Pour vos achats et votre gestion contractuelle
Cette page décrit ce que nous prenons contractuellement à notre charge, comment se déroule la mise en place et quels documents vous recevez de nous.
Découvrez comment l'accès, le stockage et la consignation sont organisés
Ce que nous prenons à notre charge
Chaque point est vérifiable : dans le contrat de sous-traitance, dans le certificat, ou dans l’environnement lui-même.
L’environnement
Votre environnement est autonome, sur un serveur dédié avec sa propre base de données, protégé par une liste blanche d’adresses IP. Aucune donnée d’autres organisations n’y figure.
Le traitement
Le traitement dans votre environnement reste aux Pays-Bas et ne sort pas de l'Espace économique européen, pas davantage via un sous-traitant ultérieur.
Le journal d’audit
Le journal d’audit ne peut pas être désactivé. Chaque interrogation, chaque constatation et chaque ouverture d’un dossier y sont consignées, et ce n’est pas un réglage que vous ou nous puissions modifier. Si vous supprimez un dossier, tout ce qui s’y rattache disparaît avec lui, y compris son journal.
Reconstitution
Lorsque vous clôturez une enquête, nous archivons le rapport et figeons les pièces sous-jacentes, afin que des années plus tard elles puissent être montrées telles qu’elles étaient alors.
Répétabilité
Le système est déterministe et n’apprend pas des dossiers antérieurs. Chaque signalement se rattache à la règle qui l’a déclenché, de sorte que dans deux ans on peut encore expliquer pourquoi il s’est déclenché alors. Si vous modifiez ces règles, le résultat change, et cela aussi est visible.
Certification
Notre système de management de la sécurité de l’information est certifié ISO 27001 pour le développement et l’hébergement de Noctua. Nous maintenons cette certification aussi longtemps que dure votre contrat, avec une évaluation périodique par un organisme accrédité.
Si vous arrêtez
Vous décidez du sort des données : transfert dans une forme convenue avec vous, ou destruction. Ensuite le serveur est supprimé, et dans les sept jours les sauvegardes ont expiré également.
Contact
Vous avez un interlocuteur fixe. Le support et les modifications de vos signalements ou de vos droits passent par cette personne, et non par un guichet changeant.
Ce qui reste chez vous. La base juridique, le délai de conservation et qui a accès. La pondération de chaque signalement. La décision et la motivation qui la sous-tend. Nous ne reprenons pas cela, et nous ne le pouvons pas : l'établissement des faits incombe à votre organisation.
De la signature à la mise en service
La mise en place consiste en des choix que votre organisation fait et que nous consignons. En quatre semaines, un environnement prêt pour la production est en place, dans lequel vos utilisateurs peuvent se connecter. Dans cet ordre :
- Ce que vous pouvez interroger. Les sources qui vous sont accessibles découlent de votre base juridique et des accords qui la sous-tendent. Nous le déterminons ensemble, avant que quoi que ce soit ne soit configuré.
- Le contrat de sous-traitance. Le modèle standard de la VNG, l’association des communes néerlandaises, ou celui de votre propre organisation.
- Votre environnement. Un serveur dédié avec sa propre base de données, protégé par une liste blanche d’adresses IP, de sorte que l’environnement n’est pas accessible à des tiers. Si vous optez pour un hébergement sur votre propre infrastructure, nous le mettons en place avec votre service informatique et le planning passe par votre organisation.
- Les motifs issus de votre politique. Quelles branches, quels motifs et quels seuils conduisent à un approfondissement, nous le configurons avec votre équipe, afin que ce qui figure dans le système corresponde à ce que votre organisation a arrêté.
- Le modèle de rapport. Adapté à votre organisation, et là où vous devez pouvoir transmettre un dossier, conçu avec la justification qui l'accompagne.
- Raccorder les sources. Vous fournissez le certificat PKIoverheid de votre organisation et nous l’installons sur le serveur, afin que les interrogations s’effectuent sous votre propre base juridique. Si vous n’en avez pas encore, nous vous aidons à en faire la demande. Nous nous chargeons de l’accès aux registres commerciaux.
- En option : authentification unique. C'est ici que votre service informatique intervient, pas pour l'usage lui-même. Ce dont il a besoin est prêt chez nous ; une fois ces éléments reçus, c'est rapidement réglé de notre côté.
Ce dont nous avons besoin de votre part, votre organisation le décide elle-même :
- Quels signalements vous voulez et sur quoi : les seuils, les codes SBI (la nomenclature néerlandaise des activités) et les autres motifs qui découlent de votre règle de politique.
- Qui va travailler avec la plateforme, en utilisateurs et en services.
- Qui peut consulter, modifier et clôturer quoi, par service ou par utilisateur.
Les documents
Sont disponibles :
- Le contrat de sous-traitance
- Le certificat ISO 27001 avec la déclaration d'applicabilité
- La documentation pour votre AIPD
- Notre annexe pour le registre des activités de traitement
- Le modèle de SLA, auquel s'appliquent les GIBIT 2020
Nous envoyons l'ensemble après un bref entretien, afin de savoir quelles parties s'appliquent à votre organisation. Ensuite l'ensemble est à vous et vous le diffusez en interne comme bon vous semble.
Coûts
Il existe une formule pour les petites, moyennes et grandes organisations. Une commune de vingt mille habitants ne prend pas la même chose qu’une des quatre plus grandes villes, et ne paie pas la même chose non plus. Un budget limité n’est donc pas une raison de ne pas engager la conversation.
Ce que vous prenez exactement varie en outre selon l’organisation : le nombre d’utilisateurs, les sources pour lesquelles vous êtes compétent, et si vous fonctionnez sur notre infrastructure ou sur la vôtre. C’est pourquoi aucune liste de prix ne figure sur ce site. Ce que cela représente dans votre situation, et ce que cela implique pour la procédure à suivre, nous l’examinons lors de l’entretien.
Envoyez-nous votre cahier des charges
Vous avez un cahier des charges, un questionnaire ou un projet de consultation ? Vous le recevez en retour par écrit, répondu exigence par exigence, avec renvoi au document qui l’étaye. Là où nous ne répondons pas aux exigences, cela figure aussi.