ISO 27018 · Entreprises de services
ISO 27018 pour entreprises de services
Fiduciaire, agence, prestataire RH ou centre de contact : si vous traitez les données personnelles de vos clients dans un cloud public, ISO 27018 montre comment vous les protégez. Vous répondez à une auto-évaluation en ligne de 32 questions et recevez votre certificat dans les 4 heures suivant la réussite et le paiement.
01: Demande client
Pourquoi vos clients demandent ISO 27018 dans les appels d'offres
Une fiduciaire, une agence de communication, un prestataire de paie ou un centre de contact travaillent avec les données personnelles de leurs clients. Dès que ces données passent par un outil cloud, le service achats du client pose une question précise : comment le prestataire les protège-t-il en tant que sous-traitant ?
La question arrive sous la forme d'un questionnaire fournisseur, d'une ligne dans un appel d'offres ou d'un point lors d'un audit client. Vos clients sont responsables du traitement au sens du RGPD et de la LPD suisse. Ils doivent pouvoir justifier le choix de leurs sous-traitants, et ils vous demandent donc une preuve.
ISO 27018 fournit cette preuve dans un cadre reconnu. La norme décrit ce qu'un sous-traitant doit faire des données personnelles dans le cloud public. Un certificat avec numéro et page de vérification remplace plusieurs pages de réponses libres dans chaque dossier de candidature.
02: Risques
Quels processus des entreprises de services sont concernés ?
Les risques se concentrent là où les données de clients quittent votre propre système. Des accès trop larges dans un outil partagé, des données conservées après la fin du mandat, des copies chez un fournisseur dont le client ne connaît pas l'existence, une violation découverte mais jamais annoncée : ce sont les situations que la norme encadre.
Voici des exemples d'activités et des données qui y circulent.
- Fiduciaire et conseil
- Pièces comptables, déclarations et bulletins de salaire déposés par les clients sur un portail hébergé dans le cloud.
- Agence marketing et communication
- Listes de contacts, données de campagne et statistiques d'envoi de vos clients, stockées dans un outil d'emailing ou un CRM.
- Prestataire RH et paie
- Dossiers de collaborateurs, absences et données salariales traités pour le compte d'autres entreprises.
- Centre de contact
- Enregistrements d'appels, tickets et historiques de conversation conservés chez un fournisseur cloud.
- Société d'infogérance
- Sauvegardes, journaux d'activité et exports de bases contenant des données personnelles de vos clients.
03: Exigences
Comment une entreprise de services remplit les exigences clés
Les six exigences de la norme se traduisent en gestes concrets dans le quotidien d'un prestataire. Le tableau montre un exemple pour chacune.
| Exigence | Exemple en pratique |
|---|---|
| Transparence du traitement | Avant la signature du contrat, vous remettez au client la liste des traitements et des lieux d'hébergement. |
| Limitation des finalités | Les données d'une mission ne servent ni à une autre mission ni à vos propres actions commerciales. |
| Suppression et restitution | À la fin du mandat, vous exportez les dossiers dans un format lisible, puis vous les supprimez et le confirmez par écrit. |
| Sous-traitants ultérieurs | Vous tenez un registre des outils cloud et des prestataires utilisés, avec un contrat pour chacun, et vous informez le client de tout changement. |
| Analyse d'impact | Avant de lancer un traitement à risque, comme l'enregistrement systématique des appels, vous documentez l'évaluation. |
| Notification des violations | Une personne responsable, un délai interne et un modèle de message au client sont définis à l'avance. |
04: Préparation
Par où commencer avant l'auto-évaluation
Un travail préalable de quelques jours suffit pour répondre sérieusement aux questions. Voici l'ordre qui fonctionne bien dans une entreprise de services.
Recensez les données
Notez quelles données personnelles de clients vous traitez et dans quels outils cloud elles se trouvent.
Réglez les accès
Fixez par écrit qui peut consulter quoi, et retirez les accès des personnes qui ont quitté le mandat ou l'entreprise.
Listez les sous-traitants ultérieurs
Relevez chaque fournisseur qui touche aux données de vos clients et vérifiez que son contrat est à jour.
Définissez la fin de mandat
Décidez comment les données sont restituées, supprimées et confirmées au client.
Écrivez la procédure d'incident
Désignez le responsable, le délai et le canal pour informer vos clients d'une violation.
Si votre système de sécurité de l'information repose déjà sur ISO 27001, une grande partie de ce travail existe. ISO 27018 y ajoute les mesures propres à la protection des données personnelles.
05: Avec Zertify
Obtenir le certificat ISO 27018 avec Zertify
L'auto-évaluation comporte 32 questions oui/non. Onze d'entre elles reprennent des exigences obligatoires de la norme et doivent toutes recevoir un oui. Parmi les 21 autres, il faut au moins 14 réponses oui. Vous la remplissez en ligne, sans compte et sans rendez-vous.
Une fois l'évaluation réussie et le paiement effectué, vous recevez le certificat dans les 4 heures. Il est émis par G6 Agency AG sous licence de SICE, qui contrôle chaque évaluation avant l'émission. Votre client le vérifie sur une page publique avec le numéro ou le QR code du PDF.
Le prix est de 799 CHF la première année, puis 529 CHF par an, re-audit en ligne annuel inclus. Le certificat est valable 3 ans. L'abonnement annuel se résilie à tout moment dans votre espace client, jusqu'à la fin de l'année en cours. Pour deux normes, vous bénéficiez de 20 % de remise, pour trois ou plus de 30 %, y compris sur la cotisation annuelle. La TVA suisse de 8,1 % est comprise pour les clients en Suisse et au Liechtenstein.
06: Autre voie
Auto-évaluation en ligne ou audit sur place ?
La voie classique passe par un audit sur place réalisé par un organisme de certification. Le certificat Zertify repose sur une auto-évaluation en ligne, sans visite dans vos locaux, et il est confirmé chaque année par un court re-audit en ligne.
Relisez le texte de l'appel d'offres ou du questionnaire fournisseur. S'il demande un certificat ISO 27018 vérifiable, la voie en ligne répond à la demande. Si le client impose expressément un audit sur site, le guide comparatif vous aide à choisir.
07: FAQ
Questions fréquentes sur ISO 27018 pour entreprises de services
08: Guide
Pages liées
Prouvez à vos clients comment vous protégez leurs données
Répondez aux 32 questions de l'auto-évaluation ISO 27018 et recevez votre certificat dans les 4 heures après la réussite et le paiement.
Gratuit et sans inscription.