiées par l’équipe Sécurité Wooclap. Ces sous-traitants apportent les mesures supplémentaires demandées par l’Europe (et par Wooclap) et sont conformes au RGPD également par leur conformité à l’EU-US Data Privacy Framework.

Plus d’information sur l’article Q&A de la Commission Européenne.

Les utilisateurs ne sont la cible de aucun suivi à des fins de publicité. Toutes les utilisations des données sont définies dans la politique de confidentialité (et dans le DPA joint au contrat pour les clients organisationnels). Wooclap ne revend pas de données ni ne transfère de données pour des campagnes publicitaires.

Wooclap accorde une importance primordiale au respect de la confidentialité de ses utilisateurs et à la protection de leurs libertés individuelles. Conformément à notre politique et aux réglementations en vigueur, nous ne fournirons jamais de données confidentielles ou personnelles (telles que les adresses IP, numéros de téléphone, etc.) des participants y compris en cas d'insultes, de racisme ou de tout autre propos injurieux. En ce qui concerne les adresses IP, sachez que celles que nous collectons lors des participations anonymes ne sont pas traitées pour identifier un utilisateur spécifique. Par conséquent, il nous est impossible, techniquement et légalement, de communiquer des données individuelles lorsque les participants ne se sont pas identifiés au préalable sur l'événement.

Afin d’obtenir les données collectées de vos participants lors d’un évènement (réponses, pseudonymes, etc.), vous pouvez générer un export des résultats et des participations depuis la plateforme (lien ici).

Pour les organisateurs d'événements qui souhaitent limiter l'anonymat ou s'assurer de l'identité de leurs participants, nous recommandons deux solutions intégrées :

Activer l'authentification depuis les paramètres de votre événement. Cela force les utilisateurs à s'identifier (via un compte ou une connexion institutionnelle) pour participer (lien ici).

Activer le mode modérateur sur votre événement Wooclap. Cela vous permet de filtrer et de valider les réponses avant qu'elles ne soient affichées, garantissant ainsi un contrôle sur le contenu publié lors de votre présentation (lien ici).

Wooclap s'engage à garantir un environnement en ligne sûr et respectueux pour tous ses utilisateurs. Conformément aux obligations d’hébergeur découlant du règlement (UE) 2022/2065 relatif aux services numériques (Digital Services Act ou "DSA"), le Prestataire met à votre disposition un mécanisme de signalement simple. Si vous identifiez un contenu ou une activité qui vous semble illicite, nous vous invitons à nous en informer en utilisant notre formulaire de signalement.