# Vos données, protégées à chaque étape.

Nous intégrons la protection des données, la maîtrise des accès et la continuité dès la conception de la solution.

## Nos principes

- Collecter et conserver uniquement les données utiles. Chaque information demandée doit répondre à un usage identifié et à une durée de conservation cohérente.
- Définir des rôles et droits adaptés. Les utilisateurs accèdent aux fonctions et données nécessaires à leur mission, sans ouvrir inutilement le reste de la solution.
- Séparer les environnements lorsque le projet le nécessite. Les essais, validations et opérations réelles peuvent ainsi être conduits sans mélanger leurs données ni leurs risques.
- Protéger les échanges et les accès. Les mécanismes retenus dépendent des données manipulées, des profils concernés et des contraintes du projet.
- Journaliser les opérations sensibles selon le besoin. Les traces utiles facilitent le diagnostic, le contrôle et la compréhension d’une action importante.
- Sauvegarder et préparer la restauration. Une sauvegarde n’est réellement utile que si son périmètre, sa conservation et sa possibilité de reprise sont connus.
- Maintenir les composants et corriger les vulnérabilités applicables. Les dépendances sont suivies afin de planifier les mises à jour pertinentes sans fragiliser le fonctionnement.
- Encadrer les sous-traitants et les transferts de données. Les intervenants, responsabilités et conditions applicables sont rendus visibles dans la documentation du projet.

## RGPD : des rôles clairs

L’association reste responsable du traitement de ses données. Extene intervient généralement comme sous-traitant pour les opérations confiées. Un accord de traitement précise les finalités, instructions, catégories de données, mesures, sous-traitants, assistance et sort des données en fin de contrat. Cette répartition permet de savoir qui décide des usages et qui exécute les opérations techniques prévues.

## IA et données

L’usage éventuel d’outils d’assistance est encadré selon le projet. Aucune donnée client ne doit être utilisée dans un service d’IA externe sans base contractuelle, configuration et validation adaptées. Les décisions sensibles restent contrôlées par des personnes. Le choix des outils et des données autorisées est donc traité comme une décision de projet, pas comme un automatisme technique.