En navigant sur la plateforme Cybermalveillance.gouv.fr, certaines données sont collectées afin d’assurer le bon fonctionnement des services proposés par la plateforme ou de vous proposer des services supplémentaires.

Cette page a pour fonction de vous informer sur la nature des données collectées, les modalités de traitement et de conservation ainsi que sur vos droits.

Cette page peut évoluer en fonction des modifications mises en place sur les traitements de données effectués ainsi que du contexte légal et réglementaire.

Lorsque vous naviguez sur la plateforme Cybermalveillance.gouv.fr ou bénéficiez des différents services proposés, vous êtes périodiquement renvoyé.e sur tout ou partie de cette page à des fins d’information spécifique.

1 – Responsable du traitement et autres intervenants

Le responsable du traitement est identifié ci-dessous.

Ses coordonnées sont : GIP ACYMA, 6 rue Bouchardon, 75010 Paris, représenté par son directeur général, Monsieur Jérôme NOTIN.

Courriel :contact@cybermalveillance.gouv.fr

Les coordonnées du délégué à la protection des données sont : dpo@cybermalveillance.gouv.fr

Vos données sont traitées exclusivement pour les finalités décrites dans cette politique de gestion des données personnelles et ne sont pas hébergées en dehors de l’Union européenne.

Les données collectées sont hébergées sur un espace réservé au GIP ACYMA et administré par les équipes d’ACYMA chez l’hébergeur CLOUD TEMPLE – Le Belvédère, 1-7 Cr Valmy, 92800 Puteaux – Téléphone 01 41 91 77 77.

Les datacenters de CLOUD TEMPLE sont situés chez Interxion à La Courneuve et Telehouse à Magny-les-Hameaux.

2 – Droits de la personne dont les données sont collectées et traitées

En tant que personne dont les données personnelles sont collectées, vous avez le droit :

• de demander au responsable du traitement l’accès à vos données à caractère personnel, la rectification ou l’effacement de celles-ci, ou une limitation du traitement relatif à votre personne ;
• de vous opposer au traitement de vos données personnelles ;
• à la portabilité de vos données, c’est-à-dire le droit de récupérer les données personnelles fournies dans un format structuré, couramment utilisé, ainsi que le droit de transmettre ces données à un autre responsable de traitement de données ;
• à formuler des directives relatives à la conservation, à l’effacement et à la communication de vos données à caractère personnel après votre décès ;
• de retirer votre consentement à tout moment, lorsque le traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques a nécessité le recueil de votre consentement préalable (traitement fondé sur l’article 6, paragraphe 1, point a), ou sur l’article 9, paragraphe 2, point a) du RGPD).

L’ensemble de ces droits peuvent être exercés auprès du délégué à la protection des données personnelles du GIP ACYMA à l’adresse suivante : 6 rue Bouchardon, 75010 ou par email : dpo@cybermalveillance.gouv.fr

Le GIP ACYMA pourra, avant tout traitement de la demande, vérifier l’identité du demandeur et /ou demander des précisions complémentaires afin d’être en mesure d’apporter la réponse la plus adaptée. Le GIP ACYMA s’engage à donner suite aux demandes portant sur l’exercice des droits d’une personne dont les données sont collectées dans un délai raisonnable et en tout état de cause dans les délais fixés par le RGPD en fonction de la nature de la demande.

Le cas échéant, si le traitement de votre demande ne vous donne pas satisfaction, vous pouvez former une réclamation auprès de la Commission nationale de l’informatique et des libertés, via le formulaire en ligne dédié : https://www.cnil.fr/fr/plaintes

3 – Quelles données sont traitées, et pour quels objectifs ?

A – Données relatives aux Cookies

Lorsque vous naviguez sur la plateforme cybermalveillance.gouv.fr, des cookies peuvent être déposés sur votre terminal (téléphone, tablette, ordinateur) d’améliorer votre expérience avec nous. Nous vous renvoyons à notre politique dédiée à l’utilisation des cookies, accessible ici.

B – Données relatives à la création d’un compte utilisateur

Données collectées, finalités du traitement et destinataires

Lorsque vous naviguez sur la plateforme Cybermalveillance.gouv.fr, vous avez la possibilité de créer un compte utilisateur qui vous permet de gérer vos alertes, abonnements à des contenus de sensibilisation et assistance si vous êtes victime.

Pour permettre cette création de compte, Cybermalveillance.gouv.fr vous demande de renseigner un identifiant (votre adresse email ou votre numéro de téléphone).

Vous recevrez alors un email ou un SMS vous demandant de confirmer la création de votre compte. En confirmant la création de votre compte, vous acceptez que nous conservions votre adresse de messagerie dans notre base de données. Si vous ne confirmez pas la création de compte, votre email sera supprimé de notre base dans un délai de 3 mois.

Vous pouvez également demander immédiatement la suppression de votre adresse de messagerie si vous ne souhaitez plus créer de compte utilisateur, cela entraînera également la suppression des données personnelles recueillies (identifiant, adresse email, numéro de téléphone mobile).

Dans votre profil utilisateur, vous avez la possibilité de renseigner des informations de contact de manière facultative : nom et prénom, ville ou code postal, numéro de téléphone, année de naissance. Afin de vous permettre de personnaliser votre espace, profiter du suivi de vos demandes d’assistance et/ou de sécurisation, modifier vos options d’abonnement et d’autres services.

es données personnelles collectées dans le cadre de la création d’un compte sur la plateforme Cybermalveillance.gouv.fr ne sont en aucun cas traitées pour d’autres finalités que celle de vous permettre d’accéder aux services proposés par la plateforme : parcours d’assistance, parcours de sécurisation, parcours de sensibilisation, abonnement aux alertes et contenus de sensibilisation.

Sont destinataires de ces données les agents des services du GIP ACYMA habilités et en ayant besoin dans le cadre de leurs missions. Le cas échéant certains sous-traitants peuvent être amenés à être destinataires des données. Dans ce cas, le GIP ACYMA s’assure d’avoir conclu préalablement un contrat par lequel ils reconnaissent s’engager et garantir leur capacité à répondre aux exigences de sécurité et de confidentialité, et à se conformer à l’ensemble des obligations légales et réglementaires en matière de protection des données personnelles.

Durée de conservation

Les données personnelles associées à votre compte seront conservées pendant une durée maximale de 3 ans après la dernière connexion sur votre compte. Vous recevrez alors un e-mail vous informant de la suppression de votre compte.

Cadre légal

Le cadre légal applicable à ce traitement de données personnelles est le Règlement européen pour la protection des données (RGPD), Article 6e:

« le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ».

Mesures de sécurité

Les mesures de sécurité sont mises en œuvre conformément à la politique de sécurité des systèmes d’information issue de la PSSI de l’Etat et du référentiel général de sécurité (RGS) applicable à l’ensemble de téléservices des administrations.

Quels sont vos droits sur vos données ?

Voir point 2 ci-dessus « Droits de la personne dont les données sont collectées et traitées »

C – Données relatives à l’abonnement à des contenus d’alerte et de sensibilisation

Données collectées, finalités du traitement et destinataires

Lors de votre navigation sur la plateforme Cybermalveillance.gouv.fr, ou lorsque vous créez un compte pour recevoir une assistance de proximité, nous vous proposons de vous abonner à nos alertes et contenus de sensibilisation.

Ces contenus ont comme objectif de vous sensibiliser sur les sujets de sécurité numérique, vous fournir des contenus de sensibilisation que vous pourrez partager librement avec votre entourage personnel ou professionnel, et vous tenir au courant des principales alertes de sécurité afin que vous puissiez vous prémunir des attaques en cours.

Lorsque vous vous inscrivez sur notre site ou lors d’un événement, vous recevez un courriel vous demandant de confirmer votre inscription. Ce courriel permet de vérifier la validité de votre adresse courriel et de nous assurer de votre consentement.

L’abonnement à ces contenus est paramétrable pour correspondre au mieux à vos besoins.

Les données ne sont pas utilisées pour une autre finalité que celle pour laquelle elles ont été collectées : ici, l’envoi de contenus d’alerte et de sensibilisation.

Sont destinataires de ces données les agents des services du GIP ACYMA habilités et en ayant besoin dans le cadre de leurs missions. Le cas échéant certains sous-traitants peuvent être amenés à être destinataires des données. Dans ce cas, le GIP ACYMA s’assure d’avoir conclu préalablement un contrat par lequel ils reconnaissent s’engager et garantir leur capacité à répondre aux exigences de sécurité et de confidentialité, et à se conformer à l’ensemble des obligations légales et réglementaires en matière de protection des données personnelles.

Durée de conservation

Votre adresse de messagerie est conservée le temps de votre inscription aux contenus d’alerte et de sensibilisation de Cybermalveillance.gouv.fr

Vous pouvez vous désabonner à tout moment en utilisant la fonction « désabonnement » en bas des courriels qui vous seront envoyés.

Votre adresse de courriel sera alors supprimée de nos bases.

Cadre légal

Le cadre légal applicable à ce traitement de données personnelles est le Règlement européen pour la protection des données (RGPD), Article 6a :

«  la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ».

Mesures de sécurité

Les mesures de sécurité sont mises en œuvre conformément à la politique de sécurité des systèmes d’information issue de la PSSI de l’Etat et du référentiel général de sécurité (RGS) applicable à l’ensemble de téléservices des administrations.

Quels sont vos droits sur vos données ?

Voir point 2 ci-dessus « Droits de la personne dont les données sont collectées et traitées ».

D – Données relatives à l’inscription de prestataires d’assistance et de remédiation sur la plateforme Cybermalveillance.gouv.fr

Données collectées, finalités du traitement et destinataires

Vous êtes prestataire d’assistance informatique et vous souhaitez être inscrit sur la plateforme Cybermalveillance.gouv.fr afin de pouvoir être mis en relation avec des victimes d’actes de cybermalveillance.

Vous allez créer un espace de candidature dans lequel vous allez renseigner des informations nécessaires à votre inscription. Dans ces informations figurent l’identité et les coordonnées du responsable légal de votre organisation ainsi que le recueil de la copie d’une pièce d’identité. Ces informations sont nécessaires à l’inscription sur la plateforme en tant que prestataire. En validant votre inscription, vous acceptez la collecte et la conservation de ces données.

Sont destinataires de ces données les agents des services du GIP ACYMA habilités et en ayant besoin dans le cadre de leurs missions. Le cas échéant certains sous-traitants peuvent être amenés à être destinataires des données. Dans ce cas, le GIP ACYMA s’assure d’avoir conclu préalablement un contrat par lequel ils reconnaissent s’engager et garantir leur capacité à répondre aux exigences de sécurité et de confidentialité, et à se conformer à l’ensemble des obligations légales et réglementaires en matière de protection des données personnelles.

Durée de conservation

• Documents d’identité : s’agissant des candidatures des prestataires dont l’inscription a été validée par le GIP, suppression après traitement de la candidature au référencement.
• Candidatures refusées : suppression des fichiers de données personnelles (scan cartes d’identité et / ou passeport) à l’expiration d’un délai de 90 jours. Anonymisation des données personnelles saisies par l’entreprise également dans un délai de 90 jours à compter du refus).
• Cas des dossiers de candidatures incomplets : si le dossier est incomplet au bout de 90 jours : cartes d’identité et / ou passeport et KBIS sont supprimés ; les données personnelles saisies dans le cadre de l’inscription sont anonymisées également dans ce délai.

Les autres données et informations personnelles sont conservées pendant toute la durée de votre inscription sur la plateforme Cybermalveillance.gouv.fr.

Lorsque vous demandez à être désinscrit, ou lorsque nous procédons à votre désinscription, les données sont supprimées à l’exception de l’adresse de messagerie associée au compte, nécessaire en cas de réclamation d’un utilisateur du site ou en cas d’autre besoin de vous contacter. Cette adresse de messagerie est conservée jusqu’à un an après la désinscription de la plateforme.

Cadre légal

Le cadre légal applicable à ce traitement de données personnelles est le Règlement européen pour la protection des données (RGPD), Article 6e:

« le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ».

Mesures de sécurité

Les mesures de sécurité sont mises en œuvre conformément à la politique de sécurité des systèmes d’information issue de la PSSI de l’Etat et du référentiel général de sécurité (RGS) applicable à l’ensemble de téléservices des administrations.

Quels sont vos droits sur vos données ?

Voir point 2 ci-dessus « Droits de la personne dont les données sont collectées et traitées ».

E – Données relatives à l’outil de diagnostic

Un outil de diagnostic est proposé aux personnes physiques, aux entreprises, aux associations et aux collectivités territoriales dans le cadre d’une navigation sur la plateforme cybermalveillance.gouv.fr, en vue de permettre à la victime d’identifier l’acte de cybermalveillance dont elle est victime. Au terme de ce diagnostic en ligne, un bilan de diagnostic est établi et la victime peut se voir proposer, en fonction de la nature de l’acte de cybermalveillance en cause, le parcours d’assistance le plus efficient.

Données collectées, finalité du traitement et destinataires

À ce titre, lors de ce parcours, le GIP ACYMA est amené à collecter votre adresse email, lorsque vous sollicitez la transmission du bilan de diagnostic par messagerie électronique, aux seules fins de cette transmission. Pour les victimes ayant déclaré être une administration/collectivité ou une entreprise, il est également collecté le code postal du lieu d’établissement de la victime, en vue de leur orientation vers le parcours dédié le plus adapté.

L’email renseigné est immédiatement supprimé des serveurs du GIP ACYMA après envoi de ce bilan.

Sont destinataires de ces données les agents des services du GIP ACYMA habilités et en ayant besoin dans le cadre de leurs missions. Le cas échéant certains sous-traitants peuvent être amenés à être destinataires des données. Dans ce cas, le GIP ACYMA s’assure d’avoir conclu préalablement un contrat par lequel ils reconnaissent s’engager et garantir leur capacité à répondre aux exigences de sécurité et de confidentialité, et à se conformer à l’ensemble des obligations légales et réglementaires en matière de protection des données personnelles.

Durée de conservation

L’adresse email renseignée pour l’envoi du diagnostic est immédiatement supprimée de nos bases après l’envoi.

Cadre légal

Le cadre légal applicable à ce traitement de données personnelles est le Règlement européen pour la protection des données (RGPD), Article 6e:

« le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ».

Mesures de sécurité

Les mesures de sécurité sont mises en œuvre conformément à la politique de sécurité des systèmes d’information (PSSI) du GIP ACYMA, issue de la PSSI de l’Etat et du référentiel général de sécurité (RGS) applicable à l’ensemble de téléservices des administrations.

Quels sont vos droits vos droits sur vos données ?

Voir point 2 ci-dessus « Droits de la personne dont les données sont collectées et traitées ».

F – Données relatives à la mise en relation avec un prestataire d’assistance de proximité

Données collectées, finalités du traitement et destinataires

A la suite du diagnostic visé au point E, il peut vous être proposé une mise en relation avec un prestataire d’assistance référencés par Cybermalveillance.gouv.fr.

Pour permettre cette mise en relation, Cybermalveillance.gouv.fr vous demande de créer un compte avec un identifiant (votre adresse email ou votre numéro de téléphone mobile) et une localisation géographique (code postal). Ces informations vont permettre de vous créer un « espace utilisateur » dans lequel vous allez suivre l’avancée de votre accompagnement.

Vous recevrez alors un email ou un SMS vous demandant de confirmer la création de votre compte. En confirmant la création de votre compte, vous acceptez que nous conservions votre adresse de messagerie dans notre base de données. Si vous ne confirmez pas la création de compte, votre email sera supprimé de notre base dans un délai de 3 mois.

Vous pouvez également demander immédiatement la suppression de votre adresse de messagerie si vous ne souhaitez plus créer de compte utilisateur, cela entraînera également la suppression des données personnelles recueillies (identifiant, adresse email, numéro de téléphone mobile) afin de permettre une mise en relation avec les prestataires.

Dans votre profil utilisateur, vous avez la possibilité de renseigner votre nom et prénom pour simplifier les échanges avec les prestataires. Cette collecte de données est facultative.

Concernant l’année de naissance (facultative) et le code postal, ces données serviront également à un traitement statistique anonymisé ayant pour finalité une meilleure connaissance des actes de cybermalveillance.

Si vous aviez déjà créé un compte auparavant sur Cybermalveillance.gouv.fr, vous n’aurez alors qu’à vous identifier.

Le diagnostic de votre situation va être proposé aux prestataires inscrits qui :

• sont en mesure de traiter le type de problème que vous rencontrez
• interviennent dans votre zone géographique

Lorsqu’un ou plusieurs prestataires acceptent la prise en charge de votre problème, ils apparaissent dans votre espace utilisateur. Vous pouvez alors soit les contacter, soit demander à ce qu’ils vous recontactent. Ils ne doivent pas vous contacter pour une autre finalité que cette demande d’assistance.

Les données personnelles collectées dans le cadre de la création d’un compte « victime » sur la plateforme Cybermalveillance.gouv.fr ne sont en aucun cas traitées pour d’autres finalités que celle de vous mettre en relation avec un prestataire d’assistance, recueillir votre avis a posteriori, et comprendre la nature de la menace numérique.

Après votre mise en relation avec un prestataire d’assistance, vous recevrez un e-mail afin de recueillir votre avis sur la qualité de l’assistance reçue.

Ponctuellement, vous pourrez recevoir un e-mail comportant quelques demandes de précisions sur votre profil de victime, afin de nous aider à mieux comprendre la nature de la menace et les populations principalement ciblées, dans un objectif d’amélioration de nos services et de participation à l’orientation des politiques publiques en matière de sécurité numérique.

Vous resterez toujours libre de ne pas renseigner ces informations.

Sont destinataires de ces données les agents des services du GIP ACYMA habilités et en ayant besoin dans le cadre de leurs missions, ainsi que les prestataires ayant accepté la prise en charge (uniquement pour les données nécessaires à cette mise en relation). Le cas échéant certains sous-traitants peuvent être amenés à être destinataires des données. Dans ce cas, le GIP ACYMA s’assure d’avoir conclu préalablement un contrat par lequel ils reconnaissent s’engager et garantir leur capacité à répondre aux exigences de sécurité et de confidentialité, et à se conformer à l’ensemble des obligations légales et réglementaires en matière de protection des données personnelles.

Durée de conservation

Les données personnelles associées à votre compte seront conservées pendant une durée maximale de 3 ans après la dernière connexion sur votre compte. Vous recevrez alors un e-mail vous informant de la suppression de votre compte.

Cadre légal

Le cadre légal applicable à ce traitement de données personnelles est le Règlement européen pour la protection des données (RGPD), Article 6a :

« la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ».

Mesures de sécurité

Les mesures de sécurité sont mises en œuvre conformément à la politique de sécurité des systèmes d’information issue de la PSSI de l’Etat et du référentiel général de sécurité (RGS) applicable à l’ensemble de téléservices des administrations.

Quels sont vos droits sur vos données ?

Voir point 2 ci-dessus « Droits de la personne dont les données sont collectées et traitées ».

G – Données relatives au parcours de mise en relation avec un agent des forces de sécurité

Données collectées, finalités du traitement et destinataires

A la suite du diagnostic visé au point E, il peut vous être proposé un échange par messagerie instantanée (tchat) avec un agent des forces de sécurité appartenant à la gendarmerie nationale ou à la police nationale, à l’issue duquel un rapport récapitulatif permet de proposer des conseils et d’orienter la victime, le cas échéant vers une judiciarisation.

Lors de ce parcours, le GIP ACYMA est amené à collecter :

• votre code postal, à seule fin d’orientation vers un agent des forces de sécurité intérieure du commissariat ou de la plus brigade le plus proche territorialement ;
• votre adresse email, lorsque vous sollicitez la transmission du bilan post tchat conversationnel par messagerie électronique, aux seules fins de cette transmission. L’email renseigné est immédiatement supprimé des serveurs du GIP ACYMA après envoi du rapport ;
• Le bilan de votre diagnostic.

Sont destinataires de ces données les agents des services du GIP ACYMA habilités et en ayant besoin dans le cadre de leurs missions ainsi que les agents des forces de sécurité habilités au titre du tchat. En outre, le tchat donne lieu à la collecte et au traitement de données personnelles selon des modalités et conditions déterminées par les responsables de traitement respectifs de la Gendarmerie nationale et de la Police nationale, dont la politique de confidentialité est consultable ici.Le cas échéant certains sous-traitants peuvent être amenés à être destinataires des données. Dans ce cas, le GIP ACYMA s’assure d’avoir conclu préalablement un contrat par lequel ils reconnaissent s’engager et garantir leur capacité à répondre aux exigences de sécurité et de confidentialité, et à se conformer à l’ensemble des obligations légales et réglementaires en matière de protection des données personnelles.

Cadre légal

Le cadre légal applicable à ce traitement de données personnelles est le Règlement européen pour la protection des données (RGPD), Article 6e:

« le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ».

Mesures de sécurité

Les mesures de sécurité sont mises en œuvre conformément à la politique de sécurité des systèmes d’information issue de la PSSI de l’Etat et du référentiel général de sécurité (RGS) applicable à l’ensemble de téléservices des administrations.

Quels sont vos droits sur vos données ?

Voir point 2 ci-dessus « Droits de la personne dont les données sont collectées et traitées ».

H – Données relatives au parcours de mise en relation avec un CSIRT territorial

Données collectées, finalités du traitement et destinataires

A la suite du diagnostic visé au point E, si vous êtes une collectivité territoriale, une administration, une entreprise ou une association, il peut vous être proposé une mise en relation avec un agent du CSIRT territorial compétent (pour en savoir plus sur les CSIRT, voir https://www.cert.ssi.gouv.fr/csirt/csirt-territoriaux).

Lors de ce parcours, le GIP ACYMA est amené à collecter :

• votre code postal, à seule fin d’orientation vers le CSIRT le plus proche territorialement ;
• Votre numéro de téléphone mobile, lorsque vous demandez à être rappelé par un agent du CSIRT territorial compétent ;
• votre message téléphonique dans le cas où vous utilisez la faculté offerte dans ce parcours d’enregistrer un message vocal à l’attention du CSIRT territorial compétent en vue d’être recontacté ;
• Le bilan de votre diagnostic.

Afin de vous permettre de bénéficier de l’ensemble des fonctionnalités du service, il vous sera proposé de créer un compte dans le cadre du parcours ou de vous connecter à votre compte si vous en avez créé un.

En outre, dans le cadre de l’échange téléphonique avec l’opérateur du CSIRT compétent, seront collectées des informations relatives au profil de l’entité concernée (entreprise, association, administration ou collectivité) ainsi que sur les circonstances de la menace, afin de fournir des préconisations personnalisées : proposition de mise en relation avec un prestataire, proposition mise en relation avec un agent des forces de sécurité au titre du tchat national, proposition de mise en relation avec un commissariat en vue d’un dépôt de plainte, orientation vers un CERT FR ou le CERT Sectoriel, orientation vers un autre service spécialisé.

Sont destinataires de ces données les agents des services du GIP ACYMA habilités et en ayant besoin dans le cadre de leurs missions et les agents dûment habilités du CSIRT territorialement compétent. Le cas échéant certains sous-traitants peuvent être amenés à être destinataires des données. Dans ce cas, le GIP ACYMA s’assure d’avoir conclu préalablement un contrat par lequel ils reconnaissent s’engager et garantir leur capacité à répondre aux exigences de sécurité et de confidentialité, et à se conformer à l’ensemble des obligations légales et réglementaires en matière de protection des données personnelles.

Durée de conservation

Les données personnelles associées à votre compte seront conservées pendant une durée maximale de 3 ans après la dernière connexion sur votre compte. Vous recevrez alors un e-mail vous informant de la suppression de votre compte.

Cadre légal

Le cadre légal applicable à ce traitement de données personnelles est le Règlement européen pour la protection des données (RGPD), Article 6e:

« le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ».

Mesures de sécurité

Les mesures de sécurité sont mises en œuvre conformément à la politique de sécurité des systèmes d’information issue de la PSSI de l’Etat et du référentiel général de sécurité (RGS) applicable à l’ensemble de téléservices des administrations.

Quels sont vos droits sur vos données ?

Voir point 2 ci-dessus « Droits de la personne dont les données sont collectées et traitées ».

I – Données relatives au parcours SensCyber

Données collectées, finalités du traitement et destinataires

Le parcours SensCyber est un parcours d’e-sensibilisation sur les mécanismes des principales menaces sur Internet organisé en trois modules.

L’accès au parcours nécessite la création un compte utilisateur (sur la politique de confidentialité relative à la création d’un compte utilisateur, voir rubrique B – Données relatives à la création d’un compte utilisateur).

Pour vous permettre de réaliser votre parcours à votre rythme jusqu’à l’obtention de votre attestation de suivi, nous collectons les données personnelles suivantes :

• état d’avancement de votre parcours dans chacun des modules ;
• résultats obtenus aux quiz réalisés au titre de chacun des modules ;
• attestation de réussite au parcours.

Sont destinataires de ces données les agents des services du GIP ACYMA habilités et en ayant besoin dans le cadre de leurs missions. Le cas échéant certains sous-traitants peuvent être amenés à être destinataires des données. Dans ce cas, le GIP ACYMA s’assure d’avoir conclu préalablement un contrat par lequel ils reconnaissent s’engager et garantir leur capacité à répondre aux exigences de sécurité et de confidentialité, et à se conformer à l’ensemble des obligations légales et réglementaires en matière de protection des données personnelles.

Durée de conservation

Les données personnelles associées à votre parcours SensCyber seront conservées pendant une durée maximale de 3 ans après la dernière connexion sur votre compte. Ensuite elles font l’objet d’une anonymisation.

Cadre légal

Le cadre légal applicable à ce traitement de données personnelles est le Règlement européen pour la protection des données (RGPD), Article 6e:

« le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ».

Mesures de sécurité

Les mesures de sécurité sont mises en œuvre conformément à la politique de sécurité des systèmes d’information issue de la PSSI de l’Etat et du référentiel général de sécurité (RGS) applicable à l’ensemble de téléservices des administrations.

Quels sont vos droits sur vos données ?

Voir point 2 ci-dessus « Droits de la personne dont les données sont collectées et traitées ».

J – Données relatives au parcours de sécurisation

Données collectées, finalités du traitement et destinataires

Le parcours de sécurisation propose aux utilisateurs professionnels (entreprises ou associations) ou collectivités territoriales une mise en relation avec des professionnels qualifiés dans la sécurisation de nouveaux systèmes ou de systèmes existants. Ces professionnels ont reçu le label ExpertCyber qui garantissent un niveau de compétence et d’expertise en sécurité numérique.

Lorsque vous effectuez un « parcours de sécurisation » sur la plateforme Cybermalveillance.gouv.fr, vous pouvez être orientée vers une mise en relation avec un prestataire.

Pour permettre cette mise en relation, Cybermalveillance.gouv.fr vous demande de créer un compte avec un identifiant (votre adresse email ou votre numéro de téléphone mobile) et une localisation géographique (code postal). Ces informations vont permettre de vous créer un « espace utilisateur » dans lequel vous allez suivre l’avancée de votre accompagnement.

Vous recevrez alors un email ou un SMS vous demandant de confirmer la création de votre compte. En confirmant la création de votre compte, vous acceptez que nous conservions votre adresse de messagerie et votre numéro de téléphone si renseigné dans notre base de données. Si vous ne confirmez pas la création de compte, votre email sera supprimé de notre base dans un délai de 3 mois.

Vous pouvez également demander immédiatement la suppression de votre adresse de messagerie si vous ne souhaitez plus créer de compte utilisateur, cela entraînera également la suppression des données personnelles recueillies (identifiant, adresse email, numéro de téléphone mobile) afin de permettre une mise en relation avec les prestataires.

Si vous aviez déjà créé un compte auparavant sur Cybermalveillance.gouv.fr, vous n’aurez alors qu’à vous identifier.

Les renseignements techniques sur votre demande seront transmis aux prestataires inscrits qui :

1) sont en mesure de traiter le type de demande de sécurisation

2) interviennent dans votre zone géographique

Les prestataires n’ont pas accès à vos coordonnées personnelles mais seulement à un numéro de dossier et un résumé de la demande d’accompagnement.

Lorsqu’un ou plusieurs prestataires acceptent la prise en charge de votre demande, ils apparaissent dans votre espace utilisateur. Vous pouvez alors soit les contacter, soit demander à ce qu’ils vous recontactent. Les prestataires ont alors accès à votre identifiant (adresse email ou numéro de téléphone) afin de pouvoir vous contacter si vous le souhaitez. Ils ne doivent pas vous contacter pour une autre finalité que cette demande d’accompagnement.

Les données personnelles collectées dans le cadre de la création d’un compte « victime » sur la plateforme Cybermalveillance.gouv.fr ne sont en aucun cas traitées pour d’autres finalités que celle de vous mettre en relation avec un prestataire d’accompagnement et recueillir votre avis a posteriori, et comprendre la nature de la menace numérique.

Sont destinataires de ces données les agents des services du GIP ACYMA habilités et en ayant besoin dans le cadre de leurs missions. Le cas échéant certains sous-traitants peuvent être amenés à être destinataires des données. Dans ce cas, le GIP ACYMA s’assure d’avoir conclu préalablement un contrat par lequel ils reconnaissent s’engager et garantir leur capacité à répondre aux exigences de sécurité et de confidentialité, et à se conformer à l’ensemble des obligations légales et réglementaires en matière de protection des données personnelles.

Durée de conservation

Les données personnelles associées à votre compte seront conservées pendant une durée maximale de 3 ans après la dernière connexion sur votre compte. Vous recevrez alors un email vous informant de la suppression de votre compte.

Cadre légal

Le cadre légal applicable à ce traitement de données personnelles est le Règlement européen pour la protection des données (RGPD), Article 6a :

«  la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ».

Mesures de sécurité

Les mesures de sécurité sont mises en œuvre conformément à la politique de sécurité des systèmes d’information issue de la PSSI de l’Etat et du référentiel général de sécurité (RGS) applicable à l’ensemble de téléservices des administrations.

Quels sont vos droits sur vos données ?

Voir point 2 ci-dessus « Droits de la personne dont les données sont collectées et traitées ».