Gouvernance des données et sécurité

Aperçu de la gouvernance des données et de la sécurité. SMSI ISO 27001. Document informatif destiné aux intégrateurs et partenaires

1. Périmètre et organisation

Le présent document décrit la manière dont TelSmart traite les données de ses clients. Il offre un aperçu aux partenaires et intégrateurs qui collaborent avec TelSmart et pour lesquels les questions de sécurité et de RGPD sont pertinentes.

1.1 Entité juridique et sites

1.2 Départements compris dans le périmètre

Direction, Ventes, IT interne, Développement, DevOps, Finance, RH, Support / Déploiement

2. Localisation des données et infrastructure

2.1 Hébergement principal : AWS Francfort

Toutes les données clients restent au sein de l'Espace économique européen. Aucune donnée n'est stockée en dehors de l'UE/EEE.

2.2 Politique de sauvegarde

Sauvegarde cloud AWS (services de production)

• Sauvegardes quotidiennes automatisées via AWS Backup Plans
• Les données de sauvegarde restent au sein d'eu-central-1 (Francfort)
• Stockage chiffré via AWS KMS (AES-256)
• Durée de conservation : au moins 30 jours pour les sauvegardes quotidiennes ; à long terme, conformément à la politique de conservation des données
• Test de restauration annuel : l'IT effectue au moins une restauration complète dans un environnement de test et en documente le résultat
• Responsabilité : IT Manager / System Administrator, avec rapport au CISO

Sur site (House of Happiness)

• Sauvegardes gérées via Proxmox, stockées sur un NAS Synology
• Sauvegardes quotidiennes, externalisées vers Backblaze

3. Protection des données et chiffrement

3.1 Aperçu du chiffrement

3.2 Approche de défense en profondeur

• Couche 1 (politique) : politique de sécurité de l'information, bureau propre, directives de télétravail
• Couche 2 (gestion des accès) : besoin d'en connaître, groupes de sécurité Active Directory, MFA
• Couche 3 (chiffrement) : données en transit (TLS) et au repos (AES-256)
• Couche 4 (journalisation et surveillance) : journalisation des événements pour la détection d'activités malveillantes
• Couche 5 : pseudonymisation / anonymisation, le cas échéant

4. Gestion des accès

4.1 Principes

• Interdit par défaut, sauf autorisation explicite (principe du refus par défaut)
• Besoin d'en connaître : accès lié à la fonction et à une nécessité démontrable
• Accès privilégiés limités au personnel approuvé, revus chaque année
• MFA appliquée lorsque c'est techniquement possible
• En cas de départ : blocage immédiat, retrait des droits, compte conservé 6 mois à des fins d'analyse forensique

4.2 Revue annuelle par système

5. Enregistrements d'appels et résumés IA

5.1 Fonctionnement

TelSmart offre à ses clients la possibilité d'enregistrer les appels. Ces enregistrements sont traités automatiquement par un système d'IA qui génère un résumé. L'enregistrement comme le résumé sont stockés de manière chiffrée sur AWS Francfort (eu-central-1).

5.2 Durées de conservation

5.3 Cadre légal en Belgique

Le droit belge n'interdit pas l'enregistrement de conversations par un participant à ces conversations. La législation pertinente est la suivante :

Code pénal, art. 314bis et LCE, art. 124 : enregistrement par un participant autorisé

• L'art. 314bis du Code pénal interdit uniquement l'enregistrement de conversations par des personnes qui NE participent PAS à ces conversations, sans le consentement de toutes les parties.
• Tant que l'utilisateur participe lui-même à la conversation, l'enregistrement est légalement autorisé, même sans prévenir au préalable l'autre ou les autres parties (confirmé par la jurisprudence de la Cour de cassation et par la doctrine, notamment Evocaat, elfri.be).
• L'art. 124 de la LCE interdit de prendre connaissance d'informations « qui ne vous sont pas destinées ». Cela ne s'applique pas lorsque vous participez vous-même à la conversation.

Utilisation et diffusion de l'enregistrement : c'est là que se situe la responsabilité

• L'enregistrement est autorisé ; ce que vous faites ensuite de l'enregistrement est en revanche soumis à des règles strictes.
• L'enregistrement ne peut pas être diffusé ni partagé en dehors de votre propre organisation sans base licite (art. 8 CEDH, droit au respect de la vie privée).
• Toute utilisation en dehors de votre propre contexte (p. ex. publication, transmission à des tiers) peut constituer une violation de l'art. 8 CEDH et du RGPD, indépendamment de la licéité de l'enregistrement lui-même.
• L'enregistrement reste une donnée à caractère personnel au sens du RGPD : le responsable du traitement (le client de TelSmart) assume la responsabilité de la licéité du traitement et de la sécurité.

Durée de conservation : pas de délai légal, mais un principe du RGPD

• Il n'existe pas de délai légal de conservation spécifique pour les enregistrements d'appels en Belgique.
• Le RGPD exige que les données ne soient pas conservées plus longtemps que nécessaire au regard de la finalité du traitement (principe de limitation de la conservation, art. 5 RGPD).
• TelSmart applique une durée standard de 1 an ; une conservation plus longue est possible en concertation écrite avec le client, à condition que la finalité soit démontrable.

Droits des personnes concernées

• Droit d'accès à leurs enregistrements et d'en obtenir une copie (art. 15 RGPD)
• Droit à l'effacement, sauf si une obligation légale de conservation s'applique (art. 17 RGPD)

5.4 Protection des données dès la conception : contrôle d'accès aux résumés

• Il est possible de configurer, par utilisateur, que seule la personne concernée puisse consulter ses propres résumés.
• Les résumés paramétrés comme « privés » restent privés, y compris vis-à-vis de l'employeur.
• En cas de départ : TelSmart n'accorde pas à l'entreprise l'accès aux résumés paramétrés comme privés.
• Les paramètres de confidentialité historiques sont toujours respectés : ce qui était privé reste privé.
• Ce principe s'applique de manière cohérente, quel que soit le demandeur (RH, direction, etc.).
• Liste de contacts privés (disponible à partir de juin 2026) : les collaborateurs peuvent ajouter des contacts privés à une liste personnelle. Les appels avec ces contacts sont automatiquement exclus de l'enregistrement. C'est particulièrement pertinent pour les entreprises dont les collaborateurs utilisent un GSM d'entreprise pour des appels tant professionnels que personnels.

Ceci est conforme à la CCT n° 81 (vie privée des travailleurs) et au principe de minimisation des données du RGPD.

6. Conformité au RGPD

6.1 Conservation des données : aperçu

6.2 Procédure en cas de violation de données et d'incident

• Notification à l'Autorité de protection des données (APD) dans les 72 heures en cas de risque probable pour les personnes concernées (art. 33 RGPD)
• Le DPO coordonne la réponse à l'incident et constitue une équipe de réponse aux incidents
• Les personnes concernées sont informées lorsqu'il existe un risque élevé (art. 34 RGPD)
• Toutes les violations de données sont consignées dans le registre des incidents (Freshdesk)
• Point de contact pour les violations de données : sec.incidents@telsmart.eu

6.3 Droits des personnes concernées

• Droit d'accès : TelSmart peut montrer les données stockées sur demande
• Droit à l'effacement : demandes traitées en concertation avec le DPO dans les 30 jours
• L'effacement n'est pas possible pour les données qui doivent être conservées en vertu de la loi

7. Gouvernance du cloud

7.1 Processus d'approbation des nouveaux services cloud

Tout nouveau service cloud doit être approuvé au préalable via une demande IT. L'évaluation porte sur :

• La finalité et la justification métier
• La localisation géographique du stockage des données
• La présence de données PII
• Les possibilités de SSO et de MFA
• La Privacy Policy et l'End User Agreement
• Les certifications pertinentes (ISO 27001, SOC-2, …)
• La stratégie de sortie : portabilité des données, restauration, effacement des données après la fin du contrat

Après examen par le CISO, l'approbation est donnée par l'équipe de direction. En cas d'approbation, un responsable du service cloud (cloud service owner) est désigné.

7.2 Gestion des mots de passe

Les identifiants d'accès à tous les services cloud sont gérés via le gestionnaire de mots de passe utilisé dans toute l'entreprise : 1Password.

8. Clause de non-responsabilité

Le présent document a été établi sur la base de la documentation interne du SMSI ISO 27001 de TelSmart et se veut un aperçu informatif destiné aux partenaires et intégrateurs.

Le volet juridique relatif aux enregistrements d'appels (section 5.3) se fonde sur la législation et la réglementation belges accessibles au public (RGPD, LCE art. 124) et sur des lignes directrices sectorielles. Pour toute question juridique spécifique, TelSmart recommande de consulter un juriste qualifié.

Le présent document est confidentiel et exclusivement destiné à son destinataire. Toute diffusion ultérieure nécessite l'autorisation écrite du CISO de TelSmart.

Let's make it frictionless.