Addendum relatif au traitement des données

Cet addendum relatif au traitement des données (»DPA«) fait partie du contrat d'abonnement conclu entre le client (le »L'entreprise») et RadiateCapital Limited (»Rebrandly», le »Processeur de données») (ensemble sous le nom de »Parties») (le »Accord principal»).

ALORS QUE

• La société agit en tant que responsable du traitement des données.

• La Société a engagé Rebrandly pour fournir certains Services dans le cadre du Contrat principal, ce qui nécessitera le traitement des données personnelles de la société par Rebrandly, agissant en tant que processeur de données.

• Le présent DPA définit les termes, exigences et conditions supplémentaires selon lesquels Rebrandly traitera les données personnelles de l'entreprise dans le cadre de la fourniture de services dans le cadre du Contrat principal. Ce DPA contient les clauses obligatoires requises par l'article 28, paragraphe 3, de la version légale de l'UE conservée du Règlement général sur la protection des données (UE) 2016/679) (RGPD britannique) pour les contrats entre les responsables du traitement et les sous-traitants et le Règlement général sur la protection des données ((UE) 2016/679).

IL EST CONVENU DE CE QUI SUIT :

• Définitions et interprétation

• Sauf définition contraire dans les présentes, les termes et expressions en majuscules utilisés dans le présent DPA ont la signification suivante :

»Personnes autorisées» désigne les personnes ou catégories de personnes que la Société autorise à donner à Rebrandly des instructions de traitement des données personnelles, telles qu'identifiées dans l'Annexe 1.

»Finalités commerciales» désigne les services décrits dans le Contrat principal ou à toute autre fin spécifiquement identifiée dans l'Annexe 2.

« Données personnelles de l'entreprise » désigne toute information relative à une personne physique identifiée ou identifiable qui est traitée par le Rebrandly à la suite ou en relation avec la fourniture des services dans le cadre du Contrat principal ; une personne physique identifiable est une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne ou à un ou plusieurs facteurs spécifiques physiques, physiologiques, génétiques, mentaux, économiques, culturels ou l'identité sociale de cette personne physique.

« Sous-traitant sous contrat » désigne toute personne désignée par ou au nom de Rebrandly pour traiter les données personnelles de la société au nom du responsable du traitement dans le cadre du présent DPA.

« Lois sur la protection des données » signifie :

• Dans la mesure où le RGPD britannique s'applique, la loi du Royaume-Uni ou d'une partie du Royaume-Uni relative à la protection des données personnelles.
• Dans la mesure où le RGPD de l'UE s'applique, le droit de l'Union européenne ou de tout État membre de l'Union européenne auquel le client ou le fournisseur est soumis, qui concerne la protection des données personnelles.

« Transfert de données » signifie :

• un transfert de données personnelles de la société de la société à un sous-traitant sous contrat ; ou
• un transfert ultérieur de données personnelles de la société d'un sous-traitant sous contrat à un autre sous-traitant sous contrat, ou entre deux établissements d'un sous-traitant sous-traitant sous contrat, dans chaque cas, où un tel transfert serait interdit par les lois sur la protection des données (ou par les termes des accords de transfert de données mis en place pour répondre aux restrictions relatives au transfert de données prévues par les lois sur la protection des données).

»DPA» désigne le présent addendum relatif au traitement des données et toutes les annexes.

»EEE» l'Espace économique européen.

« GDP » désigne le Règlement général sur la protection des données (UE) 2016/679).

« SCC » désigne l'accord international de transfert de données de l'ICO pour le transfert de données personnelles depuis le Royaume-Uni et/ou l'addendum sur le transfert international de données de l'ICO aux clauses contractuelles types de la Commission européenne et/ou les clauses contractuelles types de la Commission européenne pour le transfert de données personnelles vers des pays tiers conformément au règlement (UE) 2016/679 tel que défini dans l'annexe de la décision d'exécution (UE) 2021/914 de la Commission et/ou les clauses contractuelles types de la Commission européenne pour le transfert de données personnelles de l'Union européenne aux processeurs établis dans des pays tiers (transferts du responsable du traitement à un sous-traitant), comme indiqué dans l'annexe de la décision 2010/87/UE de la Commission ou dans d'autres clauses susceptibles d'être approuvées par la Commission européenne ou par le Royaume-Uni de temps à autre.

« Prestations » désigne le tableau de bord et les applications de gestion des liens de marque fournis par Rebrandly. Les Services sont décrits plus en détail dans l'Annexe 2.

»Contrat d'abonnement» désigne les conditions d'utilisation mises à disposition de temps à autre sur rebrandly.com/terms-conditions ou toutes autres conditions générales convenues d'un commun accord par écrit et signées entre la Société et Rebrandly.

»GDPR (ROYAUME-UNI)» a le sens qui lui est donné à l'article 3 (10) (tel que complété par l'article 205 (4)) de la loi de 2018 sur la protection des données.

• Les termes, « Commission », « Responsable du traitement », « Personne concernée », « État membre », « Données personnelles », « Violation de données personnelles », « Traitement » et « Autorité de surveillance » ont la même signification que celle qui leur est donnée dans les lois sur la protection des données, et leurs termes apparentés doivent être interprétés en conséquence.

• Ce DPA est soumis aux termes de l'accord principal et est intégré à l'accord principal. Les interprétations et les termes définis énoncés dans le Contrat principal s'appliquent à l'interprétation du présent DPA, sauf indication contraire du contexte.

• Les annexes font partie du présent DPA et auront effet comme si elles étaient énoncées dans leur intégralité dans le corps du présent DPA. Toute référence à ce DPA inclut les annexes.

• Une référence à l'écrit ou à l'écrit inclut un e-mail avec une confirmation claire de réception par l'autre partie.

• En cas de conflit ou d'ambiguïté entre :

• toute disposition contenue dans le corps du présent DPA et toute disposition contenue dans les annexes, la disposition du corps du présent DPA prévaudra ;
• les termes de toute facture d'accompagnement ou de tout autre document annexé au présent DPA et toute disposition contenue dans les annexes, la disposition contenue dans les annexes prévaudra ;
• toutes les dispositions du présent DPA et les dispositions du Contrat principal, les dispositions du présent DPA prévaudront ; et
• quelles que soient les dispositions du présent Contrat et de toute SCC exécutée, les dispositions de la SCC exécutée prévaudront.

• Traitement des données personnelles de l'entreprise

• La Société et Rebrandly reconnaissent qu'aux fins des lois sur la protection des données, la Société est le responsable du traitement et Rebrandly est le sous-traitant.

• Rebrandly se conformera aux lois applicables en matière de protection des données qui concernent spécifiquement le traitement des données personnelles de l'entreprise.

• La Société conserve le contrôle des données personnelles de la Société et reste responsable de ses obligations de conformité en vertu des lois applicables sur la protection des données, y compris, mais sans s'y limiter, la fourniture des notifications requises et l'obtention des consentements requis, ainsi que des instructions de traitement écrites qu'elle donne à Rebrandly.

• L'annexe 1 décrit l'objet, la durée, la nature et la finalité du traitement, ainsi que les catégories de données personnelles de la société et les types de personnes concernées que Rebrandly peut traiter pour atteindre les objectifs commerciaux du contrat principal.

• Obligations liées au changement de marque

• Rebrandly ne traitera les données personnelles de la société que dans la mesure et de la manière nécessaires aux fins commerciales, conformément aux instructions écrites de la société émanant des personnes autorisées pour fournir les services. Ces instructions doivent être convenues à l'avance et fournies par écrit à Rebrandly par la Société.

• Rebrandly se conformera à toute demande ou instruction écrite de la Société, convenue à l'avance, émanant des personnes autorisées demandant à Rebrandly de modifier, transférer, supprimer ou traiter de toute autre manière les données personnelles de la Société dans la mesure du possible.

• Rebrandly préservera la confidentialité de toutes les données personnelles de la société et ne divulguera pas les données personnelles de la société à des tiers non autorisés, sauf si la société ou la présente DPA autorisent spécifiquement la divulgation, ou si la législation nationale, un tribunal ou un régulateur l'exige.

• Rebrandly Personnel

Rebrandly prendra des mesures raisonnables pour garantir la fiabilité de tout employé, agent, contractant ou tout sous-traitant sous contrat susceptible d'avoir accès aux données personnelles de la société, en veillant dans chaque cas à ce que l'accès soit limité aux personnes qui ont besoin de connaître/d'accéder aux données personnelles de l'entreprise pertinentes, dans la mesure strictement nécessaire aux fins du contrat principal, et pour se conformer aux lois sur la protection des données dans le contexte des obligations de cette personne envers Rebrandly, en veillant à ce que toutes ces personnes soient soumises à des engagements de confidentialité ou professionnels ou obligations légales de confidentialité.

• Sécurité

• Rebrandly mettra en œuvre des mesures techniques et organisationnelles appropriées contre le traitement, l'accès, la copie, la modification, la reproduction, l'affichage ou la distribution non autorisés ou illégaux des données personnelles de la société, et contre la perte, la destruction, l'altération, la divulgation ou l'endommagement accidentels ou illégaux des données personnelles de l'entreprise. Voir l'annexe 3 pour les mesures techniques et organisationnelles prises par Rebrandly pour protéger les données contre la destruction, l'altération, la perte, la divulgation ou l'accès non autorisés.

• Lors de l'évaluation du niveau de sécurité approprié, Rebrandly tiendra compte en particulier des risques présentés par le traitement, notamment en cas de violation de données personnelles.

• Sous-traitement

• Rebrandly ne nommera (ni ne divulguera aucune donnée personnelle de la société à) aucun sous-traitant sous contrat, sauf si la société l'exige ou l'autorise.

• Les sous-traitants sous contrat approuvés au début du présent DPA sont indiqués sur cette page Web : https://rebrandly.com/SubProcessors (»Sous-processeur Page»).

• Sous-processeurs actuels et notification des ajouts de sous-processeurs :

• Le client comprend que le bon fonctionnement des Services peut nécessiter le transfert des données du client aux sociétés affiliées de Rebrandly ou aux sous-traitants de Rebrandly. Le client autorise par la présente le transfert des données du client vers des sites situés en dehors de l'Europe (les principales installations de traitement de Rebrandly se trouvent aux États-Unis d'Amérique), y compris vers les filiales et les sous-traitants de Rebrandly, sous réserve du respect continu du présent DPA pendant toute la durée du Contrat. Le Client donne par la présente l'autorisation générale à Rebrandly d'engager des sous-traitants tiers supplémentaires pour traiter les données du client dans le cadre des Services aux fins autorisées.

• Rebrandly peut, moyennant un préavis raisonnable au client, ajouter des informations à la page du sous-processeur. Rebrandly informera le Client si elle a l'intention d'ajouter ou de remplacer des Sous-processeurs depuis la page des Sous-traitants au moins 10 jours avant toute modification de ce type. Pour recevoir une telle notification, les clients doivent suivre le lien https://rebrandly.com/SubProcessors-notification pour rejoindre la liste de distribution de Rebrandly. Si le client s'oppose à la nomination d'un sous-traitant supplémentaire dans les dix (10) jours civils suivant cette notification pour des motifs raisonnables liés à la protection des données personnelles, Rebrandly travaillera de bonne foi avec le client pour trouver une solution alternative. Si les parties ne parviennent pas à trouver une telle solution, le client peut résilier le contrat sans frais supplémentaires.

• Droits des personnes concernées

• Compte tenu de la nature du traitement, Rebrandly aidera la Société en mettant en œuvre des mesures techniques et organisationnelles appropriées, dans la mesure du possible, et aux frais de la Société, pour remplir les obligations de la Société, telles qu'elles sont raisonnablement comprises par la Société, de répondre aux demandes d'exercice des droits des personnes concernées en vertu des lois sur la protection des données.

• Rebrandly doit :

• informer la Société si elle reçoit une demande d'une personne concernée en vertu de toute loi sur la protection des données concernant les données personnelles de l'entreprise ; et

• s'assurer qu'elle ne répond pas à cette demande, sauf sur instructions documentées de la Société ou conformément aux lois applicables auxquelles Rebrandly est soumise, auquel cas Rebrandly doit, dans la mesure permise par les lois applicables, informer la Société de cette obligation légale avant de répondre à la demande.

• Violation de données personnelles

• Rebrandly informera la Société sans retard injustifié dès que Rebrandly aura connaissance d'une violation de données personnelles affectant les données personnelles de l'entreprise, en fournissant à la Société suffisamment d'informations pour lui permettre de respecter toute obligation de signaler ou d'informer les personnes concernées de la violation de données personnelles en vertu des lois sur la protection des données.

• Rebrandly coopérera avec la Société et prendra les mesures commerciales raisonnables demandées par la Société pour aider à l'enquête, à l'atténuation et à la correction de chacune de ces violations de données personnelles.

• Analyse d'impact sur la protection des données et consultation préalable

Rebrandly fournira une assistance raisonnable à la Société (aux frais de la Société) pour toute analyse d'impact sur la protection des données et pour les consultations préalables avec les autorités de supervision ou autres autorités compétentes en matière de confidentialité des données, que la Société considère raisonnablement comme requises par l'article 35 ou 36 du RGPD, le RGPD britannique ou des dispositions équivalentes de toute autre loi sur la protection des données, dans chaque cas uniquement en ce qui concerne le traitement des données personnelles de l'entreprise et en tenant compte de la nature du traitement et des informations disponibles pour le sous-traitant Processeurs.

• Suppression ou renvoi des données personnelles de l'entreprise

À la demande de la Société, Rebrandly supprimera et fera supprimer rapidement et en tout état de cause dans les 10 jours ouvrables suivant la date de cessation de tout Service impliquant le traitement des données personnelles de l'entreprise (la « Date de cessation »).

• Droits d'audit

• Rebrandly mettra à la disposition de la Société sur demande les informations nécessaires pour démontrer la conformité au présent DPA.
• Les droits d'information et d'audit de la Société ne découlent de la section 9.1 que dans la mesure où la DPA ne leur fournit pas d'informations et de droits d'audit répondant aux exigences pertinentes des lois sur la protection des données.

• Transferts internationaux

• Le client reconnaît et accepte que Rebrandly et ses sous-traitants puissent transférer et traiter des données personnelles vers et vers les États-Unis d'Amérique et dans d'autres lieux où Rebrandly, ses filiales ou ses sous-traitants effectuent des opérations de traitement des données, comme décrit plus en détail sur la page des sous-traitants. Rebrandly veillera à ce que ces transferts soient effectués conformément à la législation applicable en matière de protection des données et à la présente DPA.

• Rebrandly ne peut traiter ou autoriser le traitement des données personnelles de la société en dehors de l'EEE qu'à la condition que le transfert soit conforme aux lois sur la protection des données et à la présente DPA.

• Si la Société consent à ce que Rebrandly désigne un sous-traitant sous contrat situé en dehors de l'EEE conformément aux dispositions de la clause 10, la Société autorise Rebrandly à conclure les CCT avec le sous-traitant sous contrat en son nom.

• Termes généraux

Avis. Toutes les notifications et communications données dans le cadre de cette DPA doivent être faites par écrit. Un e-mail de confirmation de réception sera envoyé par l'autre partie. La Société sera informée par courrier électronique envoyé à l'adresse liée à son utilisation du Service dans le cadre du Contrat principal. Rebrandly sera averti par e-mail à l'adresse : legal@rebrandly.com.

• Loi applicable et juridiction

Le présent DPA est régi par les lois de la République d'Irlande.

Tout litige survenant en relation avec le présent DPA que les Parties ne seront pas en mesure de résoudre

à l'amiable, sera soumis à la compétence exclusive des tribunaux de Dublin sous réserve de

possibilité de recours devant les hautes cours irlandaises.

Annexe 1 : Finalités et détails du traitement des données personnelles

Objet du traitement : Gestion et analyse des liens

Durée du traitement : Pendant la durée de l'accord principal

Nature du traitement : Collecte et agrégation d'adresses IP

Catégories de données personnelles : Données techniques

La Société accepte de ne pas inclure de données personnelles de la Société dans les URL/liens créés en utilisant les Services ni dans aucune partie de la plateforme (par exemple : notes, tags, etc.). Il est de la responsabilité de la Société d'informer Rebrandly à l'avance et par écrit (et Rebrandly doit l'autoriser par écrit) dans le cas où la Société inclut ou souhaite inclure des données personnelles de la société dans une URL ou un lien créé lors de l'utilisation des Services ou d'une autre partie de la plateforme Rebrandly.

Types de sujets de données : Clientèle

Personnes autorisées :

Liste des sous-traitants agréés par l'entreprise : https://rebrandly.com/SubProcessors

Identifiez la base juridique de Rebrandly pour le traitement des données personnelles de l'entreprise en dehors de l'EEE afin de respecter les restrictions relatives aux transferts transfrontaliers : Les serveurs AWS de Rebrandly sont situés principalement aux États-Unis d'Amérique. AWS est un sous-traitant contractuel approuvé et peut traiter les données personnelles de l'entreprise (c'est-à-dire les données personnelles des entreprises de l'UE) dans le cadre de la fourniture des services à l'entreprise.

Annexe 2 : Description du service

Les services sont proposés par RadiateCapital Limited (»Rebrandly»).

Rebrandly est une plateforme de gestion de liens conçue pour personnaliser, suivre et partager des URL courtes à l'aide d'un nom de domaine personnalisé. Rebrandly fournit une plate-forme complète qui comprend un tableau de bord Web, des applications pour mobiles (iOS et Android), des logiciels pour Mac et Windows et des extensions de navigateur.

Tableau 3 : Mesures techniques et organisationnelles

Les derniers rapports SOC 2 Type II de Rebrandly et les rapports annuels de tests de pénétration sont mis à la disposition des clients et des prospects via le Rebrandly Trust Center. Demandez l'accès ici : www.trust.rebrandly.com.

Rebrandly mettra en œuvre et maintiendra des mesures techniques et organisationnelles appropriées pour protéger les données personnelles de la société contre la destruction, l'altération, la perte, la divulgation ou l'accès non autorisés, comme indiqué dans le présent calendrier.

Les termes en majuscules qui ne sont pas définis dans la présente annexe, ou autrement définis dans le DPA, ont la même signification que dans le contrat principal.

»Ressources d'information» désigne tout réseau informatique et autre réseau, système, application et élément de réseau, par ou avec lequel les données personnelles de la Société sont stockées, transmises ou traitées conformément au Contrat.

»Chiffrement robuste» désigne l'utilisation de technologies de chiffrement dont la longueur de clé minimale est de 128 bits pour le chiffrement symétrique et de 1024 bits pour le cryptage asymétrique.

• Exigences de sécurité du système

Surveillance des alertes de sécurité : surveillez activement les ressources du secteur (par exemple, les listes de diffusion ou les sites Web des fournisseurs de logiciels) pour notifier en temps opportun toutes les alertes de sécurité applicables relatives aux ressources d'information de Rebrandly.

Analyse du système : analysez les ressources d'informations externes et internes à l'aide du logiciel d'analyse des vulnérabilités de sécurité standard applicable (y compris, mais sans s'y limiter, les outils d'analyse du réseau, des serveurs, des applications et des bases de données).

Déployer des systèmes de détection/prévention des intrusions : Déployez un ou plusieurs systèmes de détection/prévention des intrusions (IDS ou IPS) en mode de fonctionnement actif.

Corriger les vulnérabilités des services : utilisez un processus documenté pour corriger les failles de sécurité présentes dans les ressources d'information, notamment par le biais de publications sectorielles, d'analyses de vulnérabilités, d'analyses antivirus et de l'examen des journaux de sécurité, et appliquez rapidement les correctifs de sécurité appropriés en fonction de la probabilité qu'une telle vulnérabilité soit exploitée ou soit en train d'être exploitée.

Administration de la sécurité : Attribuez les responsabilités d'administration de la sécurité pour la configuration des systèmes d'exploitation hôtes à des personnes spécifiques et assurez-vous que le personnel de sécurité possède l'expérience raisonnable et nécessaire en matière de sécurité des informations et des réseaux. Gérez les utilisateurs IAM et leurs autorisations par le personnel autorisé et suivez le principe du moindre privilège.

Renforcement des serveurs : assurez-vous que tous les serveurs de Rebrandly sont et restent « renforcés » en limitant l'accès au VPN de l'entreprise uniquement et en exigeant la possession d'une clé SSH pour y accéder, le cas échéant.

Restreindre les privilèges et l'accès des utilisateurs : limitez l'accès des utilisateurs aux seules commandes, données et ressources d'information nécessaires à l'exécution des fonctions autorisées. L'accès administrateur système/root (ou privilégié, superutilisateur, etc.) doit être limité aux personnes nécessitant un tel accès de haut niveau dans l'exercice de leurs fonctions et les administrateurs système ne doivent pas effectuer de tâches pour des utilisateurs non privilégiés à l'aide de comptes ou d'informations d'identification d'administrateur système.

• Exigences en matière de sécurité physique

Installations sécurisées : Assurez-vous que toutes les ressources d'information de Rebrandly sont situées dans des installations physiques sécurisées dont l'accès est limité et réservé aux personnes autorisées uniquement. AWS contrôle et surveille l'accès à tous les centres de données.

Accès à la surveillance et à l'enregistrement : Surveillez et enregistrez, à des fins d'audit, l'accès aux installations physiques contenant les ressources d'information utilisées dans le cadre de l'exécution par Rebrandly de ses obligations en vertu du Contrat.

• Exigences en matière de sécurité du réseau

Détection et gestion des accès non autorisés : mettez en place un processus et des contrôles documentés pour détecter et gérer les tentatives non autorisées d'accès aux informations des clients. Gestion globale de l'infrastructure Rebrandly réalisée à l'aide d'un compte AWS principal faisant partie d'une organisation AWS dotée de services de gouvernance activés (Security Hub, GuardDuty, CloudTrail, Config) pour superviser les accès et les menaces au cloud, ainsi que la conformité continue.

Chiffrement des informations en transit et au repos : utilisez un cryptage renforcé pour le transfert des données personnelles de l'entreprise en dehors des installations contrôlées par la société ou contrôlées par Rebrand, ou lors de la transmission de données personnelles de l'entreprise sur un réseau non fiable, ou lors du stockage des données personnelles de l'entreprise.

Accès à distance : Exiger une authentification et un cryptage pour toute utilisation à distance des ressources d'information. Séparez le réseau interne d'Internet à l'aide de pare-feux configurés pour n'autoriser que le trafic autorisé, comme défini dans la politique de sécurité de Rebrandly. Surveillez et filtrez le trafic entrant dans le réseau de production de Rebrandly à l'aide d'un pare-feu et d'outils de surveillance mis en œuvre par AWS et configurés par Rebrandly, tels que les journaux VPC et CloudTrail.

• Exigences relatives aux données personnelles de l'entreprise

Séparation des données personnelles de l'entreprise : séparez les applications et les données personnelles de la société de toutes les autres applications et informations de Rebrandly ou des clients de Rebrandly, en utilisant des contrôles d'accès logiques.

Documentation relative à la sauvegarde, au transport, au stockage et à la destruction sécurisés des informations des clients : Disposez d'une procédure documentée pour la sauvegarde, le transport, le stockage et la destruction sécurisés des données personnelles de l'entreprise et, à la demande de la société, fournissez cette procédure documentée à la société.

Plan de continuité des activités et de reprise après sinistre : maintenez des plans de continuité des activités et de reprise après sinistre qui garantissent que Rebrandly peut respecter ses obligations contractuelles en vertu de l'accord.

• Exigences en matière d'identification/d'authentification

Informations d'identification et mots de passe uniques : les informations d'identification, les noms d'utilisateur et les mots de passe ne seront pas partagés et ne seront pas utilisés par une personne autre que l'utilisateur individuel désigné.

Limiter les échecs de connexion : limitez les tentatives de connexion échouées à un maximum de six (6) tentatives successives et bloquez le compte utilisateur une fois cette limite atteinte. L'accès au compte utilisateur peut être réactivé ultérieurement par un processus manuel nécessitant la vérification de l'identité de l'utilisateur ou, lorsqu'une telle fonctionnalité existe, il peut être automatiquement réactivé au moins trois (3) minutes après la dernière tentative de connexion échouée.

Mettre fin aux sessions interactives inactives : mettez fin aux sessions interactives ou activez un économiseur d'écran sécurisé et verrouillable nécessitant une authentification, après une période d'inactivité ne dépassant pas quinze (15) minutes.

Mots de passe : les mots de passe doivent répondre aux exigences minimales suivantes : (i) doivent comporter au moins huit (8) caractères ; (ii) si le mot de passe comporte moins de douze caractères, il doit contenir des caractères appartenant à au moins trois (3) de ces groupes : lettres majuscules, minuscules, chiffres et caractères spéciaux ; (iii) ne doivent pas être identiques à l'ID utilisateur auquel ils sont associés ; et (iv) doivent être complexes et ne contiennent pas de noms ni de mots du dictionnaire.

Transmission sécurisée des noms d'utilisateur et des mots de passe : utilisez une méthode sécurisée pour transmettre les informations d'authentification (par exemple, les mots de passe) et les mécanismes d'authentification (par exemple, les jetons ou les cartes à puce). Assurez-vous que l'authentification des sessions utilisateur est protégée en utilisant le cryptage TLS sur les sites Web des fournisseurs.

• Exigences relatives à l'intégrité des logiciels et des données

Analyser et supprimer les virus : installez et exécutez un logiciel antivirus à jour pour rechercher et supprimer rapidement les virus.

Ressources de production et hors production distinctes : Séparez les activités de développement et de test des environnements opérationnels et limitez l'accès des développeurs à ces environnements opérationnels afin de réduire les risques de modifications accidentelles ou non autorisées du système d'exploitation susceptibles de compromettre l'intégrité ou la disponibilité du système.

Processus de contrôle des modifications logicielles : mettez en œuvre un processus de contrôle des modifications logicielles documenté, y compris des procédures de retour en arrière.

Utiliser l'enregistrement des transactions dans la base de données : pour les applications qui utilisent une base de données qui permet de modifier les données personnelles de l'entreprise, activez les fonctionnalités d'enregistrement des transactions dans la base de données et conservez les journaux de transactions de la base de données pendant au moins six (6) mois.

Révision du code pour détecter les vulnérabilités et la conformité aux exigences de sécurité standard de l'industrie : pour tous les logiciels développés, utilisés, fournis et/ou pris en charge dans le cadre du présent Contrat, examinez ces logiciels afin de détecter et de corriger les failles de sécurité lors de la mise en œuvre initiale et lors de toute modification et mise à jour et mettez en œuvre les directives de l'OWASP.

Vulnérabilités des applications de test d'assurance qualité et de sécurité : effectuez des tests d'assurance qualité pour les fonctionnalités de l'application et les composants de sécurité (par exemple, tests des fonctions d'authentification, d'autorisation et de comptabilité, ainsi que toute autre activité visant à valider l'architecture de sécurité) lors de la mise en œuvre initiale et lors de toute modification et mise à jour.

• Contrôles de surveillance et d'audit

Restreindre l'accès aux journaux de sécurité : Limitez l'accès aux journaux de sécurité aux personnes autorisées.

Passez en revue les journaux de sécurité et résolvez les problèmes de sécurité : examinez régulièrement les journaux de sécurité pour détecter les anomalies et documentez et résolvez tous les problèmes de sécurité enregistrés en temps opportun.

Conservation des dossiers : Conserver des dossiers complets et exacts relatifs à l'exécution de ses obligations découlant du présent calendrier et à la conformité de Rebrandly dans un format permettant un audit pendant une période d'au moins trois (3) ans, ou plus si cela peut être requis conformément à une ordonnance du tribunal ou à une procédure civile ou réglementaire.

Examen annuel de la conformité : Au minimum, révisez chaque année ce calendrier pour vous assurer que Rebrandly est en conformité avec les exigences du présent Contrat.

• Procédures de sécurité et d'intégrité du personnel

Procédures et pratiques relatives au personnel : Déployez des procédures appropriées pour le personnel de Rebrandly, y compris, mais sans s'y limiter, la vérification des antécédents conformément à la loi applicable.

Formation du personnel : Fournir une formation appropriée en matière de confidentialité et de sécurité de l'information aux employés de Rebrandly qui ont accès aux données personnelles ou aux systèmes des clients.