Carte des contrôles · Règlement (UE) 2016/679

GDPR

Preuve issue du code pour les principes de traitement, la protection des données dès la conception et la sécurité du traitement.

Réserver un pilote d’audit Voir un exemple de rapport

GDPR · Règlement (UE) 2016/6793 articles dans le périmètre · selon la correspondance de v1.4.1

Code 3
Processus 0
Prévu 0

Preuve issue du code

3articles vérifiés à chaque pull request

Actif (processus)

0aucun mis en correspondance

Prévu

0peut être prouvé à partir du code ou de GitHub ; pas encore construit

Articles au niveau de l’organisation

Politiques, personnes, fournisseurs, sécurité physique et le reste, listés ci-dessous.Toevan apporte une preuve d’appui pour 1 d’entre eux.Gérés par les processus de votre organisation

Une partie du GDPR vit dans le code : où circulent les données personnelles, comment elles sont délimitées et comment elles sont protégées.

Le blueprint GDPR apporte une preuve issue du code pour les Articles 5, 25 et 32 à chaque pull request, avec une preuve d’appui pour l’effacement. La base juridique, le registre des traitements et les droits des personnes concernées restent à votre programme de protection des données.

Toevan apporte des preuves pour des contrôles ; il ne les certifie jamais et ne prétend pas qu’un référentiel est couvert. Que les preuves suffisent relève du jugement de votre auditeur.

Preuve issue du code3

Scellée à chaque pull request. Toujours partielle : le contrôle exige aussi des éléments hors du code. Les règles du blueprint GDPR vérifient une partie de chacun à chaque pull request.

Art.5Principes relatifs au traitement des données personnellesPrincipes fondamentaux
Art.25Protection des données dès la conception et par défautExigences de conception
Art.32Sécurité du traitementSécurité

En appui1

Toevan enregistre des preuves connexes, mais l’obligation relève de l’organisation : elle n’est donc jamais comptée comme couverte.

Art.17Droit à l’effacement (« droit à l’oubli »)Droits des personnes concernéesPreuve d’appui : une règle enregistre des preuves liées à cette obligation. L’obligation elle-même relève d’un processus opérationnel.

Articles au niveau de l’organisation

Les contrôles au niveau de l’organisation (politiques, personnes, fournisseurs, sécurité physique et le reste) restent dans le processus propre à votre organisation ; Toevan ne s’en charge pas.

Afficher la liste

Principes fondamentaux

Art.6Licéité du traitementde la politique de l’organisation

Art.7Conditions applicables au consentementde la politique de l’organisation

Art.8Conditions applicables au consentement des enfants pour les services de la société de l’informationde la politique de l’organisation

Art.9Traitement de catégories particulières de données personnellesde la politique de l’organisation

Art.10Traitement des données relatives aux condamnations pénales et aux infractionsde la politique de l’organisation

Art.11Traitement ne nécessitant pas l’identificationde la politique de l’organisation

Droits des personnes concernées

Art.12Transparence des informations, de la communication et des modalités d’exercice des droits de la personne concernéed’un processus opérationnel

Art.13Informations à fournir lorsque les données sont collectées auprès de la personne concernéed’un processus opérationnel

Art.14Informations à fournir lorsque les données n’ont pas été collectées auprès de la personne concernéed’un processus opérationnel

Art.15Droit d’accès de la personne concernéed’un processus opérationnel

Art.16Droit de rectificationd’un processus opérationnel

Art.18Droit à la limitation du traitementd’un processus opérationnel

Art.19Obligation de notification en cas de rectification, d’effacement ou de limitation du traitementd’un processus opérationnel

Art.20Droit à la portabilité des donnéesd’un processus opérationnel

Art.21Droit d’oppositiond’un processus opérationnel

Art.22Décision individuelle automatisée, y compris le profilaged’un processus opérationnel

Responsable du traitement et sous-traitant

Art.24Responsabilité du responsable du traitementde la politique de l’organisation

Art.26Responsables conjoints du traitementde la politique de l’organisation

Art.27Représentants des responsables ou sous-traitants non établis dans l’Unionde la politique de l’organisation

Art.28Sous-traitantdes contrats et des fournisseurs

Art.29Traitement sous l’autorité du responsable ou du sous-traitantde la politique de l’organisation

Art.30Registre des activités de traitementde la politique de l’organisation

Art.31Coopération avec l’autorité de contrôlede la politique de l’organisation

Art.34Communication d’une violation de données à la personne concernéed’une procédure réglementaire

Art.36Consultation préalablede la politique de l’organisation

Art.37Désignation du délégué à la protection des donnéesde la politique de l’organisation

Art.38Fonction du délégué à la protection des donnéesde la politique de l’organisation

Art.39Missions du délégué à la protection des donnéesde la politique de l’organisation

Réponse aux incidents

Art.33Notification d’une violation de données à l’autorité de contrôled’une procédure réglementaire

Évaluation des risques

Art.35Analyse d’impact relative à la protection des donnéesde la politique de l’organisation

Transferts internationaux

Art.44Principe général applicable aux transfertsd’une procédure réglementaire

Art.45Transferts fondés sur une décision d’adéquationd’une procédure réglementaire

Art.46Transferts moyennant des garanties appropriéesd’une procédure réglementaire

Art.47Règles d’entreprise contraignantesd’une procédure réglementaire

Art.48Transferts ou divulgations non autorisés par le droit de l’Uniond’une procédure réglementaire

Art.49Dérogations pour des situations particulièresd’une procédure réglementaire

L’utiliser dans un audit

Lisez les preuves issues du code pour la période
Chaque pull request porte des résultats de code scellés par rapport aux règles du blueprint, rattachés au commit et à la version du jeu de règles en vigueur.
Testez un échantillon
Pour chaque enregistrement échantillonné, vérifiez ses résultats, puis vérifiez-le hors ligne avec la clé publiée, avec openssl et le shell : récupérez la preuve, confirmez la clé, contrôlez l’enregistrement. Pour rejouer toute la chaîne, Toevan fournit la commande toevan sur demande ; elle n’est pas encore publique.
Les trois étapes, avec les commandes exactes

Comment chaque fait a été obtenu6 étiquettes

Recalculé: Toevan l’a calculé lui-même à partir du code ou de l’historique git.
Rapporté + scellé: GitHub l’a rapporté ; Toevan l’a capturé au moment de l’événement et signé.
Déclaré + scellé: L’organisation l’a déclaré, par exemple un changement de ce qui est vérifié ; Toevan a signé la déclaration et son historique.
Enregistrement Toevan, non scellé: Conservé dans la base de données de Toevan mais non scellé dans le registre, comme une dérogation aujourd’hui. Aucune signature ne le protège.
Consommé: Repris des enregistrements de déploiement et de release de GitHub et relié par commit ou empreinte.
Non capturé: Aucune source fiable n’était disponible. Toevan ne le déduit pas.

L’exemple de rapport de preuves de changement montre les preuves telles que votre auditeur les reçoit, chaque fait étant étiqueté.Ouvrir l’exemple de rapport

Testez la correspondance sur un vrai audit.

Venez avec un dépôt et un audit à venir. Nous configurerons le blueprint et guiderons votre auditeur dans la vérification.

Réserver un pilote d’audit Voir un exemple de rapport

Un dépôt, un référentiel
Des preuves dès la première pull request
Vérifiable sans compte Toevan