Déclaration relative à la protection des données – Mesures organisationnelles et techniques
Radius Limited (« Radius ») s’engage à garantir la sécurité et la protection de toutes les données à caractère personnel qu’elle traite, qu’il s’agisse de données appartenant à l’organisation, traitées pour le compte de ses clients ou des utilisateurs de ses services. En appliquant une approche de la protection des données fondée sur les risques, des contrôles organisationnels, procéduraux et techniques efficaces ont été mis en place afin de se conformer à la législation en vigueur et aux principes de protection des données.
Pour garantir cette protection, Radius utilise le référentiel ISO 27001 relatif au système de gestion de la sécurité de l’information (SGSI). Ayant investi massivement dans son infrastructure informatique, Radius détient cette certification depuis 2018 et a obtenu en mars 2024 la certification conforme à la nouvelle norme 2022. Par ailleurs, Radius est également titulaire de la certification Cyber Essentials Plus depuis 2016.
Les informations ci-dessous présentent une description détaillée des mesures de contrôle mises en œuvre par l’organisation.
La présente déclaration a été révisée et mise à jour pour la dernière fois le 16 janvier 2026 – Version 2.0
Les rôles et responsabilités organisationnels sont définis et documentés, avec un responsable exécutif désigné, garantissant l’allocation de ressources appropriées pour s’aligner sur l’orientation stratégique du Groupe. Le SMSI est géré de manière centralisée par une équipe dédiée composée de professionnels de la conformité, de l’audit interne, de la sécurité de l’information et de la cybersécurité.
Les risques liés à la sécurité de l’information sont recensés dans le cadre d’un dispositif de gestion des risques fondé sur le périmètre et les critères définis par le SMSI. Des objectifs internes sont fixés et suivis régulièrement en collaboration avec les principales parties prenantes.
Une politique globale de sécurité de l’information est en place, accompagnée d’une déclaration de la direction. Les politiques principales sont obligatoires pour l’ensemble du personnel, tandis qu’un ensemble de politiques secondaires est classé en fonction de leur pertinence pour certains domaines de l’activité, par exemple le développement de logiciels informatiques. L’ensemble du personnel peut y accéder sur notre intranet et une formation est dispensée chaque année via notre système de gestion de la formation.
Toutes les informations sont traitées conformément aux directives de classification des données du Groupe, avec des contrôles appropriés attribués aux données confidentielles, privées et publiques. Un inventaire des actifs et des systèmes est en place, la responsabilité étant attribuée à la direction concernée.
Une politique et une procédure de signalement des incidents sont également en place, avec un mécanisme simple permettant au personnel de signaler des événements ou des incidents. Les incidents sont consignés et traités par les équipes internes chargées de la sécurité de l’information et de la cybersécurité. Une procédure de signalement des violations est documentée et intégrée au plan de continuité des activités de l’organisation. Les plans sont revus et testés régulièrement (au moins une fois par an). Les enseignements tirés sont documentés et diffusés à tous les niveaux.
Des évaluations des risques de sécurité sont menées pour les fournisseurs en fonction de leurs interactions avec les systèmes et les données de Radius. Les contrats, accords et accords de confidentialité (NDA) sont mis en œuvre conformément à une politique officielle de gestion des fournisseurs.
Toutes les législations et exigences réglementaires pertinentes ont été identifiées et examinées, et font l’objet d’une veille permanente. Un délégué à la protection des données a été désigné pour garantir la conformité avec la législation sur la protection des données applicable à Radius dans les juridictions où l’entreprise exerce ses activités. Des analyses d’impact sont menées pour tout changement majeur apporté aux activités de traitement afin de garantir une conformité continue.
Tous les employés font l’objet d’une vérification de leurs antécédents conformément aux niveaux de risque acceptés, des vérifications DBS supplémentaires étant effectuées pour les cadres supérieurs et les personnes travaillant dans des zones réglementées. Les responsabilités et les conditions générales en matière de confidentialité sont communiquées et signées par le personnel dans les contrats de travail, avec des dispositions s’appliquant après la résiliation du contrat.
Une procédure formelle relative à l’arrivée, au changement de poste et au départ des collaborateurs est en place pour définir les critères d’intégration et de départ, les mesures disciplinaires étant clairement énoncées pour les employés ne respectant pas les politiques de sécurité de l’information.
La formation à la sécurité de l’information est obligatoire et dispensée à l’ensemble du personnel au moins une fois par an via le système de gestion de la formation du Groupe. Des formations supplémentaires seront organisées à la suite d’événements, de retours d’expérience ou de modifications législatives.
Des évaluations des risques sont menées pour tous les sites de Radius conformément aux principes des meilleures pratiques en matière de sécurité physique, et de nombreux contrôles sont mis en œuvre, tels que des cartes d’accès, des caméras de vidéosurveillance et de reconnaissance automatique des plaques d’immatriculation (ANPR), ainsi que des alarmes de sécurité. L’accès aux zones sécurisées est accordé en fonction des besoins et doit être approuvé et revu par les responsables de service. Des contrôles réguliers visant à vider les bureaux sont effectués dans les locaux.
Les centres de données tiers sont hébergés selon des exigences strictes en matière de sécurité physique, et font l’objet d’un audit annuel.
Une maintenance régulière des équipements et des services publics est assurée, et les équipements en fin de vie sont enregistrés et éliminés conformément à la réglementation DEEE (ou à son équivalent hors du Royaume-Uni) et à notre politique environnementale.
Géré par ses équipes internes chargées des opérations informatiques, de la cybersécurité et de l’infrastructure, Radius utilise des technologies de pointe pour identifier, surveiller et atténuer les menaces potentielles au sein de son réseau sécurisé et de ses environnements serveurs, par exemple via des solutions NDR et EDR, avec une protection des terminaux mise en place sur l’ensemble des actifs. Les clés de cryptographie sont gérées de manière centralisée et conformément aux meilleures pratiques.
Tous les utilisateurs se voient attribuer des comptes standard comprenant un identifiant unique, un mot de passe et le principe du «privilège minimal». Des privilèges élevés et la séparation des tâches s’appliquent à l’accès des administrateurs. L’accès ne peut être accordé qu’au moyen de tickets de service internes accompagnés des autorisations requises. L’authentification multifactorielle (MFA) est utilisée dans l’ensemble du groupe et l’authentification unique (SSO) est de plus en plus adoptée. Les droits d’accès sont régulièrement revus afin de garantir le respect du principe du «besoin d’en connaître».
Des revues régulières de la gestion des capacités sont menées, avec des alertes automatisées mises en place pour déterminer quand la capacité atteint sa limite. Des sauvegardes sont en place et sont régulièrement testées pour s’assurer qu’elles fonctionneraient dans une situation « réelle ». Les journaux sont conservés pendant 12 mois.
Une ségrégation du réseau est mise en œuvre à l’échelle de l’ensemble du parc informatique, avec de nombreux mécanismes de sécurité visant à détecter et à empêcher l’accès aux systèmes d’information, tels que des pare-feu et des zones démilitarisées (DMZ). Une surveillance du réseau via des solutions NDR et EDR est également en place.
Une assurance par un tiers est obtenue grâce à des tests d’intrusion indépendants réguliers, et des évaluations de vulnérabilité des applications exposées vers l’extérieur sont effectuées régulièrement. Des audits de certification annuels sont également réalisés pour les normes ISO 27001 et Cyber Essentials.
La sécurité de l’information est intégrée aux principes de « sécurité dès la conception » pour le développement de logiciels informatiques, et des analyses d’impact sur la protection des données (AIPD) sont réalisées pour toutes les modifications obligatoires. Des politiques et des processus sécurisés relatifs au cycle de vie du développement logiciel (SDLC) sont en place, et des revues de code sont effectuées. Les tests sont réalisés par une équipe de test interne. Une procédure de gestion et de mise en œuvre des changements est alignée sur les principes de l’ITIL v4, et une réunion hebdomadaire du comité consultatif des changements a lieu pour examiner et approuver les changements prévus.