1. Notre démarche ISO 27001
SPM poursuit une démarche de structuration de son système de management de la sécurité de l’information, en référence à la norme ISO 27001, la norme internationale de la sécurité de l’information. SPM n’est pas certifiée ISO 27001 à ce jour.
2. RGPD et encadrement contractuel
- Chaque prestation est encadrée par un accord de sous-traitance (DPA, Data Processing Agreement), annexé au contrat et conforme à l’article 28 du RGPD. Il définit les obligations de SPM France en matière de traitement et de protection des données.
- SPM France agit exclusivement en qualité de sous-traitant, sur instruction documentée du client.
- Périmètre d’accès limité : seules les catégories de données strictement nécessaires à la prestation sont accessibles.
- Réversibilité : en fin de contrat, les données sont restituées ou supprimées.
Une partie des traitements est réalisée depuis notre centre de production situé à l’île Maurice. Ce transfert hors Union européenne est encadré conformément au chapitre V du RGPD, au moyen d’un accord de sous-traitance (DPA) intégrant les clauses contractuelles types de la Commission européenne (module 3), complété par une analyse d’impact du transfert (TIA). Maurice dispose par ailleurs d’une loi de protection des données (Data Protection Act 2017) et a ratifié la Convention 108+ du Conseil de l’Europe.
3. Nos mesures de sécurité
- Accès au bâtiment sécurisé par badge électronique.
- Accès nominatifs et authentification forte aux outils.
- Gestion des habilitations : des procédures encadrent la création, la modification et la révocation des accès.
- Chiffrement des flux de données.
- Aucune donnée client stockée sur les postes : nos équipes travaillent directement dans vos outils, par une connexion sécurisée.
- Réseaux segmentés et flux filtrés, accès distants sécurisés par VPN.
- Journalisation : centralisation et analyse des journaux de sécurité.
- Gestion des correctifs et suivi des vulnérabilités.
- Continuité : sauvegarde de nos systèmes, liens Internet redondants, alimentation protégée par onduleurs, plan de continuité et de reprise d’activité.
- Confidentialité : politique de sécurité, charte informatique et engagements de confidentialité de nos collaborateurs.
4. Où sont traitées vos données
Vos données restent dans vos environnements. Pour les prestations concernées, nos équipes utilisent les outils et les accès sécurisés, notamment VPN, que vous leur fournissez. Aucune donnée client n’est sauvegardée à Maurice par SPM. La localisation de l’hébergement et des sauvegardes relève de vos propres modalités.
5. L’usage de l’IA
L’IA assiste nos conseillers sur des usages précis : la transcription des appels, les résumés et les points d’action. Elle ne remplace pas la décision du conseiller. Les usages autorisés sur vos données, leur lieu de traitement et les exclusions sont définis avec vous dans le contrat. L'utilisation des outils d'IA est encadrée par des règles internes, et nos collaborateurs y sont sensibilisés.
6. Questions fréquentes
Où sont hébergées nos données ?
Vos données ne sont pas hébergées chez SPM : nos équipes travaillent directement dans vos outils, par les accès sécurisés que vous leur fournissez. Aucune donnée client n’est stockée sur nos postes ni sauvegardée à Maurice.
Qui peut accéder à nos données ?
Uniquement les collaborateurs affectés à votre compte, avec des accès nominatifs et une authentification forte, et seulement aux catégories de données nécessaires à la prestation.
Comment le transfert vers Maurice est-il encadré ?
Par un accord de sous-traitance (DPA) intégrant les clauses contractuelles types de la Commission européenne, complété par une analyse d’impact du transfert (TIA), conformément au chapitre V du RGPD.
SPM est-elle certifiée ISO 27001 ?
Pas à ce jour. SPM structure son système de management de la sécurité de l'information en référence à la norme ISO 27001.
L’IA utilise-t-elle nos données ?
Uniquement pour assister les conseillers (transcription des appels, résumés, points d’action), dans le cadre défini avec vous dans le contrat.
Que deviennent nos données en fin de contrat ?
Elles sont restituées ou supprimées, selon les modalités prévues au contrat.