Conformité au RGPD | Shufti garantit la protection et la confidentialité des données

CONFORMITÉ RÉGLEMENTAIRE · RGPD

Chaque droit des personnes concernées est mis en œuvre concrètement et ne se limite pas à une simple inscription dans une politique.

Les données biométriques et les documents d'identité constituent des données personnelles de catégorie spéciale (article 9) au sens du RGPD, la catégorie de données la plus strictement réglementée par la législation européenne. Shufti traite ces données conformément à une base juridique documentée, les conserve uniquement pendant la durée que vous configurez et garantit le respect de tous les droits des personnes concernées que vos utilisateurs peuvent exercer. L'accord de traitement des données RGPD de Shufti est inclus dans le contrat standard pour entreprises et n'est pas une option.

Démo en visio Contactez-Nous

Que couvre le RGPD ?

Le RGPD s'applique à toute organisation traitant des données personnelles de résidents de l'UE. Il établit une distinction entre les données personnelles classiques et les données sensibles, chacune étant soumise à des obligations différentes. Cette distinction est essentielle pour les fournisseurs de services de vérification d'identité.

Données personnelles standard

Nom, adresse e-mail, numéro de téléphone, adresse IP : ces données sont soumises aux articles 5 et 6 du RGPD. Le traitement doit reposer sur une base légale, des mesures de sécurité raisonnables et le respect des droits des personnes concernées. La plupart des plateformes SaaS fonctionnent selon ce principe.

Article 9 Données de catégorie spéciale

Les données biométriques permettant d'identifier une personne de manière unique, les images faciales et les données des documents d'identité constituent la catégorie la plus strictement réglementée par le RGPD. Leur traitement requiert un consentement explicite ou une obligation légale, des contrôles de sécurité renforcés, la minimisation obligatoire des données, le respect intégral des droits des personnes concernées et la mise en place d'un accord de protection des données documenté avant tout traitement.

Pourquoi ça compte

Les autorités de contrôle, la Garante italienne, la DPC irlandaise et la CNIL française, ont mené des enquêtes spécifiques sur les processus d'inscription numérique dans lesquels des prestataires de vérification ont conservé des données biométriques au-delà de ce qui était nécessaire, n'ont pas justifié leur traitement par une base légale ou n'ont pas été en mesure de garantir le respect des droits des personnes concernées. Des poursuites ont été engagées contre les entreprises ayant fait appel à ces prestataires.

Lorsqu'un utilisateur exerce son droit à l'effacement

Votre équipe doit mettre en œuvre cette fonctionnalité, et pas seulement la reconnaître. L'API et la console d'administration de Shufti vous permettent de déclencher la suppression d'enregistrements de vérification individuels et de recevoir une confirmation de suppression comme preuve d'audit.

1.2 milliard d'euros et plus

Les amendes pour non-respect du RGPD, en 2023-2024, concernent plus particulièrement les données biométriques lors de l'intégration des nouveaux clients. La responsabilité incombe au responsable du traitement, c'est-à-dire vous. Le contrat de protection des données (DPA) et les contrôles de suppression de Shufti vous permettent de vous prémunir contre ce risque.

Comment Shufti assure la maintenance informatique

Le pack de documentation RGPD de Shufti comprend : l’accord de protection des données conforme à l’article 28, le registre des sous-traitants (mis à jour sous 30 jours après toute modification), la politique de conservation et de suppression des données, ainsi que la documentation technique expliquant comment les droits des personnes concernées sont mis en œuvre. Tous ces éléments sont disponibles sur demande avant la signature du contrat.

Les données des résidents de l'UE sont traitées sur l'infrastructure de l'UE. Les données des résidents du Royaume-Uni sont traitées conformément au RGPD britannique. Des déploiements régionaux aux États-Unis et en Asie-Pacifique sont disponibles pour les flux de données hors UE.

Détails de la certification

Base légale

Article 28 du RGPD (sous-traitant) ; base de traitement de l'article 9(2)(a) ou 9(2)(b) configurée par le responsable du traitement.

Inclus en standard

Un accord de protection des données conforme au RGPD dans chaque contrat d'entreprise, sans négociation séparée requise.

Résidence des données

Infrastructures de l'UE pour les flux européens ; options régionales disponibles au Royaume-Uni, aux États-Unis et en Asie-Pacifique.

Droits des personnes concernées

Effacement, accès et portabilité pris en charge via API et console d'administration avec confirmation du journal d'audit.

Ce que vous obtenez

Accord de protection des données (DPA), registre des sous-traitants, politique de conservation des données et documentation relative à la suppression, disponibles avant la signature du contrat.