Relief Applications

Protéger les données personnelles que détient votre ONG.

Évaluations, politiques, revues de sécurité et formation du personnel pour les organisations qui détiennent des données personnelles, dans le cadre du RGPD.

Diagnostics, règles et formation pour les données personnelles.

Diagnostics de protection des données

Ateliers d’auto-évaluation et leur analyse, revue de vos politiques actuelles et évaluation des risques.

Nous commençons par des ateliers d’autoévaluation où vos équipes décrivent comment elles collectent, stockent et partagent les données personnelles. Nous analysons ce qui en ressort, examinons vos politiques existantes et évaluons les risques, pour que vous sachiez où agir en premier.

Ce que vous obtenez

  • Ateliers d’autoévaluation avec vos équipes
  • Un rapport des constats
  • Une revue de vos politiques actuelles
  • Une évaluation des risques, hiérarchisée
Outils et méthodes
GDPR, LPD suisse, POPIA

Où nous l’avons fait

  • Diakonie Katastrophenhilfe: Ateliers d’autoévaluation analysés et restitués, puis lignes directrices de protection des données rédigées pour toute l’organisation.
  • Cáritas Switzerland: Recommandations sur la sûreté et la sécurité des données, conformes au RGPD, accompagnées de conseils sur les outils d’information.

Politiques et procédures

Des politiques de protection des données et des procédures pas à pas, alignées sur le RGPD, avec la souplesse nécessaire pour s’adapter au droit de chaque pays.

Une politique ne fonctionne que si le personnel peut l’appliquer. Nous traduisons vos principes en procédures pas à pas avec des rôles clairs, assez courtes pour être lues, alignées sur le RGPD et laissant une place au droit de chaque pays.

Ce que vous obtenez

  • Des politiques alignées sur le RGPD
  • Procédures pas à pas, rôles et obligations
  • Une directive assez courte pour être appliquée, plus des annexes
  • Une synthèse courte pour le personnel
Outils et méthodes
GDPR, LPD suisse, Protocoles interagences

Où nous l’avons fait

  • Terre des hommes: Une directive de dix pages au plus pour la gestion des cas de protection de l’enfance, adaptable aux lois de plus de 30 pays.
  • Diakonie Katastrophenhilfe: Des lignes directrices de protection des données pour toute l’organisation, avec des prochaines étapes pour chaque niveau et pour les partenaires locaux.

Plans de gestion des risques et des violations

Évaluations des risques, plans d’atténuation, réponses aux violations de données et politiques de mots de passe.

Nous recensons les façons dont des données personnelles pourraient être perdues, exposées ou détournées, classons chaque risque et rédigeons le plan pour le réduire. Un plan de réponse aux violations fixe qui fait quoi dans les premières heures, écrit avant d’en avoir besoin.

Ce que vous obtenez

  • Évaluations des risques
  • Plans d’atténuation
  • Réponses aux violations de données
  • Une politique de mots de passe renforcée
Outils et méthodes
GDPR, POPIA

Où nous l’avons fait

  • ITPC: Un guide avec évaluations des risques, plans d’atténuation, réponses aux violations et politiques de mots de passe renforcées, pour un réseau mondial.

Revues de sécurité

Droits d’accès, comptes et sauvegardes vérifiés, classés par niveau de risque et corrigés avec votre équipe informatique.

Nous vérifions qui peut ouvrir quoi : comptes, droits d’accès, rôles, sauvegardes et lieu d’hébergement des données. Les constats sont classés par niveau de risque, et nous les corrigeons avec votre équipe informatique ou nos développeurs.

Ce que vous obtenez

  • Une revue des comptes, droits et rôles
  • Sauvegardes et hébergement vérifiés
  • Constats classés par risque
  • Corrections, avec votre équipe informatique ou la nôtre

Où nous l’avons fait

  • UNICEF Mexico: Un outil d’administration où les accès sont définis par rôle et par action : créer, modifier ou supprimer.
  • Reporters Without Borders: Des journalistes en zone de guerre gardés anonymes, avec des transactions effectuées via des jetons uniques.

Sécurité des systèmes et de l’hébergement

Nous hébergeons vos systèmes en toute sécurité, ou sécurisons vos propres serveurs avec votre équipe informatique.

Nous hébergeons vos systèmes dans le cadre de notre politique de sécurité de l’information, ou sécurisons vos propres serveurs avec votre équipe informatique. Cela signifie authentification multifacteur, accès par rôle, chiffrement en transit et au repos, et des copies de test qui ne contiennent jamais de vrais noms.

Ce que vous obtenez

  • Données stockées en priorité dans l’EEE
  • Authentification multifacteur et accès par rôle
  • Chiffrement en transit et au repos
  • Tests de restauration chaque année
Outils et méthodes
Aligné sur ISO/IEC 27001:2022, RGPD, article 28

Où nous l’avons fait

  • GIZ: Une plateforme migrée vers un hébergement européen conforme au RGPD, avec des sauvegardes automatisées distinctes de la base de données et des fichiers.
  • ILO: Accès par rôle et connexion Azure AD, avec des autorisations définies pour chaque pays.

Formation du personnel

Des ateliers sur le traitement sécurisé des données et la prévention des incidents de sécurité, pour les RH et les bureaux régionaux.

Le personnel est la première ligne de protection. Nos ateliers montrent aux équipes RH, programmes et régionales comment traiter les données personnelles en sécurité au quotidien et prévenir les incidents de sécurité, à partir de vos propres lignes directrices.

Ce que vous obtenez

  • Ateliers pour les équipes RH, programmes et régionales
  • Outils pratiques pour appliquer les lignes directrices
  • Prochaines étapes pour chaque niveau et pour les partenaires locaux

Où nous l’avons fait

  • ITPC: Des formations pour le personnel de tout le réseau sur le traitement sécurisé des données et la prévention des problèmes de sécurité.
  • Diakonie Katastrophenhilfe: Des lignes directrices déployées en ateliers auprès des RH et des bureaux régionaux, avec des prochaines étapes pour les partenaires locaux.

Data protection for social impact organisations.

Des missions de protection des données que nous avons menées.

  • Terre des hommes: Une directive de 10 pages au maximum, avec un résumé en anglais et en français.
  • ITPC: Un guide avec des évaluations des risques, des plans d’atténuation et des réponses aux violations de données.
  • Diakonie Katastrophenhilfe: Des lignes directrices de protection des données, déployées lors d’ateliers au niveau des RH et des bureaux régionaux.

Ce qu’ils en disent

Cela a été une étape très importante pour notre organisation vers la protection des données à tous les niveaux, et les livrables ont fourni au personnel des lignes directrices et des outils concrets pour mettre la théorie en pratique sur le terrain.

Claudia Puschner, Conseillère en transferts monétaires humanitaires, Diakonie Katastrophenhilfe

Voir le projet

Des règles assez courtes pour être appliquées, où que soient vos équipes.

Chaque dessin vient d’un projet de notre portfolio. Survolez-le ou touchez-le pour voir comment les règles atteignent le terrain.

Politiques: Une directive, adaptable à plus de 30 pays.

Pour Terre des hommes : une directive sur les données de protection de l’enfance de dix pages au plus, plus des annexes, que chaque pays peut adapter à sa propre législation.

  • Aligné sur le RGPD et la LPD suisse
  • Procédures pas à pas, rôles et responsabilités
  • Assez courte pour que les équipes de protection l’appliquent

Risques: Chaque risque classé, puis réduit.

Évaluations des risques et plans d’atténuation, avec des constats classés par niveau de risque et corrigés avec votre équipe informatique.

Réponse aux violations: Un plan pour les 72 premières heures.

Des procédures de réponse aux violations rédigées avant d’en avoir besoin. Selon le RGPD, une violation qui présente un risque pour les personnes est notifiée à l’autorité dans les 72 heures.

Plusieurs lois: Rédigé pour le RGPD et la POPIA.

Un guide de protection des données pour ITPC, conforme aux exigences des deux lois.

Déploiement: Du siège aux partenaires locaux.

Les lignes directrices de Diakonie ont été déployées lors d’ateliers au niveau des RH et des bureaux régionaux, avec des prochaines étapes pour les partenaires locaux.

Accès: Des accès par rôle et par action.

Les équipes gouvernementales et celles des ONG alimentent un même système de protection de l’enfance, chaque rôle ne pouvant créer, modifier ou supprimer que ce qui le concerne.

Des spécialistes de la protection des données qui connaissent les ONG.

Ils travaillent avec vos équipes programmes, RH et informatique, et avec nos développeurs quand un système doit changer.

Raphaël
16 ans auprès d’agences de l’ONU et d’ONG. Stratégie, gouvernance et politiques pour des données responsables. Executive Master en management de l’innovation. Formation Executive en IA.
Arturo
20 ans auprès de la FICR, de l’OMS, de l’UNESCO, de l’OIT et du PAM. RGPD et protection des données dès la conception. Certification DPO (ECPC-HA). Certificat professionnel en IA et ML no-code.
Antoine
6 ans auprès de l’OMS, de l’UNESCO, de l’OIT et de RSF. Infrastructure, DevOps et architecture de sécurité. Génie logiciel, École Centrale de Nantes.
Hadrien
6 ans dans le secteur public. RGPD, ISO 27001, NIS 2 et AI Act. Certification DPO (référentiel CNIL). ISO 27001 Lead Auditor.

Comment se déroule une revue.

  1. Diagnostiquer: Des ateliers d’auto-évaluation avec vos équipes, puis nous analysons ce qu’ils révèlent.
  2. Écrire les règles: Procédures pas à pas, rôles et responsabilités, avec de la place pour le droit de chaque pays.
  3. Sécuriser les systèmes: Droits d’accès, comptes, hébergement et sauvegardes vérifiés avec votre équipe informatique ou nos développeurs.
  4. Former votre personnel: Des ateliers au niveau des RH et des bureaux régionaux sur l’application des lignes directrices.

Avant de nous écrire.

Combien de temps dure une revue ?

Cela dépend des bureaux, des systèmes et des politiques à couvrir. Une directive de dix pages au maximum pour la gestion des cas de protection de l’enfance a pris un mois. Des lignes directrices de protection des données, avec des ateliers de déploiement au niveau des RH et des bureaux régionaux, ont pris quatre mois. Après un premier échange, nous envoyons une proposition écrite avec les étapes, le calendrier et le coût.

Les ateliers peuvent-ils avoir lieu sur place ?

Oui, ou en ligne, selon ce qui est convenu dans la proposition. Les revues et la rédaction se font à distance.

Une politique peut-elle couvrir plusieurs pays ?

Oui. Nos directives laissent de la place pour s’adapter au droit national ; l’une d’elles couvre plus de 30 pays.

Pouvez-vous nous aider à nous conformer au RGPD ?

Oui. Nous évaluons vos pratiques au regard du RGPD, puis rédigeons les politiques et procédures qui comblent les écarts.

Est-ce lié à Data Protection for Good ?

Data Protection for Good (DP4G) est notre service de délégué à la protection des données externalisé. Sa propre page détaille ce qu’il comprend.

Souvent associé à.

Une même équipe intervient sur l’ensemble.

Guides : Une ONG a-t-elle besoin d’un DPO ? / Les AIPD pour les ONG

Parlez-nous de votre projet.

Où vous en êtes, ce dont vous avez besoin et pour quand. Un consultant vous répondra avec des questions et les prochaines étapes.

  1. Écrivez-nous: Trois champs sont obligatoires. Le reste nous aide à préparer l’échange.
  2. Un consultant vous répond: Par e-mail, à l’adresse que vous indiquez.
  3. Nous en discutons: Un premier appel sur vos besoins et la façon dont nous pourrions vous aider.

Vous préférez l’e-mail ? contact@reliefapplications.org