Confidentialité des données et RGPD chez Wooclap

Foire Aux Questions

• Pourquoi Wooclap utilise AWS ? Est-ce compatible avec le RGPD ?

  L’infrastructure Wooclap est hébergée sur Amazon Web Services (AWS) sur le data-center eu-west-3 à Paris en France. Notre infrastructure est construite autour des bonnes pratiques AWS en matière d’architecture appelée AWS Well-Architected Framework. AWS permet à Wooclap de garantir une importante qualité de service et des taux importants de disponibilité. AWS apporte de nombreuses garanties de sécurité essentielles pour la protection des données comme le chiffrement de l’ensemble de nos données (à la fois au repos et en transit), répondent également à de nombreuses certifications (AWS Compliance Programs) et sont conforme aux normes de sécurité les plus exigeantes ainsi qu’aux lois sur la souveraineté des données et du Data Privacy Framework. AWS apporte également des réponses claires au CLOUD Act, à Schrems II, au RGPD, à l'interdiction des transferts de données hors de l'UE, etc.

  Les données ne peuvent pas être déplacées par AWS, c’est une garantie légale entre Wooclap et AWS. Cette garantie repose également sur les certifications que AWS possède et qui les obligent (vis-à-vis des audits de certifications) à garantir la localité annoncée des données.

  Également AWS ne peut pas accéder aux données Wooclap, c’est une garantie légale entre Wooclap et AWS. Cette garantie repose également sur les certifications que AWS possède et qui les obligent (vis-à-vis des audits de certifications) à garantir l’impossibilité des accès aux données. Techniquement cela n’est également pas possible grâce à l’architecture AWS qui est conçue nativement ainsi. Grâce aux règles d’accès (Identity Access Management - IAM) qui autorisent uniquement les accès au propriétaire du compte. Uniquement l’équipe tech de Wooclap peut accéder aux données (uniquement des comptes listés, pour des accès justifiés, tracés et une durée définie). Wooclap ne donnera pas d’accès aux données à AWS même pour des raisons d’assistance.

  Concernant la conformité de AWS au RGPD, Wooclap voulait également être sûr que les services que nous utiliserions étaient conformes à la réglementation. Nous nous sommes basés sur le code de conduite du CISPE (Association des fournisseurs d'infrastructure Cloud en Europe) à destination des hébergeurs clouds qui est un framework qui liste les services cloud qui respectent le RGPD. Ce code conduite a été approuvé entre autres par l’European Data Protection Board (EDPB) et la Commission nationale de l'informatique et des libertés (CNIL) en 2021. Nous pouvons donc vous informer que l’ensemble des services AWS que nous utilisons chez Wooclap sont certifiés conformes au CISPE, au Data Privacy Framework et donc conformes au RGPD.

• Qu’est-ce que le CLOUD Act? Est-ce que le gouvernement américain peut accéder à mes données?

  Le CLOUD Act est une loi américaine qui permet de clarifier comment les États-Unis peuvent collaborer avec les autres nations contre le crime organisé, le terrorisme, etc. Uniquement concernant des entreprises américaines, cette loi permet au gouvernement américain de formuler une requête pour obtenir certaines données concernant des faits graves. Cette requête doit être faite au travers d’un framework légal rigoureux qui doit être revu par un juge pour sa pertinence dans l’avancée d’une enquête, mais peut-être également être challengé par la loi elle-même, l’entreprise américaine qui héberge les données et le propriétaire de la donnée (ici Wooclap).

  Au travers de sa forme juridique, la requête doit être précise, justifiée, concerné des données spécifiques et permettre l’avancée d’une enquête judiciaire.

  Concernant, les données Wooclap, nous ne pensons pas qu’il peut y avoir des supports de présentation pédagogique qui hébergerais des données qui concernent l’organisation de crimes. Nous ne voyons pas d’impact possible du CLOUD Act sur les données Wooclap. (Si cela se passe Wooclap et notre fournisseur de service AWS seront en totale transparence avec nos partenaires afin de décider ensemble du déroulé la requête reçue).

  D’autre part au niveau contractuel uniquement le seul jeu de données concernant le ou les malfaiteurs sera fourni, soit le strict minimum. Les données fournies seront chiffrées et sans clef de déchiffrement, car le CLOUD Act est qualifiée de loi “encryption neutral” donc ne demande pas de déchiffrement préalable ce qui rend le jeu de données non exploitable.

  Plus d’information concernant le CLOUD Act ici et également concernant le point de vue AWS. Une video explique également les différents sujets de manière claire et comment AWS protèges les données et la confidentialité.

• Comment le chiffrement protège mes données?

  Toutes les données sont chiffrées chez Wooclap au repos et en transit.

  Chiffrement au repos : Wooclap utilise Amazon Key Management Service (KMS) avec une clé AES 256-bit pour crypter les données stockées par Wooclap. Ce schéma de cryptage des données a été validé comme FIPS 197 par le NIST. Concernant le stockage des clés, AWS utilise des équipements spécifiques appelés boitiers Hardware Security Module (HSM), ce dispositif garantit qu'aucun accès technique n'est possible aux clés pour AWS, Wooclap ou toute autre personne.

  Chiffrement en transit : Seul le protocole TLS 1.2 ou supérieur est utilisé chez Wooclap. Cet algorithme cryptographique asymétrique permet à Wooclap de chiffrer et de prévenir les attaques sur les communications entre la plateforme Wooclap et les navigateurs des utilisateurs.

  Une video AWS explique les mécanismes de chiffrements et services AWS qui protèges les données Wooclap.

• Qu’est ce que le Privacy Shield et l’arrêt Schrems II? Quels sont leurs impacts sur les données Wooclap?

  Le Privacy Shield (EU-US) était un cadre juridique destiné à réglementer les échanges de données personnelles à des fins commerciales entre l'Union européenne et les États-Unis.

  En juillet 2020, le Privacy Shield a été invalidé par la Cour de justice de l'Union européenne (CJUE) à la suite de l'arrêt Schrems II. Par ailleurs, la CJUE a confirmé que les clauses contractuelles types (CCS) mises à jour restaient un mécanisme de transfert valable pour les données personnelles vers les États-Unis et internationalement, à condition que des mesures supplémentaires appropriées (juridiques, techniques et/ou organisationnelles) soient mises en œuvre si nécessaire.

  L’arrêt Schrems II a permis d’encadrer encore d’avantage les transferts vers et depuis l’Europe. Les transferts doivent maintenant comporter des garanties appropriées pour assurer un niveau de protection équivalent à celui garanti au sein de l'UE et c’est ce que Wooclap s’engage à faire et à maintenir.

  Pour chaque sous-traitant dont les données sont situées en dehors de l'UE :

  Wooclap détient les Clauses Contractuelles Types mises à jour avec ces sous-traitants

  Wooclap possède un Accord sur le Traitement des Données (ATD) signé avec chacun de ces partenaires

  Wooclap a réalisé et rédigé des Analyses d'Impact des Transferts (AIT) pour être sur du niveau de sécurité des transferts avec ces sous-traitants.

  Wooclap et les sous-traitants concernés ont mis en œuvre les mesures supplémentaires appropriées (juridiques, techniques et/ou organisationnelles)

• Qu’est-ce que l’EU-US Data Privacy Framework? (Juillet 2023)

  Depuis 10 juillet 2023, la Commission européenne a adopté une nouvelle décision d'adéquation concernant le cadre de protection des données UE - États-Unis ; cet accord est appelé EU-US Data Privacy Framework et remplace-le précédemment et invalidé Privacy Shield (voir ci-dessus).

  Suite à cet accord, les données à caractère personnel peuvent circuler librement et en toute sécurité depuis l'Espace économique européen vers des sous-traitants américains qui assurent un niveau de protection équivalent à celui de l’Union européenne.

  Wooclap a 95% de sous-traitants qui hébergent leurs données en Europe. Pour les sous-traitants restants, toutes les garanties de sécurité et de confidentialité ont été vérifiées par l’équipe Sécurité Wooclap. Ces sous-traitants apportent les mesures supplémentaires demandées par l’Europe (et par Wooclap) et sont conformes au RGPD également par leur conformité à l’EU-US Data Privacy Framework.

  Plus d’information sur l’article Q&A de la Commission Européenne.

• Est-ce qu’un tracking publicitaire est fait sur les utilisateurs Wooclap?

  Les utilisateurs ne sont la cible de aucun suivi à des fins de publicité. Toutes les utilisations des données sont définies dans la politique de confidentialité (et dans le DPA joint au contrat pour les clients organisationnels). Wooclap ne revend pas de données ni ne transfère de données pour des campagnes publicitaires.

• Est-ce possible d’obtenir l’adresse IP des utilisateurs anonymes de mon évènement Wooclap?

  Contacter notre DPO