
18 juil. 2017
Qu’est-ce que le CA/Browser Forum et quel rôle joue-t-il sur la sécurité Internet ?
Le mois dernier, nous avons discuté de la nouvelle réglementation du CA/Browser Forum qui, à compter du 1er mars 2018, plafonnera à deux ans la durée de validité des certificats SSL/TLS, au lieu de trois. En règle générale, après une annonce concernant le CA/Browser Forum, nous recevons de nombreuses questions, du type : « Mais de quel droit me retirent-ils mes précieux certificats valables trois ans ? » Qui est cette mystérieuse « toute-puissance » à l’œuvre derrière tous ces changements ?
Le CA/Browser Forum est un consortium sectoriel qui regroupe des autorités de certification (AC) et des éditeurs de navigateurs avec pour objectif de faire évoluer « les bonnes pratiques sectorielles afin d’améliorer la manière dont les certificats peuvent être utilisés pour servir au mieux les internautes et la sécurité de leurs communications. »
Vous savez maintenant ce qu’il représente. Pour mieux comprendre son fonctionnement et les raisons derrière les changements proposés, nous nous sommes adressés à la source : Doug Beattie, VP Produit chez GlobalSign et membre actif du CA/Browser Forum ces trois dernières années.
Bonjour Doug !
Les AC et éditeurs de navigateurs composent la majorité du CA/B Forum. Quel rôle joue chacune des parties pour la sécurité de l’information sur le Web ?
Autorités de certification (AC)
Lorsqu’elles émettent les certificats, les AC doivent respecter les exigences et normes sectorielles. L’un de leurs principaux domaines d’intervention porte sur la validation des informations du certificat, le filtrage et le rejet des demandes qui semblent provenir de sites de phishing. Cela fait partie de leur processus de vérification (vetting).
Elles doivent être vigilantes vis-à-vis des entités à qui elles délivrent leurs certificats et faire en sorte de respecter les bonnes pratiques de sécurité afin d’offrir un environnement Web plus sûr et mieux sécurisé. Ces bonnes pratiques figurent dans les exigences de base qui précisent que toutes les AC doivent mettre en œuvre des vérifications pour prévenir les risques importants pour examiner de près toute demande de certificats qui éveillerait des soupçons. C’est pourquoi GlobalSign utilise un filtre anti-phishing régulièrement mis à jour en fonction de nouvelles informations. Cela explique aussi la prochaine obligation de contrôle CAA (Certificate Authority Authorization) — contrôle de la liste renseignée par les propriétaires de noms de domaines pour indiquer les AC autorisées à émettre des certificats pour leur(s) domaine(s) (note : explication détaillée de la CAA à la fin de ce billet).
Nous avons tous un rôle à jouer dans la sécurité d’Internet. Les AC doivent faire attention lorsqu’elles affirment que la sécurité sur Internet n’est pas leur problème ; qu’elles ne font qu’émettre des certificats. Ce n’est pas à elles de faire la chasse aux hackers et de les arrêter, mais elles ont indéniablement un rôle à jouer ; elles doivent faire de leur mieux pour n’émettre leurs certificats qu’à l’attention des « gentils », et pas des « méchants » (dans la mesure du possible).
Navigateurs
Les navigateurs sont la dernière ligne de défense et l’ultime interface entre les sites HTTPS et les internautes. Sur Internet, la représentation visuelle joue un rôle primordial pour la sécurité. Ces deux dernières années, la représentation visuelle des sites protégés par un certificat SSL a connu de nombreux changements, à l’image des alertes jaunes, des cadenas rouges, etc. qui ont précédé le retrait du SHA-1.
Mais les récents changements peuvent compliquer la donne ; entreprises et particuliers peuvent avoir du mal à y voir clair. J’espère que les éditeurs de navigateurs parviendront à une forme de consensus sur l’interface à adopter pour le SSL. L’objectif est que les internautes puissent reconnaître facilement les sites fiables (et que les entreprises soient capables d’identifier le niveau de SSL dont elles ont besoin).
À l’heure actuelle, lorsqu’un site utilise un certificat SSL à validation étendue (EV), les principaux navigateurs affichent généralement le nom de la société en vert dans la barre d’URL. Grâce à cette convention simple, les internautes peuvent facilement savoir quelle entreprise exploite le site, ce qui leur permet de le distinguer sans peine des sites factices ou de hameçonnage. Il faudrait, à mon avis, adopter des approches similaires pour les certificats SSL à validation de domaine (DV) et à validation de l’organisation (OV). L’harmonisation de l’interface permettrait aux utilisateurs de savoir si le site utilise un certificat DV ou OV — l’OV offrant un niveau de garantie supérieur grâce aux contrôles de validation supplémentaires nécessaires pour obtenir le certificat.
Quelles sont les modalités de collaboration de GlobalSign avec le CA/B Forum pour définir les règles et les règlements d’un Internet fiable ?
Nous ne sommes que l’un des nombreux participants à travailler sur la définition de nouvelles normes et exigences. Nous avons récemment participé activement à deux projets :
1. Méthodes de validation de domaine
Tout d’abord, nous avons activement participé à la définition et à la réactualisation des méthodes de validation de domaine qui ont été acceptées lors du vote 169. Nous avons fait partie du groupe de travail sur la validation pendant plus d’un an. En participant à la définition des méthodes de validation de domaine, nous avions pour objectif d’améliorer leur sécurité de manière globale. Nous avons renforcé la sécurité dans la liste de méthodes et supprimé la faille qui permettait aux AC de choisir, comme elles le jugeaient bon, des méthodes « équivalentes ».
2. Durée de validité maximale des certificats SSL
Nous avons également participé aux débats et votes sur la réduction de la durée de validité maximale des certificats SSL. Après un long débat, la proposition de Google de réduire la période de validité à un an a été retoquée, bien que nous comprenions l’importance de ramener les périodes de validité à une durée inférieure à trois ans.
En réponse, nous avons contribué à l’élaboration d’une proposition visant à réduire la période de validité maximale à deux ans — texte qui a récemment été voté et adopté. Nous pensons qu’il s’agit d’un bon compromis entre d’une part, les risques inhérents à une période de validité plus longue et d’autre part, l’impact d’une durée plus courte sur les entreprises qui doivent gérer leurs certificats et leurs renouvellements plus fréquents.
Qu’implique la définition de nouvelles exigences ?
Tout participant au CA/Browser Forum peut soumettre ses idées aux adhérents pour en débattre. Une fois qu’un consensus est établi autour de l’effet bénéfique sur la sécurité ou les opérations de la modification proposée, l’individu peut soumettre son texte au vote après avoir détaillé ses changements. Le problème doit donc être exposé clairement, avec une explication claire de la réponse qu’apporte le changement, et en annotant ou barrant en rouge l’exigence devenue caduque.
Après une période de débat d’au moins une semaine, la proposition est alors soumise au vote pendant toute une semaine, sous réserve d’aucune demande de changement important pendant la période de débat. Les sujets plus complexes sont souvent débattus lors des réunions en face à face organisées trois fois par an. Ces réunions offrent l’occasion de réunir physiquement un grand nombre de participants stratégiques et de discuter activement des atouts et des inconvénients, mais aussi des attentes des uns et des autres sur les changements à suggérer ou recommander.
Parmi les changements à venir, lesquels faut-il connaître ?
Pour connaître l’actualité du forum, vous pouvez suivre attentivement les initiatives et scrutins en cours ou surveiller la liste de diffusion publique.
Voici deux changements qui entreront prochainement en vigueur et que vous devez connaître :
1. L’Autorisation de l’Autorité de Certification (CAA, Certification Authority Authorization)
Premier changement : l’obligation pour les autorités de certification d’effectuer un contrôle CAA à compter du 7 septembre 2017. Les propriétaires de noms de domaines peuvent créer un enregistrement DNS CAA dans lequel ils dressent la liste des AC à qui ils donnent l’autorisation d’émettre un ou plusieurs certificats pour les domaines concernés.
Selon ce modèle, si un ou plusieurs enregistrements CAA étai(en)t associé(s) à un nom de domaine, et qu’aucun de ces enregistrements ne désignait globalsign.com comme un émetteur de certificat autorisé, GlobalSign n’aurait pas le droit d’émettre un certificat pour ce domaine (ou sous-domaine). Les contrôles CAA existent depuis plusieurs années, mais sont facultatifs. Or, ils ne peuvent être réellement bénéfiques que s’ils sont appliqués par toutes les autorités de certification. Tant que cela ne sera pas le cas, les hackers pourront demander aux AC qui n’appliquent pas encore les contrôles CAA de leur émettre un certificat.
2. Le standard « Certificate Transparency (CT) » ou transparence des certificats
Google a demandé début 2015 que le standard de Certificate Transparency (CT) s’applique aux certificats EV, et étendra cette initiative à tous les certificats SSL à compter d’avril 2018. Initialement, la date annoncée était fixée à octobre 2017, mais elle a été récemment modifiée. Bien que ça ne soit pas une exigence du CA/B Forum, cette exigence émane des AC qui souhaitent que leurs certificats soient jugés fiables par le navigateur Google Chrome.
Ce report de six mois permettra de parfaire l’infrastructure de journalisation de la CT. Il est arrivé qu’après leur publication, certains journaux CT ne remplissent pas leur mission. Résultat : outre la suppression du statut « qualifié » de certains certificats, certains internautes ont vu s’afficher d’inquiétants messages d’alertes sur l’absence de sécurité de certains sites.
Selon la nouvelle exigence, toute personne qui aura besoin d’un certificat SSL de confiance pour Chrome (qui détient 60 % des parts de marché) devra utiliser des certificats conformes à la politique de transparence des certificats (CT) de Google. Les entreprises qui ne souhaitent pas publier publiquement leurs certificats devront choisir la meilleure approche. Elles pourront ainsi ne pas émettre de certificat de confiance publique conforme à la politique CT de Google et leurs collaborateurs pourront ne pas utiliser la version standard de Chrome, ou alors elles pourront avoir besoin de certificats d’une hiérarchie privée. GlobalSign a la solution en cas de besoin : IntranetSSL.
Voilà, vous savez tout ce qui se trouve dans les cartons du « mystérieux » CA/Browser Forum... pas si mystérieux que ça, n’est-ce pas ? Pour en savoir plus sur le forum ou l’impact de ses exigences de base et standards, n’hésitez pas à nous interroger !
Partager ce blog
Abonnez-vous à notre blog
Vous pouvez télécharger une copie de notre politique de confidentialité ici.
Politique de confidentialité de GlobalSign - Version 3.1
Le présent document est une traduction de la version originale en anglais hébergée à l'adresse www.globalsign.com/en/repository. En cas de divergence entre les interprétations d'une version traduite et de la version originale en anglais, cette dernière prévaudra.
Mise à jour au 5 juin 2018
GlobalSign respecte votre vie privée.Cette Politique de confidentialité vise à vous informer sur les pratiques de confidentialité appliquées par GlobalSign en rapport avec ses sites Web, ses produits et ses services. Elle ne s’applique pas aux services GlobalSign proposés directement ou indirectement par nos partenaires, revendeurs ou d’autres tiers, ni à d’autres services ou sites Web de tiers. Nous vous invitons donc à prendre connaissance des politiques de confidentialité de ces parties.
Cette Politique de confidentialité vous informe sur les données collectées, leur utilisation, leur lieu de traitement, les modalités d’opt-out pour nous signaler votre opposition à leur utilisation, les mesures de sécurité concernant le stockage de vos données, et les modalités de correction, de réactualisation ou de suppression de vos données.
1. Responsable du traitement des données
Le responsable du traitement des données pour les données personnelles collectées au sein de l’UE est GMO GlobalSign, Ltd., dont le siège social est sis Springfield House, Sandling Road, Maidstone, Kent, ME14 2LP au Royaume-Uni. Toutes les questions ou demandes concernant le traitement des données peuvent être adressées à : dpo@globalsign.com.
2. Collecte de renseignements personnels
Nous recueillons des informations sur vous lorsque vous (i) passez une commande pour un produit de certificat numérique ou tout autre produit ou service GlobalSign, (ii) utilisez notre outil d’inventaire de certificats (CIT) pour analyser vos serveurs et y rechercher des certificats numériques, (iii) demandez l’accès à nos plateformes de services managés, (iv) vous abonnez à notre newsletter, (v) utilisez notre service de tchat en ligne, (vi) téléchargez un livre blanc, (vii) vous inscrivez à un webinaire, (viii) répondez à un sondage, (ix) remplissez un formulaire de demande d’assistance avant/après-vente, (x) ouvrez un ticket de support ou (xi) utilisez les réseaux sociaux.
GlobalSign est une Autorité de Certification (AC) et un tiers de confiance. Pour que nous puissions répondre aux demandes de certificats numériques ou d’autres produits ou services, il est possible que l’on vous demande de saisir votre nom, votre adresse électronique, votre adresse physique, votre numéro de téléphone, les informations concernant votre carte bancaire et/ou votre structure, ou d’autres renseignements personnels.
- Coordonnées de contact telles que votre nom, votre adresse électronique, votre adresse physique et votre numéro de téléphone.
- Renseignements facilitant nos relations avec vous : les types de produits et services susceptibles de vous intéresser, vos préférences de contact et de produits, vos langues, vos préférences en matière de marketing et les données démographiques vous concernant.
- Informations transactionnelles sur vos modes d’interactions avec nous : achats, demandes de renseignements, informations sur les comptes clients, renseignements sur la facturation et les cartes de paiements, renseignements sur votre entreprise/entité, historique des transactions et de la correspondance, et renseignements sur la façon dont vous utilisez et interagissez avec notre site Web.
Nous pouvons affiner et acquérir des informations supplémentaires sur vous par l’intermédiaire de sources tierces, de votre historique de navigation et d’achats, etc. afin de traiter les demandes de certificats et d’améliorer nos services.
Nous pouvons compléter les informations dont nous disposons sur vous et en acquérir de nouvelles à l’aide de sources de données externes (publiques et privées) comme les bases de données de tiers et les organismes publics. Nous pouvons aussi utiliser votre historique de navigation et d'achats pour traiter vos commandes de certificats et améliorer nos services.
3. Finalité du Traitement
Vos données personnelles seront utilisées aux fins spécifiées ci-après :
3.1 Traitement de vos demandes de produits et services GlobalSign
Nous utilisons vos informations pour vous fournir nos produits et services, traiter vos commandes et effectuer certaines transactions commerciales comme la facturation.
3.2 Amélioration du service client
Vos informations nous permettent de répondre plus efficacement à vos demandes d’avant-vente et d’après-vente, et d’assurer le support technique.
3.3 Envoi de préavis de renouvellement
L’adresse e-mail que vous communiquez pour le traitement des commandes peut être utilisée pour l’envoi de préavis de renouvellement relatifs à un certificat numérique arrivant à expiration.
3.4 Envoi de mises à jour de services
Sous réserve de votre consentement, lorsque la loi l’exige, nous pouvons par ailleurs vous envoyer de nouvelles mises à jour de services et de sécurité, des informations sur les produits ou les services connexes, et des rapports de situation sur les créneaux réservés à la maintenance ou les plages de disponibilité des services.
3.5 Information sur nos produits et services
Sous réserve de votre consentement, lorsque la loi l’exige, nous pouvons être amenés à vous envoyer périodiquement des newsletters de la société, des informations sur nos produits et services susceptibles de vous intéresser en fonction : des autres produits et services GlobalSign que vous utilisez?; de votre participation à des événements marketing sponsorisés par GlobalSign (webinaires...)?; de vos demandes de renseignements sur des produits et services similaires?; des données que vous partagez sur les réseaux sociaux comme LinkedIn ou Facebook.
4. Base juridique du traitement des données personnelles
Nous traiterons vos données en vue de l’exécution du contrat qui nous lie à vous ou dans l’intérêt légitime de GlobalSign, c’est-à-dire nos activités commerciales habituelles. Dans les autres cas, nous solliciterons votre consentement pour le traitement des données personnelles que vous pourriez nous communiquer.
Lorsque, pour certains produits et services, vous refusez de nous transmettre vos données personnelles, cela peut nous empêcher d’exécuter la commande relative à ces produits ou services. De même, si vous refusez que nous utilisions vos données personnelles, si vous revenez sur votre consentement ou si vous choisissez de ne pas recevoir d’informations sur les produits et services GlobalSign, vous risquez de ne pas être informé des préavis de renouvellement, des newsletters périodiques de l’entreprise, des nouvelles mises à jour de services et de sécurité, des informations relatives aux produits ou services, et des rapports de situation sur les créneaux réservés à la maintenance ou les plages de disponibilité des services. Veuillez vous référer à la section 10 ci-dessous pour savoir comment procéder pour retirer votre consentement.
5. Utilisation de cookies et de pixels invisibles
Le portail GCC (GlobalSign Certificate Center) utilise des cookies pour exécuter ses services. Des cookies peuvent être utilisés lorsque vous vous connectez au portail GCC, que vous achetez des produits ou que vous utilisez certaines fonctions GCC.
En outre, comme la plupart des entreprises en ligne, GlobalSign utilise des cookies et des pixels invisibles sur ses sites Web et dans ses e-mails marketing pour recueillir et analyser certaines données personnelles comme l’adresse IP du visiteur, son type de navigateur, le Fournisseur d’Accès Internet (FAI), la page de référence, le système d’exploitation, la date/l’heure et des données géographiques de base.
Nous utilisons des cookies et des pixels invisibles pour compiler des données consolidées sur le trafic et les interactions avec le site afin d’évaluer l’efficacité de nos communications et d’offrir à terme une expérience de navigation améliorée et de meilleurs outils. Nous pouvons faire appel à des fournisseurs de services tiers pour nous aider à mieux comprendre les visiteurs de notre site. Ces fournisseurs de services ne sont pas autorisés à utiliser les renseignements recueillis en notre nom, sauf pour nous aider dans l’exercice de nos activités et à des fins d’amélioration.
Les visiteurs qui accèdent à notre site et nos services pour la première fois peuvent indiquer ne pas souhaiter que des cookies de suivi soient installés dans leur navigateur. Nous utilisons un cookie d’exclusion (opt-out) pour reconnaître les utilisateurs qui ont fait ce choix. Les cookies concernant les performances du site, l’amélioration de l’expérience et le marketing sont programmés pour ne pas s’exécuter dès lors qu’un cookie d’exclusion se trouve dans le navigateur d’un visiteur. Les cookies d’exclusion restent tant que l’internaute ne les a pas effacés de son navigateur, ou jusqu’à leur expiration un an après la date fixée. Après un an, l’internaute doit réitérer son choix pour que les cookies de suivi d’activité soient désactivés.
Vous trouverez plus d’informations sur l’utilisation des cookies par GlobalSign sur notre site Web à l’adresse https://www.globalsign.com/en/repository/cookie-policy/.
6. Utilisation de journaux d’applications à des fins de diagnostic ou de collecte d’informations statistiques
Nos serveurs enregistrent automatiquement les informations créées lorsque vous utilisez nos services («?Application Log Data?»). Les données du journal d’application peuvent comprendre les informations suivantes : votre adresse IP, type de navigateur, système d’exploitation, page Web de référence, pages consultées, localisation, opérateur mobile, identifiants des équipements utilisés et de l’application, mots clés utilisés pour la recherche et informations sur les cookies. Nous utilisons ces informations pour diagnostiquer et améliorer nos services. Sauf indication contraire au paragraphe 8 (« Conservation des données »), nous supprimerons les données du journal d’application ou supprimerons tout identificateur de compte (votre nom d’utilisateur, adresse IP complète ou adresse électronique) après 12 mois.
7. Partage d’informations et transferts de données
Nous ne vendons pas et ne commercialisons pas vos données personnelles à des tiers.
Au sein de GlobalSign : GlobalSign est une entreprise internationale avec des processus métiers et des systèmes techniques répartis dans plusieurs pays. À ce titre, nous pouvons être amenés à communiquer des informations vous concernant aux entités de notre Groupe et à les transférer vers les pays où nous exerçons nos activités en lien avec les utilisations identifiées au paragraphe 3 des présentes et en conformité avec cette Politique de confidentialité. Dans les cas où les données personnelles sont transférées vers des pays qui n’offrent pas un niveau de protection adéquat au regard de la législation européenne, nous nous assurons que vos données sont protégées et, à cet effet, nous faisons signer à chacune des sociétés de notre groupe un contrat reprenant les clauses contractuelles types dont un exemplaire peut être obtenu sur demande adressée aux coordonnées figurant au paragraphe 15 des présentes.
Tiers de confiance : nous pouvons également transférer vos données personnelles à des tiers de confiance et à nos partenaires aux fins précisées au paragraphe 3. GlobalSign fait appel à un prestataire extérieur pour traiter les paiements par carte bancaire, et transmet les numéros de cartes de paiement et les données financières d’identification directement au prestataire chargé de traiter les paiements par carte.
En cas de partage des données avec ces tiers, ceux-ci sont tenus de se conformer aux conditions de confidentialité figurant dans nos Accords sur le traitement des données. Ces prestataires ont alors interdiction de vendre, négocier, utiliser, commercialiser ou diffuser les données des clients de GlobalSign.
Conformément à la loi : nous pouvons également être amenés à divulguer vos informations si nous le pensons nécessaire pour nous conformer à la loi ou pour protéger nos droits, nos biens ou notre sécurité.
Nous avons pour règle d’aviser nos clients des demandes de communication de leurs données aux autorités de police, sauf interdiction statutaire ou posée par ordonnance. Lorsque des agents de la force publique estiment que le fait d’aviser nos clients risque de compromettre une enquête, ils doivent obtenir une ordonnance d’un tribunal ou tout autre acte judiciaire qui interdit expressément la notification d’un membre — c’est le cas des ordonnances délivrées en vertu de l’Article § 2705 (b) du Code des États-Unis, Titre 18 (18 U.S.C.) sur les crimes et procédures pénales.
Fusions et acquisitions : Nous pouvons également communiquer vos informations personnelles aux tiers susceptibles d’assurer l’exploitation de notre site ou d’acquérir tout ou partie de nos actifs, y compris vos informations personnelles. Nous utiliserons les coordonnées que vous nous aurez communiquées pour vous contacter si la personne contrôlant vos informations devait changer.
8. Transferts internationaux
Les tierces parties, filiales et sociétés affiliées auxquelles vos données personnelles sont susceptibles d’être divulguées peuvent être établies n’importe où dans le monde. Des informations sont alors susceptibles d’être envoyées vers des pays dont les normes de protection de la vie privée diffèrent de celles de votre pays de résidence. Dans de tels cas, nous prenons les mesures nécessaires pour nous assurer que vos informations personnelles bénéficient d'un niveau de protection adéquat, avec notamment la mise en place des clauses contractuelles types de l'UE pour protéger vos informations personnelles.
9. Conservation des données
Les informations personnelles que nous recueillons ne sont pas conservées au-delà de la durée maximale nécessaire à la poursuite des fins énoncées au paragraphe 2, ou pendant une période qui serait spécifiquement imposée à GlobalSign par la loi ou la réglementation.
Pour répondre aux exigences d’audit des AC publiques, comme précisé dans la Déclaration des pratiques de certification de GlobalSign, les données personnelles utilisées pour procéder à la vérification de certains types d’applications de certification numérique seront conservées au moins 10 ans (suivant la catégorie de produit ou de service), et pourront être conservées sous forme physique ou électronique. Pour plus de détails, veuillez vous référer à la Déclaration des pratiques de certification de GlobalSign.
Une fois la période de conservation échue, GlobalSign supprime de manière sécurisée ou rend anonyme vos informations personnelles pour empêcher leur perte, vol ou détournement, ou tout accès non autorisé à ces données.
10. Refus (opt-out) et retrait du consentement
Si, à un moment où un autre, vous ne souhaitez plus recevoir d’e-mails de notre part, vous trouverez au bas de chacun de nos e-mails les instructions pour vous désabonner.
Les avis de renouvellement peuvent être annulés pour chaque certificat numérique. Vous devez pour cela vous connecter à votre compte GCC (GlobalSign Certificate Center) et désactiver les avis de renouvellement.
Les préférences de communication par e-mail pour les informations en rapport avec et/ou collectées au travers de l’outil d’inventaire de certificats (CIT) peuvent être mises à jour et modifiées dans l’outil CIT.
GlobalSign traite vos données personnelles sur la base de votre consentement. Vous pouvez revenir à tout moment sur votre consentement via notre centre de préférence accessible à cette adresse https://downloads.globalsign.com/acton/media/2674/connexion-au-centre-de-preference ou en nous contactant à l’une des adresses indiquées au paragraphe 15.
11. Vos droits
Il est de votre responsabilité de transmettre à GlobalSign des informations personnelles exactes, correctes, actuelles et complètes. Il vous appartient également de maintenir et d’actualiser rapidement ces informations pour qu’elles restent exactes, correctes, actuelles et complètes.
Vous disposez d’un droit d’accès et de modification de vos données personnelles stockées dans les systèmes GlobalSign. Vous pouvez exercer vos droits en nous contactant par écrit. Nous vous demanderons de présenter une pièce d’identité pour vérifier votre authenticité en tant que personne concernée. Nous déploierons des efforts raisonnables pour répondre à votre demande et la traiter conformément à la loi.
Dans la mesure de ce qui est permis par la loi applicable, vous pouvez avoir le droit de demander l'effacement de vos renseignements personnels et la limitation du traitement tel qu'il s'applique à vous, de vous opposer à leur traitement et d’exercer votre droit à la portabilité des données. Vous pouvez également avoir le droit d'introduire une réclamation auprès d'une autorité de contrôle.
Si les informations que vous nous communiquez sont fausses, inexactes, obsolètes ou incomplètes, ou si nous avons des motifs raisonnables de soupçonner que ces informations sont fausses, inexactes, obsolètes ou incomplètes, nous sommes en droit de suspendre ou de résilier votre compte, et de refuser toute utilisation actuelle ou ultérieure de nos services.
12. Moyens mis en œuvre pour protéger vos informations
Nous mettons en œuvre diverses mesures de sécurité pour garantir la sécurité de vos données personnelles lorsque vous passez une commande, saisissez ou soumettez des données personnelles, ou lorsque vous accédez à vos données personnelles. Toutes les informations sensibles et relatives à vos paiements par carte bancaire sont transmises via SSL (Secure Socket Layer).
Après une transaction, les renseignements concernant votre transaction sont conservés au dossier conformément aux exigences d’audit et pour faciliter les renouvellements. Nous ne conservons aucune information relative aux cartes bancaires.
13. Législations applicables
GlobalSign s’engage à protéger les informations personnelles que lui transmettent les demandeurs de services de certification publique et les abonnés à ses services. GlobalSign déclare respecter pleinement tous les droits établis et énoncés dans les lois et réglementations de l’Union européenne et des Etats membres :
- la directive 95/46 CE relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données,? et le règlement UE 2016/679 qui remplace ladite directive sur la protection des personnes physiques à l’égard du traitement des données à caractère personnel et sur la libre circulation de ces données (Règlement général de l'UE sur la protection des données) ; et
- des dispositions de la DPC de GlobalSign.
14. Modifications de notre Politique de confidentialité
Si nous apportons des modifications substantielles à notre Politique de confidentialité, nos clients seront informés par e-mail de la disponibilité d’une nouvelle version avec un lien vers celle-ci.
15. Nous contacter
Pour toutes vos demandes ou questions au sujet de notre Politique de confidentialité, voici les coordonnées auxquelles nous contacter :
https://support.globalsign.com/
https://www.globalsign.com/en/company/contact/support/
https://jp.globalsign.com/support/
ou
Deputy Data Protection Officer
GMO GlobalSign, Ltd.
Springfield House Sandling Road,
Maidstone, Kent ME 14 2LP
Royaume-Uni
dpo@globalsign.com
16. Nos bureaux
GMO GlobalSign K.K., Tokyo, Japon
GMO GlobalSign Ltd., Maidstone, Kent, Royaume-Uni
GMO GlobalSign NV/SA, Louvain, Belgique
GMO GlobalSign, Inc., Portsmouth, NH, États-Unis
GMO GlobalSign Russia LLC, Moscou, Russie
GMO GlobalSign Pte. Ltd, Anson, Singapour
GMO GlobalSign Certificate Services Pvt. Ltd., Delhi, Inde
GlobalSign China Co., Ltd., Shanghai, Chine
GMO GlobalSign Inc., Manila, Philippines
GMO GlobalSign FZ-LLC, Dubai, EAU