Procédure d'incident — EduRegie

Que faire en cas de (suspicion de) violation de données ou d'incident de sécurité. Objectif : agir correctement dans le délai légal (72 heures après la prise de connaissance par l'école, 48 heures pour nous en tant que sous-traitant vis-à-vis de l'école — voir l'article 7 de l'accord de sous-traitance).

Étape 1 — Détection

Toute personne (un employé d'Elhoucine Automation, ou un utilisateur qui remarque quelque chose d'inhabituel) signale immédiatement une suspicion, même si elle reste incertaine. Signaler via : info@elhoucineautomation.nl.

Exemples d'incidents : accès non autorisé à la base de données, un workflow n8n mal configuré envoyant des notifications au mauvais destinataire, une clé API ou une clé de rôle de service divulguée, la perte d'un appareil ayant accès.

Étape 2 — Premier tri (dans les quelques heures)

1. Confirmer s'il s'agit effectivement de données à caractère personnel et quelle(s) école(s)/personnes concernées peuvent être touchées.
2. Limiter immédiatement les dégâts : en cas de clé divulguée — faire tourner la clé (clé de rôle de service Supabase, clé API n8n, identifiant dans n8n) ; en cas de workflow défectueux — le désactiver (voir docs/productie-runbook.md, section Rollback).
3. Consigner : ce qui s'est passé, quand cela a été découvert, quels systèmes/données, première estimation de l'ampleur.

Étape 3 — Notification à l'école (dans les 48 heures suivant la prise de connaissance)

Envoyer à l'école (Responsable du traitement) une notification comprenant :

• la nature de l'incident ;
• les catégories (présumées) et le nombre de personnes/données concernées ;
• les mesures prises et les mesures de suivi proposées ;
• une personne de contact pour toute question complémentaire.

L'école est elle-même responsable d'une éventuelle notification à l'autorité de contrôle (dans les 72 heures suivant sa propre prise de connaissance) et, en cas de risque élevé, aux personnes concernées elles-mêmes — nous fournissons les informations nécessaires à cet effet.

Étape 4 — Enquête et remédiation

• Déterminer la cause profonde.
• Corriger la vulnérabilité de manière structurelle, pas seulement le symptôme.
• Documenter la chronologie et les mesures prises pour le dossier de l'incident.

Étape 5 — Suivi

• Évaluer si des mesures supplémentaires sont nécessaires (voir Annexe Sécurité).
• Mettre à jour cette procédure si l'évaluation révèle une lacune.
• Conserver le dossier de l'incident conformément à la Politique de conservation des données.

Points de contact