Cybersécurité des produits

1. Objet

La présente note d’information régit le traitement des données à caractère personnel fournies par le biais du canal mis en place pour signaler d’éventuelles vulnérabilités, incidents, découvertes, faiblesses de configuration ou autres incidents de cybersécurité liés aux produits de COUTH Industrial Marking Systems.

2. Responsable du traitement

COUTH Industrial Marking Systems, S.L.U., Gaintzabal kalea, 4 A, Edificio COUTH, 20120 Hernani, Gipuzkoa, Espagne.

3. Finalités

Les données seront traitées afin de recevoir et d’enregistrer la communication ; de contacter le signalant lorsqu’il fournit volontairement ses coordonnées ; d’analyser, de reproduire, d’évaluer et de classer le problème ; déterminer les produits et versions concernés ; examiner les pièces jointes fournies à titre de preuve ; effectuer des contrôles techniques de sécurité, de validation et de mise en quarantaine sur ces fichiers ; enquêter sur la cause ; définir et vérifier les mesures à prendre ; coordonner les communications et la diffusion d’informations ; respecter les obligations légales ; conserver les preuves et améliorer la sécurité des produits et des processus.

Les données et les pièces jointes ne seront pas utilisées à des fins de publicité, de prospection, de newsletters ou de profilage commercial.

4. Données traitées

Les données techniques relatives à l’incident, au produit, aux versions, au contexte, à l’impact, aux dates, aux preuves et aux références pourront être traitées, ainsi que le nom ou le pseudonyme, l’adresse e-mail, l’organisation, le lien avec le produit et la langue lorsqu’ils sont fournis volontairement.

Lorsque la fonction de téléchargement est utilisée, les pièces jointes et leurs métadonnées techniques peuvent également être traitées, notamment le nom d’origine, l’extension, le type déclaré et détecté, la taille, la date de réception, le hachage d’intégrité et le résultat des contrôles de sécurité. Le contenu et les métadonnées des fichiers peuvent inclure des données à caractère personnel du signalant ou de tiers ; par conséquent, seules les données strictement nécessaires et dûment autorisées doivent être jointes.

Le service pourra générer les enregistrements techniques nécessaires à sa sécurité et à sa traçabilité.

5. Base juridique

Le traitement repose sur l’intérêt légitime du responsable du traitement à protéger ses produits et ses utilisateurs et, le cas échéant, sur le respect d’obligations légales. L’enquête sur l’incident ne repose pas sur le consentement.

6. Coordonnées facultatives

Le signalant peut signaler le problème sans fournir son nom, le nom de son entreprise ou son adresse e-mail. Dans ce cas, il ne sera pas possible de demander des précisions ni de coordonner directement le suivi. Cette option ne garantit pas à elle seule un anonymat technique absolu.

7. Destinataires

L’accès sera limité aux personnes et aux services ayant besoin de connaître ces informations. Les informations strictement nécessaires pourront être communiquées à des fournisseurs, des fabricants de composants, des distributeurs, des conseillers, au CSIRT, aux autorités, à l’ENISA ou à d’autres organismes, le cas échéant.

Les pièces jointes pourront être traitées par des prestataires fournissant des services d’hébergement, de stockage sécurisé, d’analyse anti-malware, de mise en quarantaine, d’enregistrement ou d’assistance technique, agissant dans le respect des garanties contractuelles et de sécurité applicables.

8. Conservation

Les informations et les pièces jointes seront conservées aussi longtemps qu’elles seront nécessaires pour enquêter, traiter, vérifier et clôturer l’incident, puis pendant la durée nécessaire pour justifier la gestion, répondre aux responsabilités, respecter les obligations, assurer la traçabilité et identifier les récidives. Les données d’identification seront supprimées ou réduites lorsqu’elles ne seront plus nécessaires.

Les fichiers rejetés, bloqués ou mis en quarantaine, ainsi que leurs journaux techniques, ne seront conservés que pendant la durée définie par la politique de sécurité applicable et seront supprimés lorsqu’ils ne seront plus nécessaires.

9. Transferts internationaux

Ils ne seront effectués que lorsqu’ils s’avèrent nécessaires ou lorsqu’ils proviennent de fournisseurs technologiques intervenant dans la collecte, le stockage, l’analyse des fichiers, la messagerie ou la gestion des tickets, en appliquant les garanties exigées par la réglementation.

10. Décisions automatisées

Des règles automatiques pourront être utilisées pour générer des alertes ou faciliter la hiérarchisation initiale. La gravité, le traitement, la divulgation et les décisions réglementaires seront déterminés par du personnel autorisé.

11. Sécurité

Des mesures techniques et organisationnelles seront mises en œuvre pour protéger les informations contre toute perte, altération, accès ou divulgation non autorisés. Les pièces jointes pourront être validées, renommées, stockées hors du répertoire public, mises en quarantaine et soumises à des contrôles de sécurité avant d’être consultées par l’équipe responsable.

Il ne faut pas transmettre de mots de passe, de clés privées, d’identifiants ni d’informations personnelles ou confidentielles qui ne soient pas strictement nécessaires.

12. Droits

Les personnes concernées peuvent exercer leurs droits par les voies indiquées dans la politique de confidentialité de la société responsable et déposer une réclamation auprès de l’Agence espagnole de protection des données.