FAQ – Conformité, Cookies & Données

L’AI Act vise à créer un cadre juridique harmonisé dans l’UE pour garantir que les systèmes d’intelligence artificielle soient sûrs, transparents, éthiques et respectueux des droits fondamentaux. Plus précisément, il a pour objectifs de :

• Protéger les citoyens contre les usages de l’IA jugés dangereux ou intrusifs (ex : surveillance de masse, manipulation comportementale)
• Encadrer les systèmes à haut risque avec des obligations strictes de transparence, de contrôle humain, de qualité des données et de documentation
• Favoriser l’innovation de confiance en apportant un cadre clair pour les développeurs et entreprises de l’IA
• Renforcer la confiance dans l’IA auprès du public et des utilisateurs professionnels

L’approche des systèmes d'IA est basée sur une évaluation des risques. Le cadre réglementaire définit quatre catégories de risque pour les systèmes d'intelligence artificielle (SIA), avec des niveaux de régulation variables en fonction des différents niveaux de la pyramide.

• Les risques inacceptables
• Les risques élevés
• Les risques limités/modérés
• Les risques Minimes ou nul

L'AI Act, ou Règlement sur l'intelligence artificielle, est une réglementation élaborée pour réguler et encourager le développement ainsi que la commercialisation des systèmes d'intelligence artificielle au sein de l'Union européenne. Proposé par la Commission européenne en avril 2021, l'AI Act est entré en vigueur le 12 juillet 2024, après trois années de négociations.

Le RGPD interdit la collecte et l'utilisation de données qui révèlent l'origine raciale ou ethnique, les opinions politiques, les croyances religieuses ou philosophiques, l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques permettant d'identifier une personne de manière unique, des informations sur la santé, ou des données relatives à la vie sexuelle ou à l'orientation sexuelle d'un individu.

Cependant, il existe des exceptions à cette interdiction, notamment :

• Si la personne concernée a donné son consentement explicite, qui doit être libre, spécifique, informé, et de préférence écrit.
• Si les informations ont été manifestement rendues publiques par la personne concernée.
• Si ces données sont nécessaires à la protection de la vie humaine.
• Si leur utilisation est justifiée par un intérêt public et autorisée par la CNIL.
• Si elles concernent les membres ou adhérents d'une association ou d'une organisation politique, religieuse, philosophique ou syndicale.

• Informer les personnes de manière claire et accessible sur l’utilisation de leurs données (finalité, durée de conservation, droits, etc.).
• Justifier d’une base légale pour chaque traitement (consentement, contrat, intérêt légitime etc.).
• Respecter les droits des personnes concernées (accès, rectification, effacement, opposition, etc.).
• Assurer la sécurité des données personnelles: des mesures techniques et organisationnelles appropriées doivent être mises en place pour protéger les données contre les risques de perte, d’accès non autorisé ou de divulgation.
• Documenter l’ensemble de leurs traitements dans un registre, notamment à partir de 250 employés ou en cas de traitements sensibles ou non occasionnels.
• Notifier les violations de données à la CNIL (ou autre autorité compétente) sous 72h, et parfois, les personnes concernées.
• Encadrer les relations avec les sous-traitants via des contrats formalisés, afin de garantir leur conformité aux exigences du RGPD et de clarifier les responsabilités de chacun.

Les trois principaux principes du RGPD sont :

1. Transparence, loyauté et légitimité : Les données personnelles doivent être collectées et traitées de manière transparente, légale et équitable. Cela implique d'informer les personnes concernées de la manière dont leurs données seront utilisées et de s'assurer qu'elles donnent un consentement éclairé.
2. Minimisation des données : Seules les données nécessaires à l'objectif spécifique doivent être collectées. Ce principe encourage les entreprises à limiter la quantité de données personnelles qu'elles traitent, réduisant ainsi les risques pour la vie privée des individus.
3. Sécurité et confidentialité : Les données personnelles doivent être protégées contre tout accès, traitement ou divulgation non autorisé. Les entreprises doivent mettre en place des mesures techniques et organisationnelles pour garantir la sécurité des données personnelles qu'elles traitent.

Les cookies peuvent être classés en plusieurs catégories :

1. cookies strictement nécessaires
2. cookies de performance
3. cookies de fonctionnalité

La directive ePrivacy 2002/58/CE, modifiée en 2009, souvent appelée "directive vie privée et communications électroniques", est une initiative de la Commission Européenne qui vise à garantir la confidentialité des communications et à protéger les utilisateurs contre certaines pratiques intrusives dans l’univers numérique. Elle est transposée différemment dans chaque État membre (en France, via la loi Informatique & Libertés, notamment pour les cookies et le marketing direct).

Une bannière cookies est indispensable dès que vous stockez ou accédez à des informations sur le terminal d’un utilisateur, quelle que soit la technologie utilisée. Dès lors que des traceurs non essentiels sont utilisés — comme ceux servant à la publicité ciblée, à la mesure d’audience avec données identifiables ou à la personnalisation — vous devez informer l’utilisateur et recueillir son consentement préalable.

Oui, l'intégration de Dastra avec une autre application est de manière général toujours faisable, à condition toutefois que l'application cible dispose d'API (ce qui est le cas de beaucoup de logiciels standards du marché).

En théorie il est possible de le faire soi-même en utilisant les API de Dastra. A défaut, la construction de connecteurs d'API est le métier principal des intégrateurs : il suffit de disposer des moyens humains pour créer, maintenir et prendre des décisions métier sur le comportement des synchronisations. 

Chez Dastra, nous avons noué des partenariats avec des intégrateurs reconnus du marché qui connaissent bien Dastra et qui sont tout à fait en mesure de répondre à toutes les demandes de connexion.

Si vous avez une question sur l'intégration de Dastra avec une application en particulier, n'hésitez pas à nous contacter.

Dastra intègre de nombreuses ressources sur le RGPD et la conformité RGPD accessibles gratuitement. Qu'ils s'agisse de fiches pratiques sur l'application du RGPD, des guides de la CNIL ou autres autorités, des lignes directrices du CEPD ou encore d'une veille experte, vous trouverez l'ensemble des ressources nécessaires pour assurer votre conformité au RGPD.

Nous proposons plusieurs moyens pour vous aider dans la prise en main du logiciel :

• un outil de ticketing intégré dans l'application (vous n'avez pas besoin de créer un compte sur un plateforme externe)
• un forum communautaire permettant d'échanger avec les autres utilisateurs de Dastra
• un tchat intégré
• un numéro de téléphone dédié au support client disponible du lundi au vendredi de 9h à 18h
• un support par email auprès de votre Privacy Success Manager

Dans tous les cas, lors de la première utilisation de l'outil, nous vous accompagnons dans une réunion de lancement (onboarding) afin de vous rendre autonome sur l'application et vous accompagner dans votre conformité au RGPD !

Dastra inclut nativement 9 langues : le français, l'anglais, l'allemand, l'espagnol, le néerlandais,l'italien, le portugais, le polonais et le grec. D'autres langues peuvent être implémentées dans les modules d'exercice des droits et de cookies.

Oui !

Nous développons Dastra avec un objectif premier : la pédagogie !

Dastra est un logiciel destiné aux professionnels de la protection des données (les DPO) mais également aux métiers (comptable, RH, logistique, IT etc.) ainsi, pour que chacun puisse collaborer et comprendre ce qui est attendu de lui, de nombreux éléments d'information sont accessibles à tout moment dans l'application (par exemple, des infobulles).

Une documentation tutorielle est également disponible ici.

Par ailleurs, nous vous accompagnons dans la prise en main de l'application dans une phase d'onboarding.

La solution fonctionne à partir d’un navigateur connecté à internet. Une connexion internet est requise ainsi qu’un navigateur à jour et à l’état de l’art en termes de sécurité. Nous recommandons d’utiliser les navigateurs standard du marché (Mozilla Firefox, Microsoft Edge, Google Chrome, Safari, Opera…). Nous ne supportons pas Microsoft Internet Explorer.

Oui en partie !

Nous avons réalisé un audit de conformité au référentiel général d'accessibilité de l'administration (RGAA).

Notre widget de gestion des choix relatifs aux cookies est conforme en totalité au RGAA.

Nous avons effectué les modifications nécessaires au niveau du code source pour respecter les standards d'accessibilité.

Ainsi, l'utilisation du widget et sa configuration appropriée permettra de maintenir le respect du référentiel pour le site qui accueille le widget.

Plus d'infos sur ce référentiel : https://www.numerique.gouv.fr/publications/rgaa-accessibilite/

Oui !
Avec DASTRA, vous pouvez connecter votre solution d'hébergement de données pour assurer vous même l'hébergement des documents stcockés dans l'application. Cela concerne tous les documents enregistrés dans la gestion documentaire et les documents enregistrés au niveau des demandes d'exercice des droits.

Vous avez ainsi la maîtrise de la sécurité de cet hébergemement. Les fichiers restent sous votre contrôle.

Aujourd'hui, nous pouvons connecter Amazon S3 et Azure Blob Storage. D'autres services peuvent être développés à la demande.

Oui, nous proposons des abonnements dédiés aux grandes structures (grandes et moyennes entreprises) composées de plusieurs entités juridiques.

Dastra est particulièrement bien adapté aux groupes de sociétés, qu'ils soient centralisés avec un seul endroit pour la gestion des entités et les référentiels partagés, ou décentralisés.

N'hésitez pas à nous contacter si vous souhaitez obtenir plus d'informations sur la façon dont Dastra peut aider votre spécifique organisation.

Vous avez accès à l'ensemble des fonctionnalités de Dastra dans l'offre d'essai, à l'exception des exports des audits et traitements.

Si vous voulez avoir une vue des exports, contactez nous !

Quand votre abonnement expire et sans renouvellement de contrat, vous ne pourrez plus accéder ou modifier les informations contenues dans votre espace. Les informations sont supprimées dans un délai raisonnable (maximum 2 mois).

A l'issue de ce délai et sans souscription d'abonnement, vous ne pourrez plus accéder ou modifier les informations contenues dans votre espace. Celles ci seront conservées pendant une pendant une période de six (6) mois en base active puis six (6) mois en archive intermédiaire. Cette conservation permet au compte propriétaire de l’organisation de retrouver les données associées au compte lors de la souscription d’un abonnement pendant cette période de conservation.