Protection des données

Qui est responsable de quoi

L’institution (la banque, le prestataire de paiement, l’opérateur de mobile money ou la fintech) est le responsable du traitement des données qu’elle surveille. Elle décide de ce qui est envoyé à SpeculaPro, des règles appliquées, des personnes qui y ont accès et de la durée de conservation des données.

Les données que détient le produit

• Clients : noms, identifiants tels que les numéros de pièce d’identité nationale, numéros de téléphone, e-mails, adresses, notations de risque.
• Comptes et transactions : identifiants de compte, montants, contreparties, canaux, heures, et événements de compte tels que les connexions et les changements de carte SIM.
• Documents de conformité : alertes, dossiers, notes, pièces justificatives, correspondances de filtrage et déclarations réglementaires.
• Personnel de l’institution : noms, e-mails professionnels, rôles et un historique de ce que chaque personne a fait.

L’institution n’envoie que ce dont sa surveillance a besoin. SpeculaPro conserve sa propre copie de ce qu’il évalue, afin que chaque alerte puisse être prouvée par la suite.

Pourquoi elles peuvent être traitées

Les institutions surveillent les transactions parce que la loi l’exige : au Ghana, la loi sur la lutte contre le blanchiment de capitaux de 2020 (Anti-Money Laundering Act, 2020, Act 1044) et les directives de la Bank of Ghana et du Financial Intelligence Centre, ainsi que les lois équivalentes sur chacun des autres marchés. Les lois sur la protection des données, dont la loi ghanéenne sur la protection des données de 2012 (Data Protection Act, 2012, Act 843), autorisent le traitement nécessaire au respect d’une obligation légale. Chaque institution confirme la base légale de son propre traitement ; nous l’y aidons par les mesures de contrôle décrites ci-dessous.

Où résident les données

• Auto-hébergé : dans le centre de données ou le compte cloud de l’institution elle-même. Rien ne quitte son réseau, sauf si elle le configure ainsi.
• Hébergé : l’espace de travail de chaque institution est rattaché à une seule région, désignée dans le contrat. Aucune autre région ne le dessert, et nous ne le déplaçons pas sans l’accord de l’institution.

Lorsqu’un régulateur exige que les données restent dans le pays, l’auto-hébergement satisfait à cette exigence par conception.

Cloisonnement entre institutions

Sur le service hébergé, chaque enregistrement porte l’institution à laquelle il appartient, et la base de données elle-même (sécurité au niveau des lignes de PostgreSQL) filtre chaque requête par institution. Une défaillance de l’application ne peut pas renvoyer les lignes d’une autre institution. Les données personnelles sont chiffrées avec une clé distincte pour chaque institution.

Protection des données personnelles

• Champs chiffrés. Les numéros de pièce d’identité nationale, les numéros de téléphone, les e-mails et les identifiants de compte sont chiffrés en AES-256-GCM, avec des clés dérivées de clés maîtresses qui peuvent être renouvelées.
• Rapprocher sans révéler. Pour retrouver le même identifiant chez deux clients, le produit compare des empreintes à clé, et non les valeurs elles-mêmes. Une copie volée de la base de données ne permet pas de rechercher un numéro de téléphone.
• Chiffrement en transit. Les connexions au service utilisent TLS.
• Les notifications ne portent que des références. Les e-mails, les SMS et les messages WhatsApp mentionnent un numéro de dossier ou d’alerte, jamais un client ni une transaction.

Plus de détails figurent sur la page Sécurité.

Qui peut les voir

• Rôles. Chaque personne a un rôle qui limite ce qu’elle peut faire. Les données personnelles ne sont affichées en clair qu’aux rôles qui ont reçu cette autorisation ; tous les autres voient des valeurs masquées.
• Connexion renforcée. Les codes d’application d’authentification sont activés par défaut, et les institutions peuvent imposer l’authentification unique (SSO) via leur propre fournisseur d’identité.
• Double validation. Les modifications de règles, les clôtures de dossiers, les dépôts de déclarations et les opérations d’administration sensibles peuvent exiger l’approbation d’une seconde personne. Personne n’approuve sa propre modification.
• Un journal d’audit. Les modifications de configuration, les actions sur les dossiers et les accès sont enregistrés et ne peuvent être ni modifiés ni supprimés.

Accès par notre propre personnel

Sur le service hébergé, notre personnel exploite la plateforme sans lire les données d’une institution. Un membre de notre équipe de support ne peut consulter un espace de travail qu’après l’approbation d’une demande par une personne que l’institution a habilitée. Cet accès est en lecture seule et limité dans le temps, l’institution peut y mettre fin immédiatement, et chaque page consultée est inscrite dans le journal d’audit de l’institution elle-même. Il ne montre jamais quels comptes ont fait l’objet d’une déclaration.

Sur une installation auto-hébergée, nous n’avons aucun accès.

Conservation et suppression

• Fixée par l’institution pour chaque type de données, jamais en deçà de la durée minimale de conservation des documents qu’impose sa législation de lutte contre le blanchiment de capitaux.
• Suppression à la fin de la durée, automatiquement, sauf si un gel juridique s’applique.
• Les gels juridiques conservent des enregistrements précis au-delà de leur durée pour les besoins d’une enquête ou d’une décision de justice, avec un motif consigné.
• À la fin d’un contrat, les données de l’institution sont restituées ou supprimées selon ce que prévoit le contrat, et ses déclarations réglementaires peuvent être exportées au préalable.

Demandes des personnes concernées

Toute personne a le droit de demander à une institution ce qu’elle détient à son sujet et de le faire rectifier. SpeculaPro offre au délégué à la protection des données de l’institution un espace où enregistrer chaque demande, la suivre au regard de son délai légal, rassembler les données concernées et consigner la réponse.

Si une personne nous écrit directement au sujet de données détenues par une institution, nous transmettons la demande à cette institution ; c’est à elle qu’il revient d’y répondre.

Divulgation interdite

La législation de lutte contre le blanchiment de capitaux interdit d’informer une personne qu’elle fait, ou a fait, l’objet d’une déclaration de soupçon. Le produit est construit autour de cette règle : les réponses aux demandes de personnes concernées omettent les déclarations et les enquêtes qui les sous-tendent, les notifications ne nomment jamais un client, et l’accès de support de notre personnel ne peut pas révéler quels comptes ont été déclarés.

Violations de données

Le produit comprend un registre des violations dans lequel l’institution consigne un incident, les personnes touchées et les délais de notification à son régulateur et aux personnes concernées.

Sur le service hébergé, si nous avons connaissance d’une violation touchant les données d’une institution, nous en informons cette institution sans retard injustifié, en lui communiquant ce que nous savons de sa cause et de son étendue, afin qu’elle puisse remplir ses propres obligations de notification.

Prestataires de services

Sur le service hébergé, nous faisons appel à un petit nombre de prestataires pour l’infrastructure et pour l’acheminement des notifications. Ils sont liés par des clauses de confidentialité et de protection des données, et la liste applicable à une institution est remise avec son contrat et sur demande. Nous informons les institutions avant d’ajouter un prestataire qui traiterait leurs données.

Le produit n’effectue aucun appel à des services externes avec des données de clients, sauf si l’institution active une telle connexion, par exemple vers un fournisseur de données de sanctions de son choix.

Régulateurs et auditeurs

Chaque alerte et chaque décision enregistre la version de règle, les données et les paramètres utilisés, de sorte qu’une institution peut montrer à un régulateur exactement pourquoi une transaction a été signalée ou non. Un rôle d’auditeur donne un accès en lecture seule aux alertes, aux dossiers, aux règles et au journal d’audit.

Nous répondons sans détour aux questionnaires de sécurité et de protection des données, et nous ne revendiquons pas de certifications que nous ne détenons pas. Les régulateurs et les institutions qui ont des questions sur cette page sont invités à nous écrire.

Contact

Spalce Technologies Ltd, Princess Road, Omanjor, Accra, Ghana. E-mail : [email protected]. Téléphone : +233 55 811 4862.