Localisation des données et RGPD : où se trouvent vos données et qui y a accès
Votre site, votre base de données, vos boîtes mail, vos sauvegardes et les journaux du serveur se trouvent sur les propres serveurs de JAAN bv dans deux datacenters belges, à Bruxelles et à Gand, au sein de l'UE. Il n'y a aucune copie chez un fournisseur cloud étranger ni aucune couche de support hors d'Europe. Ont accès à votre environnement les administrateurs des serveurs, et les personnes à qui vous donnez vous-même un identifiant.
Cette page est la réponse de conformité pour votre DPO, votre client ou votre propre registre des traitements : où se trouve quoi, combien de temps, qui y a accès et que se passe-t-il en cas de problème. Pourquoi la localisation compte, vous le lisez sur la page consacrée à l'hébergement belge ; ce qui se trouve dans les datacenters, sur la page des datacenters.
Où se trouve quoi
Une infrastructure, un pays. Tout ce qui relève de votre hébergement se trouve sur du matériel de JAAN bv à Bruxelles ou à Gand. Ci-dessous, élément par élément.
Site et base de données
Les fichiers de votre site et vos bases de données MySQL se trouvent sur nos serveurs dans un datacenter belge. Ce que vos visiteurs saisissent ou téléversent y reste.
Boîtes mail
Vos boîtes mail (IMAP et webmail) se trouvent sur nos serveurs de messagerie en Belgique. Le filtre anti-spam fait partie de l'hébergement e-mail et tourne sur la même infrastructure ; votre courrier ne passe par aucun service de filtrage tiers.
Sauvegardes
Chaque jour, nous sauvegardons les fichiers et la base de données. Nous conservons cette sauvegarde 14 jours, sur notre propre infrastructure en Belgique. Elle est ensuite écrasée.
Journaux du serveur
Le serveur web journalise les visites (adresse IP, heure, page demandée) pour fournir le service, détecter les erreurs et reconnaître les abus. Ces journaux se trouvent eux aussi sur le serveur en Belgique.
Qui a accès à vos données
Deux groupes : les administrateurs de JAAN bv, et les personnes à qui vous donnez vous-même accès. Le premier groupe est restreint et se trouve à Zelzate ; le second, vous le déterminez entièrement vous-même.
Chez JAAN bv
L'accès aux serveurs est réservé aux administrateurs qui les entretiennent. Ils regardent dans votre environnement pour la maintenance, la sécurité ou lorsque vous demandez vous-même du support, pas en dehors. Il n'existe aucune couche de support externe ou étrangère ayant accès à votre compte.
Chez vous : panneau de contrôle et FTP
L'identifiant du panneau de contrôle reste chez un seul responsable. Pour qui travaille sur le site, vous créez un compte FTP propre ; si cette personne part, vous supprimez ce compte et le reste n'est pas touché.
Chez vous : boîtes mail
Chaque collaborateur reçoit sa propre boîte mail avec son propre mot de passe. Une adresse partagée comme info@ se règle par un alias ou une redirection, pas en faisant circuler un seul mot de passe.
Chez vous : votre CMS
Qui peut se connecter à votre WordPress, Joomla ou boutique en ligne, et avec quels droits, vous le réglez dans le CMS lui-même. Cette couche, nous ne la voyons pas et ne la gérons pas.
Sous-traitants ultérieurs
Hébergement, sauvegarde, e-mail et support sont assurés par JAAN bv même, sur son propre matériel. Pour un nombre limité de services de soutien, comme l'espace en rack dans les datacenters ou le prestataire de paiement pour votre facture, d'autres entreprises peuvent intervenir. La liste actuelle fait partie du contrat de sous-traitance et est disponible sur demande ; un nouveau sous-traitant ultérieur n'est engagé qu'après notification.
Si vous demandez la liste, vous la recevez par écrit, avec pour chaque partie son rôle et le pays de traitement. Nous ne citons volontairement pas de noms ici : une liste sur une page web vieillit, le document dans votre registre non.
Ce qui se passe en cas d'incident
Une panne n'est pas une violation de données, et nous les traitons différemment. Dans les deux cas, c'est par nous que vous l'apprenez, pas par vos visiteurs.
Panne
Si un serveur ou un service est inaccessible, l'état de la situation figure sur la page de statut, avec des mises à jour jusqu'à la résolution. Le SLA fixe ce que vous pouvez attendre en matière de disponibilité.
Violation de données
Si nous constatons une violation qui touche vos données, nous vous en informons sans retard injustifié, avec ce que nous savons de sa nature, de son ampleur et des données concernées. Vous pouvez ainsi informer l'autorité de contrôle et les personnes concernées dans le délai légal.
Restauration
Si quelque chose a disparu ou est cassé, nous restaurons à partir de la sauvegarde quotidienne, jusqu'à 14 jours en arrière. Dites-nous quand tout fonctionnait encore ; c'est l'information la plus importante pour restaurer de manière ciblée.
Ce que vous avez vous-même en main
L'emplacement du serveur, c'est notre travail. Ce qui arrive sur le serveur, combien de temps cela y reste et qui y a accès, c'est le vôtre. Voici les mesures de votre côté.
Mettre votre hébergement en service, prêt pour le RGPD
Quatre étapes au démarrage, une demi-journée de travail en tout, que vous n'aurez ensuite plus qu'à entretenir.
Réglez l'accès par personne
Créez un compte FTP propre par développeur web et une boîte mail propre par collaborateur. Gardez l'identifiant du panneau de contrôle chez un seul responsable et notez qui possède quoi.
Vérifiez que tout passe par https
Le certificat SSL est en place ; veillez à ce que votre CMS redirige effectivement vers https, pour que formulaires et connexions ne circulent pas en clair. Testez un formulaire du début à la fin.
Définissez les délais de conservation dans votre CMS
Déterminez combien de temps les envois, comptes et commandes restent conservés et activez le nettoyage automatique là où c'est possible. Notez ces délais : ils ont leur place dans votre registre des traitements.
Demandez le contrat de sous-traitance et la liste des sous-traitants ultérieurs
Joignez les deux documents à votre registre des traitements, avec la réponse à la question de savoir où se trouvent vos données. Votre dossier est ainsi complet au cas où quelqu'un le demanderait.
Pour aller plus loin
Cette page dit où se trouvent vos données et qui y a accès. Pourquoi cela compte, ce qui se trouve physiquement dans les datacenters et à quoi ressemble le contrat, vous le lisez sur les pages voisines.
