Avant d'accorder des accès à une équipe au Maroc, une entreprise française doit cartographier les données personnelles concernées et les destinataires. La localisation de l'hébergement ne suffit pas à décrire tous les accès. Cette cartographie prépare la revue du dispositif avec votre responsable de la protection des données.
Partir des opérations de travail
Listez ce que le partenaire doit faire : consulter un ticket, diagnostiquer une erreur, lire une base ou vérifier un document. Identifiez les données présentes dans chaque outil, y compris les pièces jointes et les journaux. Une adresse ou un identifiant peut se retrouver dans plusieurs endroits.
Examinez les accès réellement nécessaires. Un diagnostic peut parfois se préparer avec un jeu d'essai ou un extrait adapté. Cette possibilité doit être vérifiée techniquement, sans supposer qu'un simple masquage supprime tous les risques.
Identifier les destinataires
| Outil ou activité | Information à documenter |
|---|---|
| Environnement d'essai | Données utilisées et comptes autorisés |
| Support | Pièces et informations consultables |
| Journaux | Champs présents et durée de conservation |
| Service tiers | Destinataire et traitement prévu |
| Export de diagnostic | Stockage et suppression convenus |
Selon le guide de la CNIL sur les transferts, l'accès à distance depuis un pays tiers par une entité juridiquement distincte peut constituer un transfert, même si les données restent stockées dans l'EEE. Faites examiner le mécanisme applicable à votre dispositif.
Organiser les contrôles
Prévoyez des comptes individuels, des droits liés au besoin et une trace des décisions d'accès. Documentez les accès temporaires et les changements de rôle. Le responsable interne doit pouvoir revoir ce qui est permis sans dépendre d'une conversation ancienne.
Faites préciser les mesures techniques et les engagements du fournisseur. Une clause ou une configuration isolée ne décrit pas l'ensemble du traitement. Conservez les éléments nécessaires à votre revue de conformité et leurs dates.
Préparer les incidents et la sortie
Définissez le canal utilisé pour signaler un accès inattendu ou une perte de document. Précisez les informations à transmettre et les responsables qui prennent la suite. Le partenaire doit connaître cette procédure avant de rencontrer un incident.
À la fin de la mission, rapprochez la liste des accès de l'inventaire initial, puis examinez les copies et exports conservés selon l'accord. Faites mettre à jour le dossier si un nouvel outil ou un autre destinataire est introduit pendant le projet.
Pour préparer votre projet
À lire aussi : Design et développement nearshore : organiser le passage de relais. Contactez Sky Vaults avec votre besoin et les contraintes à examiner.