Information aux collaborateurs : surveillance de sécurité de nos comptes et ordinateurs

1. Qui est responsable

[Nom et adresse de l’entreprise] est responsable de cette surveillance (responsable du traitement). Contact pour les questions : [nom, e-mail].

Nous utilisons pour cela le service Ojava (Ojava, Dhanush Kalyan Guntaka, Genève, Suisse), qui agit pour notre compte (sous-traitant).

2. Pourquoi

Pour détecter les attaques contre les comptes et les ordinateurs de l’entreprise, comme un mot de passe volé, une boîte mail piratée, un rançongiciel ou un logiciel malveillant, et pour alerter [qui reçoit les alertes]. La surveillance sert uniquement à la sécurité. Elle n’est pas utilisée pour évaluer votre travail, vos performances ou votre comportement.

3. Ce qui est collecté

• Microsoft 365 / Google Workspace [supprimez ce que nous n’utilisons pas] : événements de connexion (heure, adresse IP, lieu approximatif, appareil), changements des méthodes de connexion, règles et transferts de boîte mail, autorisations d’applications, actions d’administration, fichiers partagés hors de l’entreprise et téléchargements de fichiers, sans leur contenu.
• PC Windows [à supprimer si non utilisé] : événements de sécurité Windows, nom, chemin et ligne de commande des programmes qui démarrent, type de dossier et extension des fichiers modifiés (pas leur nom), adresses des connexions réseau, programmes lancés au démarrage, réglages de sécurité et nom du PC. Windows tient aussi, sur le PC lui-même, un registre local du programme qui modifie des fichiers dans vos dossiers d’utilisateur ; les administrateurs du PC peuvent le voir, et il n’est pas envoyé à Ojava.
• Jamais collecté : le contenu des e-mails, documents, fichiers ou messages, l’historique de navigation, les frappes au clavier ou l’écran.

4. Qui y a accès

[Noms ou fonctions, par exemple la direction et notre prestataire informatique] voient les alertes. Ojava traite les données en Suisse (Genève). Pour expliquer une alerte en langage simple, Ojava envoie ses détails à son prestataire d’IA Anthropic (États-Unis), les noms, adresses e-mail, adresses IP et noms de PC étant remplacés par des espaces réservés.

5. Combien de temps

Événements de connexion et d’activité : 90 jours. Événements bruts des PC : 30 jours. Une alerte, avec les détails sur lesquels elle repose, est conservée jusqu’à sa clôture, puis pendant [3 mois / 2 ans / 5 ans, selon notre formule Ojava].

6. Vos droits

Vous pouvez nous demander quelles données vous concernant sont traitées, les faire rectifier et vous opposer au traitement, en écrivant à [contact]. Vous pouvez aussi déposer une plainte auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT) ou, dans l’UE, auprès de votre autorité de protection des données.

[Le cas échéant : nos représentants du personnel / la commission du personnel ont été consultés le (date).]