Sécurité et traitement des données

Beacon ne conserve pas sa propre copie de votre base de données clients. Notre équipe travaille dans les systèmes que vous utilisez déjà (votre support technique, CRM, boîte de réception et outils comptables) sous des comptes que vous créez et contrôlez. Vos données restent dans vos systèmes, hébergées là où vous avez choisi de les héberger.

Les informations que nous conservons de notre côté se limitent à ce que nécessite l'exécution du service : les procédures écrites pour votre compte, nos rapports et revues de qualité internes, et les notes opérationnelles tenues par votre gestionnaire Beacon. Nous conservons ces informations dans nos systèmes de gestion professionnelle, avec un accès restreint aux personnes travaillant sur votre compte.

Nous ne copions pas les données de production dans des feuilles de calcul, des disques personnels ou des machines locales par commodité, et nous n'utilisons pas vos données clients pour entraîner des modèles.

L'accès suit le principe du moindre privilège : chaque personne sur votre compte ne reçoit que les permissions requises par ses tâches, dans les outils que vous accordez, et rien au-delà. Lorsque vos outils supportent des rôles, nous demandons le rôle le plus restreint permettant d'effectuer le travail.

Comptes individuels nommés uniquement. Nous ne partageons pas les identifiants entre les membres de l'équipe, car les comptes partagés empêchent de savoir qui a fait quoi.

L'accès est accordé lorsqu'une personne rejoint votre compte et révoqué lorsqu'elle le quitte ou quitte Beacon. La procédure de départ inclut une vérification que chaque compte, outil et identifiant a bien été supprimé, avec une confirmation écrite qui vous est adressée.

Vous pouvez revoquer tout accès vous-même, à tout moment, sans nous solliciter au préalable.

Chaque employé de Beacon signe un accord de confidentialité couvrant les informations relatives aux clients dans le cadre de son contrat de travail, lequel reste en vigueur après la fin de sa mission.

La confidentialité et le traitement des données sont abordés lors de la formation d'intégration avant que quiconque n'accède à un système client, et les règles spécifiques à votre compte sont inscrites dans ses procédures.

Nous acceptons de signer votre propre accord de confidentialité ou de traitement des données. Envoyez-le lors de votre appel de découverte et nous l'examinerons avec vous plutôt qu'a posteriori.

Le travail pour les clients est effectué sur des équipements fournis et gérés par Beacon, par les membres de notre équipe au Sri Lanka et à Madagascar, via un réseau sécurisé. Il s'agit d'un choix délibéré : le coût est plus élevé qu'une installation non gérée mais le contrôle est bien plus aisé.

Les appareils personnels ne sont pas utilisés pour le travail client. Si un travail hors de la configuration standard est réellement nécessaire, il est convenu avec vous à l'avance et configuré sur des équipements gérés selon les mêmes règles.

Les écrans sont positionnés de manière à ce que les informations clients ne soient pas visibles par des tiers, et les espaces de travail sont débarrassés de tout document client à la fin de chaque service.

La plupart des clients de Beacon sont établis dans l'UE et nos équipes de prestation se situent au Sri Lanka et à Madagascar. Aucun de ces pays ne bénéficie actuellement d'une décision d'adéquation de la Commission européenne. Un mécanisme de transfert est donc nécessaire. Il s'agit d'une situation normale et gérable, non d'une zone grise, qui doit être documentée correctement plutôt qu'éludée.

Dans la configuration habituelle, vous êtes le responsable du traitement des données personnelles de vos clients et Beacon agit en tant que sous-traitant sur vos instructions. Cette relation nécessite un accord écrit de traitement des données au titre de l'Article 28, couvrant la finalité, la durée, les mesures de sécurité, les sous-traitants ultérieurs, l'assistance pour les demandes des personnes concernées et le sort des données à la fin du contrat.

Pour le transfert lui-même, la voie standard est l'utilisation des clauses contractuelles types de la Commission européenne, accompagnées d'une évaluation de l'impact du transfert pour le pays de destination. Nous signerons vos clauses contractuelles types et votre accord de traitement des données, ou fournirons les nôtres pour examen.

Si vos données impliquent des catégories particulières, des données relatives aux enfants, des dossiers médicaux ou financiers, prévenez-nous rapidement. Certains travaux sont préférables à maintenir au sein de l'UE, et nous préférons vous en informer plutôt que de les accepter.

Si nous prenons connaissance d'un incident de sécurité affectant vos données, votre gestionnaire Beacon désigné vous en informe directement et rapidement, en précisant ce que nous savons, ce que nous ignorons encore et les mesures que nous prenons. En tant que sous-traitant, la notification aux autorités ou aux personnes concernées relève de votre décision. Notre rôle est de vous fournir les faits assez rapidement pour que vous puissiez décider et de vous aider dans l'enquête.

Après tout incident, nous rédigeons un rapport sur la cause et les modifications apportées, et nous le partageons avec vous.