1. La Double Responsabilité de TIRIA : Responsable de Traitement et Sous-Traitant Industriel
Pour un éditeur de solutions logicielles industrielles intervenant directement au cœur des usines de production, la conformité au RGPD implique une distinction juridique fondamentale entre deux statuts d'intervention :
Statut 1 : TIRIA en qualité de Responsable de Traitement
Lorsque TIRIA collecte et traite les coordonnées professionnelles de ses clients, prospects, partenaires et utilisateurs de son portail web pour ses besoins propres de gestion contractuelle, comptable et commerciale.
Statut 2 : TIRIA en qualité de Sous-Traitant (Article 28 du RGPD)
Lors du déploiement, de l'intégration (automates, PLC, capteurs, ERP SAP/Sage) et de la maintenance de ses logiciels d'ateliers (MMI V3, TRACEO, KORTEX, PAC, GESCOM), nos outils traitent des données opérationnelles d'ateliers (badges opérateurs, pointages d'équipes, déclarations de production, horodatage d'ordres de fabrication, signatures qualité).
Dans ce cadre, le client industriel demeure le seul et unique Responsable du Traitement. TIRIA agit strictement en qualité de Sous-Traitant technique opérant sous les instructions documentées de son client.
2. Engagements Contractuels de Sous-Traitance (Data Processing Agreement - DPA)
TIRIA fournit à l'ensemble de ses clients industriels un accord formalisé de traitement des données (DPA) annexé aux contrats de licence et de maintenance, respectant rigoureusement les stipulations de l'article 28 du RGPD :
- Exécution exclusive sur instructions documentées : TIRIA ne traite les données de production et les données nominatives associées qu'aux seules fins de l'exécution du contrat et conformément aux instructions écrites de l'industriel.
- Engagement absolu de confidentialité : l'ensemble des équipes d'ingénieurs, développeurs et consultants TIRIA intervenant en atelier ou en télémaintenance sont soumis à des accords de confidentialité stricts et renforcés.
- Assistance aux Analyses d'Impact (AIPD / DPIA) : nos experts accompagnent les DPO et Responsables de Sécurité (RSSI) de nos clients pour évaluer les risques relatifs aux données de traçabilité d'ateliers.
- Restitution et destruction certifiée : au terme du contrat de maintenance ou de service, TIRIA procède, au choix du client, à la restitution intégrale ou à la destruction sécurisée et certifiée de toutes les données et sauvegardes résiduelles.
3. Conception Progicielle : "Privacy by Design" & "Privacy by Default" en Atelier
Nos progiciels industriels (MMI V3, KORTEX, TRACEO, PAC) intègrent la protection des données et le secret industriel dès leur phase de conception logicielle :
- Contrôle d'accès granulaire basé sur les rôles (RBAC) : étanchéité totale des accès selon les profils (opérateurs de ligne, chefs d'équipes, qualiticiens, maintenance, direction d'usine). Les terminaux d'ateliers n'affichent que les données strictement indispensables au poste de travail.
- Journalisation infalsifiable & Audit Trail sécurisé : enregistrement horodaté des événements critiques de fabrication nécessaire aux normes agroalimentaires (IFS, BRC) et pharmaceutiques, sans conserver d'informations nominatives superflues.
- Purge et rétention automatique paramétrables : nos logiciels permettent aux administrateurs clients de programmer des règles de purge automatique des pointages horaires et des données d'équipes conformément aux accords d'entreprise et aux durées maximales autorisées par le droit du travail.
- Anonymisation et pseudonymisation à la source : capacité d'exporter des indicateurs de performance machine (TRS/OEE, cadence, rebuts) vers des outils de Business Intelligence sans exporter de données nominatives d'opérateurs.
4. Sécurité Industrielle, Protection du Secret des Affaires & Résilience Usine
Dans les filières agroalimentaires, chimiques et manufacturières de nos clients, les données d'exploitation recouvrent également des secrets de fabrication hautement sensibles (recettes de fabrication, nomenclatures matières, vitesses de lignes, seuils de tolérance qualité).
TIRIA garantit un niveau de sécurité industriel équivalent aux exigences de la directive européenne NIS 2 et des recommandations de l'ANSSI :
- Isolation étanche des environnements : instances progicielles dédiées On-Premise ou Cloud privé souverain en France, avec cloisonnement logique et physique des bases de données de production.
- Chiffrement des protocoles industriels : interconnexion sécurisée des automates et bus de terrain via protocoles industriels durcis (OPC-UA sécurisé avec certificats X.509, MQTT chiffré sur TLS, WebSockets chiffrés).
- Résilience en mode déconnecté (Edge Computing) : continuité de fonctionnement locale des postes opérateurs d'ateliers en cas de défaillance du réseau externe, sans perte de données grâce à des files de synchronisation locales transactionnelles chiffrées.
5. Procédure de Gestion des Incidents de Sécurité & Notification CNIL (Articles 33 & 34)
TIRIA a instauré une procédure opérationnelle interne documentée pour la gestion des incidents de cybersécurité et des violations de données :
- Détection & Confinement immédiat : alerte automatique via nos sondes de surveillance, isolement des segments réseau concernés et engagement de mesures de remédiation immédiates.
- Notification à l'autorité de contrôle (CNIL) sous 72 heures : dès lors qu'une violation présente un risque pour les droits et libertés des personnes, TIRIA notifie formellement l'incident à la CNIL dans le délai légal maximum de 72 heures après en avoir pris connaissance (Article 33 du RGPD).
- Information immédiate du client industriel : lorsque TIRIA agit en qualité de sous-traitant technique, le Responsable de Traitement client est prévenu sans délai injustifié avec transmission d'un rapport d'incident complet (nature de l'incident, catégories de données impactées, mesures correctives déployées).
6. Coopération aux Audits RSSI & Contact Délégué à la Protection des Données
TIRIA coopère de manière proactive avec les Directions des Systèmes d'Information (DSI), les Responsables de Sécurité des Systèmes d'Information (RSSI) et les Délégués à la Protection des Données (DPO) de ses clients industriels.
Nous mettons à disposition de nos partenaires et clients des dossiers d'architecture technique (DAT), des matrices de flux, des plans d'assurance sécurité (PAS) et répondons à l'ensemble des questionnaires de conformité des tiers.
Pour toute demande relative à la conformité RGPD industrielle, aux accords DPA ou pour organiser un audit de sécurité de nos progiciels :
Contact DPO & Conformité Industrielle :
Courriel : dpo@tiria.fr ou support@tiria.fr
Téléphone : 05 62 66 28 06
Adresse : TIRIA SARL — Pôle Conformité RGPD — 36 avenue Charles de Gaulle, 32600 L’Isle-Jourdain, France.
