Gouvernance et sécurité des données
Comment DEISO traite les données clients durant une mission — où elles sont stockées, qui peut y accéder, comment AI est utilisé, combien de temps elles sont conservées et ce qui se passe en cas de problème.
Cette page présente clairement les pratiques de travail de DEISO afin qu’un responsable technique ou des achats puisse les évaluer avant le début d’une mission. Il ne s’agit pas d’une certification, et DEISO ne prétend pas en détenir une.
Champ d’application
Cette page couvre les données clients : fichiers, chiffres, plans, factures, informations fournisseurs, facteurs d’émission, données de coûts et correspondances qu’un client partage avec DEISO pour la réalisation de la mission.
Les données personnelles collectées via le site web — formulaires de demande, abonnements, analyses — sont traitées séparément dans notre politique de confidentialité.
Principes
Quatre principes régissent la manière dont DEISO traite les informations clients.
- Strict nécessaire — DEISO demande uniquement les données nécessaires à la mission
- Finalité définie — les données clients sont utilisées uniquement pour la mission pour laquelle elles ont été fournies
- Traçabilité — les chiffres utilisés dans un livrable sont rattachés à leur source, leur responsable et leur date
- Restitution ou suppression — les données clients ne sont pas conservées indéfiniment après la clôture d’une mission
Lieu de stockage des données clients
DEISO est basée au Japon et les missions clients sont réalisées depuis le Japon. Les fichiers clients sont stockés dans un environnement cloud professionnel à accès contrôlé et sur les postes de travail de DEISO, et sont transférés via des connexions chiffrées.
Lorsqu’un client exige que les données soient échangées via son propre système — portail sécurisé, espace de travail contrôlé ou service de transfert désigné — DEISO utilise ce système.
DEISO ne publie pas les données clients, ne les vend pas et ne les partage avec aucune partie extérieure à la mission sans l’accord écrit du client.
Personnes ayant accès aux données
L’accès aux données clients est limité au personnel de DEISO affecté à la mission. Lorsqu’un spécialiste intervient sur une partie définie de la mission, il est soumis aux mêmes obligations de confidentialité et n’accède qu’aux informations nécessaires à cette partie de la mission.
Les comptes de travail de DEISO sont protégés par une authentification à deux facteurs, et les postes de travail sont protégés par un chiffrement complet du disque et un verrouillage d’écran.
Confidentialité
La confidentialité s’applique par défaut à chaque mission, qu’un accord distinct soit signé ou non. DEISO signe des accords de confidentialité clients sur demande, et les conditions de confidentialité sont précisées dans l’accord de mission de chaque projet.
DEISO ne cite pas le nom d’un client, ne décrit pas un projet et n’utilise pas les éléments d’un projet dans ses supports marketing, études de cas ou formations sans l’autorisation écrite de ce client. Lorsqu’une autorisation est accordée, le périmètre des éléments pouvant être présentés est défini à l’avance.
Utilisation de AI dans les prestations
DEISO is AI-assisté. Les outils AI sont utilisés pour accélérer la structuration, la rédaction, la vérification et l’analyse. Ils ne remplacent pas le jugement technique appliqué à un livrable.
- Revue technique humaine — chaque chiffre, méthode et conclusion d’un livrable est examiné par un praticien technique de DEISO avant sa transmission
- Aucune donnée confidentielle dans les outils publics — les informations permettant d’identifier un client et les chiffres confidentiels ne sont pas soumis à des services AI publics ou grand public
- Pas d’entraînement des modèles — les données client ne sont pas utilisées pour entraîner des modèles AI tiers, et DEISO n’accorde à aucun fournisseur le droit de le faire
- Déclaré sur demande — à la demande d’un client, DEISO indiquera quelles étapes d’un processus ont utilisé des outils AI
Si un client exige qu’aucun outil AI ne soit utilisé dans le cadre de sa mission, DEISO respectera cette condition et la confirmera dans le contrat de mission.
Outils et prestataires tiers
Delivery involves ordinary business software: cloud file storage, email, office and spreadsheet applications, analyse du cycle de vie and costing software, and the DEISO website and forms. Each of these is a commercial service operating under its own terms, and each processes only what the work passes through it.
Lorsqu’un client demande la liste des services spécifiques susceptibles de traiter ses données, DEISO la fournit avant le début de la mission.
Conservation et suppression
Les données client sont conservées pendant toute la durée de la mission, puis pendant une période ultérieure, afin de pouvoir justifier les résultats lors d’une revue, répondre aux questions et mettre à jour l’étude lors du cycle suivant sans devoir la reconstruire.
Lorsqu’un client demande par écrit la suppression de ses données, DEISO les supprimera, sous réserve des documents que DEISO est tenue de conserver en vertu de la législation japonaise — principalement les factures et pièces comptables — et confirmera ce qui a été supprimé et ce qui a été conservé.
Propriété des données et livrables
Les données fournies par un client restent la propriété du client. La propriété des livrables, modèles et rapports produits dans le cadre d’une mission est définie dans le contrat de mission applicable à ce projet.
La méthodologie, les modèles, les supports pédagogiques et les logiciels de DEISO restent la propriété de DEISO et ne sont pas transférés dans le cadre d’une mission.
En cas d’incident
Si DEISO prend connaissance d’un accès non autorisé aux données client, de leur perte ou de leur divulgation, DEISO contactera le client concerné sans délai injustifié, indiquera les éléments connus, les mesures prises, et continuera à l’informer au fur et à mesure que la situation se précise.
Pour signaler un problème de sécurité concernant les systèmes de DEISO ou un livrable de DEISO, envoyez un e-mail à en indiquant “ Sécurité ” dans l’objet.
Ce que DEISO ne revendique pas
Des limites claires comptent davantage que des labels ; elles sont donc énoncées directement.
- DEISO ne détient pas de certification ISO 27001, SOC 2 ni de certification équivalente en sécurité de l’information
- DEISO n’est pas un organisme de certification ou de vérification
- DEISO n’exploite pas de centre de données ni de service d’hébergement destiné aux clients
- Aucun système n’est entièrement sécurisé, et DEISO ne prétend pas le contraire
Lorsqu’un processus d’approvisionnement interne du client exige un questionnaire de sécurité, une évaluation des fournisseurs ou des clauses contractuelles spécifiques relatives aux données, DEISO le complète et négocie les conditions.
