1. Quelles données sont stockées et où sont-elles conservées ?
Vous souhaitez savoir quelles données sont stockées chez Poppulo, pour quelles raisons elles sont collectées et où elles sont conservées. Les types de données généralement stockés par Poppulo incluent notamment :
- données relatives aux adresses e-mail des employés – pour répondre au principal besoin métier consistant à envoyer des e-mails aux employés
- données relatives au nom des employés – pour répondre à la faculté de personnaliser les e-mails (« Cher Jean »)
- données relatives à la fonction professionnelle des employés – pour répondre à la faculté de cibler ou segmenter les e-mails ou le contenu en fonction de la fonction ou du lieu (« Afficher cet article de la newsletter pour tous les collaborateurs du service commercial »)
- données de contenu – pour répondre au principal besoin métier consistant à constituer le contenu des communications destinées aux employés (actualités de l'entreprise, annonces organisationnelles, etc.)
- données relatives à l'engagement vis-à-vis du contenu – pour répondre au principal besoin métier consistant à comprendre l'engagement lié aux communications de masse destinées aux employés (e-mails rejetés, ouvertures, clics, etc.). De plus amples informations sont disponibles dans l'Accord sur le traitement des données.
Localisation des données par canal :
- E-mail
- EMEA : hébergement principal à Londres (Royaume-Uni) ; sauvegardes à Cork et sur AWS eu-west-1.
- États-Unis : hébergement principal à Chicago ; sauvegardes à Boston et sur AWS us-east-2.
- Display (AWS)
- USW2 – Oregon
- EUW1 – Irlande
- APS1 – Singapour
- Workplace (Azure)
- eastus2 – Virginie
- westus2 – État de Washington
- uksouth – Londres
- ukwest – Cardiff, Pays de Galles
Poppulo recourt également à des sous-traitants. Leur localisation est indiquée à l'adresse suivante : https://www.poppulo.com/subprocessors.
2. Quelles réglementations en matière de protection des données s'appliquent ?
Poppulo est une société basée aux États-Unis avec des filiales détenues à 100 % aux États-Unis, en Irlande et au Royaume-Uni.
- Déclare être conforme au RGPD.
- Enregistrée en tant que sous-traitant auprès des autorités suivantes : UK Information Commissioner's Office (n° d'enregistrement Z9513693) et Commissaire irlandais à la protection des données (n° d'enregistrement 5638/A).
- La conformité en matière de confidentialité aux États-Unis est fondée sur les lois fédérales et étatiques applicables en matière de protection de la vie privée.
3. Qui a accès aux systèmes et aux données ?
L'accès est limité tant au sein des entreprises clientes qu'au sein de Poppulo. Au sein de votre entreprise :
- Nombre limité d'utilisateurs de confiance.
- Autorisations fondées sur les rôles (Publisher, Author, etc.).
- Les clients sont encouragés à appliquer le principe du moindre privilège.
- Des rôles personnalisés peuvent être créés.
Au sein de Poppulo, personnel limité, vérifié et tenu à la confidentialité, tel que :
- Customer Support
- Technical Support
L'accès n'est accordé que lorsque cela est nécessaire pour résoudre des problèmes clients ou techniques.
4. À quoi peuvent-ils accéder ?
La visibilité dépend des autorisations associées aux rôles attribués aux utilisateurs. Pour les entreprises clientes nécessitant un niveau de confidentialité renforcé, Poppulo propose une fonctionnalité d'anonymat des utilisateurs (Subscriber Anonymity). Lorsque la fonctionnalité Subscriber Anonymity est activée :
- L'identité de ces utilisateurs est séparée du journal d'activité.
- Les ouvertures et clics individuels ne peuvent pas être rattachés à des utilisateurs identifiés.
Cette fonctionnalité est configurée au niveau du compte, et non au niveau des utilisateurs.
5. Comment l'accès aux données est-il contrôlé ?
Poppulo propose un dispositif de sécurité fondé sur les rôles, comprenant notamment :
- Rôles administratifs - Enterprise Administrator, Account Administrator, Settings Administrator.
- Rôles de contenu - Auteur, Contributeur, Editeur.
- Rôles de publication - Editeur (publisher), Editeur à accès restreint (restricted Publisher), Listes réservées (protected Lists).
- Autres rôles - Journaliste (reporter), Auditeur (auditor).
- Rôles personnalisés - les entreprises clientes peuvent combiner différentes autorisations (par exemple, des droits de reporting avec des droits de publication tout en limitant la gestion des utilisateurs).
6. Comment l'accès aux données est-il surveillé ?
Les journaux d'audit enregistrent les éléments suivants :
- qui a accédé aux comptes
- quelles données ont été consultées
- à quel moment l'accès a eu lieu
- tout accès par le personnel de Poppulo
Ces journaux sont accessibles aux titulaires autorisés de compte clients, en fonction des permissions qui leur sont attribuées.
7. Quels sous-traitants Poppulo utilise-t-elle ?
Poppulo tient à jour une liste publique de ses sous-traitants à l'adresse suivante : https://www.poppulo.com/subprocessors.
Les clients peuvent s'abonner sur notre liste de diffusions afin de recevoir des notifications chaque fois que cette liste est modifiée.
8. Où puis-je consulter l'Accord sur la protection du traitement des données (Data Processing Agreement) et l'analyse d'impact des transferts des données (Transfer Impact Assessment) de Poppulo ?
Le sommaire de la page contient des liens vers les documents suivants de Poppulo :
- Accord sur la protection du traitement des données (Data Processing Agreement)
- Analyse d'impact des transfert de données (Transfer Impact Assessment)
Ces documents peuvent également contribuer à répondre à des besoins de documentation similaires, tels que des analyses d'impact relatives à la protection des données (DPIA) et des analyses d'impact sur la vie privée.
9. Poppulo est-elle certifiée dans le cadre du nouveau Data Privacy Framework ?
La page décrit le Data Privacy Framework UE-États-Unis et indique que :
- La Commission européenne a estimé que les organisations américaines certifiées offrent un niveau de protection adéquat pour les données à caractère personnel provenant de l'UE.
- Poppulo déclare être certifiée au titre du Data Privacy Framework (DPF).
- Le statut de la certification peut être vérifié sur le site web Data Privacy Framework du U.S. Department of Commerce.
- Des informations complémentaires sont disponibles dans la politique de confidentialité de Poppulo : https://www.poppulo.com/privacy-policy