ESET Cloud Office Security Manuel du propriétaire

ESET Cloud Office Security
Guide de l'utilisateur
Cliquez ici pour consulter la version de l'aide en ligne de ce document
Copyright ©2023 d'ESET, spol. s r.o.
ESET Cloud Office Security a été développé par ESET, spol. s r.o.
Pour plus d’informations, consultez le site https://www.eset.com.
Tous droits réservés. Aucune partie de cette documentation ne peut être reproduite, stockée dans un système de
restitution ou transmise sous quelque forme ou par quelque moyen que ce soit (électronique, mécanique,
photocopie, enregistrement, numérisation ou autre) sans l’autorisation écrite de l’auteur.
ESET, spol. s r.o. se réserve le droit de modifier les logiciels décrits sans préavis.
Assistance technique : https://support.eset.com
RÉV. 12/01/2023
1 Intégration ........................................................................................................................................ 1
2 Présentation ...................................................................................................................................... 1
2.1 Principales fonctionnalités ........................................................................................................... 2
2.2 Nouveautés ............................................................................................................................... 5
2.3 Disponibilité des services ............................................................................................................ 8
3 Configuration requise ........................................................................................................................ 8
3.1 Offres Microsoft 365 prises en charge ........................................................................................... 8
3.2 Navigateurs Web pris en charge ................................................................................................. 10
4 Limites ............................................................................................................................................ 10
5 Licence pour ESET Cloud Office Security ......................................................................................... 11
5.1 Ajouter une licence dans ESET Cloud Office Security ..................................................................... 14
6 Activer ............................................................................................................................................. 15
6.1 Désactiver ESET Cloud Office Security ......................................................................................... 17
7 Client ............................................................................................................................................... 17
7.1 Supprimer un client .................................................................................................................. 19
7.2 Suppression d'ESET Cloud Office Security du portail Azure ............................................................ 20
8 ESET LiveGuard Advanced .............................................................................................................. 20
9 Tableau de bord .............................................................................................................................. 21
10 Utilisateurs .................................................................................................................................... 24
11 Équipes et sites ............................................................................................................................. 26
12 Détections ..................................................................................................................................... 27
13 Rapports ....................................................................................................................................... 28
14 Quarantaine .................................................................................................................................. 31
15 Journaux d\'analyse ....................................................................................................................... 32
16 Politique par défaut ....................................................................................................................... 33
16.1 Paramètres de protection d'Exchange Online ............................................................................. 36
16.2 Paramètres de protection de OneDrive ...................................................................................... 40
16.3 Paramètres de protection des groupes d'équipes ....................................................................... 41
16.4 Paramètres de protection des sites SharePoint .......................................................................... 42
16.5 Paramètres de protection de ESET LiveGuard Advanced .............................................................. 43
16.6 Rapports et protection par apprentissage machine ..................................................................... 44
17 Gestion des licences ..................................................................................................................... 46
17.1 ESET Cloud Office Security accès utilisateur à une société spécifique ............................................ 49
18 Paramètres .................................................................................................................................... 50
19 Journal de vérification ................................................................................................................... 51
20 Envoyer les commentaires ............................................................................................................ 52
21 Sécurité pour ESET Cloud Office Security ...................................................................................... 52
22 Conditions d'utilisation .................................................................................................................. 56
22.1 Contrat de licence de l'utilisateur final ...................................................................................... 60
22.2 Accord sur le traitement des données ....................................................................................... 67
22.3 Clauses contractuelles types .................................................................................................... 69
23 Politique de confidentialité ............................................................................................................ 95
Intégration
ESET Cloud Office Security est un service cloud multiclient et évolutif dans Microsoft Azure. ESET Cloud Office
Security est proposé sous la forme d'un produit Software-as-a-Service (SaaS) qui fonctionne entièrement dans le
cloud sans nécessiter de matériel.
Il s'agit d'une combinaison des fonctionnalités suivantes : filtrage du courrier indésirable, analyse anti-logiciels
malveillants et protection antihameçonnage. L'architecture d'ESET Cloud Office Security permet d'initier
rapidement la protection grâce à la connexion à Microsoft 365 et donne la possibilité de gérer la protection via
une console web accessible depuis n'importe où.
Activer ESET Cloud Office Security avec ESET Business Account ou ESET MSP Administrator
Présentation
ESET Cloud Office Security offre aux utilisateurs des applications Microsoft 365 une protection préventive
avancée. La combinaison du filtrage du courrier indésirable, de l’analyse anti-logiciels malveillants et de l’antihameçonnage protège votre entreprise des logiciels malveillants, limite les effets néfastes des messages non
sollicités sur la productivité quotidienne et empêche l’utilisation de messages externes entrants comme canal
pour les attaques ciblées.
ESET Cloud Office Security La protection anti-logiciels malveillants protège Exchange Online, OneDrive, SharePoint
Online et les équipes de votre société.
1
ESET Cloud Office Security protège l'outil de stockage OneDrive et la boîte aux lettres des utilisateurs sous licence,
ainsi que les groupes d'équipes et les sites SharePoint. Chaque magasin de ces applications Microsoft 365 est
protégé, quelle que soit la personne qui a téléchargé un fichier ou envoyé un e-mail. Le contenu est protégé, quel
que soit l’auteur. L’auteur peut également être un utilisateur invité afin de garantir la meilleure protection
possible.
Principales fonctionnalités
Le tableau ci-après répertorie les fonctionnalités disponibles dans ESET Cloud Office Security.
Multiclient
Vous pouvez protéger et gérer plusieurs clients Microsoft 365 à partir d’une seule console
ESET Cloud Office Security. Azure Active Directory (Azure AD) organise les objets tels que
les utilisateurs et les applications en groupes appelés clients. Les clients permettent de
définir des politiques pour les utilisateurs et les applications de votre entreprise afin de
respecter les politiques de sécurité et d’exploitation.
Antispam
Le composant antispam est essentiel pour n'importe quel serveur de messagerie. ESET
Cloud Office Security utilise un moteur antispam de pointe qui empêche les tentatives
d'hameçonnage et de remise de courrier indésirable avec des taux de capture très élevés.
ESET Cloud Office Security a réussi de manière consécutive un test de filtrage de courrier
indésirable de Virus Bulletin, autorité de test de sécurité de premier plan, et a reçu la
certification VBSpam+ pendant plusieurs années. Le moteur antispam a atteint un taux de
capture de courrier indésirable de 99,99 % sans aucun faux positif, ce qui en fait une
technologie de pointe en matière de protection antispam. La protection antispam d'ESET
Cloud Office Security est une solution cloud. La plupart des bases de données de cloud sont
situées dans les centres de données ESET. Les services cloud Antispam permettent une
mise à jour rapide des données, ce qui accélère le temps de réaction lorsqu'un nouveau
courrier indésirable apparaît.
2
Protection
antihameçonnage
Cette fonctionnalité empêche les utilisateurs d'accéder à des pages web connues pour le
hameçonnage. Les e-mails peuvent contenir des liens menant à des pages Web
d'hameçonnage. ESET Cloud Office Security utilise un analyseur sophistiqué qui recherche
ces liens (URL) dans le corps et l'objet des e-mails entrants. Les liens sont comparés avec la
base de données d'hameçonnage qui est sans cesse mise à jour.
Protection Antilogiciel malveillant
Protection récompensée et innovante contre les logiciels malveillants, cette technologie de
pointe empêche les attaques. Elle élimine tous les types de menaces, notamment les virus,
les ransomwares, les rootkits, les vers et les logiciels espions, grâce à une analyse dans le
cloud pour des taux de détection plus élevés. D'un faible encombrement, cette protection
utilise peu de ressources système et n'a pas d'impact négatif sur les performances. La
détection Anti-malware utilise un modèle de sécurité par couches. Chaque couche, ou
phase, possède plusieurs technologies de base. La phase de pré-exécution comprend les
technologies suivantes : Scanner Unified Extensible Firmware Interface (UEFI), protection
contre les attaques réseau, réputation et cache, sandbox intégré au produit, détections
ADN. Les technologies de la phase d'exécution sont les suivantes : bloqueur d'exploit,
bouclier anti-ransomwares, analyseur de mémoire avancé et analyseur de scripts (AMSI). La
phase de post-exécution utilise les technologies suivantes : protection anti-botnet, système
CMPS et sandboxing. Cet ensemble de technologies riche en fonctionnalités offre un niveau
de protection inégalé.
Politique par défaut Les grandes entreprises ont généralement plusieurs services et souhaitent configurer
différents paramètres de protection pour chaque unité d’organisation. ESET Cloud Office
Security fournit des paramètres de protection basés sur des politiques qui peuvent être
attribués aux clients, aux utilisateurs, aux groupes d'équipes ou aux sites SharePoint
sélectionnés. Vous pouvez personnaliser chaque politique en fonction de vos besoins.
Gestionnaire de
mise en
quarantaine
Inspectez les objets mis en quarantaine et exécutez une action adéquate (téléchargement,
suppression ou libération). Cette fonctionnalité permet de gérer de manière simple les emails, les pièces jointes et les fichiers d'Exchange Online / de OneDrive / des groupes
d'équipes / des sites SharePoint ayant été mis en quarantaine par ESET Cloud Office
Security. Le téléchargement vous offre la possibilité d’analyser les objets mis en
quarantaine à l’aide d’outils tiers, si nécessaire, ce qui peut vous aider pour décider l’action
à exécuter.
Tableau de bord
avec des
statistiques de
détection
Obtenez une vue d’ensemble rapide des activités de sécurité dans Microsoft 365. Le
tableau de bord fournit des informations essentielles dans chacun de ses onglets de vue
d’ensemble (Exchange Online / OneDrive/ Groupes d'équipes / Sites SharePoint). La vue
d'ensemble des utilisateurs indique le nombre de clients et l'utilisation des licences, ainsi
que les statistiques par client : nombre d’utilisateurs, principaux destinataires de courrier
indésirable/hameçonage/logiciel malveillant, principaux comptes OneDrive suspects et
principaux groupes d'équipes et sites SharePoint suspects. Vous pouvez choisir une période
et un client pour lesquels afficher les statistiques. D'autres statistiques et graphiques de
détection sont visibles dans les onglets de vue d'ensemble Exchange Online, OneDrive,
Groupes d'équipes et Sites SharePoint. Ces statistiques comprennent le nombre d'e-mails
et de fichiers analysés et le nombre de courriers indésirables, d’hameçonnages et de
logiciels malveillants détectés. Les graphiques montrent le trafic pour chaque type de
détection : courrier indésirable, logiciels malveillants et hameçonnage.
Détections avec
options de filtrage
Cette fonctionnalité contient toutes les enregistrements concernant les détections. Ces
enregistrements comprennent les journaux de toutes les détections par analyse des e-mails
dans l'onglet Exchange Online et l'analyse des fichiers dans les onglets OneDrive / Groupes
d'équipes / Sites SharePoint. Vous pouvez ainsi filtrer et trouver efficacement les éléments
que vous recherchez à l'aide d'informations supplémentaires sur la détection spécifique
(par exemple, un nom d’infiltration, un hachage de fichier, etc.).
3
Utilisateurs
L’entité centrale protégée par ESET Cloud Office Security est le compte d'utilisateur.
Recherchez des informations utiles en ouvrant les détails d’un utilisateur, tels que la vue
d’ensemble, les paramètres définis par des politiques, la liste des politiques attribuées à
l’utilisateur et les détections pour Exchange Online et OneDrive. Cette fonctionnalité est
utile lorsque vous devez examiner les détections liées à un utilisateur spécifique. Vous
pouvez également choisir les utilisateurs à protéger. Les utilisateurs sont classés dans des
groupes. Chaque groupe est un client Microsoft 365 contenant ses utilisateurs. Pour
simplifier la recherche d’un utilisateur spécifique dans un groupe, utilisez plusieurs critères
de filtrage.
Rapports et
protection par
apprentissage
machine
L’apprentissage machine avancé fait désormais partie du moteur de détection. Il constitue
couche avancée de protection qui améliore la détection basée sur l’apprentissage machine.
Pour en savoir plus sur ce type de protection, consultez le Glossaire. Vous pouvez
configurer les niveaux des rapports pour les catégories suivantes : Logiciels malveillants,
Applications potentiellement indésirables, Applications potentiellement suspectes et
Applications potentiellement dangereuses.
Rapports
(statistique et
quarantaine de
messages)
Recevez par e-mail des données statistiques pour la protection Exchange Online et
OneDrive, les groupes d'équipes et les sites Sharepoint, ou générez un rapport pour une
date sélectionnée et téléchargez-le. Vous pouvez planifier la génération et la distribution
régulière des rapports à des destinataires spécifiés. Sélectionnez PDF ou CSV en tant que
format de sortie. Les rapports contiennent des données telles que le nombre d'e-mails
analysés, les logiciels malveillants détectés, les tentatives d'hameçonnage et le courrier
indésirable. Le format PDF comprend des données sous forme de graphique. Il existe un
graphique pour chaque catégorie : e-mails analysés, trafic des logiciels malveillants, trafic
du hameçonnage et trafic du courrier indésirable. Il contient également des statistiques
distinctes pour les principaux destinataires pour chaque catégorie : logiciels malveillants,
tentative d'hameçonnage et courrier indésirable. Plusieurs options sont disponibles pour
générer des rapports. En outre, vous pouvez envoyer un rapport sur la quarantaine des
messages (liste des e-mails mis en quarantaine) à des destinataires sélectionnés. Le rapport
sur la quarantaine des messages est envoyé à la date et à l'heure spécifiées, mais
uniquement s'il y a de nouveaux éléments à signaler.
Équipes et sites
ESET Cloud Office Security protège les groupes d'équipes ou les sites SharePoint. La
protection est ainsi étendue aux solutions de collaboration Microsoft 365 en protégeant le
partage de fichiers sécurisés SharePoint et Teams. Si vous avez utilisé l’outil ESET Cloud
Office Security, vous devrez peut-être mettre à jour le consentement avant d’utiliser les
Équipes et sites.
ESET LiveGuard
Advanced
Couche supplémentaire de protection contre les menaces avancées de type « zero-day ».
ESET LiveGuard Advanced est une solution de sandboxing cloud qui analyse les fichiers
soumis en exécutant le code suspect dans un environnement isolé afin d’évaluer son
comportement. ESET Cloud Office Security envoie à ESET LiveGuard Advanced des pièces
jointes et des fichiers suspects provenant d’Exchange Online, de OneDrive, des groupes
d’équipes et des sites SharePoint pour analyse. Activez et configurez la fonctionnalité ESET
LiveGuard Advanced à l’aide de politiques. Les résultats de l’analyse sont affichés dans des
journaux.
Journal de
vérification
Le journal de vérification permet à l'administrateur d'inspecter les activités effectuées dans
ESET Cloud Office Security. Cette fonctionnalité peut s’avérer utile, tout particulièrement
s'il existe plusieurs utilisateurs de console ESET Cloud Office Security. Les entrées du journal
de vérification constituent une preuve des activités et montrent l'ordre dans lequel elles se
sont déroulées. Les journaux de vérification stockent des informations sur une opération ou
un événement spécifique. Les journaux de vérification sont créés dès qu'un objet ESET
Cloud Office Security (groupe de licences, utilisateur, politique, rapport, élément en
quarantaine comme une pièce jointe) est créé ou modifié.
4
Nouveautés
Voici des informations sur les nouvelles fonctionnalités et les améliorations qui ont été ajoutées dans chaque
version d'ESET Cloud Office Security :
Portal version 205 released November 9, 2022
• Lorsque vous vous connectez pour la première fois à la console ESET Cloud Office Security, la fenêtre
Nouveautés s'affiche et décrit les fonctionnalités nouvellement ajoutées.
• Option permettant d'exporter les journaux d'analyse et le journal de vérification vers un fichier CSV
• Ajout d'une nouvelle configuration lors de la fusion des politiques avec des listes et des e-mails de
notification
Portail version 180.2 Publication le 27 juillet 2022
• Nouvelle fonctionnalité Journal de vérification
• Modification de la section Journaux en Journaux d’analyse
Portail version 156.2 Publication le 26 avril 2022
• Dynamic Threat Defense a été renommé en ESET LiveGuard Advanced
• Soumission d’échantillons faux positifs/faux négatifs pour analyse
• Importation/exportation des listes Approuvés, Bloqués et Ignorés dans les politiques
• Affichage dans le tableau de bord du nombre d’utilisateurs non protégés dans l’onglet Vue d’ensemble
• Correction d’un bogue qui entraînait la mise en quarantaine des e-mails de notification
Portail version 140.6 Publication le 9 février 2022
• Possibilité d'apposer une marque blanche aux rapports (co-branding ou logo personnalisé uniquement)
• Option permettant de définir la préférence linguistique pour les notifications par e-mail ((notifications des
propriétaires de boîte aux lettres)
• Option permettant de définir la préférence linguistique pour les notifications par e-mail des membres du
client
• Filtrage des e-mails par Message-ID
5
Portail version 119.2 Publication le 1 décembre 2021
• Nouvelle fonctionnalité ESET LiveGuard Advanced
• Ajout de paramètres de politique pour ESET LiveGuard Advanced
• Les rapports ont été étendus pour inclure les rapports sur la quarantaine des messages.
• Option de langue ajoutée pour les rapports : définissez la langue souhaitée pour la génération du rapport
Portail version 96.3 Publication le 17 août 2021
• Les rapports ont été étendus pour inclure les équipes et les sites SharePoint.
• Téléchargement en masse des éléments en quarantaine
• ESET Cloud Office Security utilise un format de date et d’heure conforme à ESET Business Account
• Les détails de l’utilisateur indiquent quelle licence est utilisée pour protéger l’utilisateur
Portail version 86.2 Publication le 3 mai 2021
• La nouvelle fonctionnalité Équipes et sites offre une protection pour les groupes d'équipes ou les sites
SharePoint (vous devrez peut-être mettre à jour le consentement pour l'utiliser)
• Nouveaux paramètres de politique pour les groupes d'équipes et les sites SharePoint
• Modification de la section Paramètres où l'option Afficher tous les utilisateurs a été remplacée par
Utilisateurs avec licence Microsoft 365
Portail version 72.6 Publication le 17 mars 2021
• La nouvelle liste des expéditeurs approuvés et bloqués de Politiques pour Exchange Online - Anti-courrier
indésirable permet d'indiquer une adresse e-mail ou un domaine qui sera mis en liste blanche ou noire.
Portail version 72.2 Publication le 28 janvier 2021
• La nouvelle fonctionnalité Rapports fournit des données statistiques pour la protection Exchange Online et
OneDrive.
• L’option Afficher les en-têtes des e-mails en quarantaine est disponible.
Portail version 69.3 Publication le 8 décembre 2020
6
• La nouvelle fonctionnalité Afficher tous les utilisateurs de la section Paramètres protège les utilisateurs et
les boîtes aux lettres partagées sans licence Microsoft 365 éligible.
• Adresse de l’expéditeur et objet de l’e-mail mis à jour lors de la libération de celui-ci de la quarantaine.
Portail version 64.1 Publication le 29 octobre 2020
• Intégration complète à ESET MSP Administrator.
• Nouvelle page À propos.
• Balise d’accès anticipée supprimée.
Portail version 60
• Console ECOS traduite en 20 langues : anglais, chinois (simplifié et traditionnel), croate, tchèque,
néerlandais, français, allemand, hongrois, italien, japonais, coréen, polonais, portugais brésilien, roumain,
russe, slovaque, espagnol, espagnol, latin, turc et ukrainien).
• Améliorations globales de la stabilité du produit et correctifs.
• Lors de l’activation d'ESET Cloud Office Security dans ESET Business Account, vous pouvez choisir un
emplacement de centre de données aux États-Unis ou dans l'Union européenne.
• Améliorations de la gestion des licences dans l'interface utilisateur.
• L'avertissement État de la protection n’est affiché que dans les détails d’un utilisateur (vue d’ensemble).
Portail version 53.6
• La fonctionnalité Rapports et protection par apprentissage machine a été ajoutée. Nouvelle fonctionnalité
qui peut être configurée dans les paramètres de politique pour Exchange Online - Anti-logiciel malveillant et
OneDrive - Anti-logiciel malveillant.
• ESET MSP Administrator : un client disposant d’un compte EMA pourra l’utiliser pour ECOS. Cette
intégration n’est pas encore terminée. Elle n’est donc pas entièrement fonctionnelle.
Portail version 48.3
• ESET Security for Microsoft 365 a été renommé ESET Cloud Office Security (ECOS).
• le portail ECOS est traduit dans les mêmes langues qu’ESET Business Account (toutes les langues ne sont
pas encore prises en charge).
• Protection automatique (lorsqu’un utilisateur est ajouté à un client/groupe spécifique, une licence lui est
automatiquement attribuée).
7
• E-mails de notification pour les détections (le propriétaire de la boîte aux lettres et l’administrateur
peuvent être avertis des détections).
• La priorité de politique par défaut peut être modifiée.
• De politique par défaut peuvent être attribuées à des groupes.
• Des listes d'adresses IP anti-courrier indésirable Exchange Online ont été ajoutées
(approuvées/bloquées/ignorées).
Portail version 40.1
• Des info-bulles ont été ajoutées pour les paramètres de politique. Elles comprennent des descriptions.
• Les colonnes Détections, Quarantaine et Journaux ont été réorganisées et unifiées pour plus de simplicité.
• Vous pouvez utiliser des signes diacritiques lors de la recherche d’un groupe dans l'écran Utilisateurs. La
zone de recherche respecte la casse.
• De nouveaux éléments d’interface utilisateur ont été ajoutés pour faciliter l’attribution d’une politique à
un client.
Disponibilité des services
Le portail d'état ESET fournit une vue actualisée de la disponibilité des services ESET. Il fournit une vue des
services ESET et des rapports sur les états des services, y compris les incidents antérieurs. Si vous êtes un
utilisateur ESET rencontrant des problèmes avec votre service ESET et que le portail d'état ESET ne les indique
pas, contactez l'assistance technique ESET.
Configuration requise
Pour tirer pleinement parti du service ESET Cloud Office Security protégeant Microsoft 365, les éléments suivants
sont nécessaires :
• Offre d’abonnement Microsoft 365 prise en charge
• Accès administrateur à Azure Active Directory (Azure AD)
• Azure Cloud Services – Exchange | OneDrive
• Compte sur le portail ESET Business Account ou ESET MSP Administrator
Offres Microsoft 365 prises en charge
ESET Cloud Office Security prend en charge les offres Microsoft 365, Exchange Online et OneDrive ci-après.
Offres d'entreprise Microsoft 365 :
8
• Microsoft 365 Apps for enterprise
• Microsoft 365 E3
• Microsoft 365 E5
• Microsoft 365 F3
• Office 365 E1
• Office 365 E3
• Office 365 E5
• Office 365 F3
Offres d'entreprise Microsoft 365 :
• Microsoft 365 Business Basic
• Microsoft 365 Business Standard
• Microsoft 365 Business Premium
• Microsoft 365 Apps
Offres Microsoft 365 Education :
• Microsoft 365 A3
• Microsoft 365 A5
Offres Exchange Online :
• Exchange Online (Plan 1)
• Exchange Online (Plan 2)
• Microsoft 365 Business Standard
Offres OneDrive :
• OneDrive for Business (Plan 1)
• OneDrive for Business (Plan 2)
• Microsoft 365 Business Basic
• Microsoft 365 Business Standard
9
Navigateurs Web pris en charge
Pour une expérience d'utilisation optimale de la console Web d'ESET Cloud Office Security Web Console, il
est recommandé de conserver les navigateurs Web à jour.
Vous pouvez utiliser la console ESET Cloud Office Security avec les navigateurs web suivants :
• Mozilla Firefox 69 et versions ultérieures
• Microsoft Edge 44 et versions ultérieures
• Google Chrome 77 et versions ultérieures
• Opera 63 et versions ultérieures
• Safari 13.x et versions ultérieures
Microsoft Internet Explorer n’est pas pris en charge.
Limites
Dans certaines circonstances, ESET Cloud Office Security présente des limites en ce qui concerne les analyses. Un
fichier n’est pas analysé et apparaît dans les journaux comme Non analysé dans les cas suivants :
• La taille du fichier est supérieure à 200 Mo.
• L’analyse dure plus de 2 minutes et expire.
• Le fichier d’archive possède au moins 10 niveaux d’imbrication (il s’agit généralement d’un fichier connu
sous le nom de bombe de décompression).
• Le fichier d'archive est protégé par mot de passe.
• Le fichier est endommagé.
Limites de la quarantaine (lors de la libération de la quarantaine) :
• 15 Mo pour une pièce jointe à un e-mail.
• 150 Mo pour l'ensemble de l'e-mail, pièces jointes comprises
Politiques de conservation :
• La période de conservation des objets en quarantaine est de 30 jours. Les objets datant de plus de 30 jours
seront définitivement supprimés.
• La période de conservation des détections est de 90 jours. Les entrées datant de plus de 90 jours seront
définitivement supprimées.
• La période de conservation des entrées de journal est de 90 jours. Les entrées datant de plus de 90 jours
seront définitivement supprimées. Si vous disposez d’une politique qui utilise l'option Consigner tous les
10
objets, la conservation des entrées de journal avec des résultats d'analyse Non infecté est de 3 jours. Les
résultats d’analyse Non infecté datant de plus de 3 jours seront définitivement supprimés.
• La période de conservation des sauvegardes de base de données ESET Cloud Office Security est de
90 jours. Les sauvegardes datant de plus de 90 jours seront définitivement supprimées. Les sauvegardes
sont stockées dans Microsoft Azure.
• Lorsqu’un client est supprimé de la console ESET Cloud Office Security, la période de conservation est de
30 jours. Si vous rajoutez le client dans un délai de 30 jours, toutes les données seront restaurées (journaux,
règles et détections).
• Si vous supprimez ESET Cloud Office Security d'ESET Business Account, la période de conservation est de
30 jours. Ce processus supprime également le client d’Microsoft 365. Si vous réactivez ESET Cloud Office
Security, vous devez également ajouter le même client pour récupérer toutes les données.
Analyse antispam :
• ESET Cloud Office Security analyse uniquement le trafic de messages entrants pour rechercher du courrier
indésirable. Dans un scénario peu probable, lorsque les identifiants d'un utilisateur d'Office 365 sont volés,
ils peuvent être utilisés par un spammeur pour envoyer du courrier indésirable en masse (trafic de messages
sortants).
Licence pour ESET Cloud Office Security
Gérez les licences ESET Cloud Office Security via ESET Business Account ou ESET MSP Administrator. Essayez ESET
Cloud Office Security avec une licence d'essai de 30 jours disponible dans ESET Business Account ou ESET MSP
Administrator.
ESET Business Account
ESET Business Account fonctionne comme un point d’accès unifié pour ESET Business Account et ESET Cloud
Office Security. Utilisez la page de connexion d'ESET Cloud Office Security ou d'ESET Business Account pour
accéder à ESET Cloud Office Security. Les deux pages vous redirigent vers l’authentification ESET Business Account
pour vérifier vos informations d'identification.
Créer un compte pour ESET Business Account
1. Ouvrez la page de connexion ESET Business Account, puis cliquez sur S'enregistrer gratuitement. Remplissez
le formulaire avec soin pour l’enregistrement. L’adresse e-mail saisie sera utilisée en tant que nom
d'utilisateur.
2. Le mot de passe doit contenir au moins 10 caractères. Saisissez votre nom et les informations sur la société,
puis cliquez sur Continuer. Lisez les Conditions d'utilisation d'ESET et confirmez que vous les acceptez.
Remplissez le formulaire reCAPTCHA et cliquez sur Enregistrer.
3. Vous recevrez un e-mail de confirmation après votre inscription (cela peut prendre jusqu'à 15 minutes).
Cliquez sur le lien contenu dans l'e-mail de confirmation pour ouvrir la fenêtre Activate account (Activer le
compte).
4. Saisissez votre mot de passe et cliquez sur Activate (Activer) pour activer le compte ESET Business Account.
11
Vous recevez un autre e-mail indiquant que votre compte ESET Business Account a été créé. Vous êtes
maintenant prêt à vous connecter à votre compte ESET Business Account.
Période de grâce
Lorsque votre licence arrive à expiration, une alerte s'affiche dans l'interface d'ESET Business Account. Si la date
d'expiration est dépassée et que vous n'avez pas renouvelé votre licence ou activé une nouvelle licence, une
alerte d'expiration de licence s'affiche dans ESET Business Account. S'il n'existe pas de licence éligible, une
notification indiquant que votre licence sera suspendue dans 14 jours s'affiche dans ESET Business Account. Vous
recevez également un e-mail à l'adresse spécifiée dans votre compte d'administrateur.
Vous disposez d'un délai de 14 jours pour effectuer un renouvellement après l'expiration de votre licence. Vous
serez informé dans ESET Business Account et par e-mail à mi-chemin du délai de 14 jours. Après le délai de
14 jours, l'utilisation d'ESET Cloud Office Security sera suspendue. Le compte devient inaccessible et non
fonctionnel. Un compte ESET Cloud Office Security suspendu sera stocké. Il redeviendra accessible lorsqu'une
nouvelle licence ESET Cloud Office Security sera ajoutée à ESET Business Account. Votre compte ESET Cloud Office
Security peut rester suspendu jusqu'à 30 jours. Ensuite, il sera définitivement supprimé.
Si votre compte devient suspendu, vous en serez informé dans ESET Business Account et par e-mail 14 jours avant
la suppression de votre compte. Vous devez activer une nouvelle licence ESET Cloud Office Security pour
restaurer l'accès à votre compte ESET Cloud Office Security.
Licence suspendue
Si aucune licence ESET Cloud Office Security valide ne figure dans ESET Business Account, votre instance ESET
Cloud Office Security est suspendue. L'instance devient inaccessible et non fonctionnelle. Votre instance ESET
Cloud Office Security peut rester suspendue jusqu'à 30 jours. Ensuite, elle sera définitivement supprimée. Vous
devez activer une nouvelle licence éligible ESET Cloud Office Security pour restaurer l'accès à votre instance ESET
Cloud Office Security.
Sites et groupe de licences
Les licences et les groupes de licences sont chargés depuis ESET Business Account. Les groupes de licences ne sont
disponibles que si des sites figurent dans ESET Business Account.
Créer un utilisateur dans ESET Business Account
Vous pouvez créer un utilisateur pour gérer un partage de vos licences.
1. Ouvrez ESET Business Account et connectez-vous.
2. Accédez à Gestion des utilisateurs, cliquez sur Nouvel utilisateur, puis saisissez les informations requises.
3. Sélectionnez les droits d'accès ESET Cloud Office Security pour un utilisateur :
• Lecture : L’utilisateur dispose d’un accès à ESET Cloud Office Security, peut afficher les utilisateurs, les
journaux, les détections, mais ne peut pas gérer de politique, protéger les utilisateurs ni sortir des éléments
de la quarantaine.
• Écrire : L’utilisateur dispose d’un accès complet à ESET Cloud Office Security, peut afficher et gérer les
utilisateurs, mettre des éléments en quarantaine et créer une politique.
12
• Aucun accès — L’utilisateur ne peut pas accéder à ESET Cloud Office Security.
4. Définissez la langue dans les Préférences utilisateur pour la console ESET Cloud Office Security.
5. Cliquez sur Créer. L’utilisateur est alors créé.
Créer un site dans ESET Business Account
Les sites permettent de répartir ou fusionner vos licences dans des groupes de licences. Ce sont des groupes
individuels qui peuvent avoir leur propre emplacement et administrateurs.
1. Ouvrez ESET Business Account et connectez-vous.
2. Accédez à Détails, sélectionnez Créer un site, puis saisissez les informations personnelles requises.
3. Cliquez sur Ajouter un utilisateur, sélectionnez un utilisateur, puis cliquez sur Confirmer.
4. Dans le groupe de licences, cliquez sur Ajouter des unités et sélectionnez une licence pour ESET Cloud
Office Security. Vous pouvez modifier les sous-unités. Cliquez ensuite sur Confirmer.
5. Cliquez sur Créer. Le site est alors créé.
Ajouter une licence de ESET Cloud Office Security dans ESET Business Account
Activer ESET Cloud Office Security depuis ESET Business Account
ESET MSP Administrator
Est un système de gestion des licences qui permet aux utilisateurs MSP de créer plusieurs clients MSP et de
générer des licences spécifiques avec un nombre d'appareils. Le portail de licences ESET MSP Administrator prend
en charge la tarification sur volume et la facturation selon le nombre exact de jours/appareil achetés.
ESET Cloud Office Security est disponible pour tous les MSP Managers, MSPs et managed MSPs. L'utilisateur ESET
MSP Administrator disposant d'un accès en écriture peut activer ESET Cloud Office Security. ESET Cloud Office
Security est accessible par les utilisateurs disposant des droits d'accès en écriture, en lecture ou personnalisés.
Créer un client MSP (l'adresse e-mail du client est requise pour l'activation de la console ESET Cloud Office
Security)
Activer ESET Cloud Office Security depuis ESET MSP Administrator
ESET Business Account et ESET MSP Administrator (compte de licence hybride)
Si vous avez enregistré la même adresse e-mail dans ESET MSP Administrator et ESET Business Account
(authentification unique), vous pouvez basculer entre les vues ESET Business Account et ESET MSP Administrator.
Protégez les utilisateurs ou les sociétés à l'aide de la gestion des licences pour ESET Cloud Office Security.
Le changement de langue du portail ESET Cloud Office Security est possible depuis ESET Business Account ou ESET
MSP Administrator.
13
Connectez-vous à ESET Business Account ou ESET MSP Administrator, accédez à Gestion des utilisateurs et
modifiez l’utilisateur. Recherchez le paramètre linguistique ESET Cloud Office Security, choisissez la préférence
linguistique, puis cliquez sur Enregistrer.
Ajouter une licence dans ESET Cloud Office Security
Une fois connecté à ESET Business Account, l'écran de bienvenue d'ESET Business Account s’affiche si vous utilisez
l'application pour la première fois.
1. Cliquez sur Ajouter une licence pour ouvrir la fenêtre Licence. Si vous êtes un utilisateur régulier d'ESET
Business Account, accédez à l’onglet Licence et cliquez sur Ajouter une licence.
2. Saisissez votre clé de licence, puis cliquez sur Ajouter une licence.
3. Vous recevrez un e-mail contenant un lien de vérification. Cliquez sur le lien et saisissez les informations de
connexion au portail ESET Business Account lorsque vous y êtes invité. Pour plus d’informations sur la gestion
des licences, les utilisateurs et les sites, reportez-vous au Guide ESET Business Account .
14
Activer
1. Connectez-vous à ESET Business Account ou ESET MSP Administrator et recherchez la vignette ESET Cloud
Office Security dans le tableau de bord.
2. Cliquez sur Activer dans le coin inférieur droit de la vignette ESET Cloud Office Security.
3. L’Assistant d’activation affiche les conditions d’utilisation ESET Cloud Office Security et indique
l’emplacement optimal du centre de données en fonction de votre localisation actuelle. Sélectionnez l’option
J’accepte les conditions d’utilisation, puis cliquez sur Activer. Il n’est pas recommandé de modifier
l’emplacement du centre de données. Toutefois, vous pouvez effectuer une autre sélection si vous devez
utiliser un autre emplacement.
Les centres de données sont entièrement séparés. Une fois que vous avez sélectionné l’emplacement du
centre de données, vous ne pouvez pas le modifier. De plus, vous n'êtes pas en mesure d'effectuer une
migration vers un autre emplacement. Pour modifier le centre de données, vous devez recommencer le
processus d’activation depuis le début.
4. Cliquez sur Ouvrir dans la vignette ESET Cloud Office Security. Le tableau de bord ESET Cloud Office Security
s’ouvre dans un nouvel onglet de navigateur.
15
Lorsque vous vous connectez à ESET Cloud Office Security pour la première fois, l'Assistant de démarrage d'
s'affiche. Cet Assistant vous guide tout au long du processus de déploiement initial.
1. Ajoutez votre client Microsoft 365.
2. Protéger les utilisateurs. Si vous ignorez cette étape, vous pourrez protéger les utilisateurs ou les sociétés
ultérieurement à l'aide de la gestion des licences pour ESET Cloud Office Security.
16
Désactiver ESET Cloud Office Security
1. Connectez-vous à ESET Business Account ou ESET MSP Administrator et recherchez la vignette ESET Cloud
Office Security dans le tableau de bord.
2. Cliquez sur l’icône d’engrenage
dans le coin supérieur droit de la vignette ESET Cloud Office Security et
sélectionnez Supprimer ESET Cloud Office Security.
3. Vous pouvez également accéder à la section Détails, puis cliquer sur Supprimer.
4. Une fenêtre d’avertissement s’affiche, vous informant de la suppression de toutes les données. Saisissez
votre mot de passe ESET Business Account pour confirmer, puis cliquez sur Supprimer.
L'instance ESET Cloud Office Security est maintenant supprimée. La vignette du produit ESET Cloud Office Security
retourne à l'état Non activé.
Client
Azure Active Directory (Azure AD) organise les objets tels que les utilisateurs et les applications en groupes
appelés clients. Une méthode classique pour identifier un client consiste à utiliser un nom de domaine. Si
plusieurs utilisateurs partagent un nom de domaine, ils font partie d'un même client. Les clients permettent de
17
définir des politiques pour les utilisateurs et les applications de votre entreprise afin de respecter les politiques de
sécurité et d’exploitation. Vous pouvez protéger et gérer plusieurs clients Microsoft 365 à partir d’une seule
console ESET Cloud Office Security.
Pour plus d’informations, reportez-vous à l’article de Microsoft sur la location dans Azure Active Directory.
Ajouter un client
1. Accédez à Paramètres, puis cliquez sur Ajouter un client.
2. Saisissez le nom du client ou le nom de domaine complet Microsoft 365, puis cliquez sur Ajouter un client.
3. Vous serez alors redirigé vers la page d’autorisation Microsoft Online comportant la liste des autorisations
requises par ESET Cloud Office Security.
4. Saisissez vos informations d'identification de compte administrateur Microsoft 365 pour autoriser ESET
Cloud Office Security à accéder aux données figurant dans votre compte Microsoft, puis cliquez sur Accepter.
18
Supprimer un client
Accédez à Paramètres, sélectionnez le client applicable, puis cliquez sur Supprimer. Une fenêtre contextuelle
s’affiche. Elle avertit de la suppression de toutes les données et de la fin de la protection des utilisateurs. Saisissez
19
vos informations d’identification ESET Business Account ou ESET MSP Administrator pour confirmer la
suppression.
Les données seront entièrement supprimées de nos systèmes dans les 30 jours.
Suppression d'ESET Cloud Office Security du portail
Azure
1. Connectez-vous au portail Azure à l’aide d’un compte d’administrateur.
Pour supprimer une application, vous devez apparaître comme en étant le propriétaire ou disposer des
privilèges d’administrateur.
2. Accédez au service Azure Active Directory et sélectionnez Applications d’entreprise.
3. Recherchez l’application ESET Cloud Office Security et cliquez dessus, puis dans la page de vue d'ensemble,
accédez à Propriétés et cliquez sur Supprimer.
ESET LiveGuard Advanced
ESET LiveGuard Advanced offre une autre couche de sécurité en utilisant une technologie avancée basée sur le
cloud ESET afin de détecter les nouveaux types de menaces. ESET LiveGuard Advanced vous offre la possibilité
d'être protégé contre les conséquences possibles causées par les nouvelles menaces. Si ESET LiveGuard Advanced
détecte du code ou un comportement suspect, il empêche l'activité de la menace en plaçant celle-ci de manière
temporaire dans la quarantaine.
Un échantillon suspect (fichier ou e-mail) est automatiquement soumis au cloud ESET, où le serveur ESET
LiveGuard Advanced l'analyse à l'aide des moteurs de détection de logiciels malveillants sophistiqués. Lorsque les
fichiers ou les e-mails sont en quarantaine, ESET Cloud Office Security attend les résultats du serveur ESET
LiveGuard Advanced.
Une fois l’analyse terminée, ESET Cloud Office Security reçoit un rapport contenant un résumé du comportement
observé de l’échantillon. Si l’échantillon s’avère inoffensif, il est libéré de la quarantaine. Sinon, il est conservé en
quarantaine.
Les résultats ESET LiveGuard Advanced pour les échantillons sont généralement donnés en quelques minutes
pour les e-mails. Toutefois, l'intervalle d'attente par défaut est défini sur 5 minutes. Dans de rares cas, lorsque les
résultats ESET LiveGuard Advanced ne sont pas donnés dans l’intervalle, le message est libéré. Vous pouvez
changer l'intervalle selon vos préférences (entre 5 et 60 minutes, par incréments de 1 minute).
La licence ESET Cloud Office Security vous permet d’utiliser la fonctionnalité ESET LiveGuard Advanced sans frais
supplémentaires. Le libellé ELG se trouve en regard de l’ID de licence dans la gestion des licences.
Lorsqu’une petite fenêtre contextuelle apparaît, vous pouvez activer ESET LiveGuard Advanced en créant une
politique ou en mettant à jour une politique existante.
20
Pour plus d’informations sur ESET LiveGuard Advanced, consultez Fonctionnement des couches de détection ESET
LiveGuard Advanced .
Tableau de bord
Le tableau de bord est un ensemble de widgets qui fournissent une vue d’ensemble des activités de sécurité
d’Microsoft 365. Il fournit des informations essentielles dans chacun de ses onglets de vue d’ensemble (vue
d’ensemble, Exchange Online, OneDrive, Team groupes, Sites SharePoint et ESET LiveGuard Advanced). L'écran
Vue d’ensemble est l'écran principal du tableau de bord qui s'affiche à chaque connexion à la console ESET Cloud
Office Security. Il affiche des informations générales et statistiques.
L’intervalle d'actualisation du tableau de bord est de 10 minutes. Si les dernières informations ne sont pas
affichées dans le tableau de bord, appuyez sur F5 pour l’actualiser manuellement.
Pour afficher les statistiques du tableau de bord, utilisez les filtres dans la partie supérieure pour sélectionner la
période (dernières 24 heures, derniers 7, 30 ou 90 jours) et le client. D'autres statistiques et graphiques de
détection sont visibles dans les onglets de vue d'ensemble Exchange Online, OneDrive, Groupes d'équipes, Sites
SharePoint et ESET LiveGuard Advanced. Ces statistiques comprennent le nombre d'e-mails et de fichiers
analysés et le nombre de courriers indésirables, d’hameçonnages et de logiciels malveillants détectés. Les
graphiques montrent le trafic pour chaque type de détection : courrier indésirable, logiciels malveillants et
hameçonnage.
Il peut arriver que la barre d’annonce s'affiche. Les couleurs indiquent le type d’annonce (bleu = actualités, jaune
= sensibilisation, rouge = avertissement).
Utilisez les onglets du tableau de bord pour basculer entre les volets de vue :
Présentation
montre
• le nombre de clients et les statistiques d'utilisation
• des licences par client :
oNombre total d'utilisateurs/Utilisateurs non protégés
oPrincipaux destinataires de courrier indésirable/d’hameçonnage/de logiciel malveillant
21
oPrincipaux comptes OneDrive suspects
oPrincipaux groupes d'équipes suspects
oPrincipaux sites SharePoint suspects
descendre dans la hiérarchie
• cliquez sur la vignette Nombre total d’utilisateurs pour ouvrir la section Utilisateurs
• cliquez sur un utilisateur dans la section des statistiques (courrier indésirable/hameçonnage/logiciel
malveillant/OneDrive) pour afficher les détections pertinentes ou cliquez sur un groupe ou un site pour
afficher les détections et obtenir des détails supplémentaires sur le groupe d'équipe ou le site SharePoint
suspect.
Exchange Online
affiche
• le nombre total d’e-mails analysés
• les statistiques du courrier indésirable, des logiciels malveillants et des e-mail de hameçonnage détectés
• des graphiques dont chacun représente le trafic du courrier indésirable, des logiciels malveillants et du
hameçonnage
Les vignettes sont interactives. Cliquez sur une vignette qui vous intéresse et accédez à la section correspondante
dans la console ESET Cloud Office Security. Par exemple, la section Journaux avec des entrées pertinentes s’ouvre.
OneDrive
affiche
• le nombre d’utilisateurs protégés
• le nombre total de fichiers analysés
• les statistiques des logiciels malveillants détectés
• un graphique qui représente le trafic des logiciels malveillants
Les vignettes sont interactives. Cliquez sur une vignette qui vous intéresse et accédez à la section correspondante
dans la console ESET Cloud Office Security. Par exemple, la section Journaux avec des entrées pertinentes s’ouvre.
Groupes d’équipes
affiche
• le nombre de groupes protégés
22
• le nombre total de fichiers analysés
• les statistiques des logiciels malveillants détectés
• un graphique qui représente le trafic des logiciels malveillants
Les vignettes sont interactives. Cliquez sur une vignette qui vous intéresse et accédez à la section correspondante
dans la console ESET Cloud Office Security. Par exemple, la section Journaux avec des entrées pertinentes s’ouvre.
Sites SharePoint
affiche
• le nombre de sites protégés
• le nombre total de fichiers analysés
• les statistiques des logiciels malveillants détectés
• un graphique qui représente le trafic des logiciels malveillants
Les vignettes sont interactives. Cliquez sur une vignette qui vous intéresse et accédez à la section correspondante
dans la console ESET Cloud Office Security. Par exemple, la section Journaux avec des entrées pertinentes s’ouvre.
ESET LiveGuard Advanced
affiche
• fichiers envoyés
• nombre de détections
• durée moyenne de l’analyse
• graphique représentant les fichiers soumis
• principaux propriétaires de fichiers soumis
• types de fichiers envoyés
Les vignettes sont interactives. Cliquez sur une vignette qui vous intéresse et accédez à la section correspondante
dans la console ESET Cloud Office Security. Par exemple, la section Journaux avec des entrées pertinentes s’ouvre.
Utilisez la barre de navigation sur le côté gauche pour basculer entre les différentes parties de la console ESET
Cloud Office Security :
Utilisateurs
Équipes et sites
23
Détections
Quarantaine
Journaux d'analyse
Des rapports
Politique par défaut
Gestion des licences
Journal de vérification
Paramètres
Réduire : Permet de développer et de réduire le menu de navigation. La réduction du panneau permet
d’obtenir plus d'espace d’écran pour le tableau de bord. Pour développer le panneau de navigation, cliquez sur
l'icône
.
Une barre d’outils figure aussi dans le coin supérieur droit. Elle est disponible dans tous les écrans de la console
ESET Cloud Office Security :
ESET Business Account et ESET MSP Administrator (compte de licences hybride) : si vous avez enregistré la
même adresse e-mail dans ESET MSP Administrator et ESET Business Account (authentification unique), vous
pouvez basculer entre les vues ESET Business Account et ESET MSP Administrator.
Afficher les notifications : Pour afficher toutes les notifications, cliquez sur l'icône de cloche
supérieure.
dans la barre
Liens rapides : Permet d’accéder facilement et rapidement aux options suivantes : Ajouter un client, Nouvelle
politique, ESET Business Account et ESET MSP Administrator.
Aide : Le premier lien de ce menu pointe toujours vers l'aide en ligne de l'écran actuel. Si vous ne parvenez pas
à résoudre un problème, effectuez des recherches dans la base de connaissances ESET ou sur le forum
d'assistance. Vous pouvez également envoyer des commentaires ou soumettre un échantillon pour analyse.
Ouvrez la page À propos qui contient des informations détaillées sur la version d'ESET Cloud Office Security et des
liens vers des documents juridiques.
Utilisateur (actuellement connecté) : Affiche le nom d'utilisateur.
Se déconnecter : Appuyez sur le pictogramme omniprésent pour quitter la console ESET Cloud Office Security.
Utilisateurs
L’entité centrale protégée par ESET Cloud Office Security est le compte d'utilisateur. Double-cliquez sur un
utilisateur pour rechercher des informations utiles, telles que la vue d’ensemble, les paramètres définis par des
24
politiques, la liste des politiques attribuées à l’utilisateur et les détections pour Exchange Online et OneDrive.
Vous pouvez également choisir les utilisateurs qui seront protégés ou non protégés. Les utilisateurs sont classés
dans des groupes. Chaque groupe est un client Microsoft 365 contenant ses utilisateurs. Pour simplifier la
recherche d’un utilisateur spécifique dans un groupe, vous pouvez utiliser le filtrage avec plusieurs critères.
Par défaut, les utilisateurs qui ne disposent pas d’une licence Microsoft 365 ne sont pas affichés dans la
console ESET Cloud Office Security. Cela comprend les boîtes aux lettres partagées sans licence
Microsoft 365.
Si vous souhaitez afficher et gérer tous les utilisateurs Microsoft 365, accédez à Paramètres, puis désactivez
Utilisateurs avec licence Microsoft 365.
État de la protection:
État
Non protégé
Description
Un utilisateur n’est pas protégé actuellement.
Utilisateur protégé avec la protection automatique.
Protection
automatique
En attente
État transitoire qui a lieu pendant le processus de protection d’un utilisateur. Une
fois ce processus terminé, l’état de l’utilisateur devient Protégé.
Protégé
La boîte aux lettres et l'espace OneDrive de l'utilisateur sont protégés par la politique
par défaut ou une politique personnalisée.
AVERTISSEMENT
Le processus de protection d’un utilisateur a échoué. Une erreur s'est peut-être
produite pour les ressources, la boîte aux lettres ou OneDrive. Il est probable que les
deux ressources ne soient pas disponibles pour l’utilisateur. Vérifiez si l’utilisateur
dispose d’une licence Microsoft 365 valide.
Naviguez dans l’arborescence pour n'afficher des utilisateurs que pour un client ou un groupe spécifique. Pour
afficher tous les utilisateurs de tous les clients et groupes, cliquez sur Tous.
Pour obtenir des informations plus détaillées, double-cliquez sur un utilisateur ou cliquez sur l'icône
et
sélectionnez une action (Afficher les détails, Protéger ou Annuler la protection). Cliquez sur un utilisateur pour
ouvrir la fenêtre Afficher les détails qui se compose de quatre parties :
Action
Utilisation
Présentation Affiche des informations de base sur l’utilisateur chargé à partir d’Microsoft 365 (e-mail, groupe,
profil de poste, etc.). L'état de protection actuel de la boîte aux lettres et de l'espace OneDrive
s’affiche également.
Configuration Contient une liste en lecture seule des paramètres et de politique par défaut affectées pour cet
utilisateur. Passez d'un onglet à un autre pour afficher la configuration ou la liste des politiques
attribuées. Vous ne pouvez pas modifier les paramètres ni attribuer des politiques aux utilisateurs.
Retournez plutôt dans la section Politiques.
Détections
Affiche toutes les détections pour ce compte d'utilisateur (Exchange Online ou OneDrive).
Quarantaine Affiche tous les e-mails et les fichiers stockés dans la quarantaine de cet utilisateur. Vous pouvez
également utiliser une action : Libérer, Télécharger ou Supprimer des e-mails ou des fichiers en
quarantaine.
Vous pouvez filtrer les utilisateurs selon plusieurs critères. Cliquez sur Ajouter un filtre, sélectionnez un type de
filtre dans le menu déroulant ou saisissez une chaîne (répétez l’opération lorsque vous associez plusieurs
critères) :
25
Ajouter un filtre
Utilisation
Protection automatique Affichez uniquement les utilisateurs protégés automatiquement.
Nom
Saisissez un nom d'utilisateur valide.
Adresse électronique
Saisissez une adresse e-mail d’utilisateur valide.
État de la protection
Sélectionnez l’état Protégé, Non protégé, Avertissement ou En attente d’un utilisateur.
Protéger les utilisateurs
1. Sélectionnez les utilisateurs qui seront protégés et cliquez sur Protéger.
2. Sélectionnez le groupe de licences chargé depuis ESET Business Account, puis cliquez sur OK. La politique
par défaut protège maintenant les utilisateurs sélectionnés.
3. Si nécessaire, spécifiez une politique personnalisée pour les utilisateurs dans la section Politique par défaut.
Annuler la protection des utilisateurs
Sélectionnez les utilisateurs qui ne seront plus protégés, puis cliquez sur Annuler la protection.
Équipes et sites
ESET Cloud Office Security protège les groupes d'équipes ou les sites SharePoint.
Basculez entre les groupes d'équipes et les sites SharePoint à l'aide des onglets. La liste des groupes d'équipes ou
des sites SharePoint est alors affichée pour chaque client.
Groupes d’équipes
affiche les objets qui sont du type de groupe Microsoft 365, notamment son site de l’équipe SharePoint par
défaut et OneDrive :
• nom
• status
• courrier électronique
• client
Pour protéger les groupes d'équipes, vérifiez qu'au moins un membre est un utilisateur protégé par ESET Cloud
Office Security. Chaque groupe Microsoft 365 possède un site d’équipe SharePoint par défaut et OneDrive qui
sont également protégés.
Sites SharePoint
affiche tous les sites racines SharePoint qui ne sont pas associés au groupe Microsoft 365 :
• nom
26
• status
• URL
• client
Les sites SharePoint sont protégés automatiquement, y compris leurs sous-sites (non illustré).
Pour obtenir des informations détaillées, cliquez sur un groupe d'équipe ou un site SharePoint pour ouvrir la
fenêtre Afficher les détails qui se compose de quatre parties :
Action
Utilisation
Présentation Affiche les informations nécessaires sur les groupes d'équipes ou les sites SharePoint chargés à
partir de Microsoft 365 (e-mail, propriétaire, membres, auteur, URL, etc.). L'état de protection
actuel d'un groupe d'équipe ou d'un site SharePoint s’affiche également.
Configuration Contient une liste en lecture seule des paramètres et de politique par défaut affectées. Passez
d'un onglet à un autre pour afficher la configuration ou la liste des politiques attribuées. Vous ne
pouvez pas modifier les paramètres ni attribuer des politiques. Retournez plutôt dans la section
Politiques.
Détections
Affiche toutes les détections pour le groupe d'équipe ou le site SharePoint.
Quarantaine Affiche tous les fichiers en quarantaine. Vous pouvez également utiliser une action : Libérer,
Télécharger ou Supprimer les fichiers en quarantaine.
Cliquez sur Ajouter un filtre pour filtrer les groupes d'équipes ou les sites SharePoint.
Détections
Répertorie toutes les détections par ESET Cloud Office Security. Basculez entre Exchange Online, OneDrive, les
groupes d'équipes et les sites SharePoint à l'aide des onglets. Consultez des informations sur chaque détection,
par exemple les fichiers détectés qui ont été chargés dans un groupe d’équipes dans l’onglet Groupes d’équipes.
Cliquez sur l'icône
pour ouvrir une barre latérale contenant le résumé d'une entrée spécifique du journal
(détection). Pour obtenir des informations plus détaillées, cliquez sur l'icône
et sélectionnez Afficher les
détails.
Naviguez dans l’arborescence pour afficher les détections uniquement pour un client ou un groupe spécifique.
Pour afficher toutes les détections de tous les clients et groupes, cliquez sur Tous. Pour faciliter la recherche
d’une détection spécifique, vous pouvez appliquer un filtre comportant plusieurs critères. Cliquez sur Ajouter un
filtre, sélectionnez le type de filtre dans le menu déroulant ou saisissez une chaîne (répétez l’opération lorsque
vous associez critères) :
Est survenu de
Indiquez une plage « date de début ».
Est survenu dans Indiquez une « date de fin ».
Objet
S'applique aux messages qui contiennent ou non une chaîne spécifique (ou une expression
régulière) dans l'objet.
Message-ID
Filtrez les e-mails par Message-ID unique lorsque vous recherchez un message spécifique,
notamment dans les journaux volumineux contenant de nombreux messages ou plusieurs
tentatives de remise.
De
Filtrez les messages par expéditeur spécifique.
27
Est survenu de
À
Indiquez une plage « date de début ».
Filtrez les messages par destinataires.
Boîte aux lettres S'applique aux messages situés dans une boîte aux lettres spécifique.
Résultat du scan Sélectionnez l'une des options suivantes : Logiciel malveillant,
Logiciel malveillant (détecté
par ESET LiveGuard Advanced), hameçonnage ou courrier indésirable.
Action
Sélectionnez l'une des actions disponibles.
Équipe
Saisissez un nom d’équipe valide.
Site
Saisissez un nom de site valide.
Type de fichier
Saisissez un nom d’objet valide.
Détection
Saisissez un nom de détection valide.
Hachage
Saisissez un hachage de détection valide.
Lorsque vous cliquez sur l'icône , l'option Supprimer les éléments en liste blanche devient disponible si vous
avez précédemment mis un fichier en liste blanche en le libérant de la quarantaine pour le même utilisateur.
Utilisez cette option pour supprimer un fichier de la liste blanche. Tous ces prochains fichiers seront mis en
quarantaine.
La période de conservation des détections est de 90 jours. Les entrées datant de plus de 90 jours seront
définitivement supprimées.
Signaler un faux positif (FP)/faux négatif (FN)
Vous pouvez signaler manuellement les détections FP et FN pour le courrier indésirable, l’hameçonnage ou les
logiciels malveillants en envoyant un échantillon aux laboratoires ESET pour analyse. Adresses e-mail auxquelles
envoyer les échantillons :
Courrier indésirable : envoyez un e-mail à nospam_ecos@eset.com pour les e-mails marqués incorrectement
comme courrier indésirable ou à spam_ecos@eset.com pour le courrier indésirable non détecté avec le message
d’origine en tant que pièce jointe au format .eml ou .msg.
Hameçonnage : pour signaler une classification fausse positive ou fausse négative du hameçonnage, rédigez un email à samples@eset.com en indiquant 'phishing email' dans la ligne d’objet et joignez l'e-mail de hameçonnage
en tant que pièce jointe au format .eml ou .msg.
Logiciels malveillants : pour signaler une classification fausse positive ou fausse négative des logiciels
malveillants, rédigez un e-mail à samples@eset.com en indiquant 'False positive' ou 'Suspected infection' dans la
ligne d’objet et joignez le ou les fichiers compressés au format .zip ou .rar en tant que pièce jointe.
Rapports
Les rapports ESET Cloud Office Security vous informent en vous donnant une vue d’ensemble des statistiques de
protection ESET Cloud Office Security. Vous pouvez choisir entre deux types de rapports : les rapports statistiques
et les rapports de quarantaine des messages.
Les rapports statistiques contiennent des informations sur la protection d'Exchange Online, de OneDrive, des
groupes d’équipes et des sites SharePoint. Ils indiquent le nombre d'e-mails et de fichiers analysés ainsi que les
logiciels malveillants, les tentatives d'hameçonnage et le courrier indésirable détectés pendant la période
spécifiée. Les rapports peuvent être générés manuellement et téléchargés au format PDF ou CSV ou planifiés et
envoyés par e-mail aux destinataires sélectionnés. Le format de sortie PDF présente les données sous forme de
28
graphique et montre la moyenne à long terme d’une comparaison. Il comprend des informations sur le trafic pour
chaque type de protection et les principaux destinataires de logiciels malveillants, de tentatives d'hameçonnage
et de courrier indésirable.
Le rapport sur la quarantaine des messages contient la liste des objets nouvellement mis en quarantaine. Il est
envoyé par e-mail aux destinataires sélectionnés. Les destinataires peuvent libérer le courrier indésirable (s'il est
considéré comme sûr ou légitime) en cliquant sur le lien Libérer. Cela s'applique uniquement au courrier
indésirable ; les autres types d’objets mis en quarantaine ne peuvent pas être libérés.
Vous pouvez accéder aux statistiques par e-mail. Il n’est pas donc pas nécessaire de vous connecter à la console
ESET Cloud Office Security. Configurez et planifiez les rapports récurrents et spécifiez les destinataires des e-mails.
En outre, vous pouvez générer des statistiques de rapport directement à partir de la console ESET Cloud Office
Security. Sélectionnez un rapport existant (il peut également s’agir d’un rapport planifié), puis cliquez sur Générer
& Télécharger. Vous pouvez aussi utiliser le menu contextuel. Vous pouvez facilement créer un modèle de
rapport avec des paramètres personnalisés.
Nouveau rapport
Cliquez sur Nouveau rapport pour ouvrir un assistant de modèle de rapport et spécifier des paramètres
personnalisés. Saisissez le nom et la description du rapport.
Langue
Sélectionnez la langue souhaitée dans le menu déroulant. Le rapport est généré dans la langue sélectionnée.
Type
Sélectionnez le type que vous souhaitez inclure dans les statistiques.
Rapports statistiques
Créez des rapports planifiés ou à la demande contenant des informations selon les options que vous choisissez.
Rapports de mise en quarantaine de messages
Pour informer les utilisateurs des e-mails nouvellement mis en quarantaine, envoyez des notifications par e-mail
aux utilisateurs sélectionnés. Vous pouvez attribuer un ou plusieurs destinataires ou un groupe. Sélectionnez un
intervalle pour les rapports et la date et l’heure de début. S'il s'agit d'un rapport répété, choisissez quand il doit se
terminer (à une date donnée, après plusieurs occurrences ou jamais). Le rapport sur la quarantaine des messages
n’est déclenché que lorsqu’il existe de nouveaux éléments. Les destinataires du rapport peuvent libérer le
courrier indésirable (s'il est considéré comme sûr ou légitime) en cliquant sur le lien Libérer (une fenêtre de
confirmation s'ouvre dans le navigateur web). Le courrier indésirable libéré est envoyé dans un e-mail distinct en
tant que pièce jointe.
Client
Cette option est disponible pour un environnement multiclient. Vous pouvez sélectionner plusieurs clients pour
lesquels générer des statistiques. Le rapport est généré pour chaque client séparément. Il est diffusé dans un email de rapport ESET Cloud Office Security contenant plusieurs pièces jointes.
Période
Définissez la période pour laquelle vous souhaitez afficher les résultats (dernières 24 heures, semaine, mois).
29
Lorsque vous sélectionnez l’option Personnalisé, vous pouvez spécifier une plage (date de début et date de fin).
Résultat
Sélectionnez le format de fichier adéquat. Vous pouvez effectuer une sélection parmi les formats suivants : PDF
ou CSV. Le format PDF contient des données sous forme de graphique. Le format CSV, quant à lui, comporte des
données brutes. Les rapports sont collectés selon les options spécifiées. Si vous avez sélectionné (Exchange
Online, OneDrive, groupes d'équipes ou sites SharePoint), le fichier de sortie est une archive au format ZIP
contenant des fichiers de rapport au format PDF ou CSV.
Marque blanche
Si vous avez besoin que le logo de votre société s’affiche sur le rapport, activez cette fonctionnalité. Vous avez la
possibilité d'avoir un en-tête de rapport montrant votre logo avec le logo ESET ou votre logo seulement. Chargez
le logo au format PNG ou JPEG.
Planifié
Utilisez le planificateur pour générer les rapports à la date et à l’heure spécifiées ou de façon récurrente. Les
rapports planifiés sont remis aux destinataires sélectionnés dans un e-mail de rapport ESET Cloud Office Security
contenant des pièces jointes.
Répéter
Choisissez si vous souhaitez générer le rapport une seule fois ou de manière répétée :
• Une fois : le rapport n’est généré qu’une seule fois.
• Quotidien : le rapport est généré et remis tous les jours de manière répétée (à moins que vous n’ayez
spécifié une récurrence qui se termine après un certain nombre d'occurrences).
• Hebdomadaire : le rapport est généré et remis de manière répétée le ou les jours sélectionnés de la
semaine.
• Mensuel : le rapport est généré et remis une fois par mois, le jour sélectionné.
À partir du
Sélectionnez la date de début des rapports.
Fin
Sélectionnez la date de fin de l’intervalle de récurrence.
Destinataires
Indiquez l’adresse e-mail du destinataire du rapport, puis appuyez sur Entrée pour confirmer l’opération. Répétez
l’opération pour ajouter plusieurs destinataires.
Pour obtenir des informations détaillées ou afficher des actions, cliquez sur l'icône
Action
Afficher les détails
30
Utilisation
Affiche des informations détaillées sur un rapport.
et sélectionnez une action :
Action
Utilisation
Générer &
Télécharger
Cliquez sur Générer & Télécharger), puis sélectionnez le format PDF ou CSV. Le format PDF
comprend des données sous forme de graphique. Le format CSV comporte des données
brutes. Les rapports sont collectés selon les options spécifiées. Si vous avez sélectionné
Exchange Online, OneDrive, groupes d'équipes ou sites SharePoint, le fichier de sortie est
une archive au format ZIP contenant des fichiers de rapport au format PDF ou CSV.
Modifier
Permet de modifier la configuration d’un rapport existant.
Supprimer
Permet de supprimer entièrement le rapport sélectionné.
Pour filtrer les rapports, cliquez sur Ajouter un filtre, sélectionnez un type de filtre dans le menu déroulant ou
saisissez une chaîne (répétez l’opération lorsque vous associez plusieurs critères) :
Ajouter un filtre
Utilisation
Nom
Saisissez le nom partiel ou complet du rapport.
Planifié
Sélectionnez Non planifié, Une fois, Quotidien, Hebdomadaire ou Mensuel.
Données
Sélectionnez Exchange Online, OneDrive, groupes d’équipes ou sites SharePoint pour filtrer par
données.
Quarantaine
Gestion simple des objets (e-mails et fichiers) mis en quarantaine par ESET Cloud Office Security. Basculez entre
Exchange Online, OneDrive, les groupes d'équipes et les sites SharePoint à l'aide des onglets. Vous pouvez
consulter de nombreuses informations sur chaque objet.
Cliquez sur l'icône
pour ouvrir une barre latérale contenant le résumé d'un objet spécifique. Pour obtenir des
informations plus détaillées, cliquez sur l'icône
et sélectionnez Afficher les détails.
Naviguez dans l’arborescence pour afficher les objets uniquement pour un client ou un groupe spécifique. Pour
afficher toutes les détections de tous les clients et groupes, cliquez sur Tous.
Inspectez les e-mails ou les fichiers en quarantaine et exécutez une action (Supprimer ou Libérer). Vous pouvez
également télécharger le fichier d’origine ou l’archive protégée par mot de passe au format .zip.
Lorsque vous estimez qu'une détection n'est pas malveillante (faux positif), vous pouvez libérer un fichier
de la quarantaine. Le fichier libéré est automatiquement mis sur une liste blanche, selon le hachage. Toutes
les prochaines occurrences du même fichier, pour le même utilisateur, ne seront pas détectées comme
étant suspectes et ne seront pas mises en quarantaine. La mise sur liste blanche automatique est effectuée
par utilisateur. Pour les autres utilisateurs, le même fichier sera toujours détecté comme étant suspect et
mis en quarantaine.
Vous pouvez supprimer un fichier de la liste blanche dans la liste Détections à l’aide de l’option Supprimer
les éléments en liste blanche.
Cliquez sur l'icône
Action
Afficher les détails
31
et sélectionnez une action :
Utilisation
Affiche des informations détaillées sur l'e-mail en quarantaine.
Action
Utilisation
Libérer (e-mails ou
fichiers)
Envoie depuis la quarantaine l’e-mail à ou aux destinataires d’origine sous la forme d’un
e-mail de notification avec le message d’origine en tant que pièce jointe. Dans le cas
d’un élément OneDrive, le fichier est téléchargé à son emplacement d’origine dans
l'espace OneDrive de l’utilisateur. Lors de la libération d'un fichier à partir d'un groupe
d'équipes ou d'un site SharePoint, le fichier apparaît de nouveau à son emplacement
d'origine. Le fichier libéré est automatiquement mis sur une liste blanche, selon le
hachage. Cela évite que le fichier soit remis en quarantaine.
Supprimer
Supprime l'élément de la quarantaine.
Télécharger le fichier
d’origine
Téléchargez le fichier non protégé dans sa forme d’origine.
Télécharger l'archive
protégée par mot de
passe
Téléchargez l'archive protégée par mot de passe.
Soumettre un
échantillon
La boîte de dialogue de soumission d’échantillons permet d’envoyer un fichier suspect
ou un courrier indésirable à ESET pour analyse. Sélectionnez un motif de soumission
d'échantillon dans le menu déroulant.
Pour faciliter la recherche d’un objet particulier mis en quarantaine, vous pouvez appliquer un filtre comportant
plusieurs critères. Cliquez sur Ajouter un filtre, sélectionnez le type de filtre dans le menu déroulant ou saisissez
une chaîne (répétez l’opération lorsque vous associez critères) :
Est survenu de
Indiquez une plage « date de début ».
Est survenu dans Indiquez une « date de fin ».
Objet
S'applique aux messages qui contiennent ou non une chaîne spécifique (ou une expression
régulière) dans l'objet.
Message-ID
Filtrez les e-mails par Message-ID unique lorsque vous recherchez un message spécifique,
notamment dans les journaux volumineux contenant de nombreux messages ou plusieurs
tentatives de remise.
De
Filtrez les messages par expéditeur spécifique.
À
Filtrez les messages par destinataires.
Boîte aux lettres S'applique aux messages situés dans une boîte aux lettres spécifique.
Résultat du scan Sélectionnez l'une des options suivantes : Logiciel malveillant,
Logiciel malveillant (détecté
par ESET LiveGuard Advanced), hameçonnage ou courrier indésirable.
Équipe
Saisissez un nom d’équipe valide.
Type de fichier
Saisissez un nom d’objet valide.
Site
Saisissez un nom de site valide.
La période de conservation des objets en quarantaine est de 30 jours. Les objets datant de plus de 30 jours
seront définitivement supprimés de la quarantaine.
Journaux d\'analyse
Répertorie tous les résultats d’analyse par ESET Cloud Office Security. Les journaux sont semblables aux
détections mais des objets nettoyés peuvent aussi être inclus dans la liste (activez le paramètre Consigner tous les
objets dans les stratégies). Basculez entre Exchange Online, OneDrive, les groupes d'équipes, les sites SharePoint
et les fichiers soumis à l'aide des onglets. Vous pouvez consulter de nombreuses informations sur chaque
détection. Les fichiers soumis sont une liste de fichiers envoyés à ESET LiveGuard Advanced pour analyse.
32
Cliquez sur l'icône
pour ouvrir une barre latérale contenant le résumé d'une entrée spécifique du journal.
Pour obtenir des informations plus détaillées, cliquez sur l'icône
et sélectionnez Afficher les détails.
Naviguez dans l’arborescence pour n'afficher des entrées de journal que pour un client ou un groupe spécifique.
Pour afficher toutes les détections de tous les clients et groupes, cliquez sur Tous.
Si un résultat d’analyse est Non analysé, le motif peut varier. Pour plus d’informations, consultez les
limites.
Lorsque vous cliquez sur l'icône d'engrenage
dans le coin supérieur droit pour accéder à l'option Exporter vers
le fichier CSV dans le menu contextuel, vous pouvez exporter la grille de la table au format CSV et l'utiliser dans
d'autres applications pour utiliser la liste.
Pour faciliter la recherche d’une entrée de journal spécifique, vous pouvez appliquer un filtre comportant
plusieurs critères. Cliquez sur Ajouter un filtre, sélectionnez le type de filtre dans le menu déroulant ou saisissez
une chaîne (répétez l’opération lorsque vous associez critères) :
Est survenu de
Est survenu dans
Indiquez une plage « date de début ».
Indiquez une « date de fin ».
Source de données Sélectionnez l'une des options suivantes : Exchange Online, OneDrive, groupe d'équipes et
site SharePoint.
Boîte aux lettres
S'applique aux messages situés dans une boîte aux lettres spécifique.
De
Filtrez les messages par expéditeur spécifique.
À
Filtrez les messages par destinataires.
Objet
S'applique aux messages qui contiennent ou non une chaîne spécifique dans l'objet.
Message-ID
Filtrez les e-mails par Message-ID unique lorsque vous recherchez un message spécifique,
notamment dans les journaux volumineux contenant de nombreux messages ou plusieurs
tentatives de remise.
Résultat du scan
Sélectionnez l'une des options suivantes : Logiciel malveillant,
Logiciel malveillant
(détecté par ESET LiveGuard Advanced) Hameçonnage, Courrier indésirable, Nettoyage, Non
analysé, Erreur ou Désactivé.
Action
Sélectionnez l'une des actions disponibles.
Propriétaires
Saisissez un nom de propriétaire valide.
Type de fichier
Saisissez un nom d’objet valide.
Détection
Saisissez un nom de détection valide.
Hachage
Saisissez un hachage de détection valide.
Équipe
Saisissez un nom d’équipe valide.
Site
Saisissez un nom de site valide.
La période de conservation des entrées de journal est de 90 jours. Les entrées datant de plus de 90 jours
seront définitivement supprimées. Si vous disposez d’une politique qui utilise l'option Consigner tous les
objets, la conservation des entrées de journal avec des résultats d'analyse Non infecté est de 3 jours. Les
résultats d’analyse Non infecté datant de plus de 3 jours seront définitivement supprimés.
Politique par défaut
Les grandes entreprises ont généralement plusieurs services et souhaitent configurer différents paramètres de
protection pour chaque unité d’organisation. ESET Cloud Office Security propose des paramètres de protection
33
basés sur des politiques qui peuvent être personnalisés selon vos besoins et affectés à des utilisateurs et des
groupes d'utilisateurs, des clients, des groupes d'équipes et des sites SharePoint sélectionnés.
Pour ajouter des critères de filtrage, cliquez sur Ajouter un filtre, sélectionnez le nom de l’élément applicable,
puis saisissez un nom de politique valide. L’arborescence des politiques montre les clients et leurs groupes
d'utilisateurs, leurs groupes d'équipes et leurs sites SharePoint, notamment un groupe Non affecté qui contient
des politiques personnalisées qui ne sont attribuées à aucune cible.
Vous pouvez ajouter une politique ou modifier une politique existante et ses paramètres :
1. Cliquez sur Politiques > Nouvelle politique.
2. Saisissez le nom et la description de la nouvelle politique.
3. Sélectionnez une cible et configurez une politique pour les éléments suivants :
• Clients : Configurer la protection Exchange Online, OneDrive, des sites SharePoint et des groupes
d’équipes et l’attribuer aux clients sélectionnés
• Utilisateurs : Configurer la protection Exchange Online et OneDrive et l’attribuer aux utilisateurs ou aux
groupes d'utilisateurs sélectionnés
• Team groupes : Configurer la protection des groupes d’équipes et l’attribuer aux groupes d’équipes
sélectionnés
• Sites SharePoint : Configurer la protection des sites SharePoint et l’attribuer aux sites sélectionnés
4. Personnalisez les paramètres de protection pour Exchange Online, OneDrive, les groupes d'équipes, les sites
SharePoint ou ESET LiveGuard Advanced, puis cliquez sur Suivant.
5. Cliquez sur Affecter et choisissez une cible à affecter à la politique.
6. Cliquez sur Enregistrer les modifications pour enregistrer le paramètre de politique.
Principes des politiques
Politique par défaut
• S’applique à tous les utilisateurs (protégés et non protégés)
• Ne peut pas être modifiée ni supprimée
Une politique personnalisée peut être attribuée aux éléments suivants :
• Utilisateurs : s'applique à des utilisateurs sélectionnés manuellement.
• Groupes : politique qui s'applique à tous les membres du groupe d'utilisateurs.
• Clients : politique qui s'applique à toutes les entités au sein du client.
• Groupes d'équipes : politique qui s'applique à un groupe d'équipe.
• Sites SharePoint : politique qui s'applique à un site SharePoint.
La politique personnalisée affectée à un client ou à un groupe est fusionnée avec la politique par défaut.
Une politique de client, de groupe, de groupes d'équipes ou de sites SharePoint personnalisée est prioritaire
par rapport à une politique par défaut.
Une politique personnalisée affectée à un utilisateur est fusionnée avec la politique de client, de groupe, de
groupes d'équipes, de sites SharePoint et la politique par défaut.
Une politique d’utilisateur personnalisée est prioritaire par rapport à une politique de client ou de groupe et à
une politique par défaut Toutefois, lorsqu'un utilisateur télécharge un fichier vers le groupe d'équipes ou le
site SharePoint, une politique est appliquée pour le groupe d'équipes ou le site SharePoint.
34
Les utilisateurs et les clients peuvent se voir attribuer plusieurs politiques personnalisées, mais la politique
effective est calculée en fonction de la priorité (ordre).
Configuration des listes Antispam lors de la fusion des politiques
L'option de fusion s'applique aux configurations listes antispam et Avertir l’administrateur (adresses des emails de notification par la protection contre les programmes malveillants et l'anti-hameçonnage).
Lorsqu'il existe plusieurs politiques avec des listes antispam (listes d'adresses IP, de domaines ou d'adresses
électroniques approuvées, bloquées et ignorées) ou des adresses d'administrateur de protection contre les
programmes malveillants et anti-hameçonnage pour les e-mails de notification, choisissez la politique de
fusion :
Remplacer : permet de conserver uniquement les nouvelles entrées de liste (option par défaut). Toutes les
listes des politiques précédentes sont remplacées par les nouvelles entrées de liste de la politique actuelle.
Ajouter : permet d'étendre les listes des politiques précédentes en ajoutant de nouvelles entrées. Fusionnez
les listes des politiques précédentes avec les nouvelles entrées de la politique actuelle. Les nouvelles entrées
sont placées à la fin (en bas) des listes existantes des politiques précédentes.
Avant que l'option de fusion devienne disponible, le comportement par défaut était Remplacer. Si vous
utilisez déjà des politiques avec des listes antispam spécifiques, vous pouvez conserver l'option
Remplacer par défaut ou la remplacer par l'option Ajouter si vous le souhaitez.
Créez une politique avec une liste antispam définie, puis sélectionnez l'option de fusion (à condition
qu'il existe déjà des politiques avec des listes antispam).
1. Cliquez sur Politiques > Nouvelle politique.
2. Saisissez le nom et la description de la nouvelle politique, sélectionnez Clients comme cible, puis
cliquez sur Suivant.
3. Développez Exchange Online - Antispam, puis cliquez sur Modifier en regard de la liste des adresses
IP bloquées.
4. Cliquez sur Ajouter, saisissez l'adresse IP, appuyez sur la touche Entrée pour terminer l'action (vous
pouvez aussi importer la liste à partir d'un fichier), puis cliquez sur Enregistrer les modifications.
5. Sélectionnez Ajouter comme option de fusion dans le menu déroulant, puis cliquez sur Suivant.
6. Cliquez sur Affecter, sélectionnez Affecter aux clients dans le menu déroulant, cochez la case en
regard du client, puis cliquez sur OK.
7. Cliquez sur Enregistrer les modifications pour terminer le processus.
Pour réorganiser la priorité des politiques, cliquez sur Modifier l’ordre. Sélectionnez une ou plusieurs
politiques, puis cliquez sur Appliquer plus tôt ou Appliquer ultérieurement pour modifier la priorité. Les
politiques sont appliquées globalement (indépendamment de l’affectation : client, groupe ou utilisateur)
dans l’ordre indiqué, du haut vers le bas. La politique par défaut est toujours appliquée en premier.
Pour effectuer les actions suivantes, sélectionnez la politique et cliquez sur l’icône
Action
:
Utilisation
Afficher les détails Affiche des informations détaillées sur une politique créée, ainsi que sur les paramètres et la
politique qui lui sont attribués.
Modifier
Permet de modifier la configuration d’une politique existante.
Affecter
Sélectionnez les utilisateurs, les clients, les groupes d'équipes ou les sites SharePoint auxquels
la politique s'applique.
35
Action
Utilisation
Dupliquer
Créez une politique à partir du modèle sélectionné. Un nouveau nom est requis pour la
politique dupliquée.
Supprimer
Permet de supprimer entièrement la politique sélectionnée.
Créez une politique de client personnalisée pour afficher tous les résultats d’analyse (y compris le
nettoyage) dans les journaux. Une politique de client s’applique à tous les utilisateurs (protégés et non
protégés).
1. Cliquez sur Politiques > Nouvelle politique.
2. Saisissez le nom et la description de la nouvelle politique, sélectionnez Clients comme cible, puis cliquez
sur Suivant.
3. Développez Exchange Online - Général, puis utilisez le curseur pour activer l’option Consigner tous les
objets.
4. Développez la section OneDrive - Général, puis utilisez le curseur pour activer l’option Consigner tous les
objets.
5. Développez la section Groupes d'équipes - Général, puis utilisez le curseur pour activer l’option
Consigner tous les objets.
6. Développez la section Sites SharePoint - Général, puis utilisez le curseur pour activer l’option Consigner
tous les objets et cliquez sur Suivant.
7. Cliquez sur Affecter, cochez la case située en regard du client, puis cliquez sur OK.
8. Cliquez sur Enregistrer les modifications pour terminer le processus.
Créez une politique personnalisée pour des utilisateurs spécifiques avec des paramètres avancés qui aura
un impact sur la manière dont les logiciels malveillants, le courrier indésirable et le hameçonnage sont
traités. Une fois cette politique en place, les pièces jointes aux e-mails qui contiennent des logiciels
malveillants seront supprimées, le courrier indésirable sera déplacé vers le dossier de courrier indésirable
de l’utilisateur, les e-mails d’hameçonnage feront l’objet d’un marquage et seront mis en quarantaine et le
contenu des fichiers de logiciels malveillants situé sur OneDrive sera remplacé par du texte brut.
1. Cliquez sur Politiques > Nouvelle politique.
2. Saisissez le nom et la description de la nouvelle politique, sélectionnez Utilisateurs comme cible, puis
cliquez sur Suivant.
3. Développez Exchange Online - Anti-logiciel malveillant et utilisez le menu déroulant en regard de l’option
Lorsque des éléments sont signalés pour sélectionner Supprimer la pièce jointe.
4. Développez Exchange Online - Anti-courrier indésirable et utilisez le menu déroulant en regard de
l’option Lorsque des éléments sont signalés pour sélectionner Déplacer vers courrier indésirable.
5. Développez Exchange Online - Antihameçonnage, puis utilisez le curseur pour activer l'option Objet de la
notification. Vous pouvez également modifier le texte de l’objet de la notification si vous souhaitez le
personnaliser.
6. Développez OneDrive Online - Anti-logiciel malveillant, puis utilisez le menu déroulant en regard de
l’option Lorsque des éléments sont signalés pour sélectionner Remplacer et cliquez sur Suivant.
7. Cliquez sur Affecter, cochez les cases en regard des utilisateurs auxquels vous souhaitez appliquer la
politique, puis cliquez sur OK. Si une politique personnalisée est déjà appliquée à un utilisateur, elle est
remplacée par la nouvelle.
8. Cliquez sur Enregistrer les modifications pour terminer le processus.
Paramètres de protection d'Exchange Online
Cette section fournit des informations sur la modification des options et des paramètres généraux, anti-logiciel
malveillant, anti-courrier indésirable et antihameçonnage Exchange Online selon vos besoins.
Exchange Online - Général
36
ESET LiveGrid®Commentaires sur
Les données seront envoyées au laboratoire ESET pour analyse. Pour en savoir plus sur ces types d'applications,
consultez le glossaire.
Consigner tous les objets
Si cette option est sélectionnée, tous les résultats d’analyse (y compris Non infecté) sont affichés dans les
journaux. La politique de conservation des résultats d’analyse qui sont Non infecté est de trois jours. Les résultats
d’analyse datant de plus de trois jours seront définitivement supprimés.
Exchange Online – Anti-logiciel malveillant
Activer Exchange Online – Anti-logiciel malveillant
Lorsque cette fonctionnalité est activée, elle est active et vous pouvez configurer des options détaillées.
Rapports et protection par apprentissage machine
L’apprentissage machine avancé fait désormais partie du moteur de détection. Il constitue couche avancée de
protection qui améliore la détection basée sur l’apprentissage machine. Lisez les informations suivantes avant de
modifier un seuil (ou niveau) pour les rapports ou la protection d'une catégorie :
Lorsque des éléments sont signalés
• Aucune action : aucune action n’est effectuée et l’e-mail est remis au destinataire.
• Déplacer vers le courrier indésirable : l’e-mail est déplacé vers le dossier Courrier indésirable.
• Déplacer vers la corbeille : l’e-mail est déplacé vers le dossier Corbeille.
• Supprimer : l’e-mail est supprimé.
• Mettre en quarantaine le message entier : L’e-mail d’origine est supprimé et une copie de celui-ci est
stockée dans la quarantaine. Si vous décidez de retirer l'e-mail de la quarantaine, il est envoyé en tant que
pièce jointe dans un nouvel e-mail et remis au destinataire.
• Supprimer la pièce jointe : Supprime la pièce jointe d'un message. Le message sera remis au destinataire
sans la pièce jointe.
• Remplacer la pièce jointe : remplace la pièce jointe par un fichier texte contenant des informations
détaillées sur une action entreprise.
• Mettre en quarantaine la pièce jointe : La pièce jointe est supprimée de l'e-mail et placée dans la
quarantaine des fichiers.
Texte de remplacement de la pièce jointe
Remplace la pièce jointe par un fichier texte contenant des informations détaillées sur une action entreprise.
Avertir le propriétaire de la boîte aux lettres
Lorsque cette option est activée, l’utilisateur reçoit un e-mail de notification quand une détection est effectuée.
37
Langue
Sélectionnez la langue souhaitée dans le menu déroulant. Le propriétaire de la boîte aux lettres recevra les
notifications par e-mail dans la langue sélectionnée lorsqu’un objet sera libéré de la quarantaine Exchange Online.
Cette option remplace la langue du client par défaut dans les paramètres.
Avertir l’administrateur
Indiquez l’adresse e-mail (appuyez sur entrée pour ajouter plusieurs adresses) qui recevra les e-mails de
notification quand une détection est effectuée pour un utilisateur Exchange Online.
Objet de la notification
Lorsque cette option est activée, vous pouvez modifier les modèles ajoutés à l'objet des messages infectés.
Texte de l'objet de la notification
Vous pouvez ajouter une notification personnalisée aux objets des messages affectés.
Exchange Online – Anti-courrier indésirable
Activer Exchange Online – Anti-courrier indésirable
Lorsque cette fonctionnalité est activée, elle est active et vous pouvez configurer des options détaillées.
Lorsque des éléments sont signalés
• Aucune action : aucune action n’est effectuée et l’e-mail est remis au destinataire.
• Déplacer vers le courrier indésirable : l’e-mail est déplacé vers le dossier Courrier indésirable.
• Déplacer vers la corbeille : l’e-mail est déplacé vers le dossier Corbeille.
• Supprimer : l’e-mail est supprimé.
• Mettre en quarantaine le message entier : L’e-mail d’origine est supprimé et une copie de celui-ci est
stockée dans la quarantaine. Si vous décidez de retirer l'e-mail de la quarantaine, il est envoyé en tant que
pièce jointe dans un nouvel e-mail et remis au destinataire.
Objet de la notification
Lorsque cette option est activée, vous pouvez modifier les modèles ajoutés à l'objet des messages infectés.
Texte de l'objet de la notification
Vous pouvez ajouter une notification personnalisée aux objets des messages affectés.
Vous pouvez configurer des listes d'éléments approuvés, bloqués et ignorés en spécifiant des critères tels que
l'adresse IP ou la plage, le nom de domaine, etc. Pour ajouter, modifier ou supprimer un critère, cliquez sur
Modifier pour la liste à gérer. Vous pouvez aussi importer votre liste personnalisée à partir d'un fichier (.txt)
plutôt que d'ajouter chaque entrée manuellement, cliquer sur Importer et accéder au fichier contenant les
entrées à ajouter à la liste. De même, si vous devez exporter la liste existante vers un fichier (.txt), sélectionnez
Exporter dans le menu contextuel.
38
Liste des adresses IP
approuvées
Met automatiquement en liste blanche les messages électroniques provenant des
adresses IP spécifiées. Le contenu de l'e-mail ne sera pas vérifié.
Liste des adresses IP
bloquées
Bloque automatiquement les messages électroniques provenant des adresses IP
spécifiées.
Liste des adresses IP
ignorées
Liste des adresses IP qui sont ignorées pendant la classification. Le contenu de l'e-mail
sera vérifié.
Liste des expéditeurs
approuvés
Met en liste blanche les e-mails provenant d'un expéditeur ou d'un domaine
spécifique. Une seule adresse d'expéditeur ou un domaine entier est utilisé pour la
vérification selon la priorité suivante :
1.Adresse SMTP 'MAIL FROM'
2.Champ d'en-tête d'e-mail "Return-Path:"
3.Champ d'en-tête d'e-mail "X-Env-Sender:"
4.Champ d'en-tête d'e-mail "From:"
5.Champ d'en-tête d'e-mail "Sender:"
6.Champ d'en-tête d'e-mail "X-Apparently-From:"
Liste des expéditeurs
bloqués
Bloque les e-mails provenant d'un expéditeur ou d'un domaine spécifique. Toutes les
adresses des expéditeurs identifiées ou des domaines entiers sont utilisés pour la
vérification :
Adresse SMTP 'MAIL FROM'
Champ d'en-tête d'e-mail "Return-Path:"
Champ d'en-tête d'e-mail "X-Env-Sender:"
Champ d'en-tête d'e-mail "From:"
Champ d'en-tête d'e-mail "Sender:"
Champ d'en-tête d'e-mail "X-Apparently-From:"
Exchange Online – Antihameçonnage
Activer Exchange Online – Antihameçonnage
Lorsque cette fonctionnalité est activée, elle est active et vous pouvez configurer des options détaillées.
Lorsque des éléments sont signalés
• Aucune action : Aucune action n’est effectuée et l'e-mail comportant la pièce jointe malveillante est remis
au destinataire.
• Déplacer vers le courrier indésirable : l’e-mail est déplacé vers le dossier Courrier indésirable.
• Déplacer vers la corbeille : l’e-mail est déplacé vers le dossier Corbeille.
• Supprimer : l’e-mail est supprimé.
• Mettre en quarantaine le message entier : L’e-mail d’origine est supprimé et une copie de celui-ci est
stockée dans la quarantaine. Si vous décidez de retirer l'e-mail de la quarantaine, il est envoyé en tant que
pièce jointe dans un nouvel e-mail et remis au destinataire.
Avertir le propriétaire de la boîte aux lettres
Lorsque cette option est activée, l’utilisateur reçoit un e-mail de notification quand une détection est effectuée.
Avertir l’administrateur
Indiquez l’adresse e-mail (appuyez sur entrée pour ajouter plusieurs adresses) qui recevra les e-mails de
39
notification quand une détection est effectuée pour un utilisateur Exchange Online.
Objet de la notification
Lorsque cette option est activée, vous pouvez modifier les modèles ajoutés à l'objet des messages infectés.
Texte de l'objet de la notification
Vous pouvez ajouter une notification personnalisée aux objets des messages affectés.
Paramètres de protection de OneDrive
Cette section fournit des informations sur la modification des options et des paramètres généraux OneDrive ou
OneDrive - Anti-logiciel malveillant selon vos besoins.
OneDrive - Général
ESET LiveGrid®Commentaires sur
Les données seront envoyées au laboratoire ESET pour analyse. Pour en savoir plus sur ces types d'applications,
consultez le glossaire.
Consigner tous les objets
Si cette option est sélectionnée, tous les résultats d’analyse (y compris Non infecté) sont affichés dans les
journaux. La politique de conservation des résultats d’analyse qui sont Non infecté est de trois jours. Les résultats
d’analyse datant de plus de trois jours seront définitivement supprimés.
OneDrive - Anti-logiciel malveillant
OneDrive - Anti-logiciel malveillant
Lorsque cette fonctionnalité est activée, elle est active et vous pouvez configurer des options détaillées.
Rapports et protection par apprentissage machine
L’apprentissage machine avancé fait désormais partie du moteur de détection. Il constitue couche avancée de
protection qui améliore la détection basée sur l’apprentissage machine. Lisez les informations suivantes avant de
modifier un seuil (ou niveau) pour les rapports ou la protection d'une catégorie :
Lorsque des éléments sont signalés
• Aucune action : aucune action n’est effectuée et le fichier reste sur OneDrive.
• Déplacer vers la corbeille : le fichier est déplacé vers le dossier Corbeille de OneDrive.
• Remplacer : le contenu du fichier d'origine est remplacé par le texte défini dans le champ Texte de
remplacement du fichier ci-dessous.
• Quarantaine : le fichier d'origine est déplacé vers le dossier Corbeille de OneDrive et copié dans la
40
quarantaine. Lorsque le fichier est libéré, le fichier précédemment supprimé reste dans la corbeille et une
nouvelle copie est chargée dans le dossier OneDrive d’origine.
Texte de remplacement du fichier
Remplace la pièce jointe par un fichier texte contenant des informations détaillées sur une action entreprise.
Avertir le propriétaire
Lorsque cette option est activée, l’utilisateur reçoit un e-mail de notification quand une détection est effectuée.
Avertir l’administrateur
Indiquez l’adresse e-mail (appuyez sur entrée pour ajouter plusieurs adresses) qui recevra les e-mails de
notification quand une détection est effectuée pour un utilisateur OneDrive.
Paramètres de protection des groupes d'équipes
Cette section fournit des informations sur la modification des options et des paramètres généraux des groupes
d'équipes ou Groupes d'équipes - Anti-malware selon vos besoins.
Groupes d'équipe - Général
ESET LiveGrid®Commentaires sur
Les données seront envoyées au laboratoire ESET pour analyse. Pour en savoir plus sur ces types d'applications,
consultez le glossaire.
Consigner tous les objets
Si cette option est sélectionnée, tous les résultats d’analyse (y compris Non infecté) sont affichés dans les
journaux. La politique de conservation des résultats d’analyse qui sont Non infecté est de trois jours. Les résultats
d’analyse datant de plus de trois jours seront définitivement supprimés.
Groupes d'équipe - Anti-malware
Groupes d'équipe - Anti-malware
Lorsque cette fonctionnalité est activée, elle est active et vous pouvez configurer des options détaillées.
Rapports et protection par apprentissage machine
L’apprentissage machine avancé fait désormais partie du moteur de détection. Il constitue couche avancée de
protection qui améliore la détection basée sur l’apprentissage machine. Lisez les informations suivantes avant de
modifier un seuil (ou niveau) pour les rapports ou la protection d'une catégorie :
Lorsque des éléments sont signalés
• Aucune action : aucune action n'est effectuée. Le fichier reste intact.
• Déplacer vers la corbeille : le fichier est déplacé vers la corbeille Teams.
41
• Remplacer : le contenu du fichier d'origine est remplacé par le texte défini dans le champ Texte de
remplacement du fichier ci-dessous.
• Quarantaine : le fichier d'origine est déplacé vers la corbeille Teams et copié dans la quarantaine. Lorsque
le fichier est libéré, le fichier précédemment supprimé reste dans la corbeille et une nouvelle copie est
placée à l'emplacement d’origine.
Texte de remplacement du fichier
Remplace la pièce jointe par un fichier texte contenant des informations détaillées sur une action entreprise.
Avertir le propriétaire
Lorsque cette option est activée, l’utilisateur reçoit un e-mail de notification quand une détection est effectuée.
Avertir l’administrateur
Indiquez l’adresse e-mail (appuyez sur entrée pour ajouter plusieurs adresses) qui recevra les e-mails de
notification quand une détection est effectuée pour un utilisateur Exchange Online.
Paramètres de protection des sites SharePoint
Cette section fournit des informations sur la modification des options et des paramètres généraux des sites
SharePoint ou Sites SharePoint - Anti-malware selon vos besoins.
Sites SharePoint - Général
ESET LiveGrid®Commentaires sur
Les données seront envoyées au laboratoire ESET pour analyse. Pour en savoir plus sur ces types d'applications,
consultez le glossaire.
Consigner tous les objets
Si cette option est sélectionnée, tous les résultats d’analyse (y compris Non infecté) sont affichés dans les
journaux. La politique de conservation des résultats d’analyse qui sont Non infecté est de trois jours. Les résultats
d’analyse datant de plus de trois jours seront définitivement supprimés.
Sites SharePoint - Anti-malware
Sites SharePoint - Anti-malware
Lorsque cette fonctionnalité est activée, elle est active et vous pouvez configurer des options détaillées.
Rapports et protection par apprentissage machine
L’apprentissage machine avancé fait désormais partie du moteur de détection. Il constitue couche avancée de
protection qui améliore la détection basée sur l’apprentissage machine. Lisez les informations suivantes avant de
modifier un seuil (ou niveau) pour les rapports ou la protection d'une catégorie :
42
Lorsque des éléments sont signalés
• Aucune action : aucune action n'est effectuée. Le fichier reste intact.
• Déplacer vers la corbeille : le fichier est déplacé vers la corbeille SharePoint.
• Remplacer : le contenu du fichier d'origine est remplacé par le texte défini dans le champ Texte de
remplacement du fichier ci-dessous.
• Quarantaine : le fichier d'origine est déplacé vers la corbeille SharePoint et copié dans la quarantaine.
Lorsque le fichier est libéré, le fichier précédemment supprimé reste dans la corbeille et une nouvelle copie
est placée à l'emplacement d’origine.
Texte de remplacement du fichier
Remplace la pièce jointe par un fichier texte contenant des informations détaillées sur une action entreprise.
Avertir le propriétaire
Lorsque cette option est activée, l’utilisateur reçoit un e-mail de notification quand une détection est effectuée.
Avertir l’administrateur
Indiquez l’adresse e-mail (appuyez sur entrée pour ajouter plusieurs adresses) qui recevra les e-mails de
notification quand une détection est effectuée pour un utilisateur Exchange Online.
Paramètres de protection de ESET LiveGuard Advanced
Pour utiliser la fonctionnalité ESET LiveGuard Advanced, configurez une politique qui active l’analyse ESET
LiveGuard Advanced. Les utilisateurs ou les groupes auxquels cette politique a été attribuée bénéficieront d'une
protection supplémentaire. Les fichiers envoyés pour l'analyse ESET LiveGuard Advanced sont répertoriés dans
l’onglet Fichiers soumis. Cela s’applique aux échantillons suspects inconnus (nouveaux). Les fichiers malveillants
connus (selon l'hachage) ne sont pas envoyés pour l'analyse ESET LiveGuard Advanced.
Les résultats ESET LiveGuard Advanced sont disponibles dans les journaux (Exchange Online, OneDrive, groupes
d’équipes ou sites SharePoint) et sont marqués comme étant des logiciels malveillants .
ESET LiveGuard Advanced
Lorsque cette fonctionnalité est activée, elle est active et vous pouvez configurer des options détaillées.
ESET LiveGuard Advanced active automatiquement les commentaires ESET LiveGrid®. Les données seront
envoyées au laboratoire ESET pour analyse. Pour en savoir plus sur ESET LiveGrid®, consultez le glossaire .
Seuil de détection
Les résultats avec un niveau de seuil sélectionné et un niveau supérieur seront considérés comme des menaces.
Soumission automatique des échantillons suspects (menu déroulant)
Ce paramètre est associé à ESET LiveGrid® et permet les actions suivantes : Tout, Tout à l’exception des
43
documents, Aucun.
Soumission automatique des échantillons suspects (curseurs)
Choisissez les types de fichiers à soumettre à ESET LiveGuard Advanced s'ils contiennent un code suspect
ressemblant à des menaces ou présentent des caractéristiques ou un comportement inhabituels :
• Exécutables – .exe, .dll, .sys
• Archives – .zip, .rar, .7z, .arch, .arj, .bzip2, .gzip, .ace, .arc, .cab
• Scripts – .bat, .cmd, .hta, .js, .vbs, .js, .ps1
• Autre – .jar, .reg, .msi, .swf, .lnk
Supprimer les échantillons suspects des serveurs d’ESET
Choisissez quand supprimer les échantillons envoyés pour analyse. Supprimez les échantillons du cloud ESET
LiveGuard Advanced : Jamais, Après 30 jours, Immédiatement après analyse.
Documents
Utilisez le curseur pour autoriser les documents Microsoft Office, les PDF et d’autres types de documents à
envoyer pour l'analyse ESET LiveGuard Advanced.
Supprimer les documents des serveurs d'ESET
Supprimez les échantillons ayant le format de fichier de document du cloud ESET LiveGuard Advanced : Jamais,
Après 30 jours, Immédiatement après analyse.
Rapports et protection par apprentissage machine
Le moteur de détection vous protège des attaques contre le système en analysant les fichiers, les e-mails, ainsi
que les communications réseau. Si un objet classé en tant que logiciel malveillant est détecté, la correction
commencera. Le moteur de détection peut l'éliminer en le bloquant dans un premier temps, puis en exécutant
une action comme le nettoyage, la suppression ou la mise en quarantaine.
Protection en temps réel et par apprentissage machine
L’apprentissage machine avancé fait désormais partie du moteur de détection. Il constitue couche avancée de
protection qui améliore la détection basée sur l’apprentissage machine. Pour en savoir plus sur ce type de
protection, consultez le Glossaire. Vous pouvez configurer les niveaux des rapports pour les catégories suivantes :
Logiciel malveillant
Un virus informatique est un fragment de code malveillant ajouté à des fichiers qui sont sur votre ordinateur. Le
terme « virus » est souvent utilisé de manière incorrecte. Le terme « logiciel malveillant »(malware, en anglais)
est plus précis. La détection des logiciels malveillants est effectuée par le module du moteur de détection associé
au composant d'apprentissage machine. Pour en savoir plus sur ces types d'applications, consultez le glossaire.
44
Applications potentiellement indésirables
Une application potentiellement indésirable est un logiciel dont l’objectif n’est pas nécessairement malveillant. Il
peut toutefois installer d'autres logiciels non souhaités, modifier le comportement de l'appareil numérique,
effectuer des activités non approuvées ou non attendues par l'utilisateur ou avoir d'autres objectifs flous.
Cette catégorie comprend : logiciels qui affichent des publicités, wrappers de téléchargement, diverses barres
d'outils de navigateur, logiciels avec un comportement trompeur, bundleware, trackware.
Pour en savoir plus sur ces types d'applications, consultez le glossaire.
Applications potentiellement suspectes
Une application suspecte est un logiciel compressé par des compresseurs ou des programmes de protection qui
est souvent utilisée pour décourager l'ingénierie inverse ou pour obfusquer le contenu de l'exécutable (pour
masquer la présence de logiciels malveillants par exemple) par des méthodes propriétaires de compression et/ou
chiffrement.
Cette catégorie comprend les éléments suivants : toutes les applications inconnues compressées à l'aide d'un
compresseur ou d'un programme de protection fréquemment utilisées pour compresser les logiciels malveillants.
Applications potentiellement dangereuses
Cette classification s'utilise pour des logiciels authentiques du commerce susceptibles d'être utilisés à des fins
malveillantes. Les applications dangereuses sont des logiciels commerciaux authentiques susceptibles d'être
utilisés à des fins malveillantes.
Cette catégorie englobe : les outils de craquage, les générateurs de clés de licence, les outils de piratage, les
programmes d'accès à distance, les applications de résolution de mot de passe ou les keyloggers (programmes qui
enregistrent chaque frappe au clavier de l'utilisateur). Cette option est désactivée par défaut.
Pour en savoir plus sur ces types d'applications, consultez le glossaire.
Rapports
La création de rapports est effectuée par le moteur de détection et le composant d’apprentissage machine. Vous
pouvez définir le seuil des rapports pour les adapter à votre environnement et à vos besoins. Il n’y a pas qu'une
seule configuration correcte. Il est donc recommandé de surveiller le comportement dans votre environnement et
de déterminer si une configuration différente des rapports est plus appropriée.
Les rapports n'exécutent pas des actions sur les objets. Ils transmettent les informations à une couche de
protection. C'est celle-ci qui prend des mesures en conséquence.
Offensif
Rapports configurés sur la sensibilité maximale. Des détections supplémentaires sont signalées.
Alors que le paramètre Offensif peut sembler être le plus sûr, il peut souvent être trop sensible, ce
qui peut être contre-productif.
Le paramètre Offensif peut identifier à tort des objets comme étant malveillants. Des actions
seront alors exécutées sur ces objets (selon les paramètres de protection).
Équilibré
Cette configuration offre un équilibre optimal entre les performances et la précision des taux de
détection et le nombre d'objets signalés à tort.
Prudent
Rapports configurés pour réduire le nombre d'objets identifiés à tort tout en maintenant un niveau
de protection suffisant. Les objets ne sont signalés que lorsque la probabilité est évidente et
correspond à un comportement malveillant.
Désactivée La création de rapports n’est pas active. Aucune détection n’est effectuée, signalée ou nettoyée.
Les rapports sur les logiciels malveillants ne peuvent pas être désactivés. Le paramètre
Désactivée n’est donc pas disponible pour les logiciels malveillants.
45
Gestion des licences
La fenêtre principale donne une vue d'ensemble des licences qui figurent dans ESET Business Account ou ESET
MSP Administrator. Vous pouvez afficher l'ensemble des groupes de licences, des sites ou des sociétés disponibles
dans ESET Business Account ou sur le portail ESET MSP Administrator. La gestion des licences vous permet de
protéger ou d’annuler la protection des utilisateurs.
Si vous avez enregistré la même adresse e-mail dans ESET MSP Administrator et ESET Business Account
(authentification unique), vous pouvez basculer entre les vues ESET Business Account et ESET MSP Administrator
(compte de licences hybride).
La licence ESET Cloud Office Security vous permet d’utiliser la fonctionnalité ESET LiveGuard Advanced sans frais
supplémentaires. Le libellé ELG se trouve en regard de l’ID de licence.
Gestion des licences avec ESET Business Account
Affiche des informations sur les licences et leur utilisation (nom du groupe de licences, ID de licence, unités,
validité et état). Les licences et les groupes de licences sont chargés depuis ESET Business Account. Les groupes de
licences ne sont disponibles que si des sites figurent dans ESET Business Account (les sites sont utiles pour la
classification). Une unité représente la protection ESET Cloud Office Security d’un seul utilisateur pour Exchange
Online et OneDrive.
Une unité de licence est utilisée par chaque utilisateur protégé. et ce, quels que soient les services
Microsoft 365 utilisés. Un utilisateur disposant d'Exchange Online ou de OneDrive (ou les deux) consomme
toujours une unité de licence.
Une unité de licence n'est pas utilisée par les groupes d'équipes et les sites SharePoint.
Chaque nouvel utilisateur apparaît comme Non protégé dans la section Utilisateurs. Si vous utilisez la protection
automatique par un client ou un groupe, les nouveaux utilisateurs sont automatiquement protégés et s’affichent
comme Protégés.
Lors de la protection des utilisateurs, vous disposez de deux options :
• Protection automatique par un client ou un groupe (recommandé) : sans maintenance. Les utilisateurs
nouvellement ajoutés qui sont membres du groupe Azure AD ou qui appartiennent à un client, sont
automatiquement protégés. Pour plus d’informations, consultez la remarque ci-dessous.
• Protection utilisateur individuelle : requiert une gestion. Vous devez protéger manuellement chaque
46
nouvel utilisateur.
Protéger les utilisateurs (pas de groupe de licences)
1. Cliquez sur Protéger.
2. Sélectionnez le client ou le groupe pour la protection automatique des utilisateurs, puis cliquez sur
Protéger. Pour la protection utilisateur individuelle, sélectionnez les utilisateurs à protéger, puis cliquez sur
Protéger. La politique par défaut protège maintenant les utilisateurs.
3. Si nécessaire, spécifiez une politique personnalisée pour les utilisateurs dans la section Politique par défaut.
Protéger les utilisateurs (à l’aide d'un groupe de licences)
1. Sélectionnez un groupe de licences et cliquez sur l'icône
> Afficher les détails en regard de celui-ci.
2. Cliquez sur Protéger.
3. Sélectionnez le client ou le groupe pour la protection automatique des utilisateurs, puis cliquez sur
Protéger. Pour la protection utilisateur individuelle, sélectionnez les utilisateurs à protéger, puis cliquez sur
Protéger. La politique par défaut protège maintenant les utilisateurs.
4. Si nécessaire, spécifiez une politique personnalisée pour les utilisateurs dans la section Politique par défaut.
Veillez à disposer d'un nombre suffisant d'unités de licence, notamment avec la protection automatique
lorsque le nombre d'utilisateurs augmente. Une fois que toutes les unités de licence sont utilisées, les
nouveaux utilisateurs qui deviennent membres d’un client ou d’un groupe ne seront pas protégés. La
protection des utilisateurs existants n’est pas affectée.
Si vous êtes temporairement à court d'unités de licence et que vous souhaitez protéger des utilisateurs
spécifiques, utilisez des groupes non protégés (n'utilisez pas la protection automatique) et protégez
manuellement les utilisateurs. Lorsque vous augmentez les groupes de licences avec plus d’unités, vous
pouvez revenir à la protection automatique pour une gestion plus simple.
Déplacer
Pour déplacer des utilisateurs entre des groupes de licences et pour effectuer des opérations plus avancées sur
les licences, cliquez sur Ouvrir ESET Business Account .
Annuler la protection
1. Sélectionnez des utilisateurs, un client ou un groupe, puis cliquez sur Annuler la protection.
2. Lors de la suppression de la protection automatique d'un client ou d'un groupe, un message vous demande
si vous souhaitez conserver les utilisateurs de ces clients/groupes protégés. Si vous choisissez de ne pas
utiliser cette option, les utilisateurs ne sont plus protégés. Si vous cochez la case, la protection automatique du
client ou du groupe est désactivée et est remplacée par la protection utilisateur individuelle. Les utilisateurs
sont toujours protégés, mais vous devrez protéger manuellement les utilisateurs nouvellement ajoutés.
47
Gestion des licences avec ESET MSP Administrator
Affiche des informations sur les licences et leur utilisation (société du client, ID de licence, unités et état).
Une unité de licence est utilisée par chaque utilisateur protégé. et ce, quels que soient les services
Microsoft 365 utilisés. Un utilisateur disposant d'Exchange Online ou de OneDrive (ou les deux) consomme
toujours une unité de licence.
Une unité de licence n'est pas utilisée par les groupes d'équipes et les sites SharePoint.
Chaque nouvel utilisateur apparaît comme Non protégé dans la section Utilisateurs. Si vous utilisez la protection
automatique par un client ou un groupe, les nouveaux utilisateurs sont automatiquement protégés et s’affichent
comme Protégés.
Lors de la protection des utilisateurs, vous disposez de deux options :
• Protection automatique par un client ou un groupe (recommandé) : sans maintenance. Les utilisateurs
nouvellement ajoutés qui sont membres du groupe Azure AD ou qui appartiennent à un client, sont
automatiquement protégés. Pour plus d’informations, consultez la remarque ci-dessous.
• Protection utilisateur individuelle : requiert une gestion. Vous devez protéger manuellement chaque
nouvel utilisateur.
Protéger les utilisateurs
1. Cliquez sur Protéger.
2. Sélectionnez le client ou le groupe pour la protection automatique des utilisateurs, puis cliquez sur
Protéger. Pour la protection utilisateur individuelle, sélectionnez les utilisateurs à protéger, puis cliquez sur
Protéger. La politique par défaut protège maintenant les utilisateurs.
3. Si nécessaire, spécifiez une politique personnalisée pour les utilisateurs dans la section Politique par défaut.
Veillez à disposer d'un nombre suffisant d'unités de licence, notamment avec la protection automatique
lorsque le nombre d'utilisateurs augmente. Une fois que toutes les unités de licence sont utilisées, les
nouveaux utilisateurs qui deviennent membres d’un client ou d’un groupe ne seront pas protégés. La
protection des utilisateurs existants n’est pas affectée.
Si vous êtes temporairement à court d'unités de licence et que vous souhaitez protéger des utilisateurs
spécifiques, utilisez des groupes non protégés (n'utilisez pas la protection automatique) et protégez
manuellement les utilisateurs. Lorsque vous augmentez les groupes de licences avec plus d’unités, vous
pouvez revenir à la protection automatique pour une gestion plus simple.
48
Annuler la protection
1. Sélectionnez des utilisateurs, un client ou un groupe, puis cliquez sur Annuler la protection.
2. Lors de la suppression de la protection automatique d'un client ou d'un groupe, un message vous demande
si vous souhaitez conserver les utilisateurs de ces clients/groupes protégés. Si vous choisissez de ne pas
utiliser cette option, les utilisateurs ne sont plus protégés. Si vous cochez la case, la protection automatique du
client ou du groupe est désactivée et est remplacée par la protection utilisateur individuelle. Les utilisateurs
sont toujours protégés, mais vous devrez protéger manuellement les utilisateurs nouvellement ajoutés.
ESET Cloud Office Security accès utilisateur à une
société spécifique
Dans un environnement multi-client, vous pouvez autoriser un utilisateur à accéder à ESET Cloud Office Security
pour une société spécifique uniquement (avec une autorisation de lecture ou d’écriture). En règle générale, un
problème si vous êtes un MSP.
Configurez les droits d’accès dans ESET MSP Administrator d’un utilisateur en attribuant à une société une
autorisation en écriture et un accès en écriture à ESET Cloud Office Security:
1. Connectez-vous à ESET MSP Administrator en tant qu’administrateur.
2. Modifiez un utilisateur et configurez les droits d’accès aux sociétés sous Autorisations, puis sélectionnez
l'accès en écriture. L’utilisateur ne peut voir que la société affectée avec son groupe de licences.
3. Définissez l'accès en écriture à ESET Cloud Office Security pour que l’utilisateur puisse protéger une société
en ajoutant un client. Un utilisateur ayant un accès en lecture ne peut pas ajouter ni supprimer un client.
49
Seul un type d’accès à ESET Cloud Office Security peut être configuré en tant que paramètre global et s’applique à
toutes les sociétés (si un utilisateur est affecté à plusieurs sociétés).
Paramètres
Gérez les clients connectés à ESET Cloud Office Security. Vous pouvez afficher tous les clients enregistrés dans un
tableau comportant des détails sur chaque client. Utilisez le bouton Actualiser pour recharger le tableau
comportant les clients.
Si vous souhaitez ajouter un client, cliquez sur Ajouter un client, puis saisissez le nom du client ou le domaine
complet Microsoft 365. Microsoft 365 est maintenant protégé par ESET Cloud Office Security.
Langue
Ce paramètre détermine la langue des messages de notification envoyés par e-mail aux membres du client. Vous
pouvez définir séparément la langue de chaque client, dans le cas d’une gestion MSP de plusieurs sociétés.
Pour supprimer un client d'ESET Cloud Office Security, sélectionnez-le, puis cliquez sur Supprimer. Une fenêtre de
confirmation s’affiche pour que preniez une décision finale. Une fois le client supprimé, toutes les données
utilisateur seront supprimées dans un délai de 30 jours.
Utilisateurs avec licence Microsoft 365
Cette option est activée par défaut. Elle équivaut à la liste des utilisateurs du Centre d'administration
Microsoft 365 sous Utilisateurs > Utilisateurs actifs > Filtrer : Utilisateurs avec licence.
50
Si vous désactivez cette option, ESET Cloud Office Security affiche tous les utilisateurs, y compris ceux sans licence
Office 365 (boîtes aux lettres partagées, par exemple). Si vous utilisez la protection automatique pour un groupe
ou un client contenant des utilisateurs sans licence Microsoft 365, ces utilisateurs deviennent visibles, protégés et
consomment des unités de licence ESET Cloud Office Security. L’état de la protection des utilisateurs
nouvellement visibles peut être En attente jusqu'à une heure. Une fois le processus de protection automatique
terminé, l’état de la protection devient Protégé ou un autre état dans la section Utilisateurs.
Si votre client ou groupe avec protection automatique contient un utilisateur sans boîte aux lettres et
espace OneDrive, ce dernier consommera une unité de licence ESET Cloud Office Security. L'état de la
protection Avertissement s’affichera pour cet utilisateur.
Lorsque vous réactivez l'option Utilisateurs avec licence Microsoft 365, seuls les utilisateurs disposant d'une
licence Microsoft 365 restent affichés. L’utilisateur sans licence Microsoft 365 ne s'affiche plus dans la section
Utilisateurs et les unités de licence ESET Cloud Office Security sont libérées. La prise en compte de la modification
peut prendre jusqu’à une heure.
Si vous avez protégé manuellement les utilisateurs sans licence Microsoft 365 (lorsque le paramètre
Utilisateurs avec licence Microsoft 365 était activé), ces utilisateurs resteront visibles et protégés même
après la désactivation du paramètre Utilisateurs avec licence Microsoft 365 (jusqu’à ce que les utilisateurs
ne soient plus protégés).
Journal de vérification
Permet de suivre les modifications dans la configuration ou de protection d'ESET Cloud Office Security. Les
entrées du journal de vérification constituent une preuve des activités et montrent l'ordre dans lequel elles se
sont déroulées. Les journaux de vérification stockent des informations sur une opération ou un événement
spécifique. Les journaux de vérification sont créés dès qu'un objet ESET Cloud Office Security (groupe de licences,
utilisateur, politique, rapport, élément en quarantaine comme une pièce jointe) est créé ou modifié.
Lorsque vous cliquez sur l'icône d'engrenage
dans le coin supérieur droit pour accéder à l'option Exporter vers
le fichier CSV dans le menu contextuel, vous pouvez exporter la grille de la table au format CSV et l'utiliser dans
d'autres applications pour utiliser la liste.
Cliquez sur l'icône
pour ouvrir une barre latérale contenant le résumé d'une entrée spécifique du Journal de
vérification. Pour obtenir des informations plus détaillées, cliquez sur l'icône
et sélectionnez Afficher les
détails.
Vignette
Détail
Informations de base Affiche des données générales du journal de vérification (Occurrence, Action, Gravité,
Résultat, Section).
utilisateur
Les informations sur l'utilisateur qui a pris des mesures ou effectué une modification
comprennent ses adresses e-mail et IP.
Changements
Détails sur les modifications apportées.
Anciens paramètres
Affiche le ou les paramètres de politique précédents.
Nouveaux paramètres Affiche le ou les paramètres de politique actuels.
Objets
Répertorie les objets affectés par la modification ou l'action (utilisateur, politique, pièce
jointe, etc.).
Vous pouvez filtrer des utilisateurs selon plusieurs critères. Cliquez sur Ajouter un filtre, sélectionnez un type de
51
filtre dans le menu déroulant ou saisissez une chaîne (répétez l’opération lorsque vous associez plusieurs
critères) :
Ajouter un filtre
Utilisation
Action
Sélectionnez l'une des actions disponibles.
Type de fichier
Saisissez un nom d’objet valide.
État
Sélectionnez l'une des options suivantes : Réussi, Échec, Démarré et Partiellement réussi
utilisateur
Saisissez le nom de l'utilisateur ayant apporté les modifications.
Gravité
Sélectionnez le niveau de gravité : Faible, moyen, élevé
Est survenu de/Est
survenu dans
Filtrage par heure d’occurrence. Utilisez Est survenu de, puis cliquez sur la date pour
afficher uniquement les entrées plus récentes que la date spécifiée. Utilisez Est survenu
pour les entrées antérieures à, ou utilisez les deux pour la période souhaitée.
Système lancé
Filtre les enregistrements effectués par le système.
Envoyer les commentaires
Pour envoyer vos commentaires, cliquez sur Envoyer vos commentaires, choisissez de nous faire part de vos
commentaires (partager des idées et des expériences) ou de signaler un problème ou un bug.
Security for ESET Cloud Office Security
Introduction
Ce document a pour but de résumer les pratiques et les contrôles de sécurité appliqués dans ESET Cloud Office
Security. Les pratiques et les contrôles de sécurité sont conçus pour protéger la confidentialité, l'intégrité et la
disponibilité des informations des clients. Notez que les pratiques et les contrôles de sécurité peuvent changer.
Portée
Ce document a pour but de résumer les pratiques et les contrôles de sécurité pour l'infrastructure ESET Cloud
Office Security, ESET Business Account (ci-après dénommé « EBA »), ESET Data Framework, ESET LiveGrid, les
mises à jour, l'antispam, l'infrastructure ESET Dynamic Threat Defense, l'organisation, le personnel et les
processus opérationnels. Les pratiques et contrôles de sécurité comprennent :
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
52
Politiques de sécurité des informations
Organisation de la sécurité des informations
Sécurité des ressources humaines
Gestion des ressources
Contrôle d'accès
Chiffrement
Sécurité physique et environnementale
Sécurité des opérations
Sécurité des communications
Acquisition, développement et maintenance des systèmes
Relation avec les fournisseurs
Gestion des incidents de sécurité des informations
Aspects de la gestion de la continuité d'activité liés à la sécurité des informations
14. Conformité
Notion de sécurité
La société ESET s.r.o. est certifiée ISO 27001:2013 avec une portée de système de gestion intégrée couvrant
explicitement les services ESET Cloud Office Security, EBA et d'autres services.
Par conséquent, la notion de sécurité des informations utilise le cadre de la norme ISO 27001 pour mettre en
place une stratégie de sécurité de défense par couches lors de l'application de contrôles de sécurité au niveau de
la couche réseau, des systèmes d'exploitation, des bases de données, des applications, du personnel et des
processus opérationnels. Les pratiques et les contrôles de sécurité appliqués sont censés se superposer et se
compléter.
Pratiques et contrôles de sécurité
1. Politiques de sécurité des informations
ESET utilise des politiques de sécurité des informations pour couvrir tous les aspects de la norme ISO 27001, y
compris la gouvernance de la sécurité des informations et les contrôles et pratiques de sécurité. Les politiques
sont révisées chaque année et mises à jour après des changements significatifs afin de s'assurer qu'elles restent
adaptées, adéquates et efficaces.
ESET effectue des révisions annuelles de cette politique et des contrôles de sécurité internes pour assurer la
cohérence avec cette politique. Le non-respect des politiques de sécurité des informations est sujet à des actions
disciplinaires pour les employés d'ESET ou à des pénalités contractuelles allant jusqu'à la résiliation du contrat
pour les fournisseurs.
2. Organisation de la sécurité des informations
L'organisation de la sécurité des informations pour ESET Cloud Office Security est composée de plusieurs équipes
et personnes impliquées dans la sécurité des informations et l'informatique, notamment :
Direction générale d'ESET
Équipes de sécurité internes d'ESET
Équipes informatiques chargées des applications métier
Autres équipes de soutien
Les responsabilités en matière de sécurité des informations sont attribuées conformément aux politiques de
sécurité des informations en vigueur. Les processus internes sont identifiés et évalués pour tout risque de
modification non autorisée ou non intentionnelle ou de mauvaise utilisation des ressources ESET. Les activités
risquées ou sensibles des processus internes adoptent le principe de la séparation des tâches pour limiter le
risque.
L'équipe juridique d'ESET est responsable des contacts avec les autorités gouvernementales, notamment les
régulateurs slovaques en matière de cybersécurité et de protection des données à caractère personnel. L'équipe
de sécurité interne d'ESET est chargée de contacter les groupes d'intérêt spéciaux tels que ISACA. L'équipe du
laboratoire de recherche d'ESET est responsable de la communication avec les autres entreprises de sécurité et la
communauté de la cybersécurité.
La sécurité des informations est prise en compte dans la gestion de projets en utilisant le cadre de gestion de
projets appliqué, de la conception à l'achèvement d'un projet.
53
Le travail à distance et le télétravail sont couverts par l'utilisation d'une politique appliquée aux appareils mobiles
qui inclut l'utilisation d'une protection cryptographique forte des données sur les appareils mobiles utilisant des
réseaux non approuvés lors des déplacements. Les contrôles de sécurité sur les appareils mobiles sont conçus
pour fonctionner indépendamment des réseaux internes et des systèmes internes d'ESET.
3. Sécurité des ressources humaines
ESET utilise des pratiques standard en ce qui concerne les ressources humaines, y compris des politiques conçues
pour maintenir la sécurité des informations. Ces pratiques couvrent l'ensemble du cycle de vie des employés, et
elles s'appliquent à toutes les équipes qui accèdent à l'environnement ESET Cloud Office Security.
4. Gestion des ressources
L'infrastructure ESET Cloud Office Security est incluse dans les inventaires de ressources d'ESET avec une
propriété stricte et des règles appliquées selon le type et la sensibilité des ressources. ESET possède un modèle de
classification interne défini. Toutes les données et configurations d'ESET Cloud Office Security sont classées
confidentielles.
5. Contrôle d'accès
La politique de contrôle d'accès d'ESET régit chaque accès dans ESET Cloud Office Security. Le contrôle d'accès est
défini au niveau de l'infrastructure, des services réseau, du système d'exploitation, de la base de données et des
applications. La gestion complète des accès des utilisateurs au niveau des applications est autonome.
L'authentification unique ESET Cloud Office Security et ESET Business Account est régie par un fournisseur
d'identité central, qui garantit qu'un utilisateur ne peut accéder qu'au tenant autorisé. L'application utilise des
autorisations ESET Cloud Office Security standard pour appliquer le contrôle d’accès basé sur les rôles au tenant.
L'accès au back-end d'ESET est strictement limité aux personnes et aux rôles autorisés. Les processus standard
d'ESET pour l'inscription/la désinscription, l'attribution/l'annulation de l'attribution des utilisateurs, la gestion des
privilèges et la révision des droits d'accès des utilisateurs sont utilisés pour gérer l'accès des employés d'ESET aux
infrastructures et aux réseaux d'ESET Cloud Office Security.
Une authentification forte est en place pour protéger l'accès à toutes les données d'ESET Cloud Office Security.
6. Chiffrement
Pour protéger les données d'ESET Cloud Office Security, un chiffrement fort est utilisé pour chiffrer les données
au repos et en transit. Une autorité de certification de confiance est généralement utilisée pour émettre des
certificats pour les services publics. L'infrastructure interne de clés publiques ESET est utilisée pour gérer les clés
au sein de l'infrastructure d'ESET Cloud Office Security. Les données stockées dans la base de données sont
protégées par des clés de chiffrement générées par le cloud. Toutes les données de sauvegarde sont protégées
par des clés gérées par ESET.
7. Sécurité physique et environnementale
Comme ESET Cloud Office Security et ESET Business Account sont basés sur le cloud, nous nous appuyons sur
Microsoft Azure pour la sécurité physique et environnementale. Microsoft Azure utilise des centres de données
certifiés dotés de solides mesures de sécurité physique. L'emplacement physique du centre de données dépend
du choix de la région du client.
54
8. Sécurité des opérations
Le service ESET Cloud Office Security est exploité par des moyens automatisés basés sur des procédures
opérationnelles et des modèles de configuration stricts. Toutes les modifications, y compris les changements de
configuration et le déploiement de nouveaux packages, sont approuvées et testées dans un environnement de
test dédié avant d'être déployées en production. Les environnements de développement, de test et de
production sont séparés les uns des autres. Les données d'ESET Cloud Office Security sont situées uniquement
dans l’environnement de production.
L’environnement ESET Cloud Office Security est supervisé à l'aide d'une surveillance opérationnelle pour identifier
rapidement les problèmes et fournir les capacités suffisantes à tous les services au niveau du réseau et des hôtes.
Toutes les données de configuration sont stockées dans nos répertoires régulièrement sauvegardés afin de
permettre une récupération automatisée de la configuration d'un environnement. Les sauvegardes de données
d'ESET Cloud Office Security sont stockées à la fois sur site et hors site..
Les sauvegardes sont chiffrées et leur capacité de récupération est régulièrement testée dans le cadre des tests
de continuité de l'activité.
L'audit des systèmes est réalisé conformément aux normes et directives internes. Les journaux et les événements
de l'infrastructure, du système d'exploitation, de la base de données, des serveurs d'applications et des contrôles
de sécurité sont collectés en permanence. Les journaux sont ensuite traités par les équipes informatiques et de
sécurité internes afin d'identifier les anomalies opérationnelles et de sécurité et les incidents de sécurité des
informations.
ESET utilise un processus général de gestion des vulnérabilités techniques pour traiter l'apparition de
vulnérabilités dans l'infrastructure ESET, notamment ESET Cloud Office Security et d'autres produits ESET. Ce
processus comprend une analyse proactive des vulnérabilités et des tests de pénétration répétés de
l'infrastructure, des produits et des applications.
ESET donne des directives internes pour la sécurité de l'infrastructure interne, des réseaux, des systèmes
d'exploitation, des bases de données, des serveurs d'applications et des applications. Ces directives sont vérifiées
par le biais d'un contrôle de conformité technique et de notre programme interne d'audit de sécurité des
informations.
9. Sécurité des communications
L'environnement ESET Cloud Office Security est segmenté par le biais d'une segmentation cloud native, l'accès au
réseau étant limité uniquement aux services nécessaires entre les segments réseau. La disponibilité des services
réseau est assurée par des contrôles natifs du cloud, tels que les zones de disponibilité, l'équilibrage des charges
et la redondance. Des composants d'équilibrage de charge dédiés sont déployés pour fournir des endpoints
spécifiques pour le routage des instances ESET Cloud Office Security qui appliquent l'autorisation du trafic et
l'équilibrage de charge. Le trafic réseau est surveillé en permanence pour détecter les anomalies opérationnelles
et de sécurité. Les attaques potentielles peuvent être résolues en utilisant des contrôles natifs du cloud ou des
solutions de sécurité déployées. Toutes les communications réseau sont chiffrées par des techniques
généralement disponibles, notamment IPsec et TLS.
10. Acquisition, développement et maintenance des systèmes
Le développement des systèmes ESET Cloud Office Security est réalisé conformément à la politique de
développement de logiciels sécurisés d'ESET. Les équipes de sécurité internes sont incluses dans le projet de
développement d'ESET Cloud Office Security dès la phase initiale et supervisent toutes les activités de
développement et de maintenance. L'équipe de sécurité interne définit et vérifie le respect des exigences de
55
sécurité à différents stades du développement du logiciel. La sécurité de tous les services, y compris ceux
nouvellement développés, est testée en permanence après leur mise en service.
11. Relation avec les fournisseurs
Une relation pertinente avec les fournisseurs est entretenue selon les directives valides d'ESET, qui couvrent
l'ensemble de la gestion de la relation et les exigences contractuelles du point de vue de la sécurité des
informations et de la confidentialité. La qualité et la sécurité des services fournis par les fournisseurs de services
critiques sont évaluées régulièrement.
12. Gestion de la sécurité des informations
La gestion des incidents de sécurité des informations dans ESET Cloud Office Security est effectuée de manière
similaire aux autres infrastructures ESET et s'appuie sur des procédures définies de réponse aux incidents. Les
rôles au sein de la réponse aux incidents sont définis et répartis entre plusieurs équipes, notamment le service
informatique, le service de sécurité, le service juridique, les ressources humaines, les relations publiques et la
direction générale. L'équipe de réponse à un incident est établie en fonction du triage de l'incident par l'équipe de
sécurité interne. Cette équipe assurera la coordination des autres équipes chargées de l'incident. L'équipe de
sécurité interne est également responsable de la collecte des preuves et des enseignements tirés. L'occurrence et
la résolution des incidents sont communiquées aux parties concernées. L'équipe juridique d'ESET est chargée de
notifier les organismes de réglementation si nécessaire, conformément au règlement général sur la protection
des données (RGPD) et à la loi sur la cybersécurité transposant la directive sur la sécurité des réseaux et de
l'information (NIS).
13. Aspects de la gestion de la continuité d'activité liés à la sécurité des informations
La continuité opérationnelle du service ESET Cloud Office Security est codifiée dans l'architecture robuste utilisée
pour maximiser la disponibilité des services fournis. Une restauration complète à partir des données de
sauvegarde et de configuration hors site est possible en cas de défaillance catastrophique de tous les nœuds
redondants des composants ESET Cloud Office Security ou du service ESET Cloud Office Security. Le processus de
restauration est testé régulièrement.
14. Conformité
La conformité aux exigences réglementaires et contractuelles d'ESET Cloud Office Security est régulièrement
évaluée et examinée de la même manière que les autres infrastructures et processus d'ESET, et les mesures
nécessaires sont prises pour assurer la conformité de manière continue. ESET est enregistré en tant que
fournisseur de services numériques pour le service numérique de cloud computing couvrant plusieurs services
ESET, notamment ESET Cloud Office Security. Notez que les activités de conformité d'ESET ne signifient pas
nécessairement que les exigences de conformité globales des clients sont satisfaites en tant que telles.
Conditions d'utilisation
Diese Vereinbarung zu ESET Cloud Office Security (im Folgenden „Bedingungen“) ist eine Sondervereinbarung
zwischen ESET, spol. s r. o., mit eingetragenem Firmensitz in Einsteinova 24, 85101 Bratislava, Slovak Republic,
eingetragen im Handelsregister Bratislava I, Abschnitt Sro, Eintragsnummer 3586/B, Firmenregisternummer:
31333532 (im Folgenden „ESET“ oder „Anbieter“) und Ihnen, einer natürlichen oder juristischen Person (im
Folgenden „Sie“ oder „Benutzer“) über den Zugriff auf ein Konto für die Verwaltung („ESET Cloud Office Security“)
und den Zugriff auf ein webbasiertes Portal unter Kontrolle von ESET (im Folgenden „Konto“) für die Nutzung von
ESET Cloud Office Security. Falls Sie das Konto und ESET Cloud Office Security (im Folgenden zusammenfassend als
„Produkt“ bezeichnet) im Namen einer Organisation verwenden, stimmen Sie diesen Bedingungen im Namen der
56
Organisation zu und versichern, dass Sie dazu befugt sind, die Organisation an diese Bedingungen zu binden. In
diesem Fall beziehen sich die Begriffe "Benutzer" und "Sie" auf die jeweilige Organisation. Diese Bedingungen
beziehen sich auch auf die von ESET bereitgestellten Dienste durch bzw. in Verbindung mit dem Produkt und
sollten daher sorgfältig gelesen werden. Die speziellen Bedingungen für die Nutzung einzelner Dienste, die über
diese Bedingungen hinausgehen, sind in den jeweiligen Diensten angegeben und müssen für die Aktivierung des
jeweiligen Diensts akzeptiert werden. Die angefügten Anhänge ergänzen diese Bedingungen.
Sécurité et protection des données
Le Compte permet l'accès aux services fournis par ESET. Le nom complet de l'utilisateur, le nom de la société, le
pays, l'adresse électronique valide, le numéro de téléphone, les statistiques et les données de licence de
l'utilisateur sont nécessaires à l'enregistrement et à l'utilisation du Compte, ainsi qu'à la fourniture et à la
maintenance des services accessibles via le Compte. Vous acceptez par la présente que les données soient
collectées et transférées aux serveurs du Fournisseur ou à ceux de ses partenaires, dans le but d'assurer le
fonctionnement du Compte, l'autorisation d'utiliser le Logiciel et la protection des droits du Fournisseur. Après la
conclusion du présent Contrat, le Fournisseur et ses partenaires sont autorisés à transférer, à traiter et à stocker
des données essentielles vous identifiant, aux fins d'assistance et d'exécution du présent Contrat. Vous n'êtes
autorisé à utiliser le Compte que de la manière et aux fins prévues dans les présentes Conditions, les conditions
de chaque service et la documentation.
Vous êtes responsable de la sécurité de votre Compte et des identifiants nécessaires pour la connexion. ESET ne
sera pas tenue pour responsable de toute perte ou de tout dommage résultant de votre incapacité à remplir cette
obligation de maintien de la sécurité. L'Utilisateur est également responsable de toute activité relative à
l'utilisation du Compte, que celle-ci soit autorisée ou non. Si l'intégrité du Compte est compromise, vous devez en
avertir le Fournisseur immédiatement.
Afin de fournir un service d'administration de Compte, la collecte de données concernant les appareils
administrés est nécessaire avec les informations d'administration (ci-après, « Données »). Vous fournissez les
Données à ESET uniquement aux fins de la prestation du service d'administration du Compte. Les Données seront
traitées et stockées conformément aux politiques et aux pratiques de sécurité d'ESET, ainsi qu'en accord avec la
politique de confidentialité.
Des informations détaillées sur la vie privée, la protection des données personnelles et vos droits en tant que
personne concernée figurent dans la Politique de confidentialité.
Politique d'utilisation équitable
Vous êtes obligé de respecter les limites techniques stipulées dans la documentation. Vous acceptez d'utiliser le
Compte et ses fonctions uniquement de façon à ne pas entraver la possibilité des autres Utilisateurs à accéder à
ces services. Le Fournisseur se réserve le droit de limiter l'étendue des services fournis à chacun des Utilisateurs
individuels, pour permettre l'utilisation des services au plus grand nombre possible d'Utilisateurs. Le fait de limiter
l'étendue des services impliquera aussi la résiliation totale de la possibilité d'utiliser toute fonction du Compte
ainsi que la suppression des données et des informations.
Emplacement
Le Fournisseur peut vous autoriser à choisir un emplacement d'hébergement parmi ceux disponibles pour le
compte, y compris l'emplacement recommandé choisi par le Fournisseur. Vous reconnaissez que le choix d'un
autre emplacement que celui recommandé peut avoir un impact sur l'expérience utilisateur. Selon l'emplacement
choisi, le Contrat sur la protection des données inclus dans l'Annexe n° 2 du présent contrat et les Clauses
contractuelles types incluses dans l'annexe n° 3 du présent Contrat peuvent s'appliquer. ESET se réserve le droit
57
de modifier, à tout moment et sans préavis, un emplacement spécifique en vue d'améliorer les services fournis
par ESET conformément à Vos préférences d'emplacement (par exemple, l'Union européenne).
Software
ESET und seine Lieferanten halten die Urheberrechte für sämtliche als Teil des Produkts verfügbare Software (im
Folgenden „Software“). Die Software darf nur gemäß der Endbenutzer-Lizenzvereinbarung verwendet werden,
die im Anhang 1 dieser Vereinbarung angefügt ist. Sonstige Informationen zu Lizenzierung, Urheberrecht,
Dokumentation und Markenzeichen finden Sie im Rechtliche Hinweise.
Restrictions
Vous ne pouvez pas copier, distribuer, extraire des composants, ni créer des travaux dérivés basés sur le Compte.
Vous devez respecter les restrictions suivantes lorsque vous utilisez le Compte :
(a) Vous n’êtes pas autorisé à utiliser, modifier, traduire, reproduire ou transférer les droits d’utilisation du
Compte ou de ses composants d’aucune manière autre que celles prévues dans les présentes Conditions.
(b) Vous ne pouvez pas vendre, concéder en sous-licence, louer à bail ni louer ou utiliser le Compte pour offrir des
services commerciaux.
(c) Vous ne pouvez pas rétroconcevoir, décompiler, désassembler le Compte ni tenter de toute autre façon de
découvrir le code source du Compte, sauf dans la mesure où cette restriction est expressément interdite par la loi.
(d) Vous acceptez de n’utiliser le Compte que de façon conforme à toutes les lois applicables de la juridiction dans
laquelle vous utilisez le Compte, y compris, mais sans s'y limiter, les restrictions applicables relatives aux droits
d’auteur et aux droits de propriété intellectuelle.
Clause de non-responsabilité
EN TANT QU’UTILISATEUR, VOUS RECONNAISSEZ QUE LE COMPTE AINSI QUE LES SERVICES SONT FOURNIS « EN
L’ÉTAT », SANS AUCUNE GARANTIE D’AUCUNE SORTE, QU’ELLE SOIT EXPRESSE OU IMPLICITE, DANS LA LIMITE
PRÉVUE PAR LA LOI APPLICABLE. NI LE FOURNISSEUR, NI SES CONCÉDANTS DE LICENCE, NI SES FILIALES, NI LES
DÉTENTEURS DE DROIT D’AUTEUR NE FONT UNE QUELCONQUE DÉCLARATION OU N’ACCORDENT DE GARANTIE
EXPRESSE OU IMPLICITE QUELCONQUE, NOTAMMENT DES GARANTIES DE VENTE, DE CONFORMITÉ À UN
OBJECTIF PARTICULIER OU SUR LE FAIT QUE LE COMPTE OU LES SERVICES NE PORTENT PAS ATTEINTE À DES
BREVETS, DROITS D’AUTEURS, MARQUES OU AUTRES DROITS DÉTENUS PAR UN TIERS. NI LE FOURNISSEUR NI
AUCUN AUTRE TIERS NE GARANTISSENT QUE LE COMPTE OU LES SERVICES RÉPONDRONT À VOS ATTENTES OU
QUE LE FONCTIONNEMENT DU COMPTE OU DES SERVICES SERA CONTINU OU EXEMPT D'ERREURS. VOUS
ASSUMEZ L'ENTIÈRE RESPONSABILITÉ ET L'ENSEMBLE DES RISQUES LIÉS À LA SÉLECTION DU COMPTE ET DES
SERVICES ET À LEUR UTILISATION EN VUE D'OBTENIR LES RÉSULTATS ATTENDUS, TOUT COMME VOUS ASSUMEZ
LES RÉSULTATS DÉCOULANT DE LEUR UTILISATION.
À l’exception des obligations mentionnées explicitement dans le présent Contrat, aucune obligation
supplémentaire n’est imposée au Fournisseur et à ses concédants de licence.
Limitation de responsabilité
DANS LA LIMITE MAXIMALE PRÉVUE PAR LES LOIS APPLICABLES, LE FOURNISSEUR, SES EMPLOYÉS OU SES
CONTRACTANTS NE SERONT EN AUCUN CAS TENUS POUR RESPONSABLES D’UNE QUELCONQUE PERTE DE
PROFIT, REVENUS, VENTES, DONNÉES, OU DES FRAIS D’OBTENTION DE BIENS OU SERVICES DE SUBSTITUTION, DE
58
DOMMAGE MATÉRIEL, DOMMAGE PHYSIQUE, INTERRUPTION D’ACTIVITÉ, PERTE DE DONNÉES COMMERCIALES,
OU DE TOUT DOMMAGE DIRECT, INDIRECT, FORTUIT, ÉCONOMIQUE, DE GARANTIE, PUNITIF, SPÉCIAL OU
CORRÉLATIF, QUELLE QU’EN SOIT LA CAUSE ET QUE CE DOMMAGE DLE D’UNE RESPONSABILITÉ CONTRACTUELLE,
DÉLICTUELLE OU D’UNE NÉGLIGENCE OU DE TOUTE AUTRE THÉORIE DE RESPONSABILITÉ, LIÉE À L’INSTALLATION,
À L’UTILISATION OU À L’IMPOSSIBILITÉ D’UTILISER LE COMPTE, MÊME SI LE FOURNISSEUR OU SES
CONTRACTANTS ONT ÉTÉ AVERTIS DE L’ÉVENTUALITÉ D’UN TEL DOMMAGE. CERTAINS PAYS ET CERTAINES LOIS
N’AUTORISANT PAS L’EXCLUSION DE RESPONSABILITÉ, MAIS AUTORISANT LA LIMITATION DE RESPONSABILITÉ, LA
RESPONSABILITÉ DU FOURNISSEUR, DE SES EMPLOYÉS OU DE SES CONTRACTANTS SERA LIMITÉE AU MONTANT
QUE VOUS AVEZ PAYÉ POUR LE SERVICE OU LE COMPTE EN QUESTION.
Conformité aux contrôles à l'exportation
(a) Vous ne devez en aucun cas, directement ou indirectement, exporter, réexporter, transférer ou mettre le
Logiciel à la disposition de quiconque, ou l'utiliser d'une manière ou participer à un acte qui pourrait entraîner
ESET ou ses sociétés de holding, ses filiales et les filiales de l'une de ses sociétés de holding, ainsi que les entités
contrôlées par ses sociétés de holding (« Sociétés affiliées ») à enfreindre ou faire l'objet des conséquences
négatives de l'enfreinte des Lois sur le contrôle à l'exportation, qui comprennent :
i. les lois qui contrôlent, limitent ou imposent des exigences en matière de licence pour l'exportation, la
réexportation ou le transfert de marchandises, de logiciels, de technologies ou de services, émises ou adoptées
par un gouvernement, un état ou un organisme de réglementation des États-Unis d'Amérique, de Singapour, du
Royaume-Uni, de l'Union européenne ou de l'un de ses États membres, ou tout pays dans lequel les obligations au
titre des présentes conditions doivent être exécutées, ou dans lequel ESET ou l'une de ses filiales est établie ou
mène ses activités et
ii. toute sanction économique, financière, commerciale ou autre, sanction, restriction, embargo, interdiction
d'importation ou d'exportation, interdiction de transfert de fonds ou d'actifs ou de prestation de services, ou
mesure équivalente imposée par un gouvernement, un État ou un organisme de réglementation des États-Unis
d'Amérique, de Singapour, du Royaume-Uni, de l'Union européenne ou de l'un de ses États membres, ou tout
pays dans lequel les obligations au titre des présentes conditions doivent être exécutées, ou dans lequel ESET ou
l'une de ses filiales est établie ou mène ses activités (les actes juridiques mentionnés aux points i, et ii. ci-dessus
étant appelés ensemble « Lois sur le contrôle à l'exportation »).
(b) ESET a le droit de suspendre ses obligations en vertu des présentes Conditions ou d'y mettre fin avec effet
immédiat dans le cas où :
i. ESET estime raisonnablement que l'Utilisateur a enfreint ou est susceptible d'enfreindre la disposition de la
section (a) de la présente clause de conformité aux contrôles à l'exportation des présentes conditions ; ou
ii. l'Utilisateur final et/ou le Logiciel deviennent soumis aux Lois sur le contrôle à l'exportation et, par conséquent,
ESET estime raisonnablement que l'exécution continue de ses obligations en vertu des présentes conditions
pourrait entraîner ESET ou ses affiliés à enfreindre ou faire l'objet des conséquences négatives de l'enfreinte des
Lois sur le contrôle à l'exportation.
(c) Rien dans les présentes conditions ne vise, et rien ne doit être interprété comme incitant ou obligeant l'une
des parties à agir ou à s'abstenir d'agir (ou à accepter d'agir ou à s'abstenir d'agir) d'une manière qui soit
incompatible, pénalisée ou interdite en vertu de toute loi sur le contrôle à l'exportation applicable.
Régime juridique et linguistique
Les présentes Conditions sont régies par les lois de la République slovaque et interprétée conformément à cellesci. L'Utilisateur Final et le Fournisseur conviennent que les dispositions relatives aux conflits de la loi applicable et
59
la Convention des Nations Unies sur les contrats pour la Vente internationale de marchandises ne s'appliquent
pas. Si vous êtes un consommateur ayant sa résidence habituelle dans l'UE, Vous bénéficiez également d'une
protection supplémentaire qui Vous est accordée par les dispositions légales obligatoires applicables dans votre
pays de résidence.
Vous acceptez expressément que le Tribunal de première instance de Bratislava I, Slovaquie, constitue la
juridiction exclusive pour tout conflit ou litige avec le Fournisseur, ou en relation avec votre utilisation du Logiciel,
du Compte ou des Services ou découlant des présentes Conditions ou des Conditions spéciales (le cas échéant).
Vous reconnaissez et acceptez l’exercice de la juridiction personnelle du Tribunal de première instance de
Bratislava I en ce qui concerne la résolution de tels conflits ou litiges. Si Vous êtes un consommateur et que vous
avez votre résidence habituelle dans l'UE, Vous pouvez également introduire une action pour faire valoir vos
droits de consommateur dans le lieu de la juridiction exclusive ou dans le pays de l'UE dans lequel Vous vivez. En
outre, vous pouvez également utiliser une plateforme de résolution des litiges en ligne, accessible à l'adresse
suivante : https://ec.europa.eu/consumers/odr/. Toutefois, pensez à nous contacter d'abord avant de présenter
une réclamation officielle.
En cas de divergence entre les versions linguistiques des présentes Conditions, la version en langue anglaise
disponible ici prévaut toujours.
Dispositions générales
ESET se réserve le droit de réviser ces Conditions et la documentation ou toute partie de celles-ci à tout moment,
en mettant à jour le contenu approprié afin de refléter les modifications apportées à une loi ou au Compte. Vous
serez averti de toute révision des présentes Conditions par l'intermédiaire du Compte. Si vous n'êtes pas d'accord
avec les modifications de ces Conditions d'utilisation, vous pouvez annuler votre Compte. À moins que Vous
n'annuliez votre Compte après avoir été informé des modifications, Vous êtes lié par toute modification ou
révision des présentes Conditions. Nous vous conseillons de consulter régulièrement cette page afin de vérifier les
CDU s’appliquant actuellement à l’utilisation du Compte.
Avis
Tous les avis doivent être adressés à : ESET, spol. s r. o., Einsteinova 24, 85101 Bratislava, Slovak Republic.
Anhang 1
Endbenutzer-Lizenzvereinbarung
Anhang 2
Auftragsverarbeitungsvertrag
Anhang 3
Standardvertragsklauseln
Contrat de licence de l'utilisateur final
IMPORTANT : Veuillez lire soigneusement les termes et conditions d’application du produit stipulés ci-dessous
avant de télécharger, d’installer, de copier ou d’utiliser le produit. EN TÉLÉCHARGEANT, EN INSTALLANT, EN
COPIANT OU EN UTILISANT LE LOGICIEL, VOUS ACCEPTEZ CES TERMES ET CONDITIONS ET RECONNAISSEZ
AVOIR PRIS CONNAISSANCE DE LA POLITIQUE DE CONFIDENTIALITÉ.
60
Contrat de licence de l'utilisateur final
Selon les termes du présent Contrat de Licence pour l'Utilisateur Final (« Contrat ») signé par et entre ESET, spol. s
r. o., dont le siège social se situe au Einsteinova 24, 851 01 Bratislava, Slovak Republic, inscrite au Registre du
Commerce du tribunal de Bratislava I. Section Sro, Insertion No 3586/B, numéro d'inscription des entreprises :
31333532 (« ESET » ou « Fournisseur ») et vous, personne physique ou morale, (« vous » ou « Utilisateur Final »),
vous êtes autorisé à utiliser le Logiciel défini à l'article 1 du présent Contrat. Dans le cadre des modalités
indiquées ci-dessous, le Logiciel défini à l'article 1 du présent Contrat peut être enregistré sur un support de
données, envoyé par courrier électronique, téléchargé sur Internet, téléchargé à partir de serveurs du Fournisseur
ou obtenu à partir d'autres sources.
CE DOCUMENT N’EST PAS UN CONTRAT D’ACHAT, MAIS UN ACCORD LIÉ AUX DROITS DE L’UTILISATEUR FINAL. Le
Fournisseur reste le propriétaire de la copie du Logiciel et du support physique fourni dans l’emballage
commercial, et de toutes les copies du Logiciel que l’Utilisateur Final est autorisé à faire dans le cadre du présent
Contrat.
En cliquant sur « J’accepte » ou « J’accepte ...» lorsque vous téléchargez, installez, copiez ou utilisez le Logiciel,
vous acceptez les termes et conditions du présent Contrat. Si vous n’êtes pas d’accord avec tous les termes et
conditions du présent Contrat, cliquez immédiatement sur l'option d'annulation, annulez le téléchargement ou
l'installation, détruisez ou renvoyez le Logiciel, le support d'installation, la documentation connexe et une facture
au Fournisseur ou à l'endroit où vous avez obtenu le Logiciel.
VOUS RECONNAISSEZ QUE VOTRE UTILISATION DU LOGICIEL INDIQUE QUE VOUS AVEZ LU ET COMPRIS LE
PRÉSENT CONTRAT ET ACCEPTÉ D’EN RESPECTER LES TERMES ET CONDITIONS.
1. Logiciel. Dans le cadre du présent Contrat, le terme « Logiciel » désigne : (i) le programme informatique et tous
ses composants ; (ii) le contenu des disques, des CD-ROM, des DVD, des courriers électroniques et de leurs pièces
jointes, ou de tout autre support auquel le présent Contrat est attaché, dont le formulaire de code objet fourni
sur un support de données, par courrier électronique ou téléchargé par le biais d’Internet ; (iii) tous documents
explicatifs écrits et toute documentation relative au Logiciel, en particulier, toute description du Logiciel, ses
caractéristiques, description des propriétés, description de l’utilisation, description de l’interface du système
d’exploitation sur lequel le Logiciel est utilisé, guide d’installation ou d’utilisation du Logiciel ou description de
l’utilisation correcte du Logiciel (« Documentation ») ; (iv) les copies du Logiciel, les correctifs d’erreurs du
Logiciel, les ajouts au Logiciel, ses extensions, ses versions modifiées et les mises à jour des parties du Logiciel, si
elles sont fournies, au titre desquels le Fournisseur vous octroie la Licence conformément à l’article 3 du présent
Contrat. Le Logiciel est fourni exclusivement sous la forme d'un code objet exécutable.
2. Installation, Ordinateur et Clé de licence. Le Logiciel fourni sur un support de données, envoyé par courrier
électronique, téléchargé à partir d'Internet ou de serveurs du Fournisseur ou obtenu à partir d'autres sources
nécessite une installation. Vous devez installer le Logiciel sur un Ordinateur correctement configuré, qui doit au
moins satisfaire les exigences spécifiées dans la Documentation. La méthode d'installation est décrite dans la
Documentation. L'Ordinateur sur lequel le Logiciel sera installé doit être exempt de tout programme ou matériel
susceptible de nuire au bon fonctionnement du Logiciel. Le terme Ordinateur désigne le matériel, notamment les
ordinateurs personnels, ordinateurs portables, postes de travail, ordinateurs de poche, smartphones, appareils
électroniques portatifs ou autres appareils électroniques, pour lequel le Logiciel a été conçu et sur lequel il sera
installé et/ou utilisé. Le terme Clé de licence désigne la séquence unique de symboles, lettres, chiffres ou signes
spéciaux fournie à l'Utilisateur Final afin d'autoriser l'utilisation légale du Logiciel, de sa version spécifique ou de
l'extension de la durée de la Licence conformément au présent Contrat.
3. Licence. Sous réserve que vous ayez accepté les termes du présent Contrat et que vous respectiez tous les
termes et conditions stipulés dans le présent Contrat, le Fournisseur vous accorde les droits suivants
(« Licence ») :
61
a) Installation et utilisation. Vous détenez un droit non exclusif et non transférable d’installer le Logiciel sur le
disque dur d’un ordinateur ou sur un support similaire de stockage permanent de données, d’installer et de
stocker le Logiciel dans la mémoire d’un système informatique et d’exécuter, de stocker et d’afficher le Logiciel.
b) Précision du nombre de licences. Le droit d’utiliser le Logiciel est lié au nombre d’Utilisateurs Finaux. On
entend par « Utilisateur Final » : (i) l’installation du Logiciel sur un seul système informatique, ou (ii) si l’étendue
de la Licence est liée au nombre de boîtes aux lettres, un Utilisateur Final désigne un utilisateur d’ordinateur qui
reçoit un courrier électronique par le biais d’un client de messagerie. Si le client de messagerie accepte du
courrier électronique et le distribue automatiquement par la suite à plusieurs utilisateurs, le nombre
d’Utilisateurs Finaux doit être déterminé en fonction du nombre réel d’utilisateurs auxquels le courrier
électronique est distribué. Si un serveur de messagerie joue le rôle de passerelle de courriel, le nombre
d’Utilisateurs Finaux est égal au nombre de serveurs de messagerie pour lesquels la passerelle fournit des
services. Si un certain nombre d’adresses de messagerie sont affectées à un seul et même utilisateur (par
l’intermédiaire d’alias) et que ce dernier les accepte et si les courriels ne sont pas distribués automatiquement du
côté du client à d’autres utilisateurs, la Licence n’est requise que pour un seul ordinateur. Vous ne devez pas
utiliser la même Licence au même moment sur plusieurs ordinateurs. L'Utilisateur Final n'est autorisé à saisir la
Clé de licence du Logiciel que dans la mesure où il a le droit d'utiliser le Logiciel conformément à la limite
découlant du nombre de licences accordées par le Fournisseur. La Clé de licence est confidentielle. Vous ne devez
pas partager la Licence avec des tiers ni autoriser des tiers à utiliser la Clé de licence, sauf si le présent Contrat ou
le Fournisseur le permet. Si votre Clé de licence est endommagée, informez-en immédiatement le Fournisseur.
c) Version Business Edition. Une version Business Edition du Logiciel est requise pour utiliser le Logiciel sur des
serveurs de courrier, relais de courrier, passerelles de courrier ou passerelles Internet.
d) Durée de la Licence. Le droit d’utiliser le Logiciel est limité dans le temps.
e) Logiciel acheté à un fabricant d’équipement informatique. La Licence du Logiciel acheté à un fabricant
d’équipement informatique ne s’applique qu’à l’ordinateur avec lequel vous l’avez obtenu. Elle ne peut pas être
transférée à un autre ordinateur.
f) Version d’évaluation ou non destinée à la revente. Un Logiciel classé comme non destiné à la revente ou
comme version d’évaluation ne peut pas être vendu et ne doit être utilisé qu’aux fins de démonstration ou
d’évaluation des caractéristiques du Logiciel.
g) Résiliation de la Licence. La Licence expire automatiquement à la fin de la période pour laquelle elle a été
accordée. Si vous ne respectez pas les dispositions du présent Contrat, le Fournisseur est en droit de mettre fin au
Contrat, sans renoncer à tout droit ou recours juridique ouvert au Fournisseur dans de tels cas. En cas
d’annulation du présent Contrat, vous devez immédiatement supprimer, détruire ou renvoyer à vos frais le
Logiciel et toutes les copies de sauvegarde à ESET ou à l’endroit où vous avez obtenu le Logiciel. Lors de la
résiliation de la Licence, le Fournisseur est en droit de mettre fin au droit de l'Utilisateur final à l'utilisation des
fonctions du Logiciel, qui nécessitent une connexion aux serveurs du Fournisseur ou à des serveurs tiers.
4.Fonctions avec des exigences en matière de connexion Internet et de collecte de données. Pour fonctionner
correctement, le Logiciel nécessite une connexion Internet et doit se connecter à intervalles réguliers aux serveurs
du Fournisseur ou à des serveurs tiers et collecter des données en conformité avec la Politique de confidentialité.
Une connexion Internet et une collecte de données sont requises pour les fonctions suivantes du Logiciel :
a) Mises à jour du Logiciel. Le Fournisseur est autorisé à publier des mises à jour du Logiciel (« Mises à jour ») de
temps à autre, mais n’en a pas l’obligation. Cette fonction est activée dans la configuration standard du Logiciel ;
les Mises à jour sont donc installées automatiquement, sauf si l’Utilisateur Final a désactivé l’installation
automatique des Mises à jour. Pour la mise à disposition de Mises à jour, une vérification de l'authenticité de la
Licence est requise. Elle comprend notamment la collecte d'informations sur l'Ordinateur et/ou la plate-forme sur
62
lesquels le Logiciel est installé, en conformité avec la Politique de confidentialité.
b) Réacheminement des infiltrations et des données au Fournisseur. Le Logiciel contient des fonctions qui
collectent des échantillons de virus, d'autres programmes informatiques également nuisibles et d'objets
problématiques, suspects, potentiellement indésirables ou dangereux tels que des fichiers, des URL, des paquets
IP et des trames Ethernet (« Infiltrations »), puis les envoient au Fournisseur, en incluant, sans s'y limiter, des
informations sur le processus d'installation, l'Ordinateur ou la plateforme hébergeant le Logiciel et des
informations sur les opérations et fonctions du Logiciel (« Informations »). Les Informations et les Infiltrations
sont susceptibles de contenir des données (y compris des données personnelles obtenues par hasard ou
accidentellement) concernant l’Utilisateur final et/ou d’autres usagers de l’ordinateur sur lequel le Logiciel est
installé et les fichiers affectés par les Infiltrations et les métadonnées associées. Les informations et les
infiltrations peuvent être collectées pat les fonctions suivantes du Logiciel :
i. La fonction Système de réputation LiveGrid collecte et envoie les hachages unidirectionnelles liés aux
Infiltrations au Fournisseur. Cette fonction est activée dans les paramètres standard du Logiciel.
ii. La fonction Système de commentaires LiveGrid collecte et envoie les Infiltrations avec les Informations et les
métadonnées associées au Fournisseur.
Le Fournisseur utilisera les Informations et Infiltrations reçues uniquement pour effectuer des analyses et des
recherches sur les Infiltrations et améliorer le Logiciel et la vérification de l'authenticité de la Licence. Il prendra
en outre les mesures adéquates afin de protéger les Infiltrations et Informations reçues. Si vous activez cette
fonction du Logiciel, les Infiltrations et Informations peuvent être collectées et traitées par le Fournisseur, comme
stipulé dans la Politique de confidentialité et conformément aux réglementations en vigueur. Vous pouvez
désactiver ces fonctions à tout moment.
Aux fins du présent Contrat, il est nécessaire de collecter, traiter et stocker des données permettant au
Fournisseur de vous identifier conformément à la Politique de confidentialité. Vous acceptez que le Fournisseur
vérifie à l'aide de ses propres moyens si vous utilisez le Logiciel conformément aux dispositions du présent
Contrat. Vous reconnaissez qu'aux fins du présent Contrat, il est nécessaire que vos données soient transférées
pendant les communications entre le Logiciel et les systèmes informatiques du Fournisseur ou de ceux de ses
partenaires commerciaux, dans le cadre du réseau de distribution et de support du Fournisseur, afin de garantir
les fonctionnalités du Logiciel, l'autorisation d'utiliser le Logiciel et la protection des droits du Fournisseur.
Après la conclusion du présent Contrat, le Fournisseur et ses partenaires commerciaux, dans le cadre du réseau
de distribution et de support du Fournisseur, sont autorisés à transférer, à traiter et à stocker des données
essentielles vous identifiant, aux fins de facturation, d'exécution du présent Contrat et de transmission de
notifications sur votre Ordinateur. Vous acceptez de recevoir des notifications et des messages, notamment des
informations commerciales.
Des informations détaillées sur la vie privée, la protection des données personnelles et Vos droits en tant que
personne concernée figurent dans la Politique de confidentialité, disponible sur le site Web du Fournisseur et
directement accessible à partir de l'installation. Vous pouvez également la consulter depuis la section d'aide du
Logiciel.
5. Exercice des droits de l’Utilisateur Final. Vous devez exercer les droits de l'Utilisateur Final en personne ou par
l'intermédiaire de vos employés. Vous n'êtes autorisé à utiliser le Logiciel que pour assurer la sécurité de vos
opérations et protéger les Ordinateurs ou systèmes informatiques pour lesquels vous avez obtenu une Licence.
6. Restrictions des droits. Vous ne pouvez pas copier, distribuer, extraire des composants ou créer des travaux
dérivés basés sur le Logiciel. Vous devez respecter les restrictions suivantes lorsque vous utilisez le Logiciel :
a) Vous pouvez effectuer une copie de sauvegarde archivée du Logiciel sur un support de stockage permanent, à
63
condition que cette copie de sauvegarde archivée ne soit pas installée ni utilisée sur un autre ordinateur. Toutes
les autres copies que vous pourriez faire du Logiciel seront considérées comme une violation du présent Contrat.
b) Vous n’êtes pas autorisé à utiliser, modifier, traduire, reproduire ou transférer les droits d’utilisation du Logiciel
ou des copies du Logiciel d’aucune manière autre que celles prévues dans le présent Contrat.
c) Vous ne pouvez pas vendre, concéder en sous-licence, louer à bail ou louer le Logiciel ou utiliser le Logiciel pour
offrir des services commerciaux.
d) Vous ne pouvez pas rétroconcevoir, décompiler ou désassembler le Logiciel ni tenter de toute autre façon de
découvrir le code source du Logiciel, sauf dans la mesure où cette restriction est expressément interdite par la loi.
e) Vous acceptez de n’utiliser le Logiciel que de façon conforme à toutes les lois applicables de la juridiction dans
laquelle vous utilisez le Logiciel, notamment les restrictions applicables relatives aux droits d’auteur et aux droits
de propriété intellectuelle.
f) Vous acceptez de n'utiliser le Logiciel et ses fonctions que de façon à ne pas entraver la possibilité des autres
Utilisateurs Finaux à accéder à ces services. Le Fournisseur se réserve le droit de limiter l'étendue des services
fournis à chacun des Utilisateurs Finaux, pour permettre l'utilisation des services au plus grand nombre possible
d'Utilisateurs Finaux. Le fait de limiter l'étendue des services implique aussi la résiliation totale de la possibilité
d'utiliser toute fonction du Logiciel ainsi que la suppression des Données et des informations présentes sur les
serveurs du Fournisseur ou sur des serveurs tiers, qui sont afférentes à une fonction particulière du Logiciel.
g) Vous acceptez de ne pas exercer d'activités impliquant l'utilisation de la Clé de licence, qui soit contraire aux
termes du présent Contrat, ou conduisant à fournir la Clé de licence à toute personne n'étant pas autorisée à
utiliser le logiciel (comme le transfert d'une Clé de licence utilisée ou non utilisée ou la distribution de Clés de
licence dupliquées ou générées ou l'utilisation du Logiciel suite à l'emploi d'une Clé de licence obtenue d'une
source autre que le Fournisseur).
7. Droit d’auteur. Le Logiciel et tous les droits inclus, notamment les droits d’auteur et les droits de propriété
intellectuelle sont la propriété d’ESET et/ou de ses concédants de licence. ESET est protégée par les dispositions
des traités internationaux et par toutes les lois nationales applicables dans le pays où le Logiciel est utilisé. La
structure, l’organisation et le code du Logiciel sont des secrets commerciaux importants et des informations
confidentielles appartenant à ESET et/ou à ses concédants de licence. Vous n’êtes pas autorisé à copier le Logiciel,
sauf dans les exceptions précisées en 6 (a). Toutes les copies que vous êtes autorisé à faire en vertu du présent
Contrat doivent contenir les mentions relatives aux droits d’auteur et de propriété qui apparaissent sur le Logiciel.
Si vous rétroconcevez, décompilez ou désassemblez le Logiciel ou tentez de toute autre façon de découvrir le
code source du Logiciel, en violation des dispositions du présent Contrat, vous acceptez que les données ainsi
obtenues doivent être automatiquement et irrévocablement transférées au Fournisseur dans leur totalité, dès
que de telles données sont connues, indépendamment des droits du Fournisseur relativement à la violation du
présent Contrat.
8. Réservation de droits. Le Fournisseur se réserve tous les droits sur le Logiciel, à l’exception des droits qui vous
sont expressément garantis en vertu des termes du présent Contrat en tant qu’Utilisateur final du Logiciel.
9. Versions multilingues, logiciel sur plusieurs supports, copies multiples. Si le Logiciel est utilisé sur plusieurs
plateformes et en plusieurs langues, ou si vous recevez plusieurs copies du Logiciel, vous ne pouvez utiliser le
Logiciel que pour le nombre de systèmes informatiques ou de versions pour lesquels vous avez obtenu une
Licence. Vous ne pouvez pas vendre, louer à bail, louer, concéder en sous-licence, prêter ou transférer des
versions ou des copies du Logiciel que vous n’utilisez pas.
10. Début et fin du Contrat. Ce Contrat entre en vigueur à partir du jour où vous en acceptez les modalités. Vous
pouvez résilier ce Contrat à tout moment en désinstallant de façon permanente, détruisant et renvoyant, à vos
64
frais, le Logiciel, toutes les copies de sauvegarde et toute la documentation associée remise par le Fournisseur ou
ses partenaires commerciaux. Quelle que soit la façon dont ce Contrat se termine, les dispositions énoncées aux
articles 7, 8, 11, 13, 19 et 21 continuent de s’appliquer pour une durée illimitée.
11. DÉCLARATIONS DE L’UTILISATEUR FINAL. EN TANT QU’UTILISATEUR FINAL, VOUS RECONNAISSEZ QUE LE
LOGICIEL EST FOURNI « EN L’ÉTAT », SANS AUCUNE GARANTIE D’AUCUNE SORTE, QU’ELLE SOIT EXPRESSE OU
IMPLICITE, DANS LA LIMITE PRÉVUE PAR LA LOI APPLICABLE. NI LE FOURNISSEUR, NI SES CONCÉDANTS DE
LICENCE, NI SES FILIALES, NI LES DÉTENTEURS DE DROIT D’AUTEUR NE FONT UNE QUELCONQUE DÉCLARATION
OU N’ACCORDENT DE GARANTIE EXPRESSE OU IMPLICITE QUELCONQUE, NOTAMMENT DES GARANTIES DE
VENTE, DE CONFORMITÉ À UN OBJECTIF PARTICULIER OU SUR LE FAIT QUE LE LOGICIEL NE PORTE PAS ATTEINTE
À DES BREVETS, DROITS D’AUTEURS, MARQUES OU AUTRES DROITS DÉTENUS PAR UN TIERS. NI LE FOURNISSEUR
NI AUCUN AUTRE TIERS NE GARANTIT QUE LES FONCTIONS DU LOGICIEL RÉPONDRONT À VOS ATTENTES OU QUE
LE FONCTIONNEMENT DU LOGICIEL SERA CONTINU ET EXEMPT D’ERREURS. VOUS ASSUMEZ L’ENTIÈRE
RESPONSABILITÉ ET LES RISQUES LIÉS AU CHOIX DU LOGICIEL POUR L’OBTENTION DES RÉSULTATS ESCOMPTÉS ET
POUR L’INSTALLATION, L’UTILISATION ET LES RÉSULTATS OBTENUS.
12. Aucune obligation supplémentaire. À l’exception des obligations mentionnées explicitement dans le présent
Contrat, aucune obligation supplémentaire n’est imposée au Fournisseur et à ses concédants de licence.
13. LIMITATION DE GARANTIE. DANS LA LIMITE MAXIMALE PRÉVUE PAR LES LOIS APPLICABLES, LE FOURNISSEUR,
SES EMPLOYÉS OU SES CONCÉDANTS DE LICENCE NE SERONT EN AUCUN CAS TENUS POUR RESPONSABLES D’UNE
QUELCONQUE PERTE DE PROFIT, REVENUS, VENTES, DONNÉES, OU DES FRAIS D’OBTENTION DE BIENS OU
SERVICES DE SUBSTITUTION, DE DOMMAGE MATÉRIEL, DOMMAGE PHYSIQUE, INTERRUPTION D’ACTIVITÉ, PERTE
DE DONNÉES COMMERCIALES, OU DE TOUT DOMMAGE DIRECT, INDIRECT, FORTUIT, ÉCONOMIQUE, DE
GARANTIE, PUNITIF, SPÉCIAL OU CORRÉLATIF, QUELLE QU’EN SOIT LA CAUSE ET QUE CE DOMMAGE DÉCOULE
D’UNE RESPONSABILITÉ CONTRACTUELLE, DÉLICTUELLE OU D’UNE NÉGLIGENCE OU DE TOUTE AUTRE THÉORIE DE
RESPONSABILITÉ, LIÉE À L’INSTALLATION, À L’UTILISATION OU À L’IMPOSSIBILITÉ D’UTILISER LE LOGICIEL, MÊME
SI LE FOURNISSEUR OU SES CONCÉDANTS DE LICENCE ONT ÉTÉ AVERTIS DE L’ÉVENTUALITÉ D’UN TEL DOMMAGE.
CERTAINS PAYS ET CERTAINES LOIS N’AUTORISANT PAS L’EXCLUSION DE RESPONSABILITÉ, MAIS AUTORISANT LA
LIMITATION DE RESPONSABILITÉ, LA RESPONSABILITÉ DU FOURNISSEUR, DE SES EMPLOYÉS OU DE SES
CONCÉDANTS DE LICENCE SERA LIMITÉE AU MONTANT QUE VOUS AVEZ PAYÉ POUR LA LICENCE.
14. Aucune disposition du présent Contrat ne porte atteinte aux droits accordés par la loi de toute partie agissant
comme client si l’exécution y est contraire.
15. Assistance technique. ESET ou des tiers mandatés par ESET fourniront une assistance technique à leur
discrétion, sans garantie ni déclaration solennelle. L’Utilisateur Final devra peut-être sauvegarder toutes les
données, logiciels et programmes existants avant que l’assistance technique ne soit fournie. ESET et/ou les tiers
mandatés par ESET ne seront en aucun cas tenus responsables d’un quelconque dommage ou d’une quelconque
perte de données, de biens, de logiciels ou de matériel, ou d’une quelconque perte de profit en raison de la
fourniture de l’assistance technique. ESET et/ou les tiers mandatés par ESET se réservent le droit de décider si
l’assistance technique couvre la résolution du problème. ESET se réserve le droit de refuser, de suspendre
l’assistance technique ou d’y mettre fin à sa discrétion. Des informations de licence, d'autres informations et des
données conformes à la Politique de confidentialité peuvent être requises en vue de fournir une assistance
technique.
16. Transfert de Licence. Le Logiciel ne peut pas être transféré d’un système informatique à un autre, à moins
d’une précision contraire dans les modalités du présent Contrat. L’Utilisateur Final n’est autorisé qu’à transférer
de façon définitive la Licence et tous les droits accordés par le présent Contrat à un autre Utilisateur Final avec
l’accord du Fournisseur, si cela ne s’oppose pas aux modalités du présent Contrat et dans la mesure où (i)
l’Utilisateur Final d’origine ne conserve aucune copie du Logiciel ; (ii) le transfert des droits est direct, c’est-à-dire
qu’il s’effectue directement de l’Utilisateur Final original au nouvel Utilisateur Final ; (iii) le nouvel Utilisateur Final
65
assume tous les droits et devoirs de l’Utilisateur Final d’origine en vertu du présent Contrat ; (iv) l’Utilisateur Final
d’origine transmet au nouvel Utilisateur Final toute la documentation permettant de vérifier l’authenticité du
Logiciel, conformément à l’article 17.
17. Vérification de l’authenticité du Logiciel. L’Utilisateur final peut démontrer son droit d'utiliser le Logiciel de
l'une des façons suivantes : (i) au moyen d'un certificat de licence émis par le Fournisseur ou un tiers mandaté par
le Fournisseur ; (ii) au moyen d'un contrat de licence écrit, si un tel contrat a été conclu ; (iii) en présentant un
courrier électronique envoyé au Fournisseur contenant tous les renseignements sur la licence (nom d'utilisateur
et mot de passe). Des informations de licence et des données d'identification de l'Utilisateur Final conformes à la
Politique de confidentialité peuvent être requises en vue de vérifier l'authenticité du Logiciel.
18. Licence pour les pouvoirs publics et le gouvernement des États-Unis. Le Logiciel est fourni aux pouvoirs
publics, y compris le gouvernement des États-Unis, avec les droits de Licence et les restrictions mentionnés dans
le présent Contrat.
19. Conformité aux contrôles à l'exportation.
a) Vous ne devez en aucun cas, directement ou indirectement, exporter, réexporter, transférer ou mettre le
Logiciel à la disposition de quiconque, ou l'utiliser d'une manière ou participer à un acte qui pourrait entraîner
ESET ou ses sociétés de holding, ses filiales et les filiales de l'une de ses sociétés de holding, ainsi que les entités
contrôlées par ses sociétés de holding (« Sociétés affiliées ») à enfreindre ou faire l'objet des conséquences
négatives de l'enfreinte des Lois sur le contrôle à l'exportation, qui comprennent
i. les lois qui contrôlent, limitent ou imposent des exigences en matière de licence pour l'exportation, la
réexportation ou le transfert de marchandises, de logiciels, de technologies ou de services, émises ou adoptées
par un gouvernement, un état ou un organisme de réglementation des États-Unis d'Amérique, de Singapour, du
Royaume-Uni, de l'Union européenne ou de l'un de ses États membres, ou tout pays dans lequel les obligations au
titre de l'accord doivent être exécutées, ou dans lequel ESET ou l'une de ses filiales est établie ou mène ses
activités (« Lois sur le contrôle des exportations ») et
ii. toute sanction économique, financière, commerciale ou autre, sanction, restriction, embargo, interdiction
d'importation ou d'exportation, interdiction de transfert de fonds ou d'actifs ou de prestation de services, ou
mesure équivalente imposée par un gouvernement, un État ou un organisme de réglementation des États-Unis
d'Amérique, de Singapour, du Royaume-Uni, de l'Union européenne ou de l'un de ses États membres, ou tout
pays dans lequel les obligations au titre de l'accord doivent être exécutées, ou dans lequel ESET ou l'une de ses
filiales est établie ou mène ses activités (« Lois sur les sanctions »).
b) ESET a le droit de suspendre ses obligations en vertu des présentes Conditions ou d'y mettre fin avec effet
immédiat dans le cas où :
i. ESET estime raisonnablement que l'Utilisateur a enfreint ou est susceptible d'enfreindre la disposition de
l'Article 19.a du Contrat ; ou
ii. l'Utilisateur final et/ou le Logiciel deviennent soumis aux Lois sur le contrôle à l'exportation et, par conséquent,
ESET estime raisonnablement que l'exécution continue de ses obligations en vertu de l'accord pourrait entraîner
ESET ou ses affiliés à enfreindre ou faire l'objet des conséquences négatives de l'enfreinte des Lois sur le contrôle
à l'exportation.
c) Rien dans le Contrat ne vise, et rien ne doit être interprété comme incitant ou obligeant l'une des parties à agir
ou à s'abstenir d'agir (ou à accepter d'agir ou à s'abstenir d'agir) d'une manière qui soit incompatible, pénalisée
ou interdite en vertu de toute loi sur le contrôle à l'exportation applicable.
20. Avis. Tous les avis, les renvois du Logiciel et la documentation doivent être adressés à : ESET, spol. s r. o.,
66
Einsteinova 24, 851 01 Bratislava, Slovak Republic.
21. Loi applicable. Le présent Contrat est régi par la loi de la République Slovaque et interprété conformément à
celle-ci. L’Utilisateur Final et le Fournisseur conviennent que les principes relatifs aux conflits de la loi applicable
et la Convention des Nations Unies sur les contrats pour la Vente internationale de marchandises ne s’appliquent
pas. Vous acceptez expressément que le tribunal de Bratislava I. arbitre tout litige ou conflit avec le Fournisseur
ou en relation avec votre utilisation du Logiciel, et vous reconnaissez expressément que le tribunal a la juridiction
pour de tels litiges ou conflits.
22. Dispositions générales. Si une disposition du présent Contrat s'avère nulle et inopposable, cela n'affectera pas
la validité des autres dispositions du présent Contrat. Ces dispositions resteront valables et opposables en vertu
des conditions stipulées dans le présent Contrat. En cas de discordance entre les versions linguistiques du présent
Contrat, seule la version en langue anglaise fait foi. Le présent Contrat ne pourra être modifié que par un avenant
écrit et signé par un représentant autorisé du Fournisseur ou une personne expressément autorisée à agir à ce
titre en vertu d’un contrat de mandat.
Cela constitue l'intégralité du Contrat entre le Fournisseur et vous en relation avec le Logiciel, et il remplace toute
représentation, discussion, entreprise, communication ou publicité antérieure en relation avec le Logiciel.
EULA ID: BUS-ECOS-20-01
Accord sur le traitement des données
Conformément aux exigences du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016
sur la protection des personnes physiques en ce qui concerne le traitement des données à caractère personnel et
la libre circulation de ces données, et abrogeant la Directive 95/46/CE (ci-après « RGPD »), le Fournisseur (ci-après
dénommé le « Sous-traitant ») et Vous (ci-après dénommé « Responsable du traitement ») entrez en relation
contractuelle aux fins du traitement des données pour définir les modalités et conditions du traitement des
données à caractère personnel, les modalités de sa protection, ainsi que d'autres droits et obligations des deux
parties en ce qui concerne le traitement des données à caractère personnel des personnes concernées pour le
compte du Responsable du traitement pendant la durée de l'exécution de l'objet des présents Termes en tant que
contrat principal.
1. Traitement des Données à caractère personnel. Les services fournis conformément aux présentes Conditions
comprennent le traitement d'informations relatives à une personne physique identifiée ou identifiable
répertoriée dans la Politique de confidentialité (ci-après dénommées les « Données à caractère personnel »).
2. Autorisation. Le Responsable du traitement autorise le Sous-traitant à traiter les Données à caractère
personnel, y compris les instructions suivantes :
(i) « Finalité du traitement » signifie la fourniture des services conformément aux présents Termes ; Le Soustraitant n'est autorisé à traiter les Données à caractère personnel pour le compte du Responsable du traitement
que dans le cadre de la fourniture des services demandés par ce dernier. Toutes les informations recueillies à des
fins supplémentaires sont traitées en dehors de la relation contractuelle Responsable du traitement/Soustraitant.
(ii) période de traitement signifie la période allant de la coopération prévue par les présents Termes à la cessation
des services ;
(iii) champ d'application et catégories des données à caractère personnel incluent les données à caractère
personnel générales, à l'exclusion de toutes les catégorie spéciales de données à caractère personnel,
67
(iv) « Personne concernée » signifie la personne physique en tant qu'utilisateur autorisé des appareils du
Responsable du traitement ;
(v) traitement désigne toute opération ou tout ensemble d'opérations nécessaires aux fins du traitement ;
(vi) « Instructions documentées » signifie les instructions décrites dans les présents Termes, leurs Annexes, la
Politique de confidentialité et la documentation du service. Le Responsable du traitement est chargé de
l'admissibilité juridique du traitement des Données à caractère personnel par le Sous-traitant au regard des
dispositions applicables respectives à la loi sur la protection des données.
3. Obligations du Sous-traitant. Le Sous-traitant s'engage à :
(i) traiter les Données à caractère personnel conformément aux instructions documentées et aux fins définies
dans les Conditions, ses Annexes, la Politique de confidentialité, et la documentation du service ;
(ii) veiller à ce que les personnes autorisées à traiter les Données à caractère personnel s'engagent à respecter la
confidentialité ;
(iii) mettre en place et suivre les mesures décrites dans les Conditions, ses Annexes, la Politique de confidentialité,
et la documentation du service ;
(iv) aider le Responsable du traitement à répondre aux demandes des Personnes concernées en ce qui concerne
leurs droits. Le Sous-traitant ne doit pas corriger, supprimer ou limiter le traitement des Données à caractère
personnel sans les instructions du Responsable du traitement. Toutes les demandes de la Personne concernée
relatives aux Données à caractère personnel traitées pour le compte du Responsable du traitement doivent être
transmises à ce dernier sans délai.
(v) aider le Responsable du traitement à notifier la violation de données à caractère personnel à l'autorité de
contrôle et à la Personne concernée ;
(vi) supprimer ou renvoyer toutes les Données à caractère personnel au Responsable du traitement après la fin de
la Période de traitement ;
(vii) tenir un registre à jour de toutes les catégories d'activités de traitement effectuées pour le compte du
Responsable du traitement.
(viii) mettre à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer la
conformité dans le cadre des Conditions, de ses Annexes, de la Politique de confidentialité et de la documentation
du service.
4. Recrutement d'un autre Sous-traitant. Le Sous-traitant est autorisé à faire appel à un autre sous-traitant pour
mener des activités de traitement spécifiques, telles la fourniture d'un espace de stockage dans le cloud et de
l'infrastructure pour le service, conformément aux Conditions, à ses Annexes, à la Politique de confidentialité et à
la documentation du service. Actuellement, Microsoft fournit un stockage et une infrastructure cloud dans le
cadre du service cloud Azure. Même dans ce cas, le Sous-traitant demeure le seul point de contact et la partie
responsable du respect des obligations prévues dans les présents Termes, leurs Annexes, la Politique de
confidentialité et la documentation du service.
5. Territoire du traitement. Le Sous-traitant mettra tout en œuvre pour s’assurer que le traitement ait lieu dans
l’Espace économique européen ou un pays désigné comme étant sûr par décision de la Commission européenne
d’après la décision du Responsable du traitement. Les Clauses contractuelles types s'appliquent aux transferts et
traitements effectués hors de l'Espace économique européen ou d'un pays désigné comme étant sûr par décision
de la Commission européenne à la demande du Responsable du traitement.
68
6. Sécurité. Le Sous-traitant est certifié ISO 27001:2013 et utilise le cadre de la norme ISO 27001 pour mettre en
place une stratégie de sécurité de défense par couches lors de l'application de contrôles de sécurité au niveau de
la couche réseau, des systèmes d'exploitation, des bases de données, des applications, du personnel et des
processus opérationnels. La conformité aux exigences réglementaires et contractuelles est régulièrement évaluée
et examinée de la même manière que les autres infrastructures et opérations du Sous-traitant, et les mesures
nécessaires sont prises pour assurer la conformité de manière continue. Le Sous-traitant a organisé la sécurité des
données en utilisant le système ISMS basé sur ISO 27001. La documentation sur la sécurité comprend
principalement des documents de politique pour la sécurité des informations, la sécurité physique et la sécurité
des équipements, la gestion des incidents, le traitement des fuites de données et des incidents de sécurité, etc.
7. Coordonnées du Sous-traitant. Toutes les notifications, requêtes, demandes et autres communications
relatives à la protection des données à caractère personnel doivent être adressées à ESET, spol. s.r.o., à
l'attention de : Data Protection Officer, Einsteinova 24, 85101 Bratislava, Slovak Republic, email: dpo@eset.sk.
Clauses contractuelles types
SECTION I
Clause 1 Finalités et champ d'application
(a) Les présentes clauses contractuelles types visent à garantir le respect des exigences du règlement (UE)
2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à
l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement
général sur la protection des données) (1) en cas de transfert de données à caractère personnel vers un pays tiers.
(b) Les Parties :
(i) la ou les personnes physiques ou morales, la ou les autorités publiques, la ou les agences ou autre(s)
organisme(s) (ci-après la ou les «entités») qui transfèrent les données à caractère personnel, mentionnés à
l’annexe I.A. (ci-après l’«exportateur de données»), et
(ii) la ou les entités d’un pays tiers qui reçoivent les données à caractère personnel de l’exportateur de données,
directement ou indirectement par l’intermédiaire d’une autre entité également partie aux présentes clauses,
mentionnées à l’annexe I.A. (ci-après l’«importateur de données»)
sont convenues des présentes clauses contractuelles types (ci-après: les «clauses»).
(c) Les présentes clauses s’appliquent au transfert de données à caractère personnel précisé à l’annexe I.B.
(d) L’appendice aux présentes clauses, qui contient les annexes qui y sont mentionnées, fait partie intégrante des
présentes clauses.
Clause 2 Effet et invariabilité des clauses
(a) Les présentes clauses établissent des garanties appropriées, notamment des droits opposables pour la
personne concernée et des voies de droit effectives, en vertu de l’article 46, paragraphe 1, et de l’article 46,
paragraphe 2, point c), du règlement (UE) 2016/679 et, en ce qui concerne les transferts de données de
responsables du traitement à sous-traitants et/ou de sous-traitants à sous-traitants, des clauses contractuelles
types en vertu de l’article 28, paragraphe 7, du règlement (UE) 2016/679, à condition qu’elles ne soient pas
modifiées, sauf pour sélectionner le ou les modules appropriés ou pour ajouter ou mettre à jour des informations
69
dans l’appendice. Cela n’empêche pas les parties d’inclure les clauses contractuelles types prévues dans les
présentes clauses dans un contrat plus large et/ou d’ajouter d’autres clauses ou des garanties supplémentaires, à
condition que celles-ci ne contredisent pas, directement ou indirectement, les présentes clauses et qu’elles ne
portent pas atteinte aux libertés et droits fondamentaux des personnes concernées.
(b) Les présentes clauses sont sans préjudice des obligations auxquelles l’exportateur de données est soumis en
vertu du règlement (UE) 2016/679.
Clause 3 Tiers bénéficiaire
(a) Les personnes concernées peuvent invoquer et faire appliquer les présentes clauses, en tant que tiers
bénéficiaires, contre l’exportateur et/ou l’importateur de données, avec les exceptions suivantes:
clause 1, clause 2, clause 3, clause 6, clause 7;
(ii) clause 8 — module 1: clause 8.5, paragraphe e), et clause 8.9, paragraphe b); module 2: clause 8.1, paragraphe
b), clause 8.9, paragraphes a), c), d) et e); module 3: clause 8.1, paragraphes a), c) et d) et clause 8.9, paragraphes
a), c), d), e), f) et g); module 4: clause 8.1, paragraphe b), et clause 8.3, paragraphe b);
(iii) clause 9 — module 2: clause 9, paragraphes a), c), d) et e); module 3: clause 9, paragraphes a) c), d) et e);
(iv) clause 12 — module 1: clause 12, paragraphes a) et d); modules 2 et 3: clause 12, paragraphes a), d) et f);
(v) clause 13;
(vi) clause 15.1, paragraphes c), d) et e);
(vii) clause 16, paragraphe e);
(viii) clause 18 — modules 1, 2 et 3: clause 18, paragraphes a) et b); module 4: clause 18.
(b) Le paragraphe a) est sans préjudice des droits des personnes concernées au titre du règlement (UE) 2016/679.
Clause 4 Interprétation
(a) Lorsque les présentes clauses utilisent des termes définis dans le règlement (UE) 2016/679, ceux-ci ont la
même signification que dans ledit règlement.
(b) Les présentes clauses sont lues et interprétées à la lumière des dispositions du règlement (UE) 2016/679.
(c) Les présentes clauses ne sont pas interprétées dans un sens contraire aux droits et obligations prévus dans le
règlement (UE) 2016/679.
Clause 5 Hiérarchie
En cas de contradiction entre les présentes clauses et les dispositions des accords connexes entre les parties
existant au moment où les présentes clauses sont convenues, ou souscrites par la suite, les présentes clauses
prévalent.
Clause 6 Description du ou des transferts
Les détails du ou des transferts, en particulier les catégories de données à caractère personnel qui sont
70
transférées et la ou les finalités pour lesquelles elles le sont, sont précisés à l’annexe I.B.
Clause 7 — Facultative Clause d’adhésion
(a) Une entité qui n’est pas partie aux présentes clauses peut, avec l’accord des parties, y adhérer à tout moment,
soit en tant qu’exportateur de données soit en tant qu’importateur de données, en remplissant l’appendice et en
signant l’annexe I.A.
(b) Une fois l’appendice rempli et l’annexe I.A. signée, l’entité adhérente devient partie aux présentes clauses et a
les droits et obligations d’un exportateur de données ou d’un importateur de données selon sa désignation dans
l’annexe I.A.
(c) L’entité adhérente n’a aucun droit ni obligation découlant des présentes clauses pour la période antérieure à
son adhésion à celles-ci.
SECTION II — OBLIGATIONS DES PARTIES
Clause 8 Garanties en matière de protection des données
L’exportateur de données garantit qu’il a entrepris des démarches raisonnables pour s’assurer que l’importateur
de données est à même, par la mise en œuvre de mesures techniques et organisationnelles appropriées, de
satisfaire aux obligations qui lui incombent en vertu des présentes clauses.
MODULE 1 : Transfert de responsable du traitement à responsable du traitement
8.1. Limitation des finalités
L’importateur de données traite les données à caractère personnel uniquement pour la ou les finalités spécifiques
du transfert, telles que précisée(s) à l’annexe I.B. Il ne peut traiter les données à caractère personnel pour une
autre finalité que:
(i) s’il a obtenu le consentement préalable de la personne concernée;
(ii) si le traitement est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice dans le
contexte de procédures administratives, réglementaires ou judiciaires spécifiques; ou
(iii) si le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre
personne physique.
8.2. Transparence
(a) Afin de permettre aux personnes concernées d’exercer effectivement leurs droits en vertu de la clause 10,
l’importateur de données les informe, soit directement soit par l’intermédiaire de l’exportateur de données:
(i) de son identité et de ses coordonnées;
(ii) des catégories de données à caractère personnel traitées;
(iii) du droit d’obtenir une copie des présentes clauses;
(iv) lorsqu’il a l’intention de transférer ultérieurement les données à caractère personnel à un ou plusieurs tiers,
du destinataire ou des catégories de destinataires (selon le cas, en fonction de ce qui est nécessaire pour fournir
des informations utiles), ainsi que de la finalité de transfert ultérieur et de son motif conformément à la clause
71
8.7.
(b) Le paragraphe (a) ne s’applique pas lorsque la personne concernée dispose déjà de ces informations,
notamment lorsque ces informations ont déjà été communiquées par l’exportateur de données ou lorsque la
communication de ces informations se révèle impossible ou exigerait des efforts disproportionnés de la part de
l’importateur de données. Dans ce dernier cas, l’importateur de données met, dans la mesure du possible, ces
informations à la disposition du public.
(c) Sur demande, les parties mettent gratuitement à la disposition de la personne concernée une copie des
présentes clauses, notamment de l’appendice tel qu’elles l’ont rempli. Dans la mesure nécessaire pour protéger
les secrets d’affaires ou d’autres informations confidentielles, notamment les données à caractère personnel, les
parties peuvent occulter une partie du texte de l’appendice avant d’en communiquer une copie, mais fournissent
un résumé valable s’il serait autrement impossible, pour la personne concernée, d’en comprendre le contenu ou
d’exercer ses droits. Les parties fournissent à la personne concernée, à la demande de celle-ci, les motifs des
occultations, dans la mesure du possible sans révéler les informations occultées.
(d) Les paragraphes (a) à (c) sont sans préjudice des obligations qui incombent à l’exportateur de données en
vertu des articles 13 et 14 du règlement (UE) 2016/679.
8.3. Exactitude et minimisation des données
(a) Chaque partie veille à ce que les données à caractère personnel soient exactes et, si nécessaire, tenues à jour.
L’importateur de données prend toutes les mesures raisonnables pour que les données à caractère personnel qui
sont inexactes, eu égard à la ou aux finalités du traitement, soient effacées ou rectifiées sans tarder.
(b) Si une des parties se rend compte que les données à caractère personnel qu’elle a transférées ou reçues sont
inexactes, ou sont obsolètes, elle en informe l’autre partie dans les meilleurs délais.
(c) L’importateur de données veille à ce que les données à caractère personnel soient adéquates, pertinentes et
limitées à ce qui est nécessaire au regard de la ou des finalités du traitement.
8.4. Limitation de la conservation
L’importateur de données ne conserve pas les données à caractère personnel plus longtemps que ce qui est
nécessaire à la ou les finalités pour lesquelles elles sont traitées. Il met en place des mesures techniques ou
organisationnelles appropriées pour garantir le respect de cette obligation, notamment l’effacement ou
l’anonymisation (2) des données et de toutes leurs sauvegardes à la fin de la période de conservation.
8.5. Sécurité du traitement
(a) L’importateur de données et, durant la transmission, l’exportateur de données mettent en œuvre des mesures
techniques et organisationnelles appropriées pour garantir la sécurité des données à caractère personnel,
notamment pour les protéger d’une violation de la sécurité entraînant, de manière accidentelle ou illicite, la
destruction, la perte, l’altération, la divulgation ou l’accès non autorisé (ci-après la «violation de données à
caractère personnel»). Lors de l’évaluation du niveau de sécurité approprié, ils tiennent dûment compte de l’état
des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et de la ou des finalités du
traitement ainsi que des risques inhérents au traitement pour la personne concernée. Les parties envisagent en
particulier de recourir au chiffrement ou à la pseudonymisation, notamment pendant la transmission, lorsque la
finalité du traitement peut être atteinte de cette manière.
(b) Les parties sont convenues des mesures techniques et organisationnelles énoncées à l’annexe II. L’importateur
de données procède à des contrôles réguliers pour s’assurer que ces mesures continuent d’offrir le niveau de
sécurité approprié.
72
(c) L’importateur de données veille à ce que les personnes autorisées à traiter les données à caractère personnel
s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.
(d) En cas de violation de données à caractère personnel concernant des données à caractère personnel traitées
par l’importateur de données au titre des présentes clauses, ce dernier prend des mesures appropriées pour
remédier à la violation desdites données, y compris des mesures visant à en atténuer les effets négatifs
potentiels.
(e) En cas de violation de données à caractère personnel susceptible d’engendrer un risque pour les droits et
libertés des personnes physiques, l’importateur de données en informe sans tarder tant l’exportateur de données
que l’autorité de contrôle compétente au sens de la clause 13. Cette notification contient i) une description de la
nature de la violation (y compris, si possible, les catégories et le nombre approximatif de personnes concernées et
d’enregistrements de données à caractère personnel concernés), ii) une description de ses conséquences
probables, iii) une description des mesures prises ou proposées pour remédier à la violation et iv) les
coordonnées d’un point de contact auprès duquel il est possible d’obtenir plus d’informations. Dans la mesure où
l’importateur de données n’a pas la possibilité de fournir toutes les informations en même temps, il peut le faire
de manière échelonnée sans autre retard indu.
(f) En cas de violation de données à caractère personnel susceptible d’engendrer un risque élevé pour les droits et
libertés des personnes physiques, l’importateur de données informe également sans tarder les personnes
concernées de la violation de données à caractère personnel et de sa nature, si nécessaire en coopération avec
l’exportateur de données, en leur communiquant les informations mentionnées au paragraphe e), points ii)) à iv),
à moins qu’il n’ait mis en œuvre des mesures visant à réduire de manière significative le risque pour les droits ou
libertés des personnes physiques ou que cette notification n’exige des efforts disproportionnés. Dans ce dernier
cas, l’importateur de données publie, à la place, une communication ou prend une mesure similaire pour
informer le public de la violation de données à caractère personnel.
(g) L’importateur de données répertorie tous les faits pertinents relatifs à la violation de données à caractère
personnel, notamment ses effets et les mesures prises pour y remédier, et en garde une trace.
8.6. Données sensibles
Lorsque le transfert concerne des données à caractère personnel qui révèlent l’origine raciale ou ethnique, les
opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, des données
génétiques ou des données biométriques aux fins d’identifier une personne physique de manière unique, des
données concernant la santé ou concernant la vie sexuelle ou l’orientation sexuelle d’une personne, ou des
données relatives à des condamnations pénales ou à des infractions (ci-après les «données sensibles»),
l’importateur de données applique des restrictions particulières et/ou des garanties supplémentaires adaptées à
la nature spécifique des données et aux risques encourus. Cela peut inclure une restriction du personnel autorisé
à accéder aux données à caractère personnel, des mesures de sécurité supplémentaires (telles que la
pseudonymisation) et/ou des restrictions supplémentaires concernant une divulgation ultérieure.
8.7. Transferts ultérieurs
L’importateur de données ne divulgue pas les données à caractère personnel à un tiers situé en dehors de l’Union
européenne (3) (dans le même pays que l’importateur de données ou dans un autre pays tiers, ci-après «transfert
ultérieur»), sauf si le tiers est lié par les présentes clauses ou accepte de l’être, en vertu du module approprié.
Dans le cas contraire, un transfert ultérieur par l’importateur de données ne peut avoir lieu que si:
(i) il est effectué vers un pays bénéficiant d’une décision d’adéquation en vertu de l’article 45 du règlement (UE)
2016/679 qui couvre le transfert ultérieur;
(ii) le tiers offre d’une autre manière des garanties appropriées conformément aux articles 46 ou 47 du règlement
73
(UE) 2016/679 en ce qui concerne le traitement en question;
(iii) le tiers conclut un acte contraignant avec l’importateur de données garantissant le même niveau de
protection des données que les présentes clauses, et l’importateur de données fournit une copie de ces garanties
à l’exportateur de données;
(iv) il est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice dans le contexte de
procédures administratives, réglementaires ou judiciaires spécifiques;
(v) si le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre
personne physique.
(vi) lorsque aucune des autres conditions ne s’applique, l’importateur de données a obtenu le consentement
explicite de la personne concernée pour un transfert ultérieur dans une situation particulière, après l’avoir
informée de la ou des finalités de ce transfert ultérieur, de l’identité du destinataire et des risques éventuels que
ce transfert lui fait courir en raison de l’absence de garanties appropriées en matière de protection des données.
Dans ce cas, l’importateur de données informe l’exportateur de données et, à la demande de ce dernier, lui
transmet une copie des informations fournies à la personne concernée.
Tout transfert ultérieur est soumis au respect, par l’importateur de données, de toutes les autres garanties au
titre des présentes clauses, en particulier de la limitation des finalités.
8.8. Traitement effectué sous l’autorité de l’importateur de données
L’importateur de données veille à ce que toute personne agissant sous son autorité, notamment un sous-traitant,
ne traite les données que sur ses instructions.
8.9. Documentation et conformité
(a) Chaque partie est en mesure de démontrer le respect des obligations qui lui incombent en vertu des présentes
clauses. En particulier, l’importateur de données conserve une trace documentaire appropriée des activités de
traitement menées sous sa responsabilité.
(b) L’importateur de données met ces documents à la disposition de l’autorité de contrôle compétente si celle-ci
en fait la demande.
MODULE 2: transfert de responsable du traitement à sous-traitant
8.1. Instructions
(a) L’importateur de données ne traite les données à caractère personnel que sur instructions documentées de
l’exportateur de données. L’exportateur de données peut donner ces instructions pendant toute la durée du
contrat.
(b) S’il n’est pas en mesure de suivre ces instructions, l’importateur de données en informe immédiatement
l’exportateur de données.
8.2. Limitation des finalités
L’importateur de données traite les données à caractère personnel uniquement pour la ou les finalités spécifiques
du transfert, telles que précisées à l’annexe I.B, sauf en cas d’instructions supplémentaires de l’exportateur de
données.
8.3. Transparence
74
Sur demande, l’exportateur de données met gratuitement à la disposition de la personne concernée une copie
des présentes clauses, notamment de l’appendice tel que rempli par les parties. Dans la mesure nécessaire pour
protéger les secrets d’affaires ou d’autres informations confidentielles, notamment les mesures décrites à
l’annexe II et les données à caractère personnel, l’exportateur de données peut occulter une partie du texte de
l’appendice aux présentes clauses avant d’en communiquer une copie, mais fournit un résumé valable s’il serait
autrement impossible, pour la personne concernée, d’en comprendre le contenu ou d’exercer ses droits. Les
parties fournissent à la personne concernée, à la demande de celle-ci, les motifs des occultations, dans la mesure
du possible sans révéler les informations occultées. Cette clause est sans préjudice des obligations qui incombent
à l’exportateur de données en vertu des articles 13 et 14 du règlement (UE) 2016/679.
8.4. Exactitude
Si l’importateur de données se rend compte que les données à caractère personnel qu’il a reçues sont inexactes,
ou sont obsolètes, il en informe l’exportateur de données dans les meilleurs délais. Dans ce cas, l’importateur de
données coopère avec l’exportateur de données pour effacer ou rectifier les données.
8.5. Durée du traitement et effacement ou restitution des données
Le traitement par l’importateur de données n’a lieu que pendant la durée précisée à l’annexe I.B. Au terme de la
prestation des services de traitement, l’importateur de données, à la convenance de l’exportateur de données,
efface toutes les données à caractère personnel traitées pour le compte de ce dernier et lui en apporte la preuve,
ou lui restitue toutes les données à caractère personnel traitées pour son compte et efface les copies existantes.
Jusqu’à ce que les données soient effacées ou restituées, l’importateur de données continue de veiller au respect
des présentes clauses. Lorsque la législation locale applicable à l’importateur de données interdit la restitution ou
l’effacement des données à caractère personnel, ce dernier garantit qu’il continuera à respecter les présentes
clauses et qu’il ne traitera les données à caractère personnel que dans la mesure où et aussi longtemps que cette
législation locale l’exige. Ceci est sans préjudice de la clause 14, en particulier de l’obligation imposée à
l’importateur de données par la clause 14, paragraphe e), d’informer l’exportateur de données, pendant toute la
durée du contrat, s’il a des raisons de croire qu’il est ou est devenu soumis à une législation ou à des pratiques qui
ne sont pas conformes aux exigences de la clause 14, paragraphe a).
8.6. Sécurité du traitement
(a) L’importateur de données et, durant la transmission, l’exportateur de données mettent en œuvre des mesures
techniques et organisationnelles appropriées pour garantir la sécurité des données, notamment pour les protéger
d’une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la
divulgation ou l’accès non autorisé à ces données (ci-après la «violation de données à caractère personnel»). Lors
de l’évaluation du niveau de sécurité approprié, les parties tiennent dûment compte de l’état des connaissances,
des coûts de mise en œuvre, de la nature, de la portée, du contexte et de la ou des finalités du traitement ainsi
que des risques inhérents au traitement pour les personnes concernées. Les parties envisagent en particulier de
recourir au chiffrement ou à la pseudonymisation, notamment pendant la transmission, lorsque la finalité du
traitement peut être atteinte de cette manière. En cas de pseudonymisation, les informations supplémentaires
permettant d’attribuer les données à caractère personnel à une personne concernée précise restent, dans la
mesure du possible, sous le contrôle exclusif de l’exportateur de données. Pour s’acquitter des obligations qui lui
incombent en vertu du présent paragraphe, l’importateur de données met au moins en œuvre les mesures
techniques et organisationnelles précisées à l’annexe II. Il procède à des contrôles réguliers pour s’assurer que ces
mesures continuent d’offrir le niveau de sécurité approprié.
(b) L’importateur de données ne donne l’accès aux données à caractère personnel aux membres de son personnel
que dans la mesure strictement nécessaire à la mise en œuvre, à la gestion et au suivi du contrat. Il veille à ce que
les personnes autorisées à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou
soient soumises à une obligation légale appropriée de confidentialité.
75
(c) En cas de violation de données à caractère personnel concernant des données à caractère personnel traitées
par l’importateur de données au titre des présentes clauses, ce dernier prend des mesures appropriées pour
remédier à la violation, y compris des mesures visant à en atténuer les effets négatifs. L’importateur de données
informe également l’exportateur de données de cette violation dans les meilleurs délais après en avoir eu
connaissance. Cette notification contient les coordonnées d’un point de contact auprès duquel il est possible
d’obtenir plus d’informations, ainsi qu’une description de la nature de la violation (y compris, si possible, les
catégories et le nombre approximatif de personnes concernées et d’enregistrements de données à caractère
personnel concernés), de ses conséquences probables et des mesures prises ou proposées pour y remédier, y
compris, le cas échéant, des mesures visant à en atténuer les effets négatifs potentiels. Si, et dans la mesure où, il
n’est pas possible de fournir toutes les informations en même temps, la notification initiale contient les
informations disponibles à ce moment-là et les autres informations sont fournies par la suite, dans les meilleurs
délais, à mesure qu’elles deviennent disponibles.
(d) L’importateur de données coopère avec l’exportateur de données et l’aide afin de lui permettre de respecter
les obligations qui lui incombent en vertu du règlement (UE) 2016/679, notamment celle d’informer l’autorité de
contrôle compétente et les personnes concernées, compte tenu de la nature du traitement et des informations à
la disposition de l’importateur de données.
8.7. Données sensibles
Lorsque le transfert concerne des données à caractère personnel qui révèlent l’origine raciale ou ethnique, les
opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, des données
génétiques ou des données biométriques aux fins d’identifier une personne physique de manière unique, des
données concernant la santé ou concernant la vie sexuelle ou l’orientation sexuelle d’une personne, ou des
données relatives à des condamnations pénales et à des infractions (ci-après les «données sensibles»),
l’importateur de données applique les restrictions particulières et/ou les garanties supplémentaires décrites à
l’annexe I.B.
8.8. Transferts ultérieurs
L’importateur de données ne divulgue les données à caractère personnel à un tiers que sur instructions
documentées de l’exportateur de données. En outre, les données ne peuvent être divulguées à un tiers situé en
dehors de l’Union européenne (4) (dans le même pays que l’importateur de données ou dans un autre pays tiers,
ci-après «transfert ultérieur»), que si le tiers est lié par les présentes clauses ou accepte de l’être, en vertu du
module approprié, ou si:
(i) le transfert ultérieur est effectué vers un pays bénéficiant d’une décision d’adéquation en vertu de l’article 45
du règlement (UE) 2016/679 qui couvre le transfert ultérieur;
(ii) le tiers offre d’une autre manière des garanties appropriées conformément aux articles 46 ou 47 du règlement
(UE) 2016/679 en ce qui concerne le traitement en question;
(iii) le transfert ultérieur est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice dans le
contexte de procédures administratives, réglementaires ou judiciaires spécifiques; ou
(iv) le transfert ultérieur est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une
autre personne physique.
Tout transfert ultérieur est soumis au respect, par l’importateur de données, de toutes les autres garanties au
titre des présentes clauses, en particulier de la limitation des finalités.
8.9. Documentation et conformité
76
(a) L’importateur de données traite rapidement et de manière appropriée les demandes de renseignements de
l’exportateur de données concernant le traitement au titre des présentes clauses.
Les parties sont en mesure de démontrer le respect des présentes clauses. En particulier, l’importateur de
données conserve une trace documentaire appropriée des activités de traitement menées pour le compte de
l’exportateur de données.
(c) L’importateur de données met à la disposition de l’exportateur de données toutes les informations nécessaires
pour démontrer le respect des obligations prévues par les présentes clauses et, à la demande de l’exportateur de
données, pour permettre la réalisation d’audits des activités de traitement couvertes par les présentes clauses, et
contribuer à ces audits, à intervalles raisonnables ou s’il existe des indications de non-respect. Lorsqu’il décide
d’un examen ou d’un audit, l’exportateur de données peut tenir compte des certifications pertinentes détenues
par l’importateur de données.
(d) L’exportateur de données peut choisir de procéder à l’audit lui-même ou de mandater un auditeur
indépendant. Les audits peuvent également comprendre des inspections dans les locaux ou les installations
physiques de l’importateur de données et sont, le cas échéant, effectués avec un préavis raisonnable.
(e) Les parties mettent à la disposition de l’autorité de contrôle compétente, à la demande de celle-ci, les
informations mentionnées aux paragraphes b) et c), y compris les résultats de tout audit.
MODULE 3 : transfert de sous-traitant à sous-traitant
8.1. Instructions
(a) L’exportateur de données a informé l’importateur de données qu’il agit en qualité de sous-traitant sur
instructions de son ou ses responsables du traitement, instructions qu’il met à la disposition de l’importateur de
données avant le traitement.
(b) L’importateur de données ne traite les données à caractère personnel que sur instructions documentées du
responsable du traitement, telles qu’elles lui ont été communiquées par l’exportateur de données, ainsi que sur
instructions documentées supplémentaires de l’exportateur de données. Ces instructions supplémentaires ne
sont pas en contradiction avec les instructions du responsable du traitement. Le responsable du traitement ou
l’exportateur de données peut donner d’autres instructions documentées concernant le traitement des données
pendant toute la durée du contrat.
(c) S’il n’est pas en mesure de suivre ces instructions, l’importateur de données en informe immédiatement
l’exportateur de données. Lorsque l’importateur de données n’est pas en mesure de suivre les instructions du
responsable du traitement, l’exportateur de données en informe immédiatement ce dernier.
(d) L’exportateur de données garantit qu’il a imposé à l’importateur de données les mêmes obligations en
matière de protection des données que celles fixées dans le contrat ou un autre acte juridique au titre du droit de
l’Union ou du droit d’un État membre entre le responsable du traitement et l’exportateur de données (5).
8.2. Limitation des finalités
L’importateur de données traite les données à caractère personnel uniquement pour la ou les finalités spécifiques
du transfert, telles que précisées à l’annexe I.B, sauf en cas d’instructions supplémentaires du responsable du
traitement, telle qu’elles lui ont été communiquées par l’exportateur de données, ou de l’exportateur de
données.
8.3. Transparence
Sur demande, l’exportateur de données met gratuitement à la disposition de la personne concernée une copie
77
des présentes clauses, notamment de l’appendice tel que rempli par les parties. Dans la mesure nécessaire pour
protéger les secrets d’affaires ou d’autres informations confidentielles, notamment les données à caractère
personnel, l’exportateur de données peut occulter une partie du texte de l’appendice avant d’en communiquer
une copie, mais fournit un résumé valable s’il serait autrement impossible, pour la personne concernée, d’en
comprendre le contenu ou d’exercer ses droits. Les parties fournissent à la personne concernée, à la demande de
celle-ci, les motifs des occultations, dans la mesure du possible sans révéler les informations occultées.
8.4. Exactitude
Si l’importateur de données se rend compte que les données à caractère personnel qu’il a reçues sont inexactes,
ou sont obsolètes, il en informe l’exportateur de données dans les meilleurs délais. Dans ce cas, l’importateur de
données coopère avec l’exportateur de données pour rectifier ou effacer les données.
8.5. Durée du traitement et effacement ou restitution des données
Le traitement par l’importateur de données n’a lieu que pendant la durée précisée à l’annexe I.B. Au terme de la
prestation des services de traitement, l’importateur de données, à la convenance de l’exportateur de données,
efface toutes les données à caractère personnel traitées pour le compte du responsable du traitement et en
apporte la preuve à l’exportateur de données, ou lui restitue toutes les données à caractère personnel traitées
pour son compte et efface les copies existantes. Jusqu’à ce que les données soient effacées ou restituées,
l’importateur de données continue de veiller au respect des présentes clauses. Lorsque la législation locale
applicable à l’importateur de données interdit la restitution ou l’effacement des données à caractère personnel,
ce dernier garantit qu’il continuera à respecter les présentes clauses et qu’il ne traitera les données à caractère
personnel que dans la mesure où et aussi longtemps que cette législation locale l’exige. Ceci est sans préjudice de
la clause 14, en particulier de l’obligation imposée à l’importateur de données par la clause 14, paragraphe e),
d’informer l’exportateur de données, pendant toute la durée du contrat, s’il a des raisons de croire qu’il est ou est
devenu soumis à une législation ou à des pratiques qui ne sont pas conformes aux exigences de la clause 14,
paragraphe a).
8.6. Sécurité du traitement
(a) L’importateur de données et, durant la transmission, l’exportateur de données mettent en œuvre des mesures
techniques et organisationnelles appropriées pour garantir la sécurité des données, notamment pour les protéger
d’une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la
divulgation ou l’accès non autorisé à ces données (ci-après la «violation de données à caractère personnel»). Lors
de l’évaluation du niveau de sécurité approprié, ils tiennent dûment compte de l’état des connaissances, des
coûts de mise en œuvre, de la nature, de la portée, du contexte et de la ou des finalités du traitement ainsi que
des risques inhérents au traitement pour la personne concernée. Les parties envisagent en particulier de recourir
au chiffrement ou à la pseudonymisation, notamment pendant la transmission, lorsque la finalité du traitement
peut être atteinte de cette manière. En cas de pseudonymisation, les informations supplémentaires permettant
d’attribuer les données à caractère personnel à une personne concernée précise restent, dans la mesure du
possible, sous le contrôle exclusif de l’exportateur de données ou du responsable du traitement. Pour s’acquitter
des obligations qui lui incombent en vertu du présent paragraphe, l’importateur de données met au moins en
œuvre les mesures techniques et organisationnelles précisées à l’annexe II. Il procède à des contrôles réguliers
pour s’assurer que ces mesures continuent d’offrir le niveau de sécurité approprié.
(b) L’importateur de données ne donne l’accès aux données aux membres de son personnel que dans la mesure
strictement nécessaire à la mise en œuvre, à la gestion et au suivi du contrat. Il veille à ce que les personnes
autorisées à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises
à une obligation légale appropriée de confidentialité.
(c) En cas de violation de données à caractère personnel concernant des données à caractère personnel traitées
par l’importateur de données au titre des présentes clauses, ce dernier prend des mesures appropriées pour
78
remédier à la violation, y compris des mesures visant à en atténuer les effets négatifs. L’importateur de données
informe également, dans les meilleurs délais, l’exportateur de données et, s’il y a lieu et dans la mesure du
possible, le responsable du traitement après avoir eu connaissance de la violation. Cette notification contient les
coordonnées d’un point de contact auprès duquel il est possible d’obtenir plus d’informations, ainsi qu’une
description de la nature de la violation (y compris, si possible, les catégories et le nombre approximatif de
personnes concernées et d’enregistrements de données à caractère personnel concernés), de ses conséquences
probables et des mesures prises ou proposées pour y remédier, y compris des mesures visant à en atténuer les
effets négatifs potentiels. Si, et dans la mesure où, il n’est pas possible de fournir toutes les informations en
même temps, la notification initiale contient les informations disponibles à ce moment-là et les autres
informations sont fournies par la suite, dans les meilleurs délais, à mesure qu’elles deviennent disponibles.
(d) L’importateur de données coopère avec l’exportateur de données et l’aide afin de lui permettre de respecter
les obligations qui lui incombent en vertu du règlement (UE) 2016/679, notamment celle d’informer son
responsable du traitement afin que ce dernier puisse à son tour informer l’autorité de contrôle compétente et les
personnes concernées, compte tenu de la nature du traitement et des informations à la disposition de
l’importateur de données.
8.7. Données sensibles
Lorsque le transfert concerne des données à caractère personnel qui révèlent l’origine raciale ou ethnique, les
opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, des données
génétiques ou des données biométriques aux fins d’identifier une personne physique de manière unique, des
données concernant la santé ou concernant la vie sexuelle ou l’orientation sexuelle d’une personne, ou des
données relatives à des condamnations pénales et à des infractions (ci-après les «données sensibles»),
l’importateur de données applique les restrictions particulières et/ou les garanties supplémentaires indiquées à
l’annexe I.B.
8.8. Transferts ultérieurs
L’importateur de données ne divulgue les données à caractère personnel à un tiers que sur instructions
documentées du responsable du traitement, telles qu’elles lui ont été communiquées par l’exportateur de
données. En outre, les données ne peuvent être divulguées à un tiers situé en dehors de l’Union européenne (6)
(dans le même pays que l’importateur de données ou dans un autre pays tiers, ci-après «transfert ultérieur»), que
si le tiers est lié par les présentes clauses ou accepte de l’être, en vertu du module approprié, ou si:
(i) le transfert ultérieur est effectué vers un pays bénéficiant d’une décision d’adéquation en vertu de l’article 45
du règlement (UE) 2016/679 qui couvre le transfert ultérieur;
(ii) le tiers offre d’une autre manière des garanties appropriées conformément aux articles 46 ou 47 du règlement
(UE) 2016/679;
(iii) le transfert ultérieur est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice dans le
contexte de procédures administratives, réglementaires ou judiciaires spécifiques; ou
(iv) le transfert ultérieur est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une
autre personne physique.
Tout transfert ultérieur est soumis au respect, par l’importateur de données, de toutes les autres garanties au
titre des présentes clauses, en particulier de la limitation des finalités.
8.9. Documentation et conformité
(a) L’importateur de données traite rapidement et de manière appropriée les demandes de renseignements de
79
l’exportateur de données ou du responsable du traitement concernant le traitement au titre des présentes
clauses.
Les parties sont en mesure de démontrer le respect des présentes clauses. En particulier, l’importateur de
données conserve une trace documentaire appropriée des activités de traitement menées pour le compte du
responsable du traitement.
(c) L’importateur de données met toutes les informations nécessaires pour démontrer le respect des obligations
prévues par les présentes clauses à la disposition de l’exportateur de données, qui les transmet au responsable du
traitement.
(d) L’importateur de données permet la réalisation, par l’exportateur de données, d’audits des activités de
traitement couvertes par les présentes clauses, et contribue à ces audits, à intervalles raisonnables ou s’il existe
des indications de non-respect. Il en est de même lorsque l’exportateur de données demande un audit sur
instructions du responsable du traitement. Lorsqu’il décide d’un audit, l’exportateur de données peut tenir
compte des certifications pertinentes détenues par l’importateur de données.
(e) Lorsque l’audit est effectué sur instructions du responsable du traitement, l’exportateur de données met les
résultats à la disposition de ce dernier.
(f) L’exportateur de données peut choisir de procéder à l’audit lui-même ou de mandater un auditeur
indépendant. Les audits peuvent également comprendre des inspections dans les locaux ou les installations
physiques de l’importateur de données et sont, le cas échéant, effectués avec un préavis raisonnable.
(g) Les parties mettent à la disposition de l’autorité de contrôle compétente, à la demande de celle-ci, les
informations mentionnées aux paragraphes b) et c), y compris les résultats de tout audit.
MODULE 4 : Transfert de sous-traitant à responsable du traitement
8.1. Instructions
(a) L’exportateur de données ne traite les données à caractère personnel que sur instructions documentées de
l’importateur de données agissant en tant que son responsable du traitement.
(b) S’il n’est pas en mesure de suivre ces instructions, notamment si elles constituent une violation du règlement
(UE) 2016/679 ou d’autres dispositions législatives de l’Union ou d’un État membre en matière de protection des
données, l’exportateur de données en informe immédiatement l’importateur de données.
(c) L’importateur de données s’abstient de tout acte susceptible d’empêcher l’exportateur de données de
s’acquitter des obligations qui lui incombent en vertu du règlement (UE) 2016/679, notamment dans le cadre
d’une sous-traitance ultérieure ou en ce qui concerne la coopération avec les autorités de contrôle compétentes.
(d) Au terme de la prestation des services de traitement, l’exportateur de données, à la convenance de
l’importateur de données, efface toutes les données à caractère personnel traitées pour le compte de ce dernier
et lui en apporte la preuve, ou lui restitue toutes les données à caractère personnel traitées pour son compte et
efface les copies existantes.
8.2. Sécurité du traitement
(a) Les parties mettent en œuvre des mesures techniques et organisationnelles appropriées pour garantir la
sécurité des données, notamment pendant la transmission, et pour les protéger d’une violation de la sécurité
entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation ou l’accès non
autorisé (ci-après la «violation de données à caractère personnel»). Lors de l’évaluation du niveau de sécurité
approprié, elles tiennent dûment compte de l’état des connaissances, des coûts de mise en œuvre, de la nature
80
des données à caractère personnel (7), de la nature, de la portée, du contexte et de la ou des finalités du
traitement ainsi que des risques inhérents au traitement pour les personnes concernées, et envisagent en
particulier de recourir au chiffrement ou à la pseudonymisation, notamment pendant la transmission, lorsque la
finalité du traitement peut être atteinte de cette manière.
(b) L’exportateur de données aide l’importateur de données à garantir une sécurité appropriée des données
conformément au paragraphe a). En cas de violation de données à caractère personnel concernant les données à
caractère personnel traitées par l’exportateur de données au titre des présentes clauses, ce dernier en informe
l’importateur de données dans les meilleurs délais après avoir eu connaissance de la violation et l’aide à y
remédier.
(c) L’exportateur de données veille à ce que les personnes autorisées à traiter les données à caractère personnel
s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.
8.3. Documentation et conformité
(a) Les parties sont en mesure de démontrer le respect des présentes clauses.
(b) L’exportateur de données met à la disposition de l’importateur de données toutes les informations
nécessaires pour démontrer le respect des obligations qui lui incombent au titre des présentes clauses et pour
permettre la réalisation d’audits et y contribuer.
Clause 9 Recours à des sous-traitants ultérieurs
MODULE 2: transfert de responsable du traitement à sous-traitant
(a) L’importateur de données a l’autorisation générale de l’exportateur de données de recruter un ou plusieurs
sous-traitants ultérieurs à partir d’une liste arrêtée d’un commun accord. L’importateur de données informe
expressément par écrit l’exportateur de données de tout changement concernant l’ajout ou le remplacement de
sous-traitants ultérieurs qu’il est prévu d’apporter à cette liste au moins [précisez le délai] à l’avance, donnant
ainsi à l’exportateur de données suffisamment de temps pour émettre des objections à l’encontre de ces
changements avant le recrutement du ou des sous-traitants ultérieurs. L’importateur de données fournit à
l’exportateur de données les informations nécessaires pour permettre à ce dernier d’exercer son droit d’émettre
des objections.
(b) Lorsque l’importateur de données recrute un sous-traitant ultérieur pour mener des activités de traitement
spécifiques (pour le compte de l’exportateur de données), il le fait au moyen d’un contrat écrit qui prévoit, en
substance, les mêmes obligations en matière de protection des données que celles qui lient l’importateur de
données au titre des présentes clauses, notamment en ce qui concerne les droits du tiers bénéficiaire pour les
personnes concernées. (8) Les parties conviennent qu’en respectant la présente clause, l’importateur de données
satisfait aux obligations qui lui incombent en vertu de la clause 8.8. L’importateur de données veille à ce que le
sous-traitant ultérieur respecte les obligations auxquelles il est lui-même soumis en vertu des présentes clauses.
(c) L’importateur de données fournit à l’exportateur de données, à la demande de celui-ci, une copie du contrat
avec le sous-traitant ultérieur et de ses éventuelles modifications ultérieures. Dans la mesure nécessaire pour
protéger les secrets d’affaires ou d’autres informations confidentielles, notamment les données à caractère
personnel, l’importateur de données peut occulter une partie du texte du contrat avant d’en communiquer une
copie.
(d) L’importateur de données reste pleinement responsable à l’égard de l’exportateur de données de l’exécution
des obligations qui incombent au sous-traitant ultérieur en vertu du contrat qu’il a conclu avec lui. L’importateur
de données notifie à l’exportateur de données tout manquement du sous-traitant ultérieur aux obligations qui lui
incombent en vertu dudit contrat.
81
(e) L’importateur de données convient avec le sous-traitant ultérieur d’une clause du tiers bénéficiaire en vertu
de laquelle, dans les cas où l’importateur de données a matériellement disparu, a cessé d’exister en droit ou est
devenu insolvable, l’exportateur de données a le droit de résilier le contrat du sous-traitant ultérieur et de donner
instruction à ce dernier d’effacer ou de restituer les données à caractère personnel.
MODULE 3 : Transfert de sous-traitant à sous-traitant
(a) L’importateur de données a l’autorisation générale du responsable du traitement de recruter un ou plusieurs
sous-traitants ultérieurs à partir d’une liste arrêtée d’un commun accord. L’importateur de données informe
expressément par écrit le responsable du traitement de tout changement concernant l’ajout ou le remplacement
de sous-traitants ultérieurs qu’il est prévu d’apporter à cette liste au moins [précisez le délai] à l’avance, donnant
ainsi au responsable du traitement suffisamment de temps pour émettre des objections à l’encontre de ces
changements avant le recrutement du ou des sous-traitants ultérieurs. L’importateur de données fournit au
responsable du traitement les informations nécessaires pour permettre à ce dernier d’exercer son droit d’émettre
des objections. L’importateur de données informe l’exportateur de données du recrutement du ou des soustraitants ultérieurs.
(b) Lorsque l’importateur de données recrute un sous-traitant ultérieur pour mener des activités de traitement
spécifiques (pour le compte du responsable du traitement), il le fait au moyen d’un contrat écrit qui prévoit, en
substance, les mêmes obligations en matière de protection des données que celles qui lient l’importateur de
données en vertu des présentes clauses, notamment en ce qui concerne les droits du tiers bénéficiaire pour les
personnes concernées. (9) Les parties conviennent qu’en respectant la présente clause, l’importateur de données
satisfait aux obligations qui lui incombent en vertu de la clause 8.8. L’importateur de données veille à ce que le
sous-traitant ultérieur respecte les obligations auxquelles il est lui-même soumis en vertu des présentes clauses.
(c) L’importateur de données fournit sur demande, à l’exportateur de données ou au responsable du traitement,
une copie du contrat avec le sous-traitant ultérieur et de ses éventuelles modifications ultérieures. Dans la
mesure nécessaire pour protéger les secrets d’affaires ou d’autres informations confidentielles, notamment les
données à caractère personnel, l’importateur de données peut occulter une partie du texte du contrat avant d’en
communiquer une copie.
(d) L’importateur de données reste pleinement responsable à l’égard de l’exportateur de données de l’exécution
des obligations qui incombent au sous-traitant ultérieur en vertu du contrat qu’il a conclu avec lui. L’importateur
de données notifie à l’exportateur de données tout manquement du sous-traitant ultérieur aux obligations qui lui
incombent en vertu dudit contrat.
(e) L’importateur de données convient avec le sous-traitant ultérieur d’une clause du tiers bénéficiaire en vertu
de laquelle, dans les cas où l’importateur de données a matériellement disparu, a cessé d’exister en droit ou est
devenu insolvable, l’exportateur de données a le droit de résilier le contrat du sous-traitant ultérieur et de donner
instruction à ce dernier d’effacer ou de restituer les données à caractère personnel.
Clause 10 Droits des personnes concernées
MODULE 1 : Transfert de responsable du traitement à responsable du traitement
(a) L’importateur de données, si nécessaire avec l’aide de l’exportateur de données, traite, dans les meilleurs
délais et au plus tard dans un délai d’un mois à compter de leur réception, toutes les demandes de
renseignements ainsi que les autres demandes émanant d’une personne concernée et portant sur le traitement
de ses données à caractère personnel et l’exercice de ses droits au titre des présentes clauses. (10) L’importateur
de données prend des mesures appropriées pour faciliter ces demandes de renseignements, ces autres demandes
et l’exercice des droits de la personne concernée. Toute information fournie à la personne concernée est
présentée sous une forme compréhensible et aisément accessible, et formulée en des termes clairs et simples.
82
(b) En particulier, à la demande de la personne concernée et gratuitement, l’importateur de données:
(i) confirme à la personne concernée si des données à caractère personnel la concernant sont traitées et, si tel est
le cas, lui transmet une copie desdites données et les informations figurant à l’annexe I; si les données à caractère
personnel ont fait ou feront l’objet d’un transfert ultérieur, lui fournit des informations sur les destinataires ou
catégories de destinataires (selon le cas, en fonction de ce qui est nécessaire pour fournir des informations utiles)
auxquels les données à caractère personnel ont été ou seront transférées ainsi que sur la finalité de ces transferts
ultérieurs et leur motif conformément à la clause 8.7; et lui communique des informations sur le droit
d’introduire une réclamation auprès d’une autorité de contrôle conformément à la clause 12, paragraphe c), point
i);
rectifie les données inexactes ou incomplètes relatives à la personne concernée;
(iii) efface les données à caractère personnel relatives à la personne concernée si ces données sont ou ont été
traitées en violation d’une des présentes clauses garantissant les droits du tiers bénéficiaire, ou si la personne
concernée retire le consentement sur lequel le traitement est fondé.
(c) Si l’importateur de données traite les données à caractère personnel à des fins de prospection directe, il cesse
de les traiter à de telles fins si la personne concernée s’y oppose.
(d) L’importateur de données ne prend pas de décision fondée exclusivement sur le traitement automatisé des
données à caractère personnel transférées (ci-après la «décision automatisée») qui produirait des effets
juridiques à l’égard de la personne concernée ou l’affecterait de manière significative de façon similaire, sauf avec
le consentement explicite de celle-ci ou s’il y est autorisé par la législation du pays de destination, à condition que
cette législation prévoie des mesures appropriées pour la sauvegarde des droits et des intérêts légitimes de la
personne concernée. Dans ce cas, l’importateur de données, si nécessaire en coopération avec l’exportateur de
données:
(i) informe la personne concernée de la décision automatisée envisagée, des conséquences prévues et de la
logique sous-jacente; et
(ii) met en œuvre des garanties appropriées, permettant au moins à la personne concernée de contester la
décision, d’exprimer son point de vue et d’obtenir un examen par un être humain.
(e) Lorsque les demandes d’une personne concernée sont excessives, du fait, notamment, de leur caractère
répétitif, l’importateur de données peut soit exiger le paiement de frais raisonnables qui tiennent compte des
coûts administratifs liés à l’acceptation de la demande, soit refuser de donner suite à cette dernière.
(f) L’importateur de données peut refuser une demande d’une personne concernée si ce refus est autorisé par la
législation du pays de destination et est nécessaire et proportionné dans une société démocratique pour protéger
un des objectifs énumérés à l’article 23, paragraphe 1, du règlement (UE) 2016/679.
(g) Si l’importateur de données a l’intention de refuser la demande d’une personne concernée, il informe cette
dernière des motifs du refus et de la possibilité d’introduire une réclamation auprès de l’autorité de contrôle
compétente et/ou de former un recours juridictionnel.
MODULE 2: transfert de responsable du traitement à sous-traitant
(a) L’importateur de données informe rapidement l’exportateur de données de toute demande reçue d’une
personne concernée. Il ne répond pas lui-même à cette demande, à moins d’y avoir été autorisé par l’exportateur
de données.
(b) L’importateur de données aide l’exportateur de données à s’acquitter de son obligation de répondre aux
demandes de personnes concernées désireuses d’exercer leurs droits en vertu du règlement (UE) 2016/679. À cet
83
égard, les parties indiquent à l’annexe II les mesures techniques et organisationnelles appropriées, compte tenu
de la nature du traitement, au moyen desquelles l’aide sera fournie, ainsi que la portée et l’étendue de l’aide
requise.
(c) Lorsqu’il s’acquitte des obligations qui lui incombent en vertu des paragraphes a) et b), l’importateur de
données se conforme aux instructions de l’exportateur de données.
MODULE 3 : Transfert de sous-traitant à sous-traitant
(a) L’importateur de données informe sans délai l’exportateur de données et, s’il y a lieu, le responsable du
traitement de toute demande reçue d’une personne concernée, mais n’y répond pas à moins d’y avoir été
autorisé par le responsable du traitement.
(b) L’importateur de données aide, si nécessaire en coopération avec l’exportateur de données, le responsable du
traitement à s’acquitter de son obligation de répondre aux demandes de personnes concernées désireuses
d’exercer leurs droits en vertu du règlement (UE) 2016/679 ou du règlement (UE) 2018/1725, selon le cas. À cet
égard, les parties indiquent à l’annexe II les mesures techniques et organisationnelles appropriées, compte tenu
de la nature du traitement, au moyen desquelles l’aide sera fournie, ainsi que la portée et l’étendue de l’aide
requise.
(c) Lorsqu’il s’acquitte des obligations qui lui incombent en vertu des paragraphes a) et b), l’importateur de
données se conforme aux instructions du responsable du traitement, telles qu’elles lui ont été communiquées par
l’exportateur de données.
MODULE 4 : Transfert de sous-traitant à responsable du traitement
Les parties se prêtent mutuellement assistance pour répondre aux demandes de renseignements et aux autres
demandes formulées par les personnes concernées en vertu de la législation locale applicable à l’importateur de
données ou, en cas de traitement par l’exportateur de données dans l’Union, en vertu du règlement (UE)
2016/679.
Clause 11 Voies de recours
(a) L’importateur de données informe les personnes concernées, sous une forme transparente et aisément
accessible, au moyen d’une notification individuelle ou sur son site web, d’un point de contact autorisé à traiter
les réclamations. Il traite sans délai toute réclamation reçue d’une personne concernée.
MODULE 1 : Transfert de responsable du traitement à responsable du traitement
MODULE 2: transfert de responsable du traitement à sous-traitant
MODULE 3 : Transfert de sous-traitant à sous-traitant
(b) En cas de litige entre une personne concernée et l’une des parties portant sur le respect des présentes clauses,
cette partie met tout en œuvre pour parvenir à un règlement à l’amiable dans les meilleurs délais. Les parties se
tiennent mutuellement informées de ces litiges et, s’il y a lieu, coopèrent pour les résoudre.
(c) Lorsque la personne concernée invoque un droit du tiers bénéficiaire en vertu de la clause 3, l’importateur de
données accepte la décision de la personne concernée:
(i) d’introduire une réclamation auprès de l’autorité de contrôle de l’État membre dans lequel se trouve sa
résidence habituelle ou son lieu de travail, ou auprès de l’autorité de contrôle compétente au sens de la clause
13;
84
(ii) de renvoyer le litige devant les juridictions compétentes au sens de la clause 18.
(d) Les parties acceptent que la personne concernée puisse être représentée par un organisme, une organisation
ou une association à but non lucratif dans les conditions énoncées à l’article 80, paragraphe 1, du règlement (UE)
2016/679.
(e) L’importateur de données se conforme à une décision qui est contraignante en vertu du droit applicable de
l’Union ou d’un État membre.
(f) L’importateur de données convient que le choix effectué par la personne concernée ne remettra pas en cause
le droit procédural et matériel de cette dernière d’obtenir réparation conformément à la législation applicable.
Clause 12 Responsabilité
MODULE 1 : Transfert de responsable du traitement à responsable du traitement
MODULE 4 : Transfert de sous-traitant à responsable du traitement
(a) Chaque partie est responsable envers la ou les autres parties de tout dommage qu’elle cause à l’autre ou aux
autres parties du fait d’un manquement aux présentes clauses.
(b) Chaque partie est responsable à l’égard de la personne concernée, et la personne concernée a le droit
d’obtenir réparation de tout dommage matériel ou moral qui lui est causé par une partie du fait d’une violation
des droits du tiers bénéficiaire prévus par les présentes clauses. Ceci est sans préjudice de la responsabilité de
l’exportateur de données en vertu du règlement (UE) 2016/679.
(c) Lorsque plusieurs parties sont responsables d’un dommage causé à la personne concernée du fait d’une
violation des présentes clauses, toutes les parties responsables le sont conjointement et solidairement et la
personne concernée a le droit d’intenter une action en justice contre n’importe laquelle de ces parties.
(d) Les parties conviennent que, si la responsabilité d’une d’entre elles est reconnue en vertu du paragraphe c),
celle-ci est en droit de réclamer auprès de l’autre ou des autres parties la part de la réparation correspondant à
sa/leur part de responsabilité dans le dommage.
(e) L’importateur de données ne peut invoquer le comportement d’un sous-traitant ou d’un sous-traitant
ultérieur pour échapper à sa propre responsabilité.
MODULE 2: transfert de responsable du traitement à sous-traitant
MODULE 3 : Transfert de sous-traitant à sous-traitant
(a) Chaque partie est responsable envers la ou les autres parties de tout dommage qu’elle cause à l’autre ou aux
autres parties du fait d’un manquement aux présentes clauses.
(b) L’importateur de données est responsable à l’égard de la personne concernée, et la personne concernée a le
droit d’obtenir réparation de tout dommage matériel ou moral qui lui est causé par l’importateur de données ou
son sous-traitant ultérieur du fait d’une violation des droits du tiers bénéficiaire prévus par les présentes clauses.
(c) Nonobstant le paragraphe b), l’exportateur de données est responsable à l’égard de la personne concernée et
celle-ci a le droit d’obtenir réparation de tout dommage matériel ou moral qui lui est causé par l’exportateur de
données ou l’importateur de données (ou son sous-traitant ultérieur) du fait d’une violation des droits du tiers
bénéficiaire prévus par les présentes clauses. Ceci est sans préjudice de la responsabilité de l’exportateur de
données et, si l’exportateur de données est un sous-traitant agissant pour le compte d’un responsable du
85
traitement, de la responsabilité de ce dernier au titre du règlement (UE) 2016/679 ou du règlement (UE)
2018/1725, selon le cas.
(d) Les parties conviennent que, si l’exportateur de données est reconnu responsable, en vertu du paragraphe c),
du dommage causé par l’importateur de données (ou son sous-traitant ultérieur), il a le droit de réclamer auprès
de l’importateur de données la part de la réparation correspondant à la responsabilité de celui-ci dans le
dommage.
(e) Lorsque plusieurs parties sont responsables d’un dommage causé à la personne concernée du fait d’une
violation des présentes clauses, toutes les parties responsables le sont conjointement et solidairement et la
personne concernée a le droit d’intenter une action en justice contre n’importe laquelle de ces parties.
(f) Les parties conviennent que, si la responsabilité d’une d’entre elles est reconnue en vertu du paragraphe e),
celle-ci a le droit de réclamer auprès de l’autre ou des autres parties la part de la réparation correspondant à
sa/leur responsabilité dans le dommage.
(g) L’importateur de données ne peut invoquer le comportement d’un sous-traitant ultérieur pour échapper à sa
propre responsabilité.
Clause 13 Supervision
MODULE 1 : Transfert de responsable du traitement à responsable du traitement
MODULE 2: transfert de responsable du traitement à sous-traitant
MODULE 3 : Transfert de sous-traitant à sous-traitant
(a) [Si l’exportateur de données est établi dans un État membre de l’Union:] L’autorité de contrôle chargée de
garantir le respect, par l’exportateur de données, du règlement (UE) 2016/679 en ce qui concerne le transfert de
données, telle qu’indiquée à l’annexe I.C, agit en qualité d’autorité de contrôle compétente.
[Si l’exportateur de données n’est pas établi dans un État membre de l’Union, mais relève du champ d’application
territorial du règlement (UE) 2016/679 en vertu de son article 3, paragraphe 2, et a désigné un représentant en
vertu de l’article 27, paragraphe 1, dudit règlement:] L’autorité de contrôle de l’État membre dans lequel le
représentant au sens de l’article 27, paragraphe 1, du règlement (UE) 2016/679 est établi, telle qu’indiquée à
l’annexe I.C, agit en qualité d’autorité de contrôle compétente.
[Si l’exportateur de données n’est pas établi dans un État membre de l’Union, mais relève du champ d’application
territorial du règlement (UE) 2016/679 en vertu de son article 3, paragraphe 2 sans toutefois avoir à désigner un
représentant en vertu de l’article 27, paragraphe 2, du règlement (UE) 2016/679:] L’autorité de contrôle d’un des
États membres dans lesquels se trouvent les personnes concernées dont les données à caractère personnel sont
transférées au titre des présentes clauses en lien avec l’offre de biens ou de services ou dont le comportement
fait l’objet d’un suivi, telle qu’indiquée à l’annexe I.C, agit en qualité d’autorité compétente.
(b) L’importateur de données accepte de se soumettre à la juridiction de l’autorité de contrôle compétente et de
coopérer avec elle dans le cadre de toute procédure visant à garantir le respect des présentes clauses. En
particulier, l’importateur de données accepte de répondre aux demandes de renseignements, de se soumettre à
des audits et de se conformer aux mesures adoptées par l’autorité de contrôle, notamment aux mesures
correctrices et compensatoires. Il confirme par écrit à l’autorité de contrôle que les mesures nécessaires ont été
prises.
86
SECTION III — LÉGISLATIONS LOCALES ET OBLIGATIONS EN CAS D’ACCÈS
DES AUTORITÉS PUBLIQUES
Clause 14 Législations et pratiques locales ayant une incidence sur le
respect des clauses
MODULE 1 : Transfert de responsable du traitement à responsable du traitement
MODULE 2: transfert de responsable du traitement à sous-traitant
MODULE 3 : Transfert de sous-traitant à sous-traitant
MODULE 4 : Transfert de sous-traitant à responsable du traitement (lorsque le sous-traitant de l’Union combine
les données à caractère personnel reçues du responsable du traitement du pays tiers et des données à caractère
personnel qu’il a collectées dans l’Union)
(a) Les parties garantissent qu’elles n’ont aucune raison de croire que la législation et les pratiques du pays tiers
de destination applicables au traitement des données à caractère personnel par l’importateur de données,
notamment les exigences en matière de divulgation de données à caractère personnel ou les mesures autorisant
l’accès des autorités publiques à ces données, empêchent l’importateur de données de s’acquitter des obligations
qui lui incombent en vertu des présentes clauses. Cette disposition repose sur l’idée que les législations et les
pratiques qui respectent l’essence des libertés et droits fondamentaux et qui n’excèdent pas ce qui est nécessaire
et proportionné dans une société démocratique pour préserver un des objectifs énumérés à l’article 23,
paragraphe 1, du règlement (UE) 2016/679 ne sont pas en contradiction avec les présentes clauses.
(b) Les parties déclarent qu’en fournissant la garantie mentionnée au paragraphe a), elles ont dûment tenu
compte, en particulier, des éléments suivants:
(i) des circonstances particulières du transfert, parmi lesquelles la longueur de la chaîne de traitement, le nombre
d’acteurs concernés et les canaux de transmission utilisés; les transferts ultérieurs prévus; le type de destinataire;
la finalité du traitement; les catégories et le format des données à caractère personnel transférées; le secteur
économique dans lequel le transfert a lieu et le lieu de stockage des données transférées;
(ii) des législations et des pratiques du pays tiers de destination – notamment celles qui exigent la divulgation de
données aux autorités publiques ou qui autorisent l’accès de ces dernières aux données – pertinentes au regard
des circonstances particulières du transfert, ainsi que des limitations et des garanties applicables (12);
(iii) de toute garantie contractuelle, technique ou organisationnelle pertinente mise en place pour compléter les
garanties prévues par les présentes clauses, y compris les mesures appliquées pendant la transmission et au
traitement des données à caractère personnel dans le pays de destination.
(c) L’importateur de données garantit que, lors de l’évaluation au titre du paragraphe b), il a déployé tous les
efforts possibles pour fournir des informations pertinentes à l’exportateur de données et convient qu’il
continuera à coopérer avec ce dernier pour garantir le respect des présentes clauses.
(d) Les parties conviennent de conserver une trace documentaire de l’évaluation au titre du paragraphe b) et de
mettre cette évaluation à la disposition de l’autorité de contrôle compétente si celle-ci en fait la demande.
(a) L’importateur de données accepte d’informer sans délai l’exportateur de données si, après avoir souscrit aux
présentes clauses et pendant la durée du contrat, il a des raisons de croire qu’il est ou est devenu soumis à une
législation ou à des pratiques qui ne sont pas conformes aux exigences du paragraphe a), notamment à la suite
87
d’une modification de la législation du pays tiers ou d’une mesure (telle qu’une demande de divulgation)
indiquant une application pratique de cette législation qui n’est pas conforme aux exigences du paragraphe a).
[Pour le module 3: L’exportateur de données transmet la notification au responsable du traitement.]
(f) À la suite d’une notification au titre du paragraphe e), ou si l’exportateur de données a d’autres raisons de
croire que l’importateur de données ne peut plus s’acquitter des obligations qui lui incombent en vertu des
présentes clauses, l’exportateur de données définit sans délai les mesures appropriées (par exemple des mesures
techniques ou organisationnelles visant à garantir la sécurité et la confidentialité) qu’il doit adopter et/ou qui
doivent être adoptées par l’importateur de données pour remédier à la situation, [pour le module 3:, si nécessaire
en concertation avec le responsable du traitement]. L’exportateur de données suspend le transfert de données
s’il estime qu’aucune garantie appropriée ne peut être fournie pour ce transfert ou si [pour le module 3: le
responsable du traitement ou] l’autorité de contrôle compétente lui en donne [pour le module 3: donnent]
l’instruction. Dans ce cas, l’exportateur de données a le droit de résilier le contrat, dans la mesure où il concerne
le traitement de données à caractère personnel au titre des présentes clauses. Si le contrat concerne plus de deux
parties, l’exportateur de données ne peut exercer ce droit de résiliation qu’à l’égard de la partie concernée, à
moins que les parties n’en soient convenues autrement. Lorsque le contrat est résilié en vertu de la présente
clause, la clause 16, paragraphes d) et e), s’applique.
Clause 15 Obligations de l’importateur de données en cas d’accès des
autorités publiques
MODULE 1 : Transfert de responsable du traitement à responsable du traitement
MODULE 2: transfert de responsable du traitement à sous-traitant
MODULE 3 : Transfert de sous-traitant à sous-traitant
MODULE 4 : Transfert de sous-traitant à responsable du traitement (lorsque le sous-traitant de l’Union combine
les données à caractère personnel reçues du responsable du traitement du pays tiers et des données à caractère
personnel qu’il a collectées dans l’Union)
15.1. Notification
(a) L’importateur de données convient d’informer sans délai l’exportateur de données et, si possible, la personne
concernée (si nécessaire avec l’aide de l’exportateur de données):
(i) s’il reçoit une demande juridiquement contraignante d’une autorité publique, y compris judiciaire, en vertu de
la législation du pays de destination en vue de la divulgation de données à caractère personnel transférées au
titre des présentes clauses; cette notification comprend des informations sur les données à caractère personnel
demandées, l’autorité requérante, la base juridique de la demande et la réponse fournie; ou
(ii) s’il a connaissance d’un quelconque accès direct des autorités publiques aux données à caractère personnel
transférées au titre des présentes clauses en vertu de la législation du pays de destination; cette notification
comprend toutes les informations dont l’importateur de données dispose.
[Pour le module 3: L’exportateur de données transmet la notification au responsable du traitement.]
(b) Si la législation du pays de destination interdit à l’importateur de données d’informer l’exportateur de
données et/ou la personne concernée, l’importateur de données convient de tout mettre en œuvre pour obtenir
une levée de cette interdiction, en vue de communiquer autant d’informations que possible, dans les meilleurs
délais. L’importateur de données accepte de garder une trace documentaire des efforts qu’il a déployés afin de
pouvoir en apporter la preuve à l’exportateur de données, si celui-ci lui en fait la demande.
88
(c) Lorsque la législation du pays de destination le permet, l’importateur de données accepte de fournir à
l’exportateur de données, à intervalles réguliers pendant la durée du contrat, autant d’informations utiles que
possible sur les demandes reçues (notamment le nombre de demandes, le type de données demandées, la ou les
autorités requérantes, la contestation ou non des demandes et l’issue de ces contestations, etc.). [Pour le module
3: L’exportateur de données transmet les informations au responsable du traitement.]
(d) L’importateur de données accepte de conserver les informations mentionnées aux paragraphes a) à c)
pendant la durée du contrat et de les mettre à la disposition de l’autorité de contrôle compétente si celle-ci lui en
fait la demande.
(e) Les paragraphes a) à c) sont sans préjudice de l’obligation incombant à l’importateur de données, en vertu de
la clause 14, paragraphe e), et de la clause 16, d’informer sans délai l’exportateur de données s’il n’est pas en
mesure de respecter les présentes clauses.
15.2. Contrôle de la légalité et minimisation des données
(a) L’importateur de données accepte de contrôler la légalité de la demande de divulgation, en particulier de
vérifier si elle s’inscrit dans les limites des pouvoirs conférés à l’autorité publique requérante, et de la contester si,
après une évaluation minutieuse, il conclut qu’il existe des motifs raisonnables de considérer qu’elle est illégale
en vertu de la législation du pays de destination, des obligations applicables en vertu du droit international et des
principes de courtoisie internationale. L’importateur de données exerce les possibilités d’appel ultérieures dans
les mêmes conditions. Lorsqu’il conteste une demande, l’importateur de données demande des mesures
provisoires visant à suspendre les effets de la demande jusqu’à ce que l’autorité judiciaire compétente se
prononce sur son bien-fondé. Il ne divulgue pas les données à caractère personnel demandées tant qu’il n’est pas
obligé de le faire en vertu des règles de procédure applicables. Ces exigences sont sans préjudice des obligations
incombant à l’importateur de données en vertu de la clause 14, paragraphe e).
(b) L’importateur de données accepte de garder une trace documentaire de son évaluation juridique ainsi que de
toute contestation de la demande de divulgation et, dans la mesure où la législation du pays de destination le
permet, de mettre les documents concernés à la disposition de l’exportateur de données. Il les met également à
la disposition de l’autorité de contrôle compétente si celle-ci lui en fait la demande. [Pour le module 3:
L’exportateur de données met l’évaluation à la disposition du responsable du traitement.]
(c) L’importateur de données accepte de fournir le minimum d’informations autorisé lorsqu’il répond à une
demande de divulgation, sur la base d’une interprétation raisonnable de la demande.
SECTION IV — DISPOSITIONS FINALES
Clause 16 Non-respect des clauses et résiliation
(a) L’importateur de données informe sans délai l’exportateur de données s’il n’est pas en mesure de respecter
les présentes clauses, quelle qu’en soit la raison.
(b) Dans le cas où l’importateur de données enfreint les présentes clauses ou n’est pas en mesure de les
respecter, l’exportateur de données suspend le transfert de données à caractère personnel à l’importateur de
données jusqu’à ce que le respect des présentes clauses soit à nouveau garanti ou que le contrat soit résilié. Ceci
est sans préjudice de la clause 14, paragraphe f).
(c) L’exportateur de données a le droit de résilier le contrat, dans la mesure où il concerne le traitement de
données à caractère personnel au titre des présentes clauses, lorsque:
(i) l’exportateur de données a suspendu le transfert de données à caractère personnel à l’importateur de données
89
en vertu du paragraphe b) et que le respect des présentes clauses n’est pas rétabli dans un délai raisonnable et,
en tout état de cause, dans un délai d’un mois à compter de la suspension;
(ii) l’importateur de données enfreint gravement ou de manière persistante les présentes clauses; ou
(iii) l’importateur de données ne se conforme pas à une décision contraignante d’une juridiction ou d’une autorité
de contrôle compétente concernant les obligations qui lui incombent au titre des présentes clauses.
Dans ces cas, il informe l’autorité de contrôle compétente [pour le module 3: et le responsable du traitement] de
ce non-respect. Si le contrat concerne plus de deux parties, l’exportateur de données ne peut exercer ce droit de
résiliation qu’à l’égard de la partie concernée, à moins que les parties n’en soient convenues autrement.
[Pour les modules 1, 2 et 3: Les données à caractère personnel qui ont été transférées avant la résiliation du
contrat au titre du paragraphe c) sont immédiatement restituées à l’exportateur de données ou effacées dans
leur intégralité, à la convenance de celui-ci. Il en va de même pour toute copie des données.] [Pour le module 4:
Les données à caractère personnel collectées par l’exportateur de données dans l’Union qui ont été transférées
avant la résiliation du contrat au titre du paragraphe c), ainsi que toute copie de celles-ci, sont immédiatement
effacées dans leur intégralité.] L’importateur de données apporte la preuve de l’effacement des données à
l’exportateur de données. Jusqu’à ce que les données soient effacées ou restituées, l’importateur de données
continue de veiller au respect des présentes clauses. Lorsque la législation locale applicable à l’importateur de
données interdit la restitution ou l’effacement des données à caractère personnel transférées, ce dernier garantit
qu’il continuera à respecter les présentes clauses et qu’il ne traitera les données que dans la mesure où et aussi
longtemps que cette législation locale l’exige.
(e) Chaque partie peut révoquer son consentement à être liée par les présentes clauses i) si la Commission
européenne adopte une décision en vertu de l’article 45, paragraphe 3, du règlement (UE) 2016/679 qui couvre le
transfert de données à caractère personnel auquel les présentes clauses s’appliquent; ou ii) si le règlement (UE)
2016/679 est intégré dans le cadre juridique du pays vers lequel les données à caractère personnel sont
transférées. Ceci est sans préjudice des autres obligations qui s’appliquent au traitement en question en vertu du
règlement (UE) 2016/679.
Clause 17 Droit applicable
MODULE 1 : Transfert de responsable du traitement à responsable du traitement
MODULE 2: transfert de responsable du traitement à sous-traitant
MODULE 3 : Transfert de sous-traitant à sous-traitant
Les présentes clauses sont régies par le droit d’un des États membres de l’Union européenne, pour autant que ce
droit reconnaisse des droits au tiers bénéficiaire. Les Parties conviennent qu'il s'agit du droit tel que défini dans
les Conditions particulières.
MODULE 4 : Transfert de sous-traitant à responsable du traitement
Les présentes clauses sont régies par le droit d’un pays qui reconnaît des droits au tiers bénéficiaire. Les Parties
conviennent qu'il s'agit du droit tel que défini dans les Conditions particulières.
Clause 18 Élection de for et juridiction
MODULE 1 : Transfert de responsable du traitement à responsable du traitement
MODULE 2: transfert de responsable du traitement à sous-traitant
90
MODULE 3 : Transfert de sous-traitant à sous-traitant
(a) Tout litige survenant du fait des présentes clauses est tranché par les juridictions d’un État membre de l’Union
européenne.
(b) Les Parties conviennent qu'il s'agit des tribunaux tels que définis dans les Conditions particulières.
(c) La personne concernée peut également poursuivre l’exportateur et/ou l’importateur de données devant les
juridictions de l’État membre dans lequel elle a sa résidence habituelle.
(d) Les parties acceptent de se soumettre à la compétence de ces juridictions.
MODULE 4 : Transfert de sous-traitant à responsable du traitement
Tout litige découlant des présentes Clauses doit être résolu par les tribunaux, comme défini dans les Conditions
particulières.
APPENDICE
NOTE EXPLICATIVE : Il doit être possible de distinguer clairement les informations applicables à chaque transfert
ou catégorie de transferts et, à cet égard, de déterminer le ou les rôles respectifs des parties en tant
qu’exportateur(s) et/ou importateur(s) de données. Il n’est pas forcément nécessaire de remplir et de signer des
appendices distincts pour chaque transfert/catégorie de transferts et/ou relation contractuelle, si cette
transparence peut être garantie au moyen d’un seul appendice. Toutefois, si cela est nécessaire pour garantir une
clarté suffisante, il convient d’utiliser des appendices distincts.
ANNEXE I
A. LISTE DES PARTIES
MODULE 1 : Transfert de responsable du traitement à responsable du traitement
MODULE 2: transfert de responsable du traitement à sous-traitant
MODULE 3 : Transfert de sous-traitant à sous-traitant
MODULE 4 : Transfert de sous-traitant à responsable du traitement
Exportateur(s) de données: [Identité et coordonnées du ou des exportateurs de données et, le cas échéant, de
leur délégué à la protection des données et/ou de leur représentant dans l’Union européenne]
1. Responsable du traitement comme défini dans l'Accord sur le traitement des données
2. Sous-traitant comme défini dans l'Accord sur le traitement des données
(selon le flux des données)
Importateur(s) de données: [Identité et coordonnées du ou des importateurs de données, y compris de toute
personne de contact chargée de la protection des données]
1. Responsable du traitement comme défini dans l'Accord sur le traitement des données
2. Sous-traitant comme défini dans l'Accord sur le traitement des données
91
(selon le flux des données)
B. DESCRIPTION DU TRANSFERT
MODULE 1 : Transfert de responsable du traitement à responsable du traitement
MODULE 2: transfert de responsable du traitement à sous-traitant
MODULE 3 : Transfert de sous-traitant à sous-traitant
MODULE 4 : Transfert de sous-traitant à responsable du traitement
Catégories de personnes concernées dont les données à caractère personnel sont transférées : comme défini
dans l'Accord sur le traitement des données.
Catégories de données à caractère personnel transférées : comme défini dans l'Accord sur le traitement des
données et la Politique de confidentialité.
Données sensibles transférées (le cas échéant) et restrictions ou garanties appliquées qui tiennent pleinement
compte de la nature des données et des risques encourus, telles que la limitation stricte des finalités, les
restrictions d’accès (notamment l’accès réservé au personnel ayant suivi une formation spécialisée), la tenue d’un
registre d’accès aux données, les restrictions applicables aux transferts ultérieurs ou les mesures de sécurité
supplémentaires : comme défini dans l'Accord sur le traitement des données et la Politique de confidentialité.
Fréquence du transfert (indiquez, par exemple, si les données sont transférées sur une base ponctuelle ou
continue) : base continue.
Nature du traitement : Automatisé.
Finalité(s) du transfert et du traitement ultérieur des données : Fourniture du service comme défini dans les
Conditions particulières, ses Annexes, la Politique de confidentialité et la documentation du service.
Durée de conservation des données à caractère personnel ou, lorsque ce n’est pas possible, critères utilisés pour
déterminer cette durée : comme défini dans l'Accord sur le traitement des données.
Pour les transferts à des sous-traitants (ultérieurs), veuillez également préciser l’objet, la nature et la durée du
traitement : comme défini dans l'Accord sur le traitement des données.
C. AUTORITÉ DE CONTRÔLE COMPÉTENTE
MODULE 1 : Transfert de responsable du traitement à responsable du traitement
MODULE 2: transfert de responsable du traitement à sous-traitant
MODULE 3 : Transfert de sous-traitant à sous-traitant
Indiquez la ou les autorités de contrôle compétentes conformément à la clause 13 : comme défini dans la
Politique de confidentialité
ANNEXE II MESURES TECHNIQUES ET ORGANISATIONNELLES, Y COMPRIS
LES MESURES TECHNIQUES ET ORGANISATIONNELLES VISANT À
92
GARANTIR LA SÉCURITÉ DES DONNÉES
MODULE 1 : Transfert de responsable du traitement à responsable du traitement
MODULE 2: transfert de responsable du traitement à sous-traitant
MODULE 3 : Transfert de sous-traitant à sous-traitant
NOTE EXPLICATIVE : Les mesures techniques et organisationnelles doivent être décrites en termes spécifiques (et
non généraux). Voir également le commentaire général à la première page de l’appendice, en particulier en ce qui
concerne la nécessité d’indiquer clairement les mesures qui s’appliquent à chaque transfert/ensemble de
transferts.
Description des mesures techniques et organisationnelles mises en œuvre par le ou les importateurs de données
(y compris toute certification pertinente) pour garantir un niveau de sécurité approprié, compte tenu de la
nature, de la portée, du contexte et de la finalité du traitement, ainsi que des risques pour les droits et libertés
des personnes physiques : comme défini dans la Politique de sécurité
Pour les transferts vers des sous-traitants (ultérieurs), veuillez également décrire les mesures techniques et
organisationnelles que le sous-traitant (ultérieur) doit prendre pour être en mesure d’aider le responsable du
traitement et, pour les transferts d’un sous-traitant à un sous-traitant ultérieur, l’exportateur de données
ANNEXE III LISTE DES SOUS-TRAITANTS ULTÉRIEURS
MODULE 2: transfert de responsable du traitement à sous-traitant
MODULE 3 : Transfert de sous-traitant à sous-traitant
NOTE EXPLICATIVE : La présente annexe doit être remplie pour les modules 2 et 3, en cas d’autorisation
spécifique de sous-traitants ultérieurs [clause 9, paragraphe a), option 1].
Le responsable du traitement a autorisé le recours aux sous-traitants ultérieurs suivants : comme défini dans
l'Accord sur le traitement des données
Références :
(1) Si l’exportateur de données est un sous-traitant soumis au règlement (UE) 2016/679 agissant pour le compte
d’une institution ou d’un organe de l’Union en tant que responsable du traitement, le recours aux présentes
clauses lors du recrutement d’un autre sous-traitant (sous-traitance ultérieure) qui n’est pas soumis au règlement
(UE) 2016/679 garantit également le respect de l’article 29, paragraphe 4, du règlement (UE) 2018/1725 du
Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du
traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre
circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (JO L 295
du 21.11.2018, p. 39), dans la mesure où les présentes clauses et les obligations en matière de protection des
données fixées dans le contrat ou un autre acte juridique entre le responsable du traitement et le sous-traitant
conformément à l’article 29, paragraphe 3, du règlement (UE) 2018/1725 sont alignées. Ce sera en particulier le
cas lorsque le responsable du traitement et le sous-traitant se fondent sur les clauses contractuelles types qui
figurent dans la décision 2021/915.
(2) Cela nécessite de rendre les données anonymes de telle manière que la personne ne soit plus identifiable par
qui que ce soit, conformément au considérant 26 du règlement (UE) 2016/679, et que ce processus soit
irréversible.
93
(3) L’accord sur l’Espace économique européen (accord EEE) prévoit l’extension du marché intérieur de l’Union
européenne aux trois pays de l’EEE que sont l’Islande, le Liechtenstein et la Norvège. La législation de l’Union en
matière de protection des données, notamment le règlement (UE) 2016/679, est couverte par l’accord EEE et a
été intégrée dans l’annexe XI de celui-ci. Dès lors, une divulgation par l’importateur de données à un tiers situé
dans l’EEE ne peut être qualifiée de transfert ultérieur aux fins des présentes clauses.
(4) L’accord sur l’Espace économique européen (accord EEE) prévoit l’extension du marché intérieur de l’Union
européenne aux trois pays de l’EEE que sont l’Islande, le Liechtenstein et la Norvège. La législation de l’Union en
matière de protection des données, notamment le règlement (UE) 2016/679, est couverte par l’accord EEE et a
été intégrée dans l’annexe XI de celui-ci. Dès lors, une divulgation par l’importateur de données à un tiers situé
dans l’EEE ne peut être qualifiée de transfert ultérieur aux fins des présentes clauses.
(5) Voir l’article 28, paragraphe 4, du règlement (UE) 2016/679 et, lorsque le responsable du traitement est une
institution ou un organe de l’Union, l’article 29, paragraphe 4, du règlement (UE) 2018/1725.
(6) L’accord sur l’Espace économique européen (accord EEE) prévoit l’extension du marché intérieur de l’Union
européenne aux trois pays de l’EEE que sont l’Islande, le Liechtenstein et la Norvège. La législation de l’Union en
matière de protection des données, notamment le règlement (UE) 2016/679, est couverte par l’accord EEE et a
été intégrée dans l’annexe XI de celui-ci. Dès lors, une divulgation par l’importateur de données à un tiers situé
dans l’EEE ne peut être qualifiée de transfert ultérieur aux fins des présentes clauses.
(7) Il s’agit notamment de savoir si le transfert et le traitement ultérieur portent sur des données à caractère
personnel qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou
philosophiques ou l’appartenance syndicale, des données génétiques ou des données biométriques aux fins
d’identifier une personne physique de manière unique, des données concernant la santé ou concernant la vie
sexuelle ou l’orientation sexuelle d’une personne, ou des données relatives à des condamnations pénales ou à
des infractions.
(8) Cette exigence peut être satisfaite par l’adhésion du sous-traitant ultérieur aux présentes clauses en vertu du
module approprié, conformément à la clause 7.
(9) Cette exigence peut être satisfaite par l’adhésion du sous-traitant ultérieur aux présentes clauses en vertu du
module approprié, conformément à la clause 7.
(10) Ce délai peut être prolongé de deux mois maximum, dans la mesure nécessaire compte tenu de la complexité
des demandes et de leur nombre. L’importateur de données informe dûment et rapidement la personne
concernée de cette prolongation.
(11) L’importateur de données ne peut proposer un règlement des litiges indépendant par une instance
d’arbitrage que s’il est établi dans un pays qui a ratifié la convention de New York pour la reconnaissance et
l’exécution des sentences arbitrales étrangères.
(12) En ce qui concerne l’incidence de ces législations et pratiques sur le respect des présentes clauses, différents
éléments peuvent être considérés comme faisant partie d’une évaluation globale. Ces éléments peuvent inclure
une expérience concrète, documentée et pertinente de cas antérieurs de demandes de divulgation émanant
d’autorités publiques, ou l’absence de telles demandes, couvrant un laps de temps suffisamment représentatif. Il
peut s’agir de registres internes ou d’autres documents établis de manière continue conformément au principe
de diligence raisonnable et certifiés à un niveau hiérarchique élevé, pour autant que ces informations puissent
être partagées légalement avec des tiers. Lorsque cette expérience pratique est invoquée pour conclure que
l’importateur de données ne sera pas empêché de respecter les présentes clauses, il y a lieu de l’étayer par
d’autres éléments pertinents et objectifs, et il appartient aux parties d’examiner avec soin si ces éléments, pris
dans leur ensemble, ont un poids suffisant, du point de vue de leur fiabilité et de leur représentativité, pour
soutenir cette conclusion. En particulier, les parties doivent s’assurer que leur expérience pratique est corroborée
94
et non contredite par des informations fiables accessibles au public ou disponibles d’une autre manière sur
l’existence ou l’absence de demandes dans le même secteur et/ou sur l’application pratique du droit, comme la
jurisprudence et les rapports d’organes de contrôle indépendants.
Politique de confidentialité
ESET, spol. s r.o., dont le siège social est établi au Einsteinova 24, 851 01 Bratislava, Slovaquie, enregistrée au
registre du commerce géré par le Tribunal de district de Bratislava I, Section Sro, Entrée No 3586/B, Numéro
d'identification de l'entreprise 31333532, en tant que Contrôleur des données (« ESET » ou « Nous ») souhaite
faire preuve de transparence en ce qui concerne le traitement des données personnelles et la confidentialité des
clients. Pour cela, Nous publions cette Politique de confidentialité dans le seul but d'informer notre client
(« Utilisateur Final » ou « Vous ») sur les sujets suivants :
• traitement des données personelles,
• confidentialité des données,
• droits des personnes concernées.
Traitement des données personelles
Les services ESET qui sont implémentés dans le produit Web sont fournis selon les termes du Contrat d'ESET
Cloud Office Security (ci-après, « Conditions »), mais certains d'entre eux peuvent nécessiter une attention
particulière. Nous souhaitons Vous donner plus de détails sur le traitement des données lié à la fourniture de nos
produits et services. Nous proposons différents services qui sont décrits dans le Contrat et la documentation.
Pour que tous ces services soient fonctionnels, Nous devons traiter les informations suivantes :
• Hachages unidirectionnels liés aux infiltrations dans le cadre du système de réputation ESET LiveGrid® qui
améliore l'efficacité de nos solutions contre les logiciels malveillants en comparant les fichiers analysés à une
base de données d'éléments en liste blanche et liste noire dans le cloud.
• Échantillons suspects et métadonnées génériques dans le cadre du système de commentaires ESET LiveGrid®
qui permet à ESET de réagir immédiatement face aux besoins des utilisateurs finaux et de rester réactifs face
aux dernières menaces. Nous dépendons de Vous pour l'envoi
od'infiltrations (échantillons potentiels de virus et d'autres programmes malveillants et suspects), d'objets
problématiques, potentiellement indésirables ou potentiellement dangereux (fichiers exécutables), de
messages électroniques que Vous avez signalés comme spam ou détectés par notre produit ;
od'informations sur les appareils du réseau local, telles que le type, le fabricant, le modèle et/ou le nom de
l'appareil ;
od'informations concernant l'utilisation d'Internet, telles que l'adresse IP et des informations géographiques,
les paquets IP, les URL et les trames Ethernet ;
ode fichiers de vidage sur incident et des informations qu'ils contiennent.
Nous ne souhaitons pas collecter vos données en dehors de ce cadre, mais cela s'avère parfois impossible. Des
données collectées accidentellement peuvent être incluses dans des logiciels malveillants (informations collectées
à votre insu ou sans votre consentement) ou dans des noms de fichier ou des URL. Nous ne souhaitons pas que
ces données fassent partie de nos systèmes ni qu'elles soient traitées dans le but déclaré dans la présente
Politique de confidentialité.
• Mise en quarantaine avec une période de conservation de 30 jours.
95
• Des informations de licence, telles que l'identifiant de la licence, et des données personnelles comme le nom,
le prénom, l'adresse, l'adresse e-mail sont nécessaires pour la facturation, la vérification de l'authenticité de la
licence et la fourniture de nos services.
• Des coordonnées et des données contenues dans vos demandes d'assistance sont requises pour la fourniture
du service d'assistance. Selon le canal que Vous choisissez pour nous contacter, Nous pouvons collecter votre
adresse e-mail, votre numéro de téléphone, des informations sur la licence, des détails sur le produit et la
description de votre demande d'assistance. Nous pouvons Vous demander de nous fournir d'autres
informations pour faciliter la fourniture du service d'assistance, comme des fichiers journaux.
Confidentialité des données
ESET est une entreprise présente dans le monde entier par le biais d'entités affiliées et autres partenaires du
réseau de distribution, de service et d'assistance. Les informations traitées par ESET peuvent être transférées
depuis et vers les entités affiliées ou les partenaires pour l'exécution des CU (pour la fourniture de services,
l'assistance ou la facturation, par exemple). Selon votre position géographique et le service que vous choisissez
d'utiliser, il est possible que Nous devions transférer vos données vers un pays en l'absence de décision
d'adéquation de la Commission européenne. Même dans ce cas, chaque transfert d'informations est soumis à la
législation en matière de protection des données et n'est effectué que si cela s'avère nécessaire. Des clauses
contractuelles standard, des règles d'entreprise contraignantes ou toute autre protection adéquate doivent être
mises en place, sans aucune exception.
Nous faisons tout notre possible pour éviter que les données soient stockées plus longtemps que nécessaire, tout
en fournissant les services en vertu des CU. Notre période de rétention peut être plus longue que la durée de
validité de votre licence, pour vous donner le temps d'effectuer votre renouvellement. Des statistiques réduites
et rendues anonymes et d'autres données anonymes peuvent être traitées ultérieurement à des fins statistiques.
ESET met en place des mesures techniques et organisationnelles adéquates pour assurer un niveau de sécurité
adapté aux risques potentiels. Nous faisons tout notre possible pour garantir la confidentialité, l'intégrité, la
disponibilité et la résilience constantes des systèmes et des services de traitement. Toutefois, en cas de violation
de données entraînant un risque pour vos droits et libertés, Nous sommes prêts à informer l'autorité de contrôle
ainsi que les personnes concernées. La personne titulaire des données a le droit de déposer une plainte auprès
d'une autorité de contrôle.
Droits des personnes concernées
ESET est soumise à la réglementation des lois slovaques et est tenue de respecter la législation en matière de
protection des données de l'Union européenne. Sous réserve des conditions fixées par les lois applicables en
matière de protection des données, en tant que personne concernée, les droits suivants Vous sont conférés :
• droit de demander l'accès à vos données personnelles auprès d'ESET,
• droit à la rectification de vos données personnelles si elles sont inexactes (Vous avez également le droit de
compléter les données personnelles incomplètes),
• droit de demander l'effacement de vos données personnelles,
• droit de demander de restreindre le traitement de vos données personnelle,
• le droit de s'opposer au traitement des données
• le droit de porter plainte et
• droit à la portabilité des données.
96
Nous pensons que toutes les informations que nous traitons sont utiles et nécessaires pour fournir les services et
produits à nos clients.
Si vous souhaitez exercer vos droits en tant que personne concernée ou si vous avez une question ou un doute,
envoyez-nous un message à l'adresse suivante :
ESET, spol. s r.o.
Data Protection Officer
Einsteinova 24
85101 Bratislava
Slovak Republic
dpo@eset.sk
97
">