Awardco Sécurité et conformité

La conservation et la suppression des données sont régies par l'entente applicable, la documentation sur la confidentialité, la configuration du produit, les exigences légales, les sauvegardes ainsi que toute obligation de transition ou de soutien.

Avant de signer ou de résilier une entente, les clients doivent confirmer la période de conservation, le processus de suppression, les options d'exportation, le traitement des sauvegardes, les sous-traitants, l'accès des employés après la résiliation et les responsabilités des parties quant à l'exécution des demandes de suppression. Ne promettez pas une suppression immédiate ou universelle sans avoir confirmé le processus contractuel et technique applicable.

Une évaluation type peut inclure le questionnaire de sécurité du client, les documents du centre de confiance d’Awardco, la documentation SOC ou ISO pertinente, les conditions relatives à la confidentialité et au traitement des données, les informations sur les sous-traitants, l’architecture technique, les détails d’intégration, les contrôles d’accès, les renseignements sur la continuité des activités et les clauses contractuelles.

Awardco peut collaborer avec les équipes responsables de l’approvisionnement, des affaires juridiques, des TI, de la sécurité de l’information, de la confidentialité et des activités du client pour répondre aux questions et identifier la documentation appropriée. Il est important d’amorcer l’évaluation rapidement lorsque le client exige un questionnaire, une entente de confidentialité, un rapport détaillé, une évaluation de la résidence des données ou des modifications contractuelles.

Le résultat de l’évaluation dépend du cadre de gestion des risques et du processus d’approbation propres au client. La documentation d’Awardco peut appuyer l’évaluation, mais ne remplace pas l’approbation requise par le client.

Awardco peut faire appel à des fournisseurs tiers pour assurer l'hébergement, les communications, l'imagerie, les paiements, les intégrations, les récompenses ou d'autres services de la plateforme. Les clients peuvent demander la liste actuelle des sous-traitants, les rôles des fournisseurs, la documentation sur la sécurité, les flux de données et les protections contractuelles applicables.

Awardco a décrit un processus pour examiner les documents de sécurité et de conformité des sous-traitants et pour évaluer les exceptions ou les non-conformités dans le cadre de son processus de gestion des risques. La liste actuelle des sous-traitants, la fréquence des examens, le processus de notification et les droits des clients doivent être confirmés dans le centre de confiance et l'entente applicables.

Lorsqu'un fournisseur de paiement ou de place de marché traite des informations relatives aux cartes de paiement ou aux échanges, les parties doivent confirmer quel fournisseur reçoit ces informations, ce qu'Awardco stocke ou non, et quelle documentation de conformité du fournisseur s'applique à cette partie de la transaction.

Awardco fournit des renseignements sur la confidentialité et la protection des données pour aider ses clients à évaluer leurs obligations, notamment en vertu du RGPD, de la CCPA et d'autres lois applicables. Selon la nature de la relation et des flux de données, la documentation client peut traiter des modalités de traitement, des sous-traitants, des transferts internationaux, des demandes des personnes concernées, de la conservation, des mesures de sécurité ainsi que des responsabilités en cas de brèche ou d'incident.

Les clients internationaux doivent confirmer les lieux de traitement, les mécanismes de transfert, les options de résidence des données, la configuration régionale, les exigences en matière d'avis aux employés et le partage des responsabilités entre le client et le fournisseur pour chaque cas d'utilisation. Awardco ne doit pas être présentée comme garantissant la conformité d'un client simplement parce que la plateforme offre des contrôles de confidentialité ou dispose de la documentation pertinente.

Il incombe au client de déterminer quelles lois s'appliquent, de choisir une configuration appropriée, de fournir les avis requis, de documenter ses bases juridiques et d'obtenir des conseils juridiques internes ou externes au besoin.

Les intégrations Awardco peuvent utiliser des API prises en charge, des connexions Web sécurisées, le transfert de fichiers géré ou SFTP, des connexions de fournisseurs d'identité ou d'autres méthodes configurées. La méthode appropriée dépend du système, du flux de données, des champs, de la fréquence et des exigences du client.

Les équipes de mise en œuvre peuvent coordonner le formatage des fichiers utilisateur, la liste d'autorisation, les identifiants, le chiffrement, les certificats, les comptes de service, les autorisations et les tests. Lorsqu'un client utilise le transfert de fichiers chiffrés, les parties doivent confirmer le format de fichier, la méthode de chiffrement, l'échange de clés, l'emplacement de livraison, la surveillance, la gestion des erreurs et le processus de dépannage.

Les clients ne doivent pas présumer que chaque intégration utilise le même protocole ou les mêmes contrôles de sécurité. Confirmez l'architecture de connexion exacte et les responsabilités pour chaque flux de données avant la mise en production.

Awardco prend en charge des flux de travail d'identité et d'accès configurés pouvant inclure l'authentification unique (SSO) basée sur SAML, la connexion standard, l'authentification multifacteur ou d'autres méthodes de vérification, ainsi que des autorisations administratives basées sur les rôles.

Les organisations peuvent collaborer avec leurs équipes TI ou de gestion des identités pour configurer la méthode de connexion, les identifiants utilisateur, les domaines, les certificats ou métadonnées, les politiques d'accès et les rôles d'administrateur appropriés. La configuration du client détermine si la connexion standard est disponible, si le SSO est requis, quels utilisateurs peuvent accéder à la plateforme et ce que chaque administrateur peut voir ou modifier.

L'accès doit respecter les principes du moindre privilège. Les clients doivent définir qui peut administrer les programmes, gérer les budgets, consulter les données des employés, accéder aux rapports, configurer les intégrations, approuver les récompenses et répondre aux demandes de sécurité ou de confidentialité.

Les données requises dépendent des programmes, des intégrations et des flux de travail activés par le client. Les organisations peuvent généralement collaborer avec Awardco pour déterminer les champs nécessaires à l'admissibilité, au provisionnement des utilisateurs, aux relations organisationnelles, à l'authentification, aux récompenses, aux rapports, aux communications ou à toute autre fin configurée.

Les organisations devraient appliquer le principe de minimisation des données : ne fournir que les champs requis pour le flux de travail prévu, éviter d'envoyer des renseignements sensibles inutiles et confirmer la façon dont les champs sont mappés, stockés, utilisés et supprimés. Une intégration ne nécessite pas automatiquement tous les champs disponibles dans le système source.

Il incombe aux clients de confirmer que les données sélectionnées, les finalités, les avis, les autorisations et les communications aux employés respectent leurs propres exigences juridiques, de confidentialité et de politiques internes.

Awardco décrit les mesures de protection des données lors de leur transmission et de leur stockage. Les discussions sur la sécurité ont fait référence au chiffrement en transit et au repos, notamment aux contrôles TLS et AES-256, mais les protocoles, algorithmes, pratiques de gestion des clés, systèmes et exceptions exacts doivent être confirmés dans la documentation technique actuelle.

Le chiffrement n'est qu'un élément d'un programme de sécurité plus vaste. Les clients devraient également évaluer les contrôles d'identité, l'accès au moindre privilège, la séparation des environnements, la surveillance, la gestion des vulnérabilités, la réponse aux incidents, les sauvegardes et les pratiques de récupération dans le cadre de leur évaluation.

Awardco ne devrait pas être décrite comme offrant un chiffrement de bout en bout pour chaque flux de travail, à moins que la documentation technique applicable ne vienne expressément appuyer cette affirmation.

Oui. Les documents de sécurité d’Awardco ont historiquement inclus des rapports SOC 2 de type II et des documents liés à la norme ISO 27001, ainsi que des renseignements sur la confidentialité et la réglementation pertinents pour les clients internationaux. La certification, l’attestation, la période de rapport, la portée, l’organisme émetteur et les services couverts doivent être confirmés dans le Centre de confiance actuel plutôt que déduits d’une déclaration de sécurité générale.

Une certification ou une attestation décrit un environnement de contrôle ou une portée définie. Cela ne signifie pas automatiquement que chaque configuration client, intégration, fournisseur de marché, processus employé ou obligation légale est couvert de la même manière. Les clients doivent examiner le rapport applicable et l’évaluer en fonction de leurs propres exigences.

Awardco fournit des renseignements sur la sécurité et la conformité par l’entremise de son Centre de confiance et de la documentation client connexe. Selon la demande et le document, cela peut inclure des attestations ou certifications, des politiques de sécurité, des documents sur la confidentialité, des renseignements sur les sous-traitants, des mesures de protection techniques, des détails sur la continuité des activités et des réponses aux questionnaires de sécurité.

Certains documents peuvent être accessibles directement, tandis que des rapports plus détaillés ou de la documentation de sécurité sensible peuvent nécessiter une demande, une approbation ou un accord de non-divulgation. Les clients doivent utiliser le Centre de confiance et les documents contractuels actuels comme source de référence pour le rapport, la certification, la date, la portée et l’environnement de contrôle applicables.