Aller au contenu principal

Conformité · RGPD

RGPD : ce que Kayzen fait de vos données, et ce qu'il apporte à leur sécurité

Le RGPD concerne Kayzen de deux façons : comme sous-traitant qui traite des données pour le compte de ses clients professionnels, et comme outil qui peut contribuer aux mesures de sécurité que l'article 32 impose à tout responsable de traitement.

Information générale, sans valeur d'avis juridique. Votre situation et vos obligations sont à valider par un professionnel. Kayzen contribue à certaines mesures ; il ne rend aucune organisation conforme.

Kayzen Security est en développement : aucun module n'est encore commercialisé. Les contributions décrites ici s'appuient sur le mapping technique de K-Comply et sur l'état réel de chaque module au 31 octobre 2026.

Kayzen, sous-traitant de vos données

  • Un accord de sous-traitance publié

    Le DPA (article 28 du RGPD) décrit les traitements, les mesures de sécurité et les obligations de chacun.

  • Une liste des sous-traitants

    Chaque prestataire qui intervient dans le traitement est listé publiquement, avec sa localisation.

  • La minimisation par défaut

    L'agent collecte des informations techniques sur les appareils ; il ne collecte jamais vos frappes clavier, et le contenu d'un fichier n'est envoyé pour analyse qu'avec votre accord explicite. L'analyse des e-mails n'est activée que sur décision du client.

  • Des durées de conservation appliquées par le code

    Les données sont conçues pour être purgées automatiquement à l'expiration des durées publiées dans la politique de confidentialité.

  • Un hébergement destiné à l'Union européenne

    Les données des clients professionnels sont destinées à un hébergeur situé dans l'Union européenne ; le choix final est en cours et sera publié. Quelques sous-traitants établis hors de l'UE (envoi des e-mails transactionnels, paiement et, s'il est activé, Kayzen Copilot) peuvent recevoir des données limitées, avec les garanties prévues par le RGPD : ils sont tous listés sur la page Sous-traitants.

Accord de sous-traitance (DPA)Sous-traitantsConfidentialité

Contribution aux mesures de sécurité de l'article 32

L'article 32 demande des mesures techniques et organisationnelles appropriées au risque. Voici celles auxquelles Kayzen peut contribuer.

  • Chiffrement

    Suivi du chiffrement des disques des postes Windows (BitLocker) et séquestre des clés de récupération (en cours de développement).

  • Confidentialité et intégrité des systèmes

    Correctifs, filtrage des sites malveillants, protection contre les logiciels malveillants, contrôle des applications (selon l'état de chaque module).

  • Disponibilité et résilience

    Détection et réponse aux incidents, isolement d'un poste compromis (modules en développement). Les sauvegardes restent à votre charge.

  • Contrôle d'accès

    Double authentification et rôles de la console, suivi des comptes administrateurs locaux ; élévation de privilèges encadrée et rotation des mots de passe administrateurs (modules prévus ou en développement).

  • Évaluation régulière

    Rapports mensuels d'hygiène et de conformité, indicateurs mesurés sur le parc.

En cas de violation de données

Le responsable de traitement doit notifier la CNIL dans les meilleurs délais et, si possible, au plus tard 72 heures après avoir pris connaissance d'une violation, sauf si elle n'est pas susceptible d'engendrer un risque pour les personnes ; passé ce délai, le retard doit être justifié (article 33). Il informe les personnes concernées en cas de risque élevé (article 34). Le journal d'audit et les informations d'incident de Kayzen peuvent aider à documenter les faits ; la décision et la notification restent les vôtres.

Limites

  • Kayzen ne tient pas votre registre des traitements et ne réalise pas vos analyses d'impact.
  • La gestion des droits des personnes (accès, effacement…) sur vos propres traitements reste à votre charge.
  • Le filtrage et les journaux d'activité des salariés doivent être annoncés et proportionnés, conformément au droit du travail.

Sources · Règlement (UE) 2016/679 — EUR-Lex (nouvel onglet)

Voir aussi