Pourquoi le lieu d'exploitation compte
Une recherche de données personnelles lit des contenus. Une réponse à une demande d'accès rassemble toutes les données d'une personne. Un pilotage des suppressions connaît tous les systèmes et leurs dépendances. Si un tel logiciel fonctionne chez le fournisseur, celui-ci devient sous-traitant (art. 9 LPD, art. 28 RGPD) – souvent avec un stockage des données à l'étranger (art. 16 LPD).
Dans les secteurs réglementés s'ajoutent les prescriptions de l'autorité de surveillance, par exemple les exigences de la FINMA en matière d'externalisation pour les banques et les assurances. Les organismes publics sont en outre soumis aux lois cantonales sur la protection des données.
Software-as-a-Service ou exploitation en propre – une comparaison
| Critère | Software-as-a-Service chez le fournisseur | Exploitation en propre |
|---|---|---|
| Emplacement des données | chez le fournisseur | dans votre environnement |
| Sous-traitance | contrat et contrôle du fournisseur nécessaires | sans objet pour l'éditeur ; pour le cloud ou le partenaire d'exploitation, leur contrat s'applique |
| Communication à l'étranger | selon le fournisseur | aucune supplémentaire par l'éditeur ; dépend de votre lieu d'exploitation |
| Connexion des systèmes internes | via Internet | dans votre propre réseau |
| Exploitation et mises à jour | par le fournisseur | par votre informatique ou votre exploitant, avec le soutien de l'éditeur |
Ce qui compte pour l'exploitation en propre
- Exploitation dans des conteneurs avec des outils standard répandus plutôt qu'une infrastructure spécialisée.
- Connexion via votre propre fournisseur d'identité, avec authentification unique (single sign-on).
- Rôles, validations et audit, pour que l'on sache toujours qui a fait quoi.
- Aucune connexion vers l'éditeur sans votre autorisation – pas de télémétrie, pas de serveur de licences.
- Capacité multi-mandant, lorsque plusieurs sociétés ou clients doivent rester séparés.
- Des mises à jour planifiables qui ne perturbent pas les activités quotidiennes.
Pour qui c'est particulièrement important
Pour les assurances et les caisses de pension dotées de systèmes centraux construits au fil du temps, pour les banques sous surveillance, pour les hôpitaux et leurs données de patients, pour l'administration publique et pour les prestataires informatiques qui travaillent pour le compte de plusieurs clients. Leur point commun : les données personnelles ne doivent pas quitter l'entreprise.