Avenant relatif à la sécurité

Cette traduction reprend à l'identique la numérotation, la structure et les variables de rédaction de la version anglaise 0.1. Aucune variable n'a été résolue dans cette langue : un fait ne peut pas être connu dans une seule langue.

Avenant relatif à la sécurité

Le présent Avenant relatif à la sécurité décrit les mesures techniques et organisationnelles que Virtik USA, Inc. applique à la plateforme Virtik. Il complète les Conditions (LEG-001), le DPA (LEG-010) ainsi que tout Contrat cadre de services (LEG-011) ou Order Form (LEG-012) qui y renvoie. Il est volontairement court : il n'énonce que les mesures que Virtik peut étayer, et il énonce ce que Virtik ne déclare pas. Les termes commençant par une majuscule qui ne sont pas définis ici ont le sens que leur donnent les Conditions (LEG-001).

1. Ce que ce document ne prétend pas

Énoncé en premier, car ce sont les affirmations que l'on prête le plus souvent à un avenant relatif à la sécurité.

1.1 Virtik ne détient actuellement ni attestation SOC 2, ni certification ISO 27001, ni certification de conformité HIPAA, ni autorisation FedRAMP, et ne déclare pas en détenir. Lorsque les obligations propres du Client exigent une certification que Virtik ne détient pas, il appartient au Client de déterminer si la plateforme convient à son usage.

1.2 Aucun rapport d'audit d'un tiers n'est proposé. La section 7 énonce la position en matière d'audit.

1.3 Aucun résultat de test d'intrusion n'est proposé, et aucune fréquence de test n'est engagée.

1.4 Aucune couverture d'assurance n'est déclarée.

1.5 Aucun service ne peut être garanti sûr. Le présent Avenant décrit des mesures ; il ne garantit pas un résultat. La section 20 des Conditions s'applique.

1.6 Virtik ne déclare pas que le Service détient une autorisation StateRAMP ou respecte la Criminal Justice Information Services Security Policy du FBI, que Virtik surveille le Service en permanence, que le Service atteint un quelconque niveau de disponibilité, ni que Virtik propose une région d'hébergement ou un engagement de localisation des données.

2. Inventaire des mesures

2.1 Mesures énoncées telles que configurées

Ces éléments sont les mesures que la mise en œuvre et la configuration du Service prévoient, énoncées telles que configurées. Ils ne déclarent pas l'état déployé d'un environnement particulier. L'Annexe 6 du DPA énumère les mêmes mesures.

2.2 Points non déclarés

Virtik ne fait dans le présent Avenant aucune déclaration concernant : le chiffrement au repos et la gestion des clés ; le point de savoir si des sauvegardes sont conservées, à quelle fréquence et pendant combien de temps, ainsi que les objectifs de restauration ; les lieux et régions d'hébergement ; la fréquence des tests d'intrusion ; le standard de vérification des antécédents du personnel ; la fréquence des formations à la sécurité ; la gestion des vulnérabilités et la fréquence des correctifs ; la continuité d'activité et la reprise après sinistre, y compris les objectifs de rétablissement ; la sécurité physique des lieux d'hébergement ; le cycle de développement sécurisé et la revue de code ; la durée de conservation des journaux ; la gestion des terminaux du personnel disposant d'un accès à la production ; ou la rotation des clés. Virtik n'énonce une mesure que par une nouvelle version du présent Avenant. Ni la présente section 2.2 ni la section 1 ne limite l'obligation prévue à la section 6.1 du DPA de prendre les mesures que l'article 32 du RGPD (ou la disposition équivalente d'un autre droit applicable) exige d'un Sous-traitant, et le présent Avenant n'indique pas que chacune de ces mesures est en place.

3. Contrôle d'accès et personnel

3.1 Virtik ne fait dans le présent Avenant aucune déclaration sur la manière dont l'accès aux systèmes de production est accordé, réexaminé ou enregistré.

3.2 Les engagements de Virtik concernant la confidentialité et l'accès du personnel figurent à l'article 5 du DPA.

3.3 Virtik ne fait aucune déclaration concernant la vérification des antécédents du personnel ni la fréquence des formations à la sécurité.

4. Responsabilités du Client

La sécurité de la plateforme est partagée, et la présente section n'est pas une clause de non-responsabilité : il s'agit de la moitié de la surface de contrôle que Virtik ne peut pas atteindre.

4.1 Le Client est responsable :

(a) de la sécurité des Systèmes du Client, y compris les caméras, capteurs, systèmes de contrôle d'accès, radios, terminaux mobiles et réseaux ;

(b) de l'hygiène des identifiants, notamment de la non-divulgation des identifiants des Utilisateurs autorisés ;

(c) de la configuration des autorisations au sein de son Organisation, et de son réexamen lors de l'arrivée, de la mobilité ou du départ de personnes ;

(d) de l'activation et de l'exigence de l'authentification multifacteur pour ses propres utilisateurs lorsque la plateforme la propose ;

(e) de la gestion des terminaux qui accèdent au Service ;

(f) de la décision relative aux données introduites dans la plateforme et aux personnes autorisées à les consulter ;

(g) du retrait rapide des accès des personnes qui n'en ont plus besoin.

4.2 Une erreur de configuration du Client qui expose des Données du Client au sein de sa propre Organisation ne constitue pas une Violation de sécurité.

5. Incidents de sécurité

5.1 Virtik informera le Client sans retard injustifié après avoir confirmé une Violation de sécurité, au sens que les Conditions donnent à ce terme, et, pour les Données à caractère personnel du Client, conformément à l'article 10 du DPA. Virtik confirme une Violation de sécurité lorsque, agissant raisonnablement et sans retarder son enquête, elle détermine que la Violation de sécurité est survenue ou estime raisonnablement, comme le prévoit la section 1.17 des Conditions, qu'elle est survenue.

5.2 Objectif opérationnel de notification. Lorsque cela est raisonnablement possible, l'objectif de Virtik est de donner cette notification dans un délai de 72 heures après avoir confirmé la Violation de sécurité. Ce délai est uniquement un objectif opérationnel de notification. Il ne constitue ni une garantie contractuelle inconditionnelle ni une déclaration de garantie, et une notification donnée après 72 heures ne constitue pas en soi un manquement au Contrat. La section 19.5 des Conditions et l'article 10 du DPA énoncent la position.

5.3 Une tentative infructueuse, ou un événement qui ne compromet pas la sécurité des Données du Client — y compris les pings, les balayages de ports, les échecs de connexion et les tentatives de déni de service qui n'aboutissent pas à un accès — ne constitue pas une Violation de sécurité.

5.4 La notification ne vaut pas reconnaissance de faute ou de responsabilité.

5.5 Signalez une vulnérabilité ou un incident suspecté à security@virtik.ai. Le Client ne doit pas divulguer publiquement une vulnérabilité suspectée avant que Virtik n'ait disposé d'une possibilité raisonnable d'y remédier.

5.6 La notification de Virtik au Client est distincte de toute notification que le Client doit effectuer auprès d'un régulateur, de personnes physiques ou d'autres personnes. Ces obligations et les délais dans lesquels elles doivent être satisfaites sont déterminés par le droit applicable, courent à compter de la propre connaissance du Client et incombent au Client.

5.7 Virtik ne fait aucune déclaration concernant un plan d'intervention en cas d'incident, une astreinte, une capacité d'investigation numérique, ni les outils qu'elle utilise pour détecter une Violation de sécurité, et n'indique aucun délai de réponse à un signalement effectué au titre de la section 5.5.

6. Sous-traitants ultérieurs et hébergement

6.1 Virtik fait appel à des tiers pour héberger, stocker, traiter et facturer pour son compte. La Liste des sous-traitants ultérieurs (LEG-009) les classe en sous-traitants ultérieurs, fournisseurs d'infrastructure, prestataire de paiement, fournisseurs que le Client fournit, et services dont Virtik n'a pas vérifié l'utilisation.

6.2 L'inventaire en vigueur est la Liste des sous-traitants ultérieurs (LEG-009).

6.3 Virtik ne désigne aucune région d'hébergement.

6.4 La localisation des données n'est pas proposée comme un engagement (DPA, section 15.4).

7. Audit et assurance

7.1 Virtik mettra à disposition les informations raisonnablement nécessaires pour démontrer le respect du présent Avenant, principalement au moyen du présent document et de réponses à des questionnaires de sécurité raisonnables. La réponse à un questionnaire n'est qu'une information. Elle ne constitue pas une déclaration concernant une mesure que la section 2.1 n'énonce pas, et la section 2.2 du présent Avenant ainsi que la section 19.2 des Conditions continuent de s'appliquer.

7.2 Les droits d'audit portant sur les données à caractère personnel figurent à la section 14 du DPA et ne sont pas modifiés ici.

7.3 Aucun autre droit d'audit. Virtik n'accorde aucun droit d'audit au-delà des sections 7.1 et 7.2 et des conditions de la section 14 du DPA. Aucun rapport de tiers n'existe, et Virtik n'accorde pas d'audit de son infrastructure multi-locataire d'une manière susceptible d'affecter d'autres clients.

8. Modifications

8.1 Virtik peut mettre à jour le présent Avenant, sous réserve que le niveau de protection ne soit pas substantiellement réduit.

8.2 Une réduction substantielle exige un préavis au titre du contrat applicable et, lorsque le Contrat cadre de services s'applique, sa section 11.4 peut ouvrir un recours au Client.

Langue. Cette traduction est fournie à titre informatif. En cas de contradiction, la version anglaise prévaut, sauf disposition impérative contraire.

Historique des versions

FIN DU DOCUMENT