01
Purpose limitation
Les données sont utilisées uniquement pour la finalité définie dans la mission.
TRUST CENTER / DATA PROTECTION
La confiance se construit avec des règles concrètes.
Cette page présente les principes opérationnels utilisés pour cadrer une mission. Elle ne prétend pas constituer une certification de sécurité.
02
Data minimisation
Seules les données nécessaires sont demandées et traitées.
03
Secure transfer
Le canal de transfert est défini avant l’échange de données sensibles ; l’e-mail n’est pas supposé être le canal par défaut.
04
Controlled access
Les accès sont limités au périmètre, aux personnes et aux outils nécessaires.
05
No silent reuse
Pas de réutilisation pour un autre client, du marketing ou l’entraînement d’un modèle sans autorisation écrite.
06
Processor terms
Lorsque l’article 28 s’applique, les rôles, instructions, obligations et sous-traitants sont encadrés par écrit.
07
Incident response
La conduite à tenir, les contacts et les obligations d’alerte sont définis selon le contexte de la mission.
08
Retention & deletion
Conservation, restitution et suppression sont cadrées selon la mission et les obligations applicables.
Mesures adaptées au risque
Selon la nature des données et de la mission, le dispositif peut inclure chiffrement en transit, contrôle des accès, séparation des environnements, journalisation, sauvegardes et procédures d’incident. Les garanties réellement applicables sont documentées avant transfert de données sensibles.
Sous-traitance et DPA
Lorsque Pretoria BI traite des données personnelles pour le compte d’un client, les rôles et instructions sont formalisés par écrit lorsque le RGPD l’exige. La CNIL rappelle qu’un contrat est obligatoire lorsque l’article 28 s’applique.
Transferts et fournisseurs
Les fournisseurs externes réellement utilisés — hébergement, LLM, formulaire, stockage ou calendrier — doivent être listés avant la mise en production et évalués selon le type de données traité.
Avant tout transfert sensible
Pretoria BI prévoit de valider avec le client quatre éléments : finalité et catégories de données, canal de transfert, personnes autorisées, puis règles de conservation et de suppression. Les garanties applicables sont confirmées avant l’échange, pas après.