Sécurité et conformité — engagements DIALOG
DIALOG, éditeur et opérateur de la plateforme Memberz pour le compte de collectivités, d'opérateurs publics et de structures associatives, structure son dispositif de sécurité et de conformité autour de quatre axes : protection des données à caractère personnel (RGPD), sécurité des systèmes d'information (norme ISO/IEC 27001:2022, recommandations ANSSI), continuité d'activité et usage maîtrisé de l'intelligence artificielle (AI Act, art. 4 et 5). Le corpus documentaire qui formalise ces engagements compte plus d'une centaine de documents, organisés selon une typologie stable (politiques, référentiels, procédures, plans, modèles, guides) et tenus à jour selon un cycle annuel de revue.
Cette page constitue un point d'entrée externe : elle s'adresse aux clients, prospects, donneurs d'ordres publics, partenaires et auditeurs qui souhaitent prendre la mesure du dispositif sans rentrer dans le détail opérationnel. Les politiques cadres référencées sont publiquement accessibles ; les documents opérationnels (procédures, plans, référentiels techniques) sont transmis sur demande motivée dans le cadre d'une relation contractuelle ou pré-contractuelle.
1. Notre engagement, en deux phrases
DIALOG conçoit, opère et fait évoluer des plateformes de gestion de dispositifs d'aide et d'animation territoriale qui manipulent, le plus souvent en qualité de sous-traitant au sens de l'article 28 du RGPD, des données à caractère personnel relevant de la sphère d'action publique. Nous engageons en conséquence un dispositif proportionné aux enjeux des responsables de traitement avec lesquels nous contractons : un cadre normatif explicite, un appareil documentaire traçable, une gouvernance interne identifiée et une démarche d'amélioration continue outillée.
2. Cadre normatif et référentiels mobilisés
Le dispositif s'appuie sur les corpus réglementaires et normatifs suivants, dont la mobilisation est explicitée document par document dans le corpus interne.
2.1. Protection des données à caractère personnel
- Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), y compris les articles structurants pour notre activité : article 5 (principes), article 22 (décisions individuelles automatisées), article 28 (sous-traitance), article 32 (sécurité), articles 33-34 (violations de données), articles 44 à 49 (transferts hors Union européenne) ;
- Loi n° 78-17 du 6 janvier 1978 modifiée dite « Informatique et Libertés » ;
- Lignes directrices et recommandations de la CNIL, en particulier sur la sous-traitance, les durées de conservation, les analyses d'impact et les transferts.
2.2. Sécurité des systèmes d'information
- Norme ISO/IEC 27001:2022, mobilisée comme cadre de structuration du système de management de la sécurité de l'information. Une matrice interne de correspondance trace, mesure par mesure (93 mesures de l'Annexe A), la couverture documentaire et opérationnelle au sein du corpus DIALOG ;
- Recommandations et guides de l'ANSSI, en particulier le Guide d'hygiène informatique (42 mesures), dont la couverture interne est tenue ;
- Référentiel Général de Sécurité (RGS) et exigences applicables aux projets conduits pour le compte d'acteurs publics.
2.3. Intelligence artificielle
- Règlement (UE) 2024/1689 dit AI Act, en particulier :
- article 4 — littératie en matière d'IA des collaborateurs (en application depuis février 2025) ;
- article 5 — pratiques interdites (en application depuis février 2025) ;
- article 6 et annexe III — systèmes à haut risque (en application à partir d'août 2026), notamment l'annexe III §4 relative à l'emploi et à la gestion des travailleurs ;
- la norme ISO/IEC 42001:2023 est mobilisée comme cadre de référence structurant pour le pilotage de l'IA, sans visée certifiante à ce stade.
2.4. Continuité d'activité, exploitation et gouvernance
- Bonnes pratiques de continuité d'activité (analyse d'impact, scénarios de reprise, tests périodiques) appliquées à la plateforme Memberz et aux services associés ;
- Cadre légal général : Code du travail, Code des marchés publics (pour les obligations applicables à la commande publique), Code de la propriété intellectuelle et secret des correspondances.
2.5. Posture vis-à-vis de la certification
À la date de publication de la présente synthèse, DIALOG ne sollicite pas de certification ISO/IEC 27001 : la norme est mobilisée comme cadre de structuration et la couverture documentaire est tenue dans une matrice interne. Cette posture pourra évoluer en fonction des attentes des clients et des autorités. Nous estimons préférable d'investir en priorité dans la maturité réelle du dispositif plutôt que dans la délivrance d'un certificat sans alignement opérationnel complet.
3. Architecture documentaire
Le corpus DIALOG suit une typologie stable définie par notre politique de gouvernance documentaire. Chaque document a un rôle identifié et une articulation explicite avec les autres documents du corpus, ce qui limite les redondances et facilite la maintenance comme les audits.
| Type | Rôle | Exemples de domaines couverts |
|---|---|---|
| Politiques | Cadre normatif et engagements de la Direction | Sécurité, RGPD, gouvernance documentaire, sécurité RH, classification, cryptographie, rétention, gestion des fournisseurs, usage IA, gouvernance des projets |
| Référentiels | Règles, doctrines et matrices techniques ou normatives | Classification, cryptographie, rétention, exigences RGS/ANSSI/ISO 27001, mesures techniques et organisationnelles, architecture sécurisée, dossier d'architecture Memberz, correspondance ISO 27001 / ANSSI, règlement intérieur |
| Procédures | Modes opératoires applicables au quotidien | Gestion des habilitations, des incidents, des vulnérabilités ; gestion des droits, des violations, des sous-traitants, des transferts hors UE, privacy by design, AIPD ; onboarding, offboarding, prestataires ; mise en production, exploitation, sauvegardes, supervision |
| Plans | Engagements pluriannuels ou contractuels | Plan d'Assurance Sécurité (PAS), Plan de Maintien en Condition de Sécurité (PMCS), Plan d'Assurance Qualité (PAQ), Plan de Reprise d'Activité (PRA), Plan d'Assurance Production / Gestion de Projet, Plan de Réversibilité |
| Modèles | Supports types réutilisables | Compte rendu d'incident, accord de traitement des données (DPA), clauses de sécurité RGPD, clauses de sous-traitance, AIPD, registre de violations, certificats de destruction, engagements collaborateurs |
| Guides et notices | Pédagogie et instructions d'exécution | Code de la Route Cyber (CDRC), guides bureautiques transverses, notices d'importation de données |
L'arborescence complète et l'inventaire détaillé sont tenus dans un sommaire du corpus interne, transmis sur demande motivée.
4. Gouvernance interne
La gouvernance de la sécurité et de la conformité repose sur une répartition explicite des rôles, dont les modalités précises sont fixées par les politiques cadres.
- Direction de DIALOG : porte la responsabilité globale, fixe les orientations stratégiques, valide les politiques, arbitre les décisions structurantes (acceptation de risques résiduels, qualification de nouveaux outils, dérogations exceptionnelles) ;
- Responsable de la sécurité des systèmes d'information (RSSI) : coordonne la mise en œuvre de la politique de sécurité, instruit les dossiers techniques, accompagne les projets, pilote la gestion des incidents de sécurité ;
- Délégué à la protection des données (DPO) : pilote la conformité RGPD, instruit les analyses d'impact et les contrôles des autorités, encadre les relations avec les responsables de traitement clients ;
- Équipes opérationnelles (développement, exploitation, projets, support, commerce, RH, administratif et financier) : appliquent les exigences dans leurs activités quotidiennes ;
- Instances de pilotage : revues périodiques de conformité, comités de sécurité, comités de pilotage projet, conseil de direction.
Une attention particulière est portée à la séparation des rôles entre développement, exploitation, sécurité et protection des données, ainsi qu'à la traçabilité des décisions dans le corpus documentaire.
5. Doctrine de classification et de diffusion de l'information
DIALOG distingue deux axes complémentaires pour qualifier l'information, formalisés par la politique de classification de l'information :
- la classification qualifie la sensibilité de l'information sur quatre niveaux —
Public,Interne,Confidentiel,Sensible— et détermine le niveau de protection requis (accès, stockage, transmission, journalisation, conservation, destruction) ; - la diffusion qualifie les audiences autorisées sur cinq valeurs —
libre,client,fournisseur,interne,aucune— et détermine quels publics peuvent légitimement recevoir l'information.
Les deux axes sont indépendants et se combinent. Une information peut par exemple être de sensibilité Interne (protection courante) et avoir une diffusion client (transmissible aux clients dans le cadre contractuel), sans pour autant être libre (publiable sur Internet ouvert).
Cette doctrine, déployée à l'ensemble du corpus en 2026, permet de maîtriser ce qui sort de l'organisation : seuls les documents explicitement marqués diffusion: libre apparaissent sur le présent site public ; les autres sont accessibles via un site authentifié réservé aux collaborateurs ou transmis ponctuellement aux clients selon les engagements contractuels.
6. Protection des données à caractère personnel
6.1. Cadre cadre
DIALOG applique l'ensemble des principes de l'article 5 du RGPD — licéité, loyauté, transparence, limitation des finalités, minimisation, exactitude, limitation de la conservation, intégrité et confidentialité, responsabilité. Ces principes s'appliquent selon le rôle effectivement tenu par DIALOG pour chaque traitement (responsable, sous-traitant, co-responsable), explicité dans la politique de protection des données personnelles.
6.2. Posture habituelle de sous-traitant
Pour les plateformes Memberz exploitées pour le compte de clients, DIALOG agit le plus souvent en qualité de sous-traitant au sens de l'article 28 du RGPD. À ce titre, nous mettons à disposition des responsables de traitement :
- des accords de traitement des données (DPA) types alignés sur les clauses-types CNIL et nos engagements de sécurité ;
- des clauses de sécurité RGPD spécifiques et des clauses de sous-traitance intégrables aux marchés et conventions ;
- une procédure d'accompagnement aux analyses d'impact (AIPD) réalisées par les responsables de traitement, avec mise à disposition des éléments de description technique nécessaires.
6.3. Processus structurants
Sont formalisés et appliqués au sein de DIALOG :
- une procédure de gestion des droits des personnes (article 12 à 22 du RGPD) ;
- une procédure de gestion des violations de données (article 33 et 34 du RGPD) associée à un registre dédié ;
- une procédure de gestion des sous-traitants ultérieurs (article 28-2 et 28-4 du RGPD), avec autorisation préalable formalisée auprès des responsables de traitement ;
- une procédure d'encadrement des transferts hors Union européenne (articles 44 à 49 du RGPD) ;
- une procédure de privacy by design, intégrée à la gouvernance des projets ;
- une procédure de gestion des contrôles d'autorités (CNIL, autres autorités compétentes).
6.4. Doctrine sur l'usage de l'IA et les données client
DIALOG n'utilise pas, à la date de publication de la présente synthèse, de système d'IA sur les données traitées pour le compte de ses clients. Toute évolution de cette posture sera précédée d'une information formelle du responsable de traitement concerné et inscrite dans le cadre contractuel (DPA, cahier des charges, avenant). Le cadre complet est défini par notre politique d'usage de l'intelligence artificielle.
7. Sécurité technique
Sans exposer de détails d'architecture qui réduiraient l'effet protecteur de nos mesures, nous pouvons formaliser publiquement les principes suivants. La déclinaison normative complète est portée par notre politique de sécurité des systèmes d'information.
7.1. Principes structurants
- Approche par les risques : les mesures de sécurité sont adaptées aux risques identifiés et aux enjeux associés ;
- Défense en profondeur : combinaison de mesures complémentaires, organisationnelles, techniques et humaines ;
- Moindre privilège et séparation des rôles : accès strictement limités aux missions ;
- Amélioration continue : revues régulières et intégration des retours d'expérience.
7.2. Mesures de protection
- Chiffrement des données au repos dans les bases structurantes (notamment chiffrement transparent au niveau SQL Server) et dans les sauvegardes ;
- Chiffrement des communications par TLS 1.2 / 1.3 et IPsec, exclusion des versions et suites obsolètes ;
- Protection des mots de passe utilisateurs par hachage avec sel individualisé (algorithme Bcrypt par défaut), avec encadrement strict des rares cas de chiffrement réversible ;
- Gestion centralisée des clés et des secrets dans un coffre-fort de référence à l'échelle de l'organisation ;
- Proscription explicite des algorithmes et protocoles obsolètes (DES, 3DES, RC4, MD5, SHA-1, TLS ≤ 1.1, modes ECB) ;
- Pseudonymisation appliquée aux jeux de données utilisés à des fins de test.
7.3. Gestion des accès
- Comptes nominatifs pour toutes les ressources professionnelles ; partage de comptes interdit ;
- Authentification multifacteur (MFA) déployée dès que la plateforme cible la prend en charge ;
- Authentification unique (SSO) via le tenant Entra ID de DIALOG pour les outils interconnectés ;
- Cycle de vie des habilitations géré dans le cadre d'une procédure dédiée, articulée avec l'onboarding et l'offboarding RH ;
- Revues périodiques des droits attribués.
7.4. Surveillance et gestion des événements
- Journalisation des actions significatives sur les systèmes d'information ;
- Supervision et monitoring des composants critiques de la plateforme Memberz ;
- Procédure de gestion des incidents de sécurité intégrée à la gestion des violations RGPD lorsque celles-ci s'appliquent, avec modèle de compte rendu d'incident SSI/RGPD unifié ;
- Procédure de gestion des vulnérabilités : veille, qualification, remédiation, suivi des écarts.
7.5. Sécurité de la chaîne de sous-traitance
Le recours à des fournisseurs et sous-traitants est encadré sur l'ensemble du cycle de vie de la relation (qualification, contractualisation, exploitation, fin) avec des exigences proportionnées au niveau de risque. Une attention particulière est portée aux services cloud et à la chaîne d'approvisionnement TIC, qui constituent les zones de risque les plus saillantes pour un opérateur de plateforme.
8. Continuité et résilience
DIALOG identifie les services critiques nécessitant un niveau de disponibilité renforcé et formalise les engagements de continuité dans les documents suivants :
- un Plan de Reprise d'Activité (PRA) opérationnel, comprenant analyse d'impact, scénarios de bascule, dispositifs techniques et organisationnels, exercices et retours d'expérience ;
- un Plan de Maintien en Condition de Sécurité (PMCS) assurant le maintien dans le temps du niveau de sécurité des systèmes en production ;
- un Plan d'Assurance Sécurité (PAS) précisant les exigences transverses applicables aux services exploités ;
- une procédure de sauvegarde et restauration avec stratégies adaptées aux besoins métier, tests périodiques de restauration et protection des supports ;
- un Plan de Réversibilité type, intégré aux marchés, permettant aux clients de récupérer leurs données et leur environnement en fin de relation.
Les objectifs de reprise précis (RTO, RPO) sont définis service par service et marché par marché, et formalisés dans les engagements contractuels avec les clients concernés.
9. Sensibilisation des collaborateurs : le Code de la Route Cyber
Au-delà du dispositif normatif, la sécurité repose sur la culture des équipes. DIALOG porte un programme interne de sensibilisation et de formation appelé Code de la Route Cyber (CDRC), dont l'architecture s'organise autour de quatre briques complémentaires.
| Brique | Objet | Cadence |
|---|---|---|
| Guides d'appropriation | Auto-formation autonome sur chaque politique structurante (SSI, RGPD, RH, classification, cryptographie, usage IA, etc.) | Continu — référencement dans les parcours d'intégration |
| Masterclasses | Cinq cycles thématiques animés par le RSSI (fondations cyber, vos données, outils, incidents, projets / aspects techniques) | Annuel |
| Plénière annuelle | Consolidation collective des messages clés, retours d'expérience, mises en situation, quiz | Annuel |
| Onboarding et engagements | Présentation du dispositif lors de l'intégration de tout nouveau collaborateur ; signature de l'engagement d'usage des systèmes d'information et de l'engagement de confidentialité | À chaque arrivée |
Le programme intègre l'exigence de littératie en matière d'IA posée par l'article 4 du Règlement (UE) 2024/1689, afin que chaque collaborateur dispose des connaissances utiles pour utiliser l'IA de manière éclairée à son poste.
10. Pour aller plus loin
10.1. Politiques cadres publiquement accessibles
Les documents suivants sont publiés sur le présent site et constituent les engagements normatifs principaux de DIALOG :
- Politique de gouvernance documentaire ;
- Politique de classification de l'information ;
- Politique de sécurité des systèmes d'information (PSSI) ;
- Politique de protection des données personnelles ;
- Politique de gestion des fournisseurs ;
- Politique d'usage de l'intelligence artificielle.
10.2. Documents transmis sur demande dans le cadre d'une relation contractuelle
Sont à votre disposition, sur demande motivée auprès de votre interlocuteur DIALOG ou directement auprès du RSSI ou du DPO :
- les politiques opérationnelles complémentaires (sécurité RH, gouvernance des projets, cryptographie, rétention et archivage, usage acceptable des SI) ;
- les référentiels techniques et matrices de correspondance (classification, cryptographie, rétention, exigences RGS / ANSSI / ISO 27001, mesures techniques et organisationnelles, principes d'architecture sécurisée, dossier d'architecture technique Memberz, correspondance ISO 27001 / ANSSI) ;
- les procédures opérationnelles (gestion des habilitations, des incidents, des vulnérabilités ; gestion des droits, des violations, des sous-traitants, des transferts ; privacy by design, AIPD) ;
- les plans (PAS, PMCS, PAQ, PRA, Plan d'Assurance Production / Gestion de Projet, Plan de Réversibilité) ;
- les modèles contractuels (DPA, clauses de sécurité RGPD, clauses de sous-traitance, modèle d'AIPD, registre de violations, certificats de destruction).
10.3. Vos points de contact
| Sujet | Canal |
|---|---|
| Protection des données à caractère personnel (exercice des droits, transferts, AIPD, sous-traitance, violations) | Délégué à la protection des données (DPO) de DIALOG |
| Sécurité des systèmes d'information (exigences techniques, gestion des incidents, qualification des outils) | Responsable de la sécurité des systèmes d'information (RSSI) de DIALOG |
| Conformité documentaire et accès aux référentiels | Votre interlocuteur commercial habituel ou le RSSI / DPO |
| Tout autre sujet | www.dialog.fr |
La présente synthèse fait l'objet d'une revue annuelle, ainsi que d'une mise à jour chaque fois que nécessaire en cas d'évolution significative du contexte réglementaire, normatif ou organisationnel. Les ajustements substantiels sont signalés dans les patch notes du site.