Le RGPD demande de protĂ©ger les traitements par des mesures techniques et organisationnelles adaptĂ©es (article 32) et de penser la protection des donnĂ©es dĂšs la conception et par dĂ©faut (article 25). MyZapp tient les deux dans Protection des donnĂ©es âș Mesures de sĂ©curitĂ©.
Mesures constatées par l'application
En tĂȘte de page, MyZapp indique les mesures qu'il constate lui-mĂȘme sur l'instance :
| Mesure | Ce qui est vérifié |
|---|---|
| Chiffrement applicatif au repos | Une clé de chiffrement des données est en place |
| Journaux chaßnés | L'intégrité des journaux d'audit est vérifiable |
| Journal des accÚs aux données sensibles | Les consultations de données sensibles sont tracées |
| Ancrage des journaux hors de la base | Les journaux sont ancrés dans un stockage externe |
| Mots de passe | La longueur minimale est d'au moins 12 caractĂšres |
| Double authentification | Elle est imposée à au moins un groupe |
Chaque ligne dit si la mesure est en place et si elle figure déjà dans votre référentiel.
Le référentiel
Pour chaque entitĂ© juridique, le dĂ©lĂ©guĂ© (ou un administrateur) dĂ©crit ses mesures : famille (contrĂŽle d'accĂšs, chiffrement, sauvegarde, formationâŠ), Ă©tat (prĂ©vue, en place, sans objet), preuve (procĂ©dure, document, lien), responsable, traitements protĂ©gĂ©s et rythme de revue. Une mesure peut ĂȘtre reliĂ©e Ă une mesure constatĂ©e : l'Ă©cran montre alors les deux cĂŽte Ă cĂŽte.
Le bouton Marquer revue date la revue et calcule la prochaine. Le tableau de bord signale les mesures prévues ou à revoir.
Protection dÚs la conception et par défaut
En bas de page, chaque traitement ouvre sa revue art. 25 : dix points, dont trois sont constatés sur le registre et ne se cochent pas à la main :
- une durée de conservation est fixée ;
- au moins une mesure de sécurité en place protÚge le traitement ;
- le besoin d'analyse d'impact est tranché.
Les autres (minimisation, champs facultatifs désactivables, accÚs restreint par défaut, masquage à l'affichage, pseudonymisation des exports, information des personnes, exercice des droits) se cochent à chaque revue, avec des observations. Chaque enregistrement ajoute une revue datée ; les précédentes restent visibles. Les responsables de traitements peuvent aussi tenir ces revues.