Logiciel d’occultation et RGPD : 7 questions à poser

« Notre service informatique et notre DPO doivent approuver tout nouvel outil. » Logiciel d’occultation et RGPD : c’est la première question qu’ils poseront, car l’outil manipule les documents mêmes que vous voulez protéger. Voici sept questions à poser à tout outil d’occultation avant de dire oui. Pour chacune, une réponse courte pour Dress Docs et un lien vers la réponse complète dans notre dossier de conformité. Le dossier est rédigé pour votre examen ; cet article en est le plan.

Logiciel d’occultation et RGPD : ce qui est en jeu

Selon le RGPD, le responsable du traitement doit intégrer la protection des données dans les moyens de traitement qu’il choisit (art. 25). Les lignes directrices 4/2019 du CEPD précisent que cela comprend le moment d’acquisition des logiciels, du matériel et des services. Elles ajoutent que les responsables du traitement ne devraient pas choisir de producteurs ou de sous-traitants dont les systèmes ne leur permettent pas de se conformer à l’article 25. Si un fournisseur traite des données personnelles pour votre compte, l’article 28 impose un contrat avec lui (art. 28 ; lignes directrices 07/2020 du CEPD). Les organisations concernées par NIS 2 doivent aussi gérer la sécurité de leur chaîne d’approvisionnement, y compris leurs relations avec leurs fournisseurs directs (NIS 2, art. 21).

Les questions ci-dessous traduisent ces obligations en points vérifiables.

Où va le document ?

Si l’outil envoie le fichier en ligne, le fournisseur détient une copie des données mêmes que vous retirez. Dress Docs : votre document ne quitte jamais votre appareil. L’ouverture, l’occultation et l’export se font dans le navigateur ou l’application ; aucun document, aucune page, aucun extrait n’est envoyé en ligne. Réponse complète : Flux de données · Est-il sûr d’envoyer ses documents en ligne ?

Qui traite quoi ?

La réponse détermine si vous avez besoin d’un contrat de sous-traitance, et pour quelles données. Dress Docs : les documents ne sont traités que sur votre appareil ; comme le dit le dossier, « nous ne traitons aucun contenu de document pour votre compte ». Pour les données de compte des offres payantes, le responsable du traitement est Vzlaio digital LLC (États-Unis). « C’est notre lecture des rôles prévus par le RGPD, pas un conseil juridique ; votre délégué à la protection des données décide. » Réponse complète : Nous ne traitons pas vos documents

Qu’est-ce qui parvient d’autre au fournisseur ?

Demandez la liste complète de ce que l’outil envoie, au-delà du document. Dress Docs : une mesure d’audience sans cookies sur notre propre serveur en Allemagne, des journaux serveur contenant des informations telles que l’adresse IP, l’heure, la page, la page de provenance et le navigateur, et des rapports d’erreur envoyés à Sentry aux États-Unis, avec des informations techniques uniquement, jamais le contenu d’un document. Pour les offres payantes, l’e-mail et l’offre sont conservés aux États-Unis, et Stripe encaisse le paiement. Réponse complète : La télémétrie, en clair

L’occultation tient-elle ?

Une occultation que l’on peut retirer est une divulgation, pas une occultation. Dress Docs : chaque page exportée est une seule image aplatie, donc rien de ce qui se trouve sous une occultation n’est dans le fichier ; l’auteur, le titre, le producteur, les dates et l’empreinte du PDF sont effacés. Nous l’avons auto-évalué au regard de la norme ISO/IEC 27038 ; il ne détient aucune certification. Réponse complète : Méthode d’occultation · Ce que la norme ISO/IEC 27038 exige d’un outil d’occultation

Travail enregistré et suppression sur l’appareil

Demandez ce qui reste sur la machine, et comment cela disparaît. Dress Docs : les documents sont temporaires par défaut, et les copies de pièce d’identité le sont toujours. L’enregistrement est facultatif : le travail est enregistré dans ce navigateur sur cet appareil et chiffré avec la phrase secrète de l’utilisateur ; « Tout supprimer sur cet appareil » supprime votre travail enregistré et détruit sa clé. Le journal des occultations (Pro) est enregistré dans les propres fichiers de l’utilisateur et ne contient aucun contenu du document (le journal des occultations). Réponse complète : Stockage sur l’appareil

Accessibilité

Au Royaume-Uni, les organismes publics doivent respecter les WCAG 2.2, niveau AA, sur leurs propres sites web et applications, et le guide du gouvernement britannique leur demande d’intégrer l’accessibilité dans leurs achats (gov.uk, en anglais). Dress Docs : conçu selon les WCAG 2.2, niveau AA ; aucune évaluation formelle n’a encore été publiée. Avec l’offre Organisation, vous pouvez demander un rapport de conformité. Réponse complète : Déclaration d’accessibilité

Factures et licences

Les achats voudront savoir qui facture, et comment les licences sont gérées. Dress Docs : l’offre Équipe gère les licences de votre cabinet, avec des factures avec TVA émises par Stripe, le marchand officiel (merchant of record). L’offre Organisation ajoute un accompagnement autour du dossier de conformité : échanges en visioconférence pour votre évaluation et réponses à vos questionnaires. Réponse complète : Tarifs · Demander un devis

Ce que nous n’affirmons pas est également indiqué : aucune certification, et pas de « conformité RGPD » en soi. Un outil vous aide à partager et à conserver moins de données personnelles ; la conformité relève de votre organisation (Ce que nous n’affirmons pas). Pour les réponses complètes, lisez le dossier de conformité.