Odoo contient beaucoup de renseignements personnels : clients, employés, fournisseurs, parfois la paie. Pour une entreprise québécoise, la Loi 25 rend une question incontournable : où ces données sont-elles hébergées, et qui peut y accéder? Cet article explique quoi vérifier. Ce n'est pas un avis juridique; votre responsable de la protection des renseignements personnels ou votre avocat a le dernier mot.
Ce que la Loi 25 exige pour l'hébergement
Depuis septembre 2023, avant de communiquer des renseignements personnels à l'extérieur du Québec, y compris lorsqu'ils sont hébergés sur des serveurs hors de la province, une entreprise doit réaliser une évaluation des facteurs relatifs à la vie privée. L'évaluation tient compte de la sensibilité des renseignements, de la finalité de leur utilisation, des mesures de protection en place (y compris contractuelles) et du régime juridique applicable là où ils vont. Les renseignements ne peuvent y aller que s'ils bénéficient d'une protection adéquate.
Où Odoo garde vos données
« Notre Odoo est au Canada » n'est souvent vrai qu'à moitié. Posez la question pour chaque élément :
- la base de données (enregistrements, clients, employés);
- le stockage de fichiers (pièces jointes, documents signés, images);
- les sauvegardes, et l'endroit où les copies sont gardées;
- les journaux et les données de surveillance;
- les copies de test de la production, et qui les utilise.
Choisir la région sur AWS
AWS compte deux régions canadiennes : Canada (Centre) à Montréal et Canada Ouest à Calgary. Dans votre propre compte AWS, vous choisissez la région, et la base de données, les fichiers et les sauvegardes y restent. Montréal garde l'hébergement au Québec; Calgary le garde au Canada.
AWS est une entreprise américaine : ce que cela veut dire
Héberger au Canada ne change pas qui est AWS. Ce que vous pouvez contrôler, c'est le reste : des données chiffrées au repos et en transit, un compte au nom de votre entreprise, des accès que vous accordez et pouvez retirer, et des journaux d'accès qui vous appartiennent.
Pourquoi votre propre compte compte
Avec un hébergement partagé, le fournisseur possède le compte, les sauvegardes et les journaux. Avec votre propre compte, vous décidez qui entre, vous voyez qui a fait quoi, et vous pouvez retirer l'accès de votre fournisseur en tout temps pendant que tout continue de fonctionner. Votre évaluation des facteurs relatifs à la vie privée est alors plus simple à documenter.
Les questions à poser à tout hébergeur Odoo
- Dans quelle région la base de données, les fichiers et les sauvegardes sont-ils stockés?
- À qui appartient le compte où ils se trouvent?
- Qui peut accéder à la production, et comment cet accès est-il journalisé?
- Les données sont-elles chiffrées, et qui détient les clés?
- Si nous partons, qu'emportons-nous, et en combien de temps?
Parlons-en
Un appel découverte gratuit est un bon moment pour faire le point sur l’endroit où vivent vos données Odoo aujourd’hui. Plus de détails sur le service : hébergement Odoo souverain sur AWS.