La charte du bon usage des systèmes d'information

La charte du bon usage des systèmes d'information fixe les conditions d'utilisation des moyens numériques de l'université et les règles que chacun doit respecter, pour garantir un niveau de sécurité adapté aux informations que l'établissement traite dans ses missions de service public. Elle met en pratique, pour tous les utilisateurs, la politique de sécurité des systèmes d'information.

Elle s'impose à toute personne qui a un compte ou un accès aux ressources de l'université, quel que soit son statut :

• les étudiants, dès leur première inscription et pendant tout leur cursus ;
• les personnels administratifs et techniques, titulaires ou contractuels, dès leur recrutement ;
• les enseignants-chercheurs, enseignants et chercheurs, dès leur recrutement ;
• les tiers — visiteurs, invités, prestataires, partenaires — dès qu'un accès leur est ouvert.

Approuvée par le conseil d'administration et annexée au règlement intérieur, elle est opposable à chacun, qui est réputé en avoir pris connaissance.

L'essentiel¶

Usage professionnel, usage privé¶

Les moyens numériques de l'université servent à la recherche, à l'enseignement, à la documentation, à l'administration et à la vie universitaire. Sauf autorisation, ils ne servent pas à des projets étrangers aux missions de l'établissement.

Un usage privé reste admis s'il est résiduel, non lucratif et raisonnable dans sa fréquence et sa durée, s'il ne nuit ni à votre travail ni au fonctionnement du service, et si son coût reste négligeable.

• Tout est réputé professionnel, sauf ce que vous désignez explicitement comme privé : un dossier nommé « Privé », un message dont l'objet le mentionne, un espace prévu pour cela ;
• votre espace privé est sous votre responsabilité : sa protection et sa sauvegarde vous reviennent, les opérations de maintenance ne portent que sur les données professionnelles, et c'est à vous de le vider avant votre départ définitif ;
• la sauvegarde des données stockées sur votre poste vous revient aussi. Les données sensibles n'ont pas leur place sur le poste, mais sur les serveurs de l'université (où stocker ses données) ;
• la loi s'applique en toute circonstance : la détention ou la diffusion de contenus pédopornographiques, racistes ou antisémites, et la consultation de sites pornographiques depuis les locaux de l'université sont interdites ;
• les principes de neutralité religieuse et politique s'appliquent à votre usage des outils de l'université.

La continuité du service¶

Pour qu'un service continue de fonctionner en votre absence, déposez vos fichiers de travail dans les espaces partagés de votre service ou de votre équipe.

Avant un départ ou une absence prolongée, indiquez à votre hiérarchie comment accéder aux ressources mises à votre disposition. Les données qui ne sont pas dans un espace identifié comme personnel appartiennent à l'université, qui peut en disposer.

Vos engagements de sécurité¶

L'université met en place les protections adaptées. Chaque utilisateur s'engage, de son côté, à appliquer la politique de sécurité et les recommandations de l'établissement, et notamment à :

• respecter la politique de mots de passe de l'université (choisir un bon mot de passe) ;
• garder secrets ses identifiants et ses mots de passe ;
• ne télécharger que depuis des sources fiables ;
• se montrer prudent avec tout contenu reçu par la messagerie de l'université ou toute autre messagerie (reconnaître un hameçonnage) ;
• ne jamais laisser son poste de travail accessible en son absence ;
• ne pas connecter de matériel personnel aux réseaux de l'université, ni par le VPN ni sur une prise réseau ;
• protéger contre le vol et la dégradation le matériel confié ;
• ne pas accéder, ni tenter d'accéder, à des ressources pour lesquelles on n'est pas habilité.

La messagerie et les outils collaboratifs¶

La messagerie, la messagerie instantanée et les plateformes de transfert de documents sont des outils collaboratifs fournis par l'université.

• Un message est réputé professionnel, sauf mention explicite de son caractère privé ou s'il est rangé dans un espace privé ;
• l'université peut filtrer les messages indésirables et les virus, et limiter certains usages pour préserver le service ;
• les messages au contenu illicite sont interdits ;
• restez vigilant sur ce que vous recevez : désinformation, logiciels malveillants, escroqueries, chaînes (hameçonnage) ;
• limitez vos envois aux destinataires concernés : pas de diffusion en masse qui encombre les boîtes et dégrade le service ;
• conservez les messages utiles à la poursuite des missions de l'université.

Publier sur les sites de l'université¶

Le site institutionnel, l'intranet et tous les sites publiés sous la responsabilité de l'université relèvent du président de l'université, responsable de la publication. Toute information que vous y publiez l'engage : elle doit être validée avant sa mise en ligne.

Signaler¶

• Une anomalie, comme une intrusion dans un système : prévenez le RSSI dans les meilleurs délais ;
• la perte ou le vol d'un matériel fourni par l'université : prévenez le RSSI dans les meilleurs délais ;
• une violation de données personnelles — destruction, perte, altération, divulgation ou accès non autorisé, accidentel ou malveillant — dont vous avez connaissance : prévenez le délégué à la protection des données (DPO), dpo@univ-tours.fr, selon les procédures de l'université.

Le RSSI : rssi@univ-tours.fr, 06 27 60 01 81. Que faire en cas d'incident.

Propriété intellectuelle et données personnelles¶

Les droits d'auteur s'appliquent aux logiciels comme aux contenus. Utilisez les logiciels dans le respect de leur licence, et ne reproduisez, ne diffusez ni ne modifiez un logiciel, une base de données, une page web, un texte, une image ou une photographie protégés sans l'autorisation de leurs titulaires.

Traiter des données personnelles — toute information qui se rapporte à une personne identifiée ou identifiable, directement ou non — engage à respecter la loi Informatique et libertés et le RGPD. Avant de créer un fichier qui en contient, y compris en croisant des fichiers existants, informez le délégué à la protection des données : dpo@univ-tours.fr (déterminer la sensibilité de ses données).

Vous disposez vous-même d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données, y compris celles qui concernent votre usage du système d'information. Il s'exerce auprès du délégué à la protection des données : dpo@univ-tours.fr.

Ce que l'université contrôle¶

L'université veille à ce que les ressources sensibles ne soient accessibles qu'aux personnes habilitées. Pour cela :

• elle peut accéder aux ressources mises à votre disposition pour en assurer la maintenance — vous êtes prévenu si elle a lieu à distance —, ou pour constater, exercer ou défendre ses droits en justice et engager des poursuites disciplinaires ;
• son système d'information fait l'objet d'une surveillance, à des fins statistiques, de traçabilité, d'optimisation, de sécurité et de détection des abus, dans le respect de la loi ;
• l'accès à internet peut être filtré pour des raisons de sécurité, et les sites visités peuvent être contrôlés ;
• des outils de traçabilité sont en place sur tous ses systèmes, à des fins de sécurité.

Les personnels chargés de ces contrôles sont tenus au secret professionnel. Ils ne divulguent pas ce qu'ils apprennent et qui relève du secret des correspondances ou de votre vie privée, dès lors que le bon fonctionnement ou la sécurité des systèmes n'est pas en cause et que la loi ne les oblige pas à signaler un crime ou un délit.

La fin de vos accès¶

Vos droits d'accès sont temporaires : ils prennent fin quand vous ne remplissez plus les conditions pour lesquelles ils ont été ouverts.

• Étudiants : l'inscription prend fin le 30 septembre qui suit la fin du cycle — le 31 décembre pour les doctorants. Les accès sont retirés dans les 30 jours, les données supprimées dans les 60 jours qui suivent ;
• personnels — titulaires, contractuels, hébergés, attachés, associés, mis à disposition : les accès sont retirés dans les 30 jours après la fin des fonctions, les données supprimées dans les 90 jours qui suivent ;
• personnes extérieures : les accès sont retirés à la date de fin de validité, les données supprimées dans les 90 jours qui suivent.

Trente jours avant le retrait, un message automatique vous en donne la date, pour que vous puissiez sauvegarder ce que vous souhaitez garder.

Un accès peut aussi être retiré à titre conservatoire, sur décision du président, si le comportement d'un utilisateur n'est plus compatible avec la charte.

Questions fréquentes¶