1. Champ d'application et définitions
Un Incident de sécurité est un événement qui compromet effectivement, ou présente un risque important et crédible pour, la confidentialité, l'intégrité ou la disponibilité des systèmes ou des données de DIRI AI. Une Violation de données à caractère personnel est une destruction, une perte ou une altération accidentelle ou illicite de données à caractère personnel, ou une divulgation ou un accès non autorisé à celles-ci, une fois confirmée.
Les analyses bloquées, les tentatives de connexion infructueuses et les alertes de disponibilité sans conséquence ne sont pas automatiquement des violations de données à caractère personnel, mais peuvent néanmoins faire l'objet d'une enquête.
2. Signalement
Les clients et les chercheurs doivent signaler les incidents présumés à security@diriai.com. Les demandes relatives à la vie privée ou une exposition présumée de données à caractère personnel peuvent également être envoyées à privacy@diriai.com. Le message initial doit indiquer l'heure, le compte ou le parcours concerné, le comportement observé et les éléments permettant une reproduction sûre, mais ne doit pas contenir de mots de passe, de données complètes de carte ni de contenu exposé inutile.
3. Gravité et réponse
DIRI AI classe un événement en fonction de la sensibilité des données, du nombre et de la vulnérabilité des personnes concernées, de l'impact sur les frontières entre locataires, des privilèges, de l'exploitation active, de la disponibilité et des obligations légales et contractuelles.
| Gravité | Exemple | Priorité de réponse |
|---|---|---|
| Critique | divulgation avérée entre locataires, prise de contrôle privilégiée, compromission destructrice active | remontée immédiate au responsable, confinement et évaluation juridique et vie privée |
| Élevée | accès non autorisé probable à des Données Personnelles du Client ou défaillance grave de l'intégrité du service | confinement urgent et évaluation le jour même |
| Moyenne | impact limité avéré sans données sensibles ou vulnérabilité maîtrisée | enquête et correction priorisées |
| Faible | tentative bloquée, faiblesse mineure ou absence de compromission avérée | file de sécurité ordinaire et revue des tendances |
Il s'agit de priorités internes, non de délais de résolution garantis.
4. Cycle de réponse
Le responsable de l'incident, de manière proportionnée :
- consignera et validera le signalement ;
- conservera les horodatages, les journaux et les autres preuves avec un accès restreint ;
- confinera les identifiants, parcours, prestataires ou flux de données concernés ;
- déterminera les données, clients, personnes, pays et la période concernés ;
- évaluera les obligations de notification avec les responsables de la vie privée et du juridique ;
- éliminera la cause, rétablira le service en toute sécurité et surveillera toute récidive ;
- fournira les mises à jour requises ; et
- documentera la cause première, les enseignements et les actions correctives.
5. Notification du client lorsque DIRI AI est sous-traitant
Pour les Données Personnelles du Client, DIRI AI notifiera le client organisationnel concerné dans les meilleurs délais après avoir pris connaissance d'une Violation de données à caractère personnel. L'objectif opérationnel est une première notification dans les 48 heures lorsque cela est raisonnablement possible. Les informations pourront être fournies par phases et comprendront la nature, les conséquences probables, les données et personnes concernées, les mesures d'atténuation et le point de contact au fur et à mesure qu'elles seront disponibles.
Le client reste responsable de ses décisions à l'égard de l'autorité de contrôle et des personnes concernées, sauf si DIRI AI est soumise à une obligation légale distincte. L'objectif de 48 heures ne retarde pas une notification antérieure et constitue un objectif opérationnel, non un délai contractuel garanti.
6. Notifications lorsque DIRI AI est responsable du traitement
Lorsque DIRI AI est responsable du traitement, elle documentera chaque Violation de données à caractère personnel et évaluera le risque pour les personnes. Si le RGPD exige une notification à l'autorité de contrôle, DIRI AI notifiera l'autorité compétente dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, en expliquant tout retard. Si la violation est susceptible d'engendrer un risque élevé, les personnes concernées seront informées dans les meilleurs délais, sauf si une exception légale s'applique.
D'autres territoires pris en charge peuvent exiger un contenu différent ou des délais plus courts ; le délai applicable le plus proche prévaut.
7. Communications sur l'état du service
Les incidents importants de disponibilité peuvent être communiqués par un avis dans l'application, un canal d'état vérifié ou par e-mail. Un avis public ne doit pas exposer de détails exploitables, de données d'un autre client ni une cause non vérifiée. Les obligations de notification en matière de sécurité et de vie privée ne dépendent pas de l'existence d'une page d'état publique.
8. Mises à jour et examen après incident
Pour un incident important notifié, DIRI AI devrait fournir des mises à jour importantes jusqu'à la maîtrise de l'incident et une synthèse de clôture lorsque cela est raisonnablement sûr. Un rapport d'entreprise après incident peut décrire la chronologie, l'impact, la cause première et les actions correctives, sous réserve de la sécurité, des privilèges, de la confidentialité et de la loi. Aucune notification ne vaut reconnaissance de responsabilité.
9. Preuves et conservation
Les preuves de l'incident sont à accès restreint et conservées uniquement pour la réponse, les obligations légales, les réclamations et l'amélioration des contrôles. La durée par défaut est la durée de vie du dossier plus cinq ans, ajustée selon la gravité, les délais de prescription, les instructions des autorités et les conservations imposées par la loi. Les données à caractère personnel sans rapport doivent être supprimées ou réduites au minimum.
10. Contact et version
Contact sécurité : security@diriai.com. Contact vie privée : privacy@diriai.com. Version : 1.2.0. Date : 30 août 2026.