Localisation des données et confiance

Les données clients sont stockées dans l'UE : la base de données en Irlande (AWS eu-west-1) et l'API à Francfort (Allemagne) et à Paris. NetSenX analyse des métadonnées réseau et ne déchiffre jamais le trafic chiffré ; un accord de traitement des données (article 28 du RGPD) et la liste des sous-traitants sont publiés, et le DPO est joignable à dpo@netsenx.com. Les sous-traitants de paiement et d'e-mail opèrent sous clauses contractuelles types de l'UE, et certaines fonctions d'AI Analyst font appel à un fournisseur hors UE uniquement avec votre consentement explicite. La conformité au RGPD s'apprécie pour l'ensemble de votre traitement ; nous ne revendiquons donc aucun certificat.

La télémétrie et les alertes des clients sont stockées exclusivement dans l'UE — stockage d'objets et Postgres en région UE, chiffrés au repos avec AES-256-GCM. Stripe (paiements) traite des données aux États-Unis, et plusieurs de nos prestataires sont des sociétés américaines ; dans les deux cas, les clauses contractuelles types de l'UE s'appliquent. Certaines fonctionnalités d'AI Analyst peuvent utiliser un fournisseur hors UE uniquement avec votre consentement explicite. Une liste complète des sous-traitants est publiée avec notre DPA.

Sur les offres Business et Enterprise, vous pouvez enregistrer une clé AWS KMS ou HashiCorp Vault auprès de votre tenant via notre API BYOK.

Dans l'UE : la base de données en Irlande (AWS eu-west-1), l'API à Francfort (Allemagne) et à Paris (France). L'accord de traitement des données liste chaque sous-traitant avec sa localisation et sa garantie de transfert.

Cela peut arriver. Plusieurs sous-traitants sont des sociétés immatriculées aux États-Unis, et Cloudflare traite les requêtes sur le point de présence le plus proche du visiteur : des données personnelles peuvent donc être consultées depuis des pays hors de l'EEE ou y transiter, sur la base des clauses contractuelles types ou du cadre de protection des données UE–États-Unis. Certaines fonctions d'AI Analyst font appel à un fournisseur hors de l'UE, et uniquement avec votre consentement explicite.

Non. La résidence des données est un facteur parmi d'autres ; la conformité au RGPD s'apprécie pour l'ensemble de votre traitement, y compris la base légale, la minimisation, la durée de conservation et le contrat avec le sous-traitant. NetSenX publie son accord de traitement des données au titre de l'article 28 et ne revendique aucun certificat RGPD.

Oui, avec l'offre Enterprise. Les autres offres utilisent le tableau de bord hébergé dans l'UE, avec un agent sur un port SPAN ou TAP par segment réseau, ou sur les hôtes de votre choix.

Stocker des données dans une région de l'UE les garde physiquement dans l'UE, mais un fournisseur constitué aux États-Unis peut être soumis à un droit américain qui atteint les données qu'il contrôle. Selon le chapitre V du RGPD, les transferts hors de l'UE exigent une base juridique, comme le cadre de protection des données UE-États-Unis ou des clauses contractuelles types. Demandez à chaque fournisseur où les données sont stockées, qui peut y accéder et quels sous-traitants interviennent. NetSenX publie la liste de ses sous-traitants dans son accord de traitement des données.

Cela dépend du produit : demandez à chaque éditeur ce qui quitte exactement votre réseau, sous quelle forme et où c’est stocké. Certains outils copient des paquets complets pour une analyse ultérieure, d’autres n’envoient qu’un résumé de chaque connexion. NetSenX analyse des métadonnées et quelques champs de protocole, comme les horaires, les volumes, les destinations, les réponses DNS et la négociation TLS, et ne déchiffre jamais le trafic chiffré. Il n’envoie ni le contenu des fichiers, ni le texte des e-mails, ni ce qu’une personne a saisi sur un site web. Les données clients sont stockées dans l’UE, avec la base de données en Irlande et l’API à Francfort et à Paris, et une option sur site est disponible en Enterprise pour les organisations qui ne veulent rien laisser sortir de leurs locaux. Les métadonnées peuvent tout de même identifier un appareil et, à travers lui, parfois une personne : ce sont des données personnelles au sens du RGPD, et l’accord de traitement des données précise comment elles sont traitées.

Vous devriez le pouvoir, mais vérifiez-le avant d’acheter, car c’est le contrat qui décide de la facilité. Demandez quelles données vous pouvez exporter (alertes, listes d’appareils, rapports, configuration), dans quel format, si l’export est facturé, combien de temps vous gardez l’accès après la résiliation, et quand l’éditeur supprime les données et le confirme. Selon le RGPD, un sous-traitant doit restituer ou supprimer les données personnelles à la fin du service, comme le prévoit l’accord de traitement des données, et c’est vous qui choisissez. Préparez la sortie dès le départ : tenez vos propres archives de ce dont vous pourriez avoir besoin plus tard, comme des preuves pour un audit ou un sinistre, plutôt que de compter sur la conservation chez l’éditeur. Avec NetSenX, les alertes peuvent être exportées par l’API à partir de l’offre Pro et envoyées vers un SIEM à partir de l’offre Business, les rapports de conformité PDF sont disponibles dès l’offre Starter, et l’accord de traitement des données est publié sur le site.

La résidence des données concerne le lieu où elles sont stockées et traitées ; la souveraineté concerne le droit et le contrôle auxquels elles sont soumises. On les confond souvent, parce que stocker des données à Francfort donne l’impression de les garder sous droit européen. Ce n’est pas forcément le cas : un fournisseur dont le siège est hors de l’UE peut être tenu, par le droit de son pays, de remettre des données qu’il contrôle, où que se trouve le serveur. La résidence se vérifie sur une carte ; la souveraineté demande d’examiner la société qui exploite le service, sa maison mère, ses sous-traitants ultérieurs et qui détient les clés de chiffrement. Posez trois questions à chaque fournisseur : où sont les données, qui peut être légalement contraint de les communiquer, et qui peut techniquement les lire. NetSenX stocke les données clients dans l’UE, avec la base de données en Irlande et l’API à Francfort et à Paris, et liste ses sous-traitants ultérieurs, dont certains de droit américain, dans l’accord de traitement des données. Pour un contrôle complet, une option sur site est disponible en Enterprise.

Oui, mais tout transfert de données personnelles doit reposer sur une base valable, et il faut savoir laquelle pour chaque outil. Dans l’arrêt Schrems II, la Cour de justice de l’UE a invalidé en 2020 le Privacy Shield et exigé des exportateurs qui s’appuient sur les clauses contractuelles types de vérifier si le droit du pays de destination ne les prive pas d’effet, en ajoutant des garanties si nécessaire. Aujourd’hui, un transfert vers les États-Unis peut reposer sur le cadre de protection des données UE–États-Unis si le destinataire y est certifié, ou sur des clauses contractuelles types accompagnées d’une analyse d’impact du transfert. Les outils de sécurité traitent souvent des adresses IP, des noms d’appareils et d’utilisateurs, qui sont des données personnelles. Pour chaque outil, déterminez où vont les données, quelle base juridique l’éditeur utilise, si la société est certifiée et comment vous le remplaceriez si cette base tombait à nouveau. NetSenX stocke les données clients dans l’UE. Son accord de traitement des données liste les sous-traitants ultérieurs et indique clairement que certains sont établis hors de l’EEE, par exemple des sociétés de droit américain, et que ces transferts reposent sur les clauses contractuelles types ou sur le cadre de protection des données.

Pas toujours : posez la question pour chaque type de données. Un éditeur peut garder votre base principale dans l’UE alors que les sauvegardes, rapports d’erreurs, tickets de support, statistiques, envois d’e-mails ou les personnes qui répondent à vos tickets se trouvent ailleurs. Chacun peut contenir des données personnelles ou des détails sur votre réseau, comme des adresses IP, des noms d’appareils ou des captures d’écran. Demandez à l’éditeur la liste des catégories de données avec, pour chacune, le lieu et le sous-traitant ultérieur, et vérifiez que l’accord de traitement des données les couvre toutes, pas seulement les « données client » au sens étroit. Demandez aussi où se trouvent les personnes disposant d’un accès administrateur, car un accès à distance depuis l’extérieur de l’UE peut aussi constituer un transfert. Chez NetSenX, les données clients sont stockées dans l’UE, avec la base de données en Irlande et l’API à Francfort et à Paris, et les sous-traitants ultérieurs sont listés dans l’accord de traitement des données. C’est cette liste qui indique où tourne chaque service ; si un point n’est pas clair, interrogez-nous avant de signer.

Demandez qui ils sont, ce que chacun fait de vos données, où il le fait et comment vous serez informé des changements. Un sous-traitant ultérieur est une société à laquelle l’éditeur fait appel pour traiter vos données personnelles, comme un hébergeur, un service de base de données ou un service d’envoi d’e-mails. Selon le RGPD, un sous-traitant ne peut y recourir qu’avec l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement, et doit lui imposer les mêmes obligations de protection des données. Questions pratiques : la liste complète est-elle publiée, avec le lieu et la finalité de chaque entrée ? Avec quel préavis êtes-vous informé d’un nouveau sous-traitant, et pouvez-vous vous y opposer ? Lesquels voient des données lisibles, lesquels ne détiennent que des données chiffrées ? Certains sont-ils hors de l’UE, et sur quelle base de transfert ? Qui est responsable si un sous-traitant ultérieur fait défaut ? NetSenX liste ses sous-traitants ultérieurs dans son accord de traitement des données publié sur le site : vous pouvez les vérifier avant de vous inscrire.

Oui, si le prestataire traite des données personnelles pour votre compte, et la surveillance réseau le fait presque toujours. Adresses IP, noms d’appareils, noms d’utilisateurs dans les noms d’hôtes et horaires de connexion peuvent identifier une personne directement ou indirectement : ce sont des données personnelles au sens du RGPD. Lorsqu’un éditeur les traite pour vous, vous êtes responsable du traitement et l’éditeur est sous-traitant, et le RGPD exige un contrat ou un autre acte juridique fixant l’objet, la durée, la nature et la finalité du traitement, les types de données, vos instructions, la sécurité, les sous-traitants ultérieurs, l’assistance en cas de violation et ce qui se passe à la fin. Lisez-le comme tout autre contrat : vérifiez les délais de notification des violations, les droits d’audit, le préavis pour les sous-traitants ultérieurs et la suppression en fin de contrat. L’accord de traitement des données de NetSenX est publié sur son site et fait partie des conditions d’utilisation : il s’applique dès que vous utilisez le service ; les clients Enterprise qui ont besoin d’un exemplaire signé peuvent le demander.

Oui, il est publié sur le site, vous pouvez donc le lire avant de vous inscrire. Il fait partie des conditions d’utilisation de NetSenX entre TriStiX S.L., sous-traitant, et votre organisation, responsable du traitement, et liste les sous-traitants ultérieurs avec leur rôle et leur localisation. Parmi ses engagements : NetSenX vous notifie une violation de données personnelles dans les 24 heures après en avoir pris connaissance ; les modifications de la liste des sous-traitants ultérieurs sont annoncées au moins 14 jours à l’avance, ce qui vous permet de vous y opposer ; vous disposez de droits d’audit avec préavis ; et à la clôture de votre compte, les données personnelles sont supprimées immédiatement et les copies de sauvegarde expirent sous 14 jours, après que vous avez pu les exporter. Il indique aussi que les données personnelles sont stockées dans l’EEE et que certains sous-traitants ultérieurs sont établis hors de l’EEE, avec les garanties de transfert utilisées. L’accord relève du droit espagnol et l’autorité de contrôle désignée est l’AEPD espagnole. Faites-le comparer à vos exigences par votre DPO ; les clients Enterprise peuvent demander un exemplaire signé.

Dans l’UE, et aussi longtemps que le permet l’historique d’alertes de votre offre. NetSenX enregistre des métadonnées de connexion sur les segments surveillés : adresses IP internes et externes, ports, horaires, volumes de données, noms des serveurs contactés par les appareils et nom qu’un appareil annonce sur le réseau, qui est parfois le nom d’une personne. Ces données sont stockées avec la base de données en Irlande et l’API à Francfort et à Paris. Les alertes sont conservées pendant l’historique d’alertes de votre offre : 30 jours en Free, plus longtemps dans les offres payantes et sans limite en Enterprise. NetSenX n’enregistre ni le contenu des messages, ni les fichiers, ni ce qu’une personne a saisi, car il ne déchiffre jamais le trafic, et il rend compte de l’usage de l’IA par appareil et par programme, pas par personne. Les données d’appareils peuvent malgré tout désigner un salarié : traitez-les comme des données personnelles, indiquez dans votre information au personnel ce qui est surveillé et pourquoi, limitez qui peut ouvrir le compte dans l’entreprise et vérifiez si le droit national donne voix au chapitre aux représentants du personnel. En Enterprise, les données peuvent rester dans vos locaux.

Peut-être, et il vaut la peine d’en faire une courte même lorsqu’elle n’est pas strictement exigée. Le RGPD impose une analyse d’impact relative à la protection des données (AIPD) lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits des personnes, et il cite la surveillance systématique parmi les cas à examiner ; les autorités nationales publient aussi des listes de traitements qui en exigent toujours une. La surveillance d’un réseau d’entreprise peut entrer dans ce champ, surtout si elle couvre les appareils des salariés ou touche à leur usage personnel. Une AIPD décrit ce que vous collectez et pourquoi, vérifie la nécessité et la proportionnalité, recense les risques pour les personnes concernées et les mesures qui les réduisent, et consigne la décision. Interrogez votre DPO, consultez la liste de votre autorité et conservez le résultat. Mesures utiles pour votre analyse : NetSenX enregistre des métadonnées et non des contenus, ne déchiffre jamais le trafic, rend compte de l’usage de l’IA par appareil et par programme et non par personne, garde les données dans l’UE et vous permet de limiter qui peut ouvrir le compte. Il ne rédige pas l’AIPD à votre place.

Il peut l’être, comme tout fournisseur : jugez-le donc sur le plan de sortie plutôt que sur sa seule taille. Un petit éditeur peut être plus exposé aux aléas de financement, d’effectifs ou de rachat ; un grand peut changer ses prix, abandonner un produit ou placer les données sous une autre juridiction. Dans les deux cas, le risque se réduit de la même manière : assurez-vous de pouvoir exporter vos données dans un format exploitable à tout moment, gardez vos propres copies des preuves nécessaires aux audits, à l’assureur ou aux autorités, sachez combien de temps le service continue après résiliation et décidez à l’avance par quoi vous le remplaceriez. Pour un outil de détection, pensez aussi à ce qui se passe s’il s’arrête : les alertes cessent, mais vos systèmes continuent de fonctionner, ce qui n’a rien à voir avec la perte d’un pare-feu. NetSenX est exploité par TriStiX S.L., une petite société espagnole, et nous le disons ouvertement. Son accord de traitement des données décrit l’export et la suppression ; les alertes peuvent être exportées par l’API à partir de l’offre Pro et vers un SIEM à partir de l’offre Business, et l’offre Enterprise peut fonctionner dans vos propres locaux.

C’est une loi américaine qui permet aux autorités des États-Unis, sur mandat ou ordre similaire, d’exiger des fournisseurs de services relevant de la juridiction américaine qu’ils communiquent les données en leur possession, sous leur garde ou sous leur contrôle, même si elles sont stockées hors des États-Unis. C’est pourquoi stocker des données dans un centre de données européen ne règle pas à lui seul la question : ce qui compte, c’est de savoir si la société qui contrôle les données, ou sa maison mère, relève de la juridiction américaine. Les fournisseurs peuvent contester certains ordres, et le droit de l’UE limite les cas où une société européenne peut remettre des données à une autorité étrangère : il en résulte un conflit de lois plutôt qu’un accès automatique. Un chiffrement avec des clés que le fournisseur ne peut pas utiliser réduit ce qui pourrait être communiqué. Pour chaque fournisseur, demandez qui contrôle les données et leurs clés et quelles sociétés de la chaîne sont américaines. NetSenX est exploité par une société espagnole et stocke les données clients dans l’UE, mais son accord de traitement des données liste certains sous-traitants ultérieurs de droit américain. Si vous devez l’exclure totalement, l’option sur site de l’offre Enterprise garde les données sur vos propres systèmes.