Manuel de gouvernance et des politiques ASF · ASF-POL-18

Protection des données, informatique et cybersécurité

Fait partie du Manuel de gouvernance et des politiques ASF. Adapté du Manuel de politique institutionnelle du PHIG (édition consolidée, septembre 2026), circonscrit à la structure d’ASF et aux risques spécifiques à l’accréditation.

Les systèmes d’ASF sont protégés par un contrôle d’accès, un chiffrement et des sauvegardes, et utilisés exclusivement pour le travail d’ASF. En tant qu’association française, ASF traite des données personnelles — dossiers d’évaluation d’établissement, qualifications de Coordinateur/Moniteur, données de donateurs et partenaires — conformément au Règlement général sur la protection des données de l’UE (RGPD) et à la loi française Informatique et Libertés, sous la supervision de la CNIL (Commission Nationale de l’Informatique et des Libertés), en plus de toute loi de protection des données applicable là où un établissement ou un donateur est basé. Cette politique régit les données d’évaluation d’établissement, les dossiers de qualification Coordinateur/Moniteur, et le matériel de développement des normes à chaque étape — y compris lorsque le nom d’un établissement est retenu en attendant une décision de certification, conformément au devoir de confidentialité énoncé par ASF envers les établissements en cours d’évaluation. Responsable : Secrétariat ASF (fonction Protection des données), rendant compte au Conseil des normes internationales.

Comptes : comptes individuels uniquement ; mots de passe forts et authentification à deux facteurs sur la messagerie, le site web, la plateforme de formation, et tout système hébergeant des données d’évaluation d’établissement.
Données d’évaluation d’établissement : le dossier de preuves d’un établissement, les constats du Moniteur, et tout critère contesté sont accessibles uniquement au Coordinateur et au Moniteur assignés à cet établissement, et au Secrétariat ASF — jamais publiés ou partagés au-delà de ce que l’établissement lui-même a consenti à divulguer, jusqu’à ce qu’une décision de certification soit définitive et que la préférence de publication de l’établissement soit confirmée. Un établissement est informé clairement, avant le début de l’évaluation, de ce qui sera exactement publié comme résultat final d’accréditation (portée, dates, validité) une fois l’attribution faite, conformément au Registre public d’accréditation dans ASF-POL-22 — de sorte que rien de ce qui devient public ne soit une surprise.
Appareils : chiffrés, verrouillés par écran, et maintenus à jour ; un appareil perdu ou volé est signalé dans les 24 heures.
Sauvegardes : les documents de normes, le Registre public des normes, et les dossiers d’évaluation d’établissement actifs sont sauvegardés au moins chaque semaine vers un emplacement séparé ; la restauration est testée tous les six mois.
Examen des accès : accordé selon le besoin d’en connaître, examiné tous les six mois, et retiré le jour où le mandat d’un membre du Conseil, d’un Coordinateur ou d’un Moniteur se termine ou change d’établissement.
Sites web et plateformes : identifiants d’administrateur détenus uniquement par des personnes nommément désignées ; mises à jour de sécurité appliquées rapidement ; incidents consignés et examinés selon le même cadre d’Appels et de Conflit d’intérêts publié sur Développement des normes.
Droits de la personne concernée (RGPD) : toute personne dont ASF détient des données personnelles — un Coordinateur, un Moniteur, un contact d’établissement — peut demander l’accès, la correction, ou l’effacement, sous réserve des obligations de conservation des dossiers d’ASF en vertu de Gestion et conservation des dossiers (ASF-POL-40) ; les demandes sont traitées dans le délai statutaire d’un mois.
Usage acceptable : aucun contenu illégal, aucun logiciel non autorisé, et aucun usage personnel ou commercial des systèmes ASF sans rapport avec l’activité d’accréditation.

Examen, audit et formation

Cette politique, et les dispositions de gestion de l’information qu’elle décrit, sont examinées annuellement avec compte rendu des progrès au Conseil des normes internationales, conformément à ASF-POL-46. Les journaux d’accès et les paramètres de sécurité des systèmes d’ASF sont audités annuellement pour identifier les risques et les actions correctives requises, rapportés au Conseil aux côtés du Registre des risques (ASF-POL-17). Chaque membre du personnel du Secrétariat, Coordinateur, et Moniteur est formé — à l’intégration (ASF-POL-51) et par la remise à niveau annuelle (ASF-MON-STD-v1, Norme G10) — à la sécurité des mots de passe, au traitement des données, et à la reconnaissance d’une violation potentielle. L’information est organisée de sorte que les personnes qui en ont besoin pour une évaluation en cours (le Coordinateur et le Moniteur assignés) puissent y accéder sans délai, tout en restant restreinte à toute personne sans ce besoin.