BP X Référentiel de bonnes pratiques. Qualité des services Internet. Normalisation française

Transcription

1 Normalisation française BP X Référentiel de bonnes pratiques Qualité des services Internet Sites de commerce et échange de services en ligne sur Internet (e-business) Spécifications des critères et évaluation de la qualité des services offerts Correspondance A la date d édition du présent document, des travaux européens ont été entrepris dans le cadre du WS QoIS 1 et du WS e-trustpar le Comité Européen de Normalisation - Information Society Standardization System (CEN/ISSS). Analyse Le présent document vise à établir un système d évaluation de la qualité du service offert par les prestataires de sites Internet d e-business. Le présent document définit des critères de qualité du service offert par les prestataires et offre un outil d évaluation permettant aux acteurs de mesurer la qualité de leur offre par rapport à une référence commune reconnue. 1 WorkShop Quality of Internet service. BP X V0.4.doc Page 1 sur 20

2 SOMMAIRE SOMMAIRE INTRODUCTION OBJET DOMAINE D APPLICATION GÉNERALITÉS Couple produit-service Qualité de service Structure DÉFINITIONS RÉFÉRENCES AUX TEXTES Références normatives Références législatives MODÈLE QUALITÉ Amélioration continue du système de management de la qualité Amélioration continue Système de management de la qualité Surveillance et analyse Mesure de la performance Amélioration Formation du personnel Rappel CRITÈRES DE QUALITÉ Pratique des échanges Informations sur le prestataire Caractéristiques de l offre Conditions générales de vente Identification Tarifs Représentation Limitation de l usage...11 BP X V0.4.doc Page 2 sur 20

3 7.2.6 Limitation géographique Livraison et délai Traitement de la commande Contractualisation Conditions de paiement Conditions de garantie Conditions de retour Conditions de remboursement Conditions de livraison Assistance Configuration requise Données à caractère personnel Principe de finalité Principe de nécessité Principe de loyauté Droit d accès, de rectification et d opposition Droit à l oubli Usage de formulaire électronique Collecte automatisée Sécurité Actions malveillantes Accès au service Arrêt du service : Maintenance Indisponibilité planifiée Intégrité des échanges Archivage Sécurité des paiements Accessibilité Qualité de service Disponibilité Mesure de disponibilité ÉVALUATION MISE À JOUR BP X V0.4.doc Page 3 sur 20

4 0 INTRODUCTION Le développement des échanges électroniques sur l Internet (e-business) dans leur ensemble suppose que la confiance s établisse entre les différents acteurs : le client, le prestataire qui offre un service, mais également entre tous les acteurs concernés par la chaîne de services susceptibles de garantir la réalité des échanges et des flux financiers associés. Plusieurs dispositifs de marquage de sites Internet sont apparus en France comme dans d autres pays avec, en perspective, une même finalité : rassurer le consommateur qui achète au moyen d un site Internet. Ces dispositifs présentent à la fois des similitudes comme des différences dont la perception et la compréhension ne sont pas toujours aisées. Le périmètre de la prestation de service couverte par ces référentiels varie suivant ces dispositifs : certains mettent l accent sur la protection des données personnelles du consommateur, d autres sur la sécurité des transactions, quelques uns y ajoutent des critères relatifs à la conception du site. La finalité du référentiel de qualité de service concernant les sites d e-business est de contribuer à la confiance des différents acteurs du marché ; de définir une référence commune, élaborée et reconnue par les professionnels ; de disposer d un véritable étalon de mesure ; de favoriser le développement du commerce électronique en France. Le présent document vise à répondre à ce besoin, en établissant un outil d évaluation de la qualité du service offert par les fournisseurs d accès à l Internet pour donner à l utilisateur les moyens d évaluer de manière raisonnablement simple la qualité du service offert, contribuant ainsi à l amélioration du positionnement économique prix/performance. 1 OBJET Il définit des critères de qualité du service offert par les prestataires et offre un outil d évaluation permettant aux différents acteurs de mesurer la qualité de leur offre par rapport à une référence commune reconnue. Le présent document constitue un instrument :! De référence pour tous les acteurs ;! D analyse et de comparaison de l offre, en particulier pour les entreprises et les consommateurs. Il n est ni un label ni un référentiel de certification, mais peut servir de base à tout acteur voulant satisfaire les critères de qualité qui y sont répertoriés et mesurer sa performance. Les utilisations de ce référentiel pourront être les suivantes - par type d acteurs : Les entreprises! Pour évaluer la qualité de leur processus ;! Pour sélectionner un prestataire ;! Pour valider la mise en conformité du site au niveau des critères de qualité. BP X V0.4.doc Page 4 sur 20

5 Les utilisateurs! Pour évaluer la qualité des offres proposées ;! Pour connaître le niveau de qualité des sites d e-business et estimer la confiance qu ils peuvent en avoir. Les organismes décernant des marques de confiance! Pour référence ou une éventuelle mise à niveau des critères de qualité de tout ou partie de leurs référentiels. 2 DOMAINE D APPLICATION Le présent document s appliquent aux prestataires d une offre de service faite au moyen d un site Internet. Les critères de qualité s applique en correspondance des types suivants : Le tableau ci-après est donné à titre d exemple et nécessite d être mis à jour à la suite de la validation des contributeurs. critères type d échange Informations concernant le professionnel qui offre le service B to C B to E B to B B to A C to C C to B C to A Pratique des échanges!!!!!!! Commande et paiement!!!! Service près vente!!! Collecte des données personnelles Données personnelles B to C «Business to Customer» : sites s adressant au grand public telle que l offre d achat de biens culturels. B to E «Business to Entreprise»: sites institutionnels s adressant aux employés d une entreprise tel qu un intranet d entreprise. B to B «Business to Business» : sites s adressant aux entreprises telles que les places de marché virtuelles. B to A «Business to Administration» : sites mettant en relation entreprises et administrations par exemple pour la télé déclaration de TVA (Taxe à la Valeur Ajoutée). C to C «Customer to Customer» : sites mettant en relation des particuliers telle qu une vente aux enchères. C to B «Customer to Business» : sites mettant en relation des particuliers et une entreprise telle qu une offre d achat groupé. C to A «Customer to Administration» : sites mettant en relation particuliers et administrations telle qu en télé déclaration d impôts. BP X V0.4.doc Page 5 sur 20

6 3 GÉNERALITÉS 3.1 Couple produit-service Dans le présent document, le produit est considéré comme le support commode du service, il est toujours appréhendé par les moyens de l homme tel que le toucher ou la vue. C est la part matérielle du couple produit-service. Le service est considéré comme le résultat attendu par l usage du produit, Il est toujours assuré par une fonction 2 telle que «acheminer» ou «disposer de». C est la part immatérielle du couple produit-service. Par exemple la fonction de service «disposer de» est assuré par le produit «document numérique» dans le cas d un service de téléchargement de documents. 3.2 Qualité de service La discipline qu est la Qualité, s assure de l aptitude à satisfaire les besoins du client, exprimés on non 3. Elle est toujours mesurée par ce dernier, qui juge si les besoins ont été complètement satisfaits ou non. Le degré de satisfaction sert de mesure pour évaluer l aptitude d un prestataire à servir la Qualité attendue. Le client juge l aptitude de ses fournisseurs au moyen de la Qualité qu il perçoit. Dans le présent document, le terme «service» concerne le couple produit-service sans distinguer la part propre au produit ou au service. Dans les autres cas, le terme «produit» est utilisé. Expression des attentes Qualité attendue Qualité réalisée Qualité perçue Degré de satisfaction Figure 1 cycle de l évolution de la Qualité vue par le client 3.3 Structure Les bonnes pratiques dont il est question dans ce référentiel visent à observer et évaluer la qualité du service concernant l offre de prestations à l occasion d échanges via le média support qu est le réseau Internet. La structure du document refléte la démarche retenue pour cette observation. Dans ce document, le cycle de vie commence à partir des besoins que peut éprouver l internaute avant de souscrire aux services d un prestataire jusqu au moment où la prestation prend fin entre les deux parties. Vu du coté fournisseur, le cycle peut se résumé ainsi : # Mettre à disposition de l internaute l information relative à l offre ; # Établir les modalités avec lesquelles la prestation est offerte ; # Réaliser les services souscrits ; 2 On parle de fonction de service 3 couramment dénommé «les attentes du client», elle concernent à la fois les besoins exprimés et non exprimés. BP X V0.4.doc Page 6 sur 20

7 # Évaluer la qualité des services réalisés ; # Déterminer et mener les actions d amélioration. 4 DÉFINITIONS Pour les besoins du présent document les définitions suivantes s appliquent : Prestataire : fournisseur d un service. Prestation : dans ce document, contrepartie matérielle ou immatérielle à l offre d un prestataire. Utilisateur : personne faisant l usage des services offerts par le prestataire. Internaute : utilisateur des services d un prestataire via son site. Site : média support de l offre du prestataire utilisant le réseau internet. Client : souscripteur à l offre d un prestataire dont les modalités sont portées par écrit dans les termes d un contrat. e-business : champ dans lequel l offre d un prestataire utilise le média d un site via l infrastructure du réseau web, en vue de l échange de services. Ces services peuvent inclure des produits. 5 RÉFÉRENCES AUX TEXTES 5.1 Références normatives ISO/CEI 17799: Code de pratique pour la gestion de sécurité d'information, ISO/CEI TR : Lignes directrices pour la gestion de sécurité d information - Partie 5 : guide pour la gestion de sécurité du réseau. Faire valider par la Commission de Normalisation Sécurité. 5.2 Références législatives Loi N du 6 janvier 1978 relative à l informatique, aux fichiers et aux libertés (Journal Officiel du 7 janvier 1978), Convention 108 du 28 janvier 1981 du Conseil de l Europe pour la protection des personnes à l égard du traitement automatisé des données à caractère personnel (Journal Officiel du 20 novembre 1985), Directive européenne 95/46/CE du 24 octobre 1995 relative à la protection des personnes physiques à l égard du traitement automatisé des données à caractère personnel et à la libre circulation de ces données (Journal Officiel de la Communauté Européenne du 23 novembre BP X V0.4.doc Page 7 sur 20

8 6 MODÈLE QUALITÉ Le modèle retenu ici s intéresse à la qualité du service réalisé. Les prestataires de service Internet d e-business disposeront ainsi d un outil de management de la qualité afin de déterminer les voies d amélioration. Adopter des critères sur la qualité perçue par l utilisateur, poserait le problème d introduire de nombreux facteurs indépendants de la performance du prestataire, ces facteurs influant notablement sur le service en amont ou en aval comme la performance des réseaux de télécommunication, la qualité de l accès au réseau téléphonique commuté, les limites de la configuration matérielle de l internaute, etc. Le modèle de qualité du présent document se décline par services, évalués à l aide de critères. 6.1 Amélioration continue du système de management de la qualité Amélioration continue Le prestataire doit établir sa politique en matière d amélioration continue de la Qualité. La politique Qualité est communiquée et partagée par le personnel de l organisme dont le travail à une incidence directe avec la satisfaction des utilisateurs. Étant donné la nature sensible des échanges de certains services, le prestataire doit veiller à ce que son personnel possède les qualités déontologiques nécessaires à l exercice de sa profession. Le prestataire confie l amélioration continue du système de management de la qualité à une direction opérationnelle de son organisation, responsable de sa mise en œuvre Système de management de la qualité Le prestataire doit mettre en place un système de management de la qualité basé sur la maîtrise des processus. Le système opérant peut être décrit par les 4 étapes d un cycle continu qui sont : Planification, Réalisation, Vérification et Correction. La planification vise à - établir les objectifs et les processus nécessaires pour fournir des résultats correspondant aux attentes des clients et aux politiques du prestataire, - allouer les ressources nécessaires aux objectifs des politiques du prestataire. La réalisation met en œuvre les processus. La vérification organise la surveillance et la mesure des processus et des services par rapport aux attentes des clients et aux politiques du prestataire, elle rend compte des résultats. La correction vise à entreprendre les actions pour améliorer en permanence la performance des processus. BP X V0.4.doc Page 8 sur 20

9 Utilisateurs itération Responsabilité de la Direction Utilisateurs Gestion des ressources Surveillance, mesure, analyse attentes Réalisation du Réalisation du produit produit Réalisation du produit satisfaction Figure 1 Schéma d amélioration continue d un système de management de la Qualité Surveillance et analyse Le prestataire met en place les procédures nécessaires pour mesurer l efficacité des services à satisfaire les utilisateurs. Comme résultat des processus mis en œuvre, la surveillance et l analyse sont menées dans le but de tirer profit de l expérience acquise et augmenter l efficacité des procédures mises en œuvre. Note : Il est recommandé que les procédures relatives à la surveillance s assure que l accès au site du prestataire se fasse depuis plusieurs réseaux de fournisseurs d accès (FAI Fournisseur d Accès Internet) Mesure de la performance Les mesures de performance sont effectuées au plus proche des situations réelles de l utilisateur, mettant en situation les technologies d accès à Internet représentatives de l usage courant. Ces mesures doivent être menées de façon à tenir compte des évolutions du site et de son infrastructure Amélioration Les informations issues des évaluations et des analyses servent de base pour décider des actions correctives et préventives que le prestataire doit mener dans le but d améliorer continuellement la satisfaction des utilisateurs et clients. Les décisions relatives à ces actions sont prises à l occasion d une revue de la Direction que le prestataire doit tenir une fois par trimestre. Les éléments pris en compte lors de la revue de Direction sont les suivants : $ Le résultat des contrôles quant au respect des critères du présent document, $ La disponibilité du service, $ Les réclamations, $ Le cas échéant, les résultats de l enquête de satisfaction annuelle, $ L efficacité des procédures visant à assurer la sécurité des échanges. Le prestataire conserve des enregistrements des revues de Direction. BP X V0.4.doc Page 9 sur 20

10 Le prestataire doit réaliser, au moins une fois par an, une enquêtes auprès de ses utilisateurs et clients basée sur le respect des critères du présent document. Les résultats de l enquête sont des données d évaluation et d analyse Formation du personnel Le prestataire veille à ce que le personnel ayant une incidence directe sur la satisfaction des clients et utilisateurs reçoive la formation appropriée aux tâches qui lui est confiée. Le plan de formation établit sur une base annuelle, traite de l acquisition des savoirs et savoir-faire relatifs à l accueil téléphonique, la mise en œuvre des garanties, le traitement des réclamations et les services d assistance. Le prestataire conserve des enregistrements des formations reçues Rappel Le prestataire doit documenter et mettre en place une procédure de rappel. Un défaut 4 déclenche la mise en œuvre de la procédure dès la connaissance du défaut. La procédure indique les dispositions à prendre pour # interrompre la distribution de services et produits associés défectueux, # organiser le retour des services et produits associés défectueux chez le prestataire, # informer les parties concernées, y compris les utilisateurs, des dispositions à prendre. 7 CRITÈRES DE QUALITÉ 7.1 Pratique des échanges Informations sur le prestataire Le prestataire doit faciliter l accès à ces informations dès la page d accueil de son site. Les informations que le prestataire doit fournir sont les suivantes : - dénomination sociale et adresse du siège ; - numéro complet d immatriculation au Registre du Commerce ou des Métiers ; - numéro d enregistrement à la Taxe à la Valeur Ajoutée pour les organismes qui y sont assujettis ; - autorisations de distribution le cas échéant ; - coordonnées téléphoniques de l organisme ; - coordonnées du siège social dans le cas de plusieurs entités d un même organisme ; - coordonnées du service client Réclamation 4 Défaut : état du produit privant l utilisateur de son usage. BP X V0.4.doc Page 10 sur 20

11 Le prestataire doit publier sur le site, les modalités pour faire acte de réclamation, poser des questions ou faire état de défauts ainsi que les coordonnées téléphoniques du service les recueillant. Les jours et heures d ouverture du service sont précisés. Note : voir aussi le paragraphe Assistance Litiges Le prestataire retient le principe de rechercher des solutions amiables avant toute autre action. Il précise le mode de règlement des litiges en particulier lorsque le client et le fournisseur opèrent dans des pays distincts. Pour les clients utilisant les services hors de France métropolitaine, le prestataire s assure qu il ne fait pas obstacle à l application des conventions internationales en matière de commerce. 7.2 Caractéristiques de l offre Les caractéristiques décrites ci-après concernent des produits de nature matérielle ou immatérielle (produits et services) Conditions générales de vente Le prestataire doit faciliter l accès aux conditions générales de vente via le site Identification Le prestataire doit fournir les informations concernant l appellation courante du service, la référence complète, les caractéristiques techniques principales, le cas échéant, l état du produit : neuf ou d occasion, le mode de conditionnement Tarifs Le prestataire doit fournir les informations concernant le prix unitaire ou le prix du lot le cas échéant, la durée de validité des prix, la nature du prix : net ou sujet à taxes. Les frais connexes à l offre facturés au client sont précisés Représentation Lorsque l usage d images est faite, le prestataire veille à ce que la représentation des produits soit fidèle Limitation de l usage Lorsque d éventuelles limitations d usage sont possibles, Le prestataire doit en indiquer les interdictions et/ou la dangerosité. Le caractère promotionnel de l offre le cas échéant, les rabais éventuellement associés ainsi que les conditions pour en bénéficier ; Le cas échéant, les concours et jeux promotionnels, sont clairement identifiés comme tels. Leurs conditions de participation sont aisément accessibles, présentées de manière précise et non équivoque. Lorsqu il s agit de produit immatériel, telle qu une prestation d enseignement à distance, le prestataire fait état de la nature de la prestation, de sa finalité et de sa forme. Le cas BP X V0.4.doc Page 11 sur 20

12 échéant, le prestataire précise les modalités de la prestation, sa durée et qui sont les intervenants. Les conditions financières et leurs délais de validité sont précisées Limitation géographique Lorsque le prestataire offre ses services dans une zone partielle de la France métropolitaine, il doit en préciser les limites. Les conditions de résiliation et rétractation sont précisées. Lorsque le prestataire offre ses services dans les Départements et Territoires d outremer ainsi que les pays en dehors de la France métropolitaine, il doit en préciser les conditions et tarifs. Note : pour ces trois types de destination, il est recommandé que le prestataire permette la consultation des conditions et tarifs via son site Livraison et délai Lorsqu il s agit de produits matériels à acheminer, le prestataire doit indiquer la date de livraison prévue. Dans le cas de produits immatériels, tels que des documents au format numérique, le prestataire précise l estimation du délai avant lequel le bénéficiaire de l offre pourra en disposer. Le prestataire doit préciser le mode habituel de livraison Traitement de la commande Le prestataire doit vérifier la disponibilité des services et produits associés proposés dans son offre avant l acceptation de la commande. Il doit prévoir une validation de la commande par l internaute. Un avis d acceptation de la commande par le prestataire est délivré à l internaute. Si un produit de substitution est proposé, les conditions de retour et de remboursement, aux frais du prestataire, doivent être précisées. Le prestataire doit offrir la possibilité de consulter et d imprimer le document de la commande. Le document faisant état de la commande contient les informations suivantes : l identifiant de référence de la commande, l appellation courante du service, la référence complète, les caractéristiques sommaires du ou des service(s), la quantité, le prix unitaire, le total facturé ajouté des taxes. Le cas échéant, l état du produit : neuf ou d occasion. Les conditions de livraison ainsi que les conditions de garantie définies dans le présent document s appliquent. Dans le cas où la résiliation de la commande est possible, le prestataire doit préciser dans quelles conditions elle s applique Contractualisation Dans le cas où les services sont facturés, le prestataire doit établir un contrat avec son client. Par le moyen de son choix, le prestataire adresse au client une copie du contrat. BP X V0.4.doc Page 12 sur 20

13 Dans le cas où le contrat s établit via le site du prestataire, celui-ci prévoit, à tout moment lors de la transaction, un mécanisme d abandon et de modification des termes du contrat Conditions de paiement Pour les besoins de l acte de paiement, et par analogie avec ce qui se pratique dans le monde réel, il apparaît souhaitable de distinguer l acte commercial de l acte de paiement, correspondant à des responsabilités juridiques différentes. Recherche d un produit Achat - acte commercial Définition des conditions de paiement Paiement Fourniture du produit caisse enregistreuse d une grande surface analogie terminal de paiement par carte Figure x Illustration de la dissociation de l acte commercial de celui du paiement Le Prestataire s engage à # Identifier le bénéficiaire du paiement, # Rappeler le montant du paiement, # Indiquer les dispositions de sécurisation des paiements mis en œuvre, # Indiquer la date et l heure du paiement. Le prestataire délivre un justificatif de l acte précisant ces éléments. Le prestataire doit faire état des différentes modalités de paiement proposées via le site. Le prestataire donne la possibilité d effectuer des règlements par des moyens électroniques proposés via le site Conditions de garantie Le prestataire doit indiquer dans quelles conditions l internaute peut recourir à la garantie. Il en définit les limites, la durée dans laquelle la garantie s applique, la couverture géographique, les délais éventuels d intervention, les conditions d échange ou de réparation. Il indique le nom, les coordonnées téléphoniques, l adresse de courrier électronique, l adresse postale ainsi que les horaires du service en charge de l exécution de la garantie Conditions de retour Dans le cas où les services offerts par le prestataire prévoient des conditions de retour, celles-ci sont établies et mises à disposition afin d en faciliter l accès. BP X V0.4.doc Page 13 sur 20

14 Le prestataire s engage à accepter tout produit en retour dans les 7 jours suivant sa réception par l internaute ou le client. Dans le cas où les conditions de retour ne peuvent s appliquer, l internaute ou le client est averti. Dans le cas des prestations concernant des produits immatériels, le délai de rétractation s applique à partir de l acceptation formalisée par l internaute ou le client Conditions de remboursement Le prestataire s engage à respecter un délai non supérieur à 15 jours ouvrables pour procéder au remboursement. Les conditions générales de ventes précisent les modalités et conditions de remboursement Conditions de livraison Dans le cas où le prestataire offre un service de livraison, il précise par le moyen de son choix : Le délai, le mode, les frais connexes le cas échéant, les conditions d installation dans le cas où l intervention d un homme de l art est nécessaire. Dans tous les cas, un bon de livraison reprenant les caractéristiques de l échange est délivré au moment de la livraison. Dés la connaissance d un défaut de livraison ou de facturation, le prestataire doit mener les actions correctives appropriées en vue de réparer le tort occasionné Assistance Le prestataire doit indiquer le nom de l entité en charge du service ainsi que son adresse postale. Le service doit être assuré selon des horaires d ouverture définis couvrant au moins 8 heures par jour, 6 jours sur 7 ; 90% des demandes d assistance doivent recevoir un premier élément de réponse dans les 2 jours ouvrés. Le fournisseur doit accuser réception des demandes dans les 15 minutes qui suivent le recours au service. Note : Lorsque d autres moyens d assistance sont offerts (messagerie, forum), le client est informé de l existence de ce(s) service(s). Le fournisseur doit mettre à disposition de ses clients un service d assistance téléphonique. Les horaires du service d assistance doivent permettre la mise en relation avec une personne du service. Le fournisseur doit assurer un taux de disponibilité de 80% avec une attente inférieure à 3 minutes. Le coût de l appel téléphonique doit être communiqué. Le prestataire doit préciser les cas d intervention où l établissement d un devis préalable est nécessaire. Il précise le prix des prestations en dehors des conditions de garantie. Les cas d intervention nécessitant un devis préalable sont prévus. Le prestataire doit définir la couverture géographique à laquelle l assistance s applique. L information concernant le périmètre de cette couverture est facilement accessible. BP X V0.4.doc Page 14 sur 20

15 Configuration requise Le prestataire doit indiquer la configuration matérielle et logicielle minimum dont l utilisateur doit disposer pour obtenir un fonctionnement correct des prestations offertes. 7.3 Données à caractère personnel Le prestataire s engage à respecter les principes généraux et les droits dus à l internaute régissant la protection des données personnelles tels que définis ci-après Principe de finalité Le prestataire n utilise pas les données relatives à une personne sans son consentement formalisé, pour une finalité autre que celle qui a justifié leur collecte. Il facilite l accès à ces données par un choix approprié de leur emplacement sur son site Principe de nécessité Le prestataire n exige pas de données relatives à une personne non nécessaires à la prestation Principe de loyauté Le prestataire n effectue pas de collecte ou de traitement des données relatives à une personne à l insu de celle-ci. Le prestataire informe la personne de l utilisation faite des données la concernant Droit d accès, de rectification et d opposition Le prestataire donne la possibilité aux internautes : # d accéder et de rectifier les données les concernant ; # de s opposer à leur traitement et usage dans le but d activités de prospection et pour des motifs légitimes. Le droit d accéder et de rectifier les données peut s exercer en ligne via le site ou à l adresse du prestataire. Le prestataire facilite l exercice du droit de s opposer au traitement des données collectées tel que par l accès d une page dédiée dès la page d accueil du site Droit à l oubli Le prestataire ne conserve pas de données identifiant les personnes au delà de la période pour laquelle ces données sont nécessaires à atteindre la finalité poursuivie. 5 Le lecteur pourra utilement se référer aux textes suivants : Loi N du 6 janvier 1978 relative à l informatique, aux fichiers et aux libertés (Journal Officiel du 7 janvier 1978), Convention 108 du 28 janvier 1981 du Conseil de l Europe pour la protection des personnes à l égard du traitement automatisé des données à caractère personnel (Journal Officiel du 20 novembre 1985), Directive européenne 95/46/CE du 24 octobre 1995 relative à la protection des personnes physiques à l égard du traitement automatisé des données à caractère personnel et à la libre circulation de ces données (Journal Officiel de la Communauté Européenne du 23 novembre BP X V0.4.doc Page 15 sur 20

16 7.3.6 Usage de formulaire électronique Dans le cas de l utilisation de formulaires électroniques collectant des données à caractère personnel, le prestataire précise dans le formulaire, la dénomination sociale et l adresse de l éditeur du site. Lorsque la collecte des données s effectue au moyen de formulaire électronique, l intitulé du formulaire précise clairement la finalité du traitement de celles-ci. Le caractère obligatoire ou facultatif des données collectées est indiqué par un signe distinctif. Les formulaires électroniques font état des cas où les données collectées sont communiquées ou mise à la disposition d un tiers. Lorsque ce cas s applique, le prestataire facilite l exercice du droit d opposition Collecte automatisée Le prestataire informe de l usage de procédés de collecte de données automatisés, il en précise la finalité et durée de validité. 7.4 Sécurité Le prestataire prend toutes les dispositions utiles afin de préserver la sécurité des informations. Ces dispositions visent à empêcher que les informations ne soient altérées, détruites, accessibles ou communiquées à des tiers non autorisés, elles assurent la confidentialité lors de la transmission via les réseaux de télécommunication. Ces dispositions concernent également les données à caractère personnel Actions malveillantes Le prestataire doit mettre en place une procédure de protection contre les malveillances visant à priver les utilisateurs des services offerts par le prestataire. Les virus informatiques, les intrusions et la prospection commerciale non sollicitée par courrier électronique sont traités par cette procédure Accès au service Le prestataire met en place des procédures d identification et d authentification des utilisateurs. Il doit permettre à l utilisateur la modification de ses données d identification et d authentification en ligne. Le prestataire doit mettre en place une procédure pour conserver la trace des opérations effectuées, comme résultat du processus les informations suivantes sont disponibles : quelle opération a été effectuée, par qui, quand et pour quoi faire. Le prestataire désigne les personnes habilitées pour la conception, l exécution, la surveillance, la maintenance, la modification, l annulation d application temporaire ou définitive de la procédure de conservation de la trace des opérations. Lorsque le prestataire utilise des liens pour afficher les pages d autres sites, il doit en vérifier régulièrement le bon fonctionnement Arrêt du service : Le prestataire doit s assurer que la gestion de l arrêt du service comprend la communication à l utilisateur des éléments d information sur l interruption, ses causes, les modalités et délais prévus pour la reprise du service. BP X V0.4.doc Page 16 sur 20

17 Le prestataire doit communiquer la défaillance du service dans les 24 heures qui suivent la découverte du défaut et communiquer toutes les 24 heures de l avancée de la résolution du problème. Le prestataire doit mettre à la disposition de ses clients un relevé, en ligne, des incidents en cours et passé. Le prestataire doit communiquer à ses clients la clôture d un incident et les informer des mesures décidées pour éviter que celui ci ne se renouvelle Maintenance La disposition «arrêt du service» s applique aux opérations de maintenance, qu elles soient de type curatif, préventif ou prédictif ainsi que toutes opérations de nature à présenter des risques d arrêt du service Indisponibilité planifiée Le fournisseur doit informer les utilisateurs de la date et de la durée des opérations de maintenance l orque celles-ci occasionnent une indisponibilité du service en précisant la gêne prévisible pour l utilisateur Intégrité des échanges Dans le présent document, l'intégrité d'un service e-business est définie par la non altération de la forme ou du contenu des informations échangées. Ces informations comprennent également les données codées des communications informatisées Archivage Le prestataire doit mettre en œuvre des moyens de conservation des opérations effectuées à l occasion des échanges. Les moyens de conservation tiennent compte de la capacité du lieu à assurer une protection contre la destruction ou l altération des données, informations et enregistrements relatives aux opérations effectuées. Le prestataire doit contrôler régulièrement que les données, informations et enregistrements relatives aux opérations effectuées sont disponibles et exploitables Sécurité des paiements Les opérations de paiement doivent bénéficier d un protocole de télécommunication sécurisé. Les données codées des échanges informatisés sont cryptées. 7.5 Accessibilité Les dispositions relatives à l accessibilité restent à recevoir. 7.6 Qualité de service les dispositions établies dans ce paragraphe concerne la qualité du service réalisé Disponibilité Le Prestataire doit indiquer les horaires d ouverture du site, l accès à cette information est facilité. BP X V0.4.doc Page 17 sur 20

18 8 ÉVALUATION Mesure de disponibilité le Prestataire effectue des mesures pour déterminer la disponibilité du site par rapport aux horaires d ouverture indiqués. La disponibilité des services offerts via le site doit être de 99% par rapport aux fréquences de mesure suivantes : # Affichage de la page d accueil : toutes les 15 minutes, # Authentification : toutes les 60 minutes, # Recherche d un service : toutes les 60 minutes, # Accès aux conditions générales de vente : toutes les 15 minutes, # Accès à la commande : toutes les 60 minutes, # Tests des pages à contenus dynamiques : toutes les 60 minutes. Il revient au prestataire de mettre en œuvre les principes d évaluation suivants : - établir un mode d évaluation pour chaque critère, - conduire l évaluation et consigner les résultats dans une grille d évaluation, - tenir cette à dispositions des tiers auprès desquels le prestataire fait état de l utilisation du présent document. À titre indicatif une présentation de la grille pour une exigence du référentiel est donnée ci-après. BP X V0.4.doc Page 18 sur 20

19 7.4.4 Maintenance Disposition (les exigences établies dans le présent document) La disposition «arrêt du service» est-elle appliquée pour la maintenance curative? Préventive? Prédictive? Pour toutes opérations de nature à présenter des risques d arrêt du service? Mode d évaluation retenu par le prestataire Résultat d évaluation (dans quelle mesure les dispositions sont-elles satisfaites) Éléments factuels observés (ce qui montre par quoi les dispositions sont satisfaites) BP X V0.4.doc Page 19 sur 20

20 9 MISE À JOUR En raison de l évolution rapide des technologies mises en jeu sur l Internet, le présent document est révisé sur une base annuelle à compter de sa date de publication. BP X V0.4.doc Page 20 sur 20