Sécurité de l’information
Certifié ISO/IEC 27001:2022
Certifiée depuis 2019, actuellement dans notre troisième cycle de certification, par un organisme de certification basé au Royaume-Uni et accrédité par l’UKAS. Le certificat est publié ci-dessous dans son intégralité — veuillez le vérifier.
- Norme : ISO/IEC 27001:2022
- Organisme certificateur accrédité UKAS
- Détenue en continu depuis 2019
Le certificat en détail
Tout ce qui figure sur cette page provient du certificat lui-même, et peut donc être vérifié sur la copie ci-dessous ou directement auprès de l’organisme de certification.
| Champ | Valeur |
|---|---|
| Organisation certifiée | Wise Technologies Ltd., Cesta 24. junija 23, 1231 Ljubljana, Slovénie |
| Norme | ISO/IEC 27001:2022 — la révision actuelle de la norme |
| Périmètre | Conception, développement, mise en œuvre et maintenance de solutions logicielles |
| Déclaration d’applicabilité | Version 3.0, datée du 1er décembre 2024 |
| Numéro de certificat | 202124/A/0001/UK/En |
| Organisme de certification | URS — United Registrar of Systems (Holdings) Ltd., United House, 28 Poole Hill, Bournemouth BH2 5PS, Royaume-Uni |
| Accréditation | UKAS Management Systems, numéro d’accréditation 0043 ; URS est membre de l’accord de reconnaissance multilatérale de l’IAF |
| Délivré initialement le | 28 mars 2019 |
| Cycle en cours délivré le | 28 mars 2025 (émission 3, cycle 3) |
| Valable jusqu’au | 27 mars 2028 |
Pourquoi l’accréditation compte plus que le label
N’importe qui peut imprimer un certificat. La question qu’un service des achats devrait poser est : qui a accrédité l’organisme qui l’a délivré ?
Le nôtre a été délivré par URS, un organisme de certification basé à Bournemouth au Royaume-Uni, accrédité par l’UKAS — le United Kingdom Accreditation Service, l’organisme national d’accréditation reconnu par le gouvernement britannique. Le numéro d’accréditation UKAS 0043 figure sur le certificat lui-même.
URS est également membre de l’accord de reconnaissance multilatérale de l’IAF, ce qui fait que le certificat a la même valeur pour une université de Riyad, de Kuala Lumpur ou de Dublin que pour une université de Londres. Un certificat non accrédité n’offre rien de tout cela.
Il vaut aussi la peine de vérifier quelle version de la norme un éditeur détient. La nôtre est l’ISO/IEC 27001:2022, la révision actuelle. Des certificats établis selon l’édition 2013, désormais remplacée, sont encore en circulation.
- Délivré par un organisme de certification basé au Royaume-Uni, et non par un registraire non accrédité
- Accrédité UKAS, numéro d’accréditation 0043
- Membre de l’accord de reconnaissance multilatérale de l’IAF, donc reconnu à l’échelle internationale
- Certifié selon l’ISO/IEC 27001:2022, et non l’édition 2013 remplacée
- Détenu en continu depuis mars 2019, sur trois cycles de certification
- Le périmètre couvre explicitement la conception, le développement, la mise en œuvre et la maintenance de logiciels — le produit lui-même, pas seulement un bureau
À quoi la certification nous engage réellement
L’ISO/IEC 27001 n’est pas une fonctionnalité du produit et nous ne la présenterons pas comme telle. Elle certifie un système de management : une approche structurée et fondée sur les risques de la sécurité de l’information, couvrant les personnes, les processus et la technologie, auditée par un organisme externe selon un cycle récurrent et non affirmée une fois pour toutes.
Concrètement, pour un établissement qui nous évalue, cela signifie qu’il existe une déclaration d’applicabilité documentée, que les risques sont évalués et traités selon un cycle défini, que les accès et les changements sont contrôlés, et qu’un auditeur indépendant vérifie le tout par rapport à une norme publiée.
- Chiffrement des informations sensibles au repos et en transit
- Sauvegardes régulières, avec des restaurations testées plutôt que supposées
- Contrôles d’accès stricts limitant l’exposition à ce qu’exige un rôle
- Réponse aux incidents et gestion des changements documentées
- Audits de surveillance annuels, avec recertification complète tous les trois ans
Les données personnelles, et la loi qui les régit
Un emploi du temps n’est pas un jeu de données abstrait. Il indique où se trouve un étudiant nommément identifié à neuf heures le mardi, et quel enseignant est avec lui. Ce sont des données personnelles, et dans certaines combinaisons elles sont sensibles.
Nous sommes établis en Slovénie, dans l’Union européenne, de sorte que le Règlement général sur la protection des données s’applique directement à nous, et non comme une obligation d’exportation que nous avons choisi de respecter. La conformité au RGPD est incluse dans ce que vous achetez ; ce n’est pas un module facturable et il n’y a pas de palier de conformité distinct.
Dans le langage du règlement, votre établissement est le responsable du traitement et Wise Technologies est un sous-traitant. Cette distinction compte : les données restent les vôtres, nous ne les traitons que sur vos instructions documentées, et nous ne les réutilisons pas. Nous ne vendons ni ne louons de données personnelles, nous n’utilisons pas les données de votre établissement pour entraîner quoi que ce soit, et nous ne les exploitons pas pour nos propres analyses.
Nous essayons aussi d’en détenir le moins possible dès le départ. Un système d’emploi du temps n’a pas besoin de l’adresse personnelle d’un étudiant, et demander des champs que nous n’utiliserons jamais serait un risque pour nous deux. Lorsqu’un établissement peut nous envoyer des identifiants de groupes plutôt que des personnes nommées, nous préférons qu’il le fasse.
- Un accord de sous-traitance de données est disponible et nous signerons le vôtre si vous préférez votre propre formulation
- Les données personnelles ne sont pas transférées en dehors de l’Espace économique européen sauf si des garanties adéquates sont en place, telles que les clauses contractuelles types de l’UE
- Les sous-traitants ultérieurs sont limités, communiqués sur demande, et liés par des obligations équivalentes
- Les droits des personnes concernées — accès, rectification, effacement, limitation, portabilité, opposition — sont pris en charge, et nous vous aidons à répondre aux demandes en tant que votre sous-traitant
- La conservation est définie et non indéfinie : données de compte pendant la durée de l’abonnement, données de planification importées aussi longtemps que vous utilisez le service
- Les obligations de notification des violations sont contractuelles, et non discrétionnaires
- Déploiement complet sur site lorsque la politique ou la loi nationale exige que les données ne quittent jamais votre réseau
Au-delà du RGPD
Les établissements hors de l’Union européenne ont leurs propres obligations, et nous préférons en discuter tôt plutôt que de les découvrir tard. Les établissements du Golfe travaillent de plus en plus sous des lois nationales de protection des données assorties d’exigences de résidence ; les établissements des États-Unis soulèvent la question de la FERPA ; plusieurs de nos clients répondent aussi à des régulateurs sectoriels.
Nous ne prétendons pas détenir une certification globale pour tous les régimes, car cette affirmation ne serait pas honnête. Ce que nous pouvons dire, c’est que l’option sur site satisfait pleinement les exigences de résidence, que nos conditions contractuelles peuvent être adaptées, et que nous vous dirons clairement si quelque chose dont vous avez besoin dépasse ce à quoi nous pouvons nous engager.
Lisez la Politique de confidentialité pour le détail du traitement des données personnelles, et les Conditions générales pour la position contractuelle.
Le certificat
Reproduit en intégralité. Le PDF signé est accessible par le lien ci-dessus et ci-dessous.
L’emplacement de vos données reste votre décision
La certification régit notre façon de travailler ; elle ne vous oblige pas à héberger quoi que ce soit chez nous. L’hébergement cloud fonctionne sur AWS avec sauvegardes quotidiennes et infrastructure répartie régionalement, et l’installation complète sur site est une alternative prise en charge, avec des fonctionnalités, un support et des conditions de mise à niveau identiques.
Pour les établissements relevant de juridictions imposant la résidence des données, l’installation sur site garde chaque enregistrement dans votre propre réseau. En savoir plus sur l’hébergement et le déploiement.
Questions que pose le service des achats
Remplirez-vous notre questionnaire de sécurité de l’information ?
Oui, et nous en avons l’habitude. Envoyez-le avec votre calendrier et nous le traiterons ; nous préférons répondre à quarante questions avant un contrat plutôt que de découvrir une inadéquation après.
Si vous avez besoin du certificat, de la référence de la déclaration d’applicabilité ou d’une confirmation directe de l’organisme de certification, demandez-le et nous nous en occuperons.
Pouvons-nous vérifier le certificat de manière indépendante ?
Faites-le. Le numéro du certificat est 202124/A/0001/UK/En et l’organisme émetteur est URS — United Registrar of Systems (Holdings) Ltd., Bournemouth, Royaume-Uni. URS publie sur le certificat lui-même ses coordonnées pour les vérifications d’authenticité.
L’UKAS tient également un registre public des organismes qu’il accrédite, où URS figure sous le numéro d’accréditation 0043.
Le périmètre est-il assez large pour couvrir le logiciel que nous achèterions ?
Oui. Le périmètre certifié est « Conception, développement, mise en œuvre et maintenance de solutions logicielles », ce qui couvre la manière dont Wise Timetable est construit, déployé et assisté — et pas seulement la manière dont notre bureau est géré. Les périmètres restreints limités à un siège sont un point couramment vérifié, et qui mérite de l’être chez chaque éditeur.
Que se passe-t-il si nous devons conserver les données dans notre pays ?
Nous installons entièrement sur votre propre infrastructure. C’est une option de déploiement standard avec les mêmes fonctionnalités, le même support et les mêmes conditions de mise à niveau que l’hébergement cloud, et non une exception accordée à contrecœur.
Vous menez un audit de sécurité ?
Envoyez-nous le questionnaire et l’échéance. Nous le remplirons correctement, et vous dirons clairement tout ce que nous ne pouvons pas satisfaire.