Une authentification conforme au RGPD pour votre produit
Une authentification conforme au RGPD, c'est une connexion qui traite les données personnelles de vos utilisateurs comme le règlement le demande : elle les garde là où vous l'avez annoncé, et elle vous permet de les remettre ou de les effacer quand un utilisateur le demande. Skycloak Platform est prévu pour vous donner ces moyens sans que votre équipe ait à les construire.
Ce que le RGPD demande à un système de connexion
Un système de connexion détient certaines des données les plus personnelles de votre produit : noms, adresses électroniques, empreintes de mots de passe et l'historique des connexions de chaque personne. Au sens du RGPD, vous êtes le responsable de traitement de ces données, et l'entreprise qui exploite votre connexion est votre sous-traitant : son contrat, ses implantations et les autres entreprises sur lesquelles elle s'appuie font partie de votre propre conformité.
Aucun produit ne vous rend conforme à lui seul, car la conformité dépend de l'usage que tout votre produit fait des données personnelles. Un fournisseur de connexion peut en revanche vous donner les moyens que le règlement attend : le choix du lieu de stockage, un moyen de remettre ses données à un utilisateur, un moyen de les effacer et la liste claire de tous ceux qui y ont accès.
Où vivent les données de vos utilisateurs
La plateforme prévoit que chaque tenant tourne aux États-Unis ou dans l'Union européenne, et que sa région soit fixée à sa création. Un tenant de la région UE est prévu pour garder ses utilisateurs, leurs identifiants et leur historique de connexion dans l'UE, dans une base de données hébergée en Allemagne.
Dans cette conception, chaque enregistrement porte sa région, et aucune donnée n'est croisée d'une région à l'autre. La console qui vous servira à gérer vos tenants ne contient aucune donnée d'utilisateur final, et la connexion continue de fonctionner dans une région même quand la console est injoignable.
Export, effacement et documents contractuels
L'API de gestion prévue sur la plateforme couvre vos utilisateurs : une demande d'accès ou d'effacement des données d'une personne peut être traitée depuis vos propres outils de support plutôt qu'à la main. L'export d'un tenant est prévu pour s'exécuter dans le périmètre de ce seul tenant et ne peut jamais lire les données d'un autre client.
Skycloak signe un accord de traitement des données, avec les clauses contractuelles types pour les transferts internationaux, et sa page des sous-traitants liste chaque entreprise qui traite des données pour son compte. Nous ne présentons une fonctionnalité de la plateforme comme disponible qu'une fois livrée : une démo est le bon moment pour voir ce que vous pouvez utiliser aujourd'hui.
Questions fréquentes
Puis-je déplacer un tenant de la région US vers la région UE plus tard ?
Non. Sur la plateforme prévue, la région d'un tenant est fixée à sa création : choisissez la région UE dès le départ pour les utilisateurs dont les données doivent rester dans l'UE. Un espace de travail peut contenir plusieurs tenants, vous pouvez donc en exploiter un par région si vos utilisateurs sont répartis entre les deux.
Un tenant dans l'UE rend-il mon produit conforme au RGPD ?
Il couvre le lieu de stockage et de traitement des données de connexion, ce qui n'est qu'une partie de la conformité. Votre base légale, votre politique de confidentialité et le reste du traitement des données dans votre produit restent sous votre responsabilité de responsable de traitement.
Découvrez Skycloak Platform par vous-même
Réservez une démo : nous vous présentons la plateforme en partant de vos propres parcours de connexion.