META Channel Corporation Limited est une Praxis House d’exécution réglementaire, juridique et technologique. Notre activité exige que les systèmes d’information qui soutiennent nos opérations, ainsi que les données de nos clients, de nos partenaires et des institutions avec lesquelles nous travaillons, soient gérés avec la plus grande rigueur. La présente politique énonce les principes, les cadres de référence et les engagements qui régissent la sécurité de l’information au sein de META Channel Corporation Limited.
En tant qu’organisation qui conseille et conduit des projets de conformité réglementaire dans le cadre normatif européen, nous appliquons en interne les standards que nous exigeons de nos clients et que nous les aidons à mettre en œuvre. La cohérence entre ce que nous réalisons pour les autres et ce que nous appliquons chez nous n’est pas une option : c’est la condition même de notre crédibilité.
1. Cadres normatifs de référence
La gestion de la sécurité de l’information au sein de META Channel Corporation Limited s’aligne sur les cadres normatifs et standards internationaux suivants :
| RGPD (UE) 2016/679 | Cadre fondamental de la protection des données à caractère personnel. Il fixe les obligations de sécurité techniques et organisationnelles prévues aux articles 25 (protection des données dès la conception) et 32 (sécurité du traitement). |
| NIS2 (UE) 2022/2555 | Directive relative à la cybersécurité dans l’Union européenne. META Channel Corporation Limited en adopte les principes de gestion des risques comme cadre de référence opérationnel et comme base de formation des clients que nous accompagnons dans leur mise en conformité. |
| DORA (UE) 2022/2554 | Règlement sur la résilience opérationnelle numérique du secteur financier. Directement applicable à de nombreux clients de META Channel Corporation Limited dans les secteurs de la fintech, de la tokenisation et du litigation finance. Nous en adoptons les principes comme référence interne et comme modèle de mise en œuvre. |
| ISO/IEC 27001:2022 | Norme internationale relative aux systèmes de management de la sécurité de l’information (SMSI). Cadre de référence pour l’identification des actifs, l’appréciation des risques, la mise en œuvre de mesures de sécurité et l’amélioration continue. |
| AI Act (UE) 2024/1689 | Cadre réglementaire européen applicable aux systèmes d’intelligence artificielle (règlement sur l’intelligence artificielle). META Channel Corporation Limited gère ses systèmes et outils d’IA selon les principes de transparence, de contrôle humain et de réduction des risques, en anticipant les exigences applicables à ses clients. |
| LOPDGDD (LO 3/2018) | Loi organique espagnole qui complète le RGPD. Applicable aux traitements effectués depuis le territoire espagnol, y compris les activités de META Channel Corporation Limited à Tenerife et à Madrid. |
| Data Protection Act 2018 (IE) | Cadre de protection des données de la République d’Irlande. Applicable à META Channel Corporation Limited en tant qu’entité constituée en Irlande en vertu du Companies Act 2014 (loi irlandaise sur les sociétés). |
2. Principes fondamentaux de sécurité
| Confidentialité | Seul le personnel autorisé a accès aux données et informations de META Channel Corporation Limited, de ses clients et de ses collaborateurs. Les accès sont gérés par un contrôle fondé sur les rôles et selon le principe du moindre privilège. L’ensemble du personnel et des collaborateurs ayant accès aux systèmes est soumis à une obligation de confidentialité sans limitation de durée. |
| Intégrité | Les données et informations gérées par META Channel Corporation Limited sont maintenues exactes, complètes et cohérentes. Des contrôles permettent de détecter et de corriger toute altération non autorisée des documents, des dossiers et des systèmes de gestion. |
| Disponibilité | Les systèmes et informations critiques pour l’activité de META Channel Corporation Limited sont accessibles au personnel autorisé lorsqu’il en a besoin. Des plans de continuité et des procédures de reprise après incident sont tenus à jour. |
| Protection des données dès la conception et par défaut | Conformément à l’article 25 du RGPD, la protection des données à caractère personnel est intégrée dès la conception de tout nouveau processus, système ou produit. Le paramétrage par défaut de tous les systèmes garantit le niveau de protection de la vie privée le plus élevé, sans intervention de la personne concernée. |
| Résilience opérationnelle | META Channel Corporation Limited gère ses dépendances technologiques selon des critères de résilience : identification des actifs critiques, évaluation des fournisseurs technologiques, plans de continuité et capacité de reprise en cas d’interruption ou de cyberincident. |
| Responsabilité (accountability) | Conformément à l’article 5, paragraphe 2, du RGPD, META Channel Corporation Limited ne se contente pas de respecter ses obligations de sécurité : elle est en mesure d’en démontrer le respect à tout moment. La documentation, les registres et les procédures internes constituent la preuve de cet engagement. |
| Amélioration continue | META Channel Corporation Limited évalue régulièrement l’efficacité de ses mesures de sécurité, met à jour ses procédures en fonction des évolutions réglementaires ou technologiques et tire les enseignements des incidents et des exercices de revue. |
| Proportionnalité | Les mesures de sécurité sont mises en œuvre en proportion du risque réel propre à chaque traitement et à chaque actif. Ni l’excès ni l’insuffisance de mesures ne sont acceptables : la sécurité doit être adaptée, efficace et soutenable sur le plan opérationnel. |
3. Mesures techniques et organisationnelles appliquées
META Channel Corporation Limited applique les mesures suivantes conformément à l’article 32 du RGPD, compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée et des finalités du traitement :
Chiffrement et communications sécurisées
- Chiffrement en transit au moyen de TLS 1.2/1.3 pour toutes les communications web (HTTPS).
- Chiffrement au repos sur les systèmes de stockage où sont traitées des données à caractère personnel.
- Communications internes par des canaux chiffrés. Interdiction de transmettre des données sensibles par des canaux non chiffrés.
Contrôle d’accès et authentification
- Authentification à deux facteurs (2FA) obligatoire pour l’accès aux systèmes contenant des données à caractère personnel.
- Principe du moindre privilège : chaque utilisateur n’accède qu’aux données nécessaires à l’exercice de sa fonction.
- Revue périodique des droits d’accès et révocation immédiate en cas de changement de fonction ou de fin de la relation.
Gestion des fournisseurs et des sous-traitants
- Contrats de sous-traitance (art. 28 du RGPD) conclus avec tous les fournisseurs ayant accès à des données à caractère personnel.
- Évaluation préalable des fournisseurs technologiques en matière de sécurité et de conformité réglementaire.
- Transferts internationaux encadrés par des mécanismes appropriés conformément au chapitre V du RGPD.
Gestion des incidents et des violations de données
- Protocole interne de réponse aux violations de sécurité, activé dans les 4 premières heures.
- Notification à la DPC (Data Protection Commission, autorité irlandaise de protection des données) et/ou à l’AEPD (autorité espagnole de protection des données) dans un délai maximal de 72 heures lorsqu’elle est requise.
- Registre interne de tous les incidents, qu’ils doivent ou non être notifiés, conformément à l’article 33, paragraphe 5, du RGPD.
- Procédure documentée de communication aux personnes concernées lorsque le risque est élevé.
Continuité et résilience
- Sauvegardes périodiques des systèmes et des données critiques, avec vérification de leur intégrité.
- Procédures de reprise en cas de défaillance technique ou de cyberincident.
- Évaluation des dépendances technologiques critiques et plans de secours en cas d’indisponibilité des fournisseurs.
Formation et sensibilisation
- L’ensemble du personnel et des collaborateurs ayant accès aux systèmes est informé de ses obligations en matière de sécurité.
- Mise à jour périodique sur les menaces pertinentes et les bonnes pratiques de cybersécurité.
- Obligation de confidentialité sans limitation de durée, formalisée par contrat.
4. Analyses d’impact et appréciation des risques
META Channel Corporation Limited réalise des analyses d’impact relatives à la protection des données (AIPD/DPIA) conformément à l’article 35 du RGPD pour les traitements susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes concernées. L’analyse des risques précède le lancement de tout nouveau traitement ou toute modification substantielle d’un traitement existant.
La méthodologie d’analyse des risques repose sur les critères du Comité européen de la protection des données (CEPD/EDPB) et sur les principes de la norme ISO/IEC 27005 relative à la gestion des risques liés à la sécurité de l’information. Les résultats de chaque analyse sont documentés et conservés dans le cadre du dispositif de responsabilité (accountability) de META Channel Corporation Limited.
5. Cohérence réglementaire : nous appliquons ce que nous mettons en œuvre pour nos clients
META Channel Corporation Limited conseille et conduit des projets de conformité dans le cadre des réglementations européennes les plus exigeantes : RGPD, NIS2, DORA, AI Act, MiCA et les référentiels de cybersécurité de l’ENS (Esquema Nacional de Seguridad, référentiel national de sécurité espagnol). Notre crédibilité de Praxis House d’exécution réglementaire repose sur un principe qui ne souffre aucune exception : nous appliquons en interne, avec rigueur, les standards que nous aidons nos clients à mettre en œuvre.
Concrètement, lorsqu’un client nous confie un projet de mise en conformité NIS2 ou de déploiement d’un cadre DORA, il sait que l’équipe chargée de l’exécuter applique déjà ces principes. Nous ne vendons pas une conformité que nous ne pratiquons pas. Cette cohérence constitue, en elle-même, une garantie pour nos clients et nos partenaires institutionnels.
6. Révision, mise à jour et contact
La présente politique est révisée au moins une fois par an, ainsi qu’à l’occasion de tout changement réglementaire pertinent, de tout incident significatif ou de toute modification substantielle des systèmes ou des traitements de META Channel Corporation Limited. La version en vigueur est toujours celle publiée à l’adresse metachannelcorp.com/fr/politique-de-securite/.
Pour toute question relative à la présente politique ou pour signaler une vulnérabilité ou un incident de sécurité : privacidad@metachannelcorp.com
Autorités de contrôle compétentes : Data Protection Commission (DPC) — Irlande · Agencia Española de Protección de Datos (AEPD) — Espagne
