Les concessionnaires qui proposent du financement ou de la location détiennent certaines des données clients les plus sensibles qui soient : numéros de sécurité sociale, demandes de crédit et coordonnées bancaires. Nous réalisons l'évaluation des risques, le programme écrit et les tests de sécurité exigés par la Safeguards Rule, avec un rapport clair pour votre dossier de conformité.
Les concessions qui organisent le financement ou la location pour leurs clients sont des institutions financières au sens de la FTC Safeguards Rule.
Votre concession doit disposer d'un programme écrit de sécurité de l'information (WISP) fondé sur une évaluation écrite des risques, supervisé par un Qualified Individual qui rend compte par écrit à la direction au moins une fois par an.
16 CFR § 314.4(a), (b), (i)Sauf surveillance continue de vos systèmes, la règle impose un test d'intrusion annuel et des évaluations de vulnérabilités au moins tous les six mois, ainsi qu'après tout changement important de vos activités.
16 CFR § 314.4(d)(2)Authentification multifacteur pour toute personne accédant à vos systèmes, chiffrement des informations clients, et notification à la FTC dans les 30 jours suivant la découverte d'une violation touchant 500 clients ou plus.
16 CFR § 314.4(c)(3), (c)(5), (j)Les concessionnaires détenant des informations sur moins de 5 000 consommateurs sont exemptés de l'évaluation écrite des risques, du calendrier de tests d'intrusion, du plan écrit de réponse aux incidents et du rapport annuel. La plupart des concessionnaires de marque dépassent ce seuil. Nous confirmons votre cas dès le premier appel.
Nous confirmons les parties de la règle qui s'appliquent à votre concession et cartographions vos systèmes et prestataires.
Nous examinons la circulation des données clients entre la vente, le F&I et l'atelier, et documentons les risques.
Tests maîtrisés de vos systèmes exposés sur Internet et internes, planifiés en fonction de vos horaires d'ouverture.
Vous recevez le rapport de test, le WISP et un plan priorisé, que nous passons en revue avec votre équipe.
Prix de départ pour un petit bureau type. Votre devis écrit fixe le prix final après l'appel gratuit.
Si votre concession organise le financement ou la location de véhicules pour ses clients, elle est considérée comme une institution financière au sens de la règle et doit s'y conformer. Nous confirmons votre situation lors de l'appel gratuit.
Au moins une fois par an, plus des évaluations de vulnérabilités au moins tous les six mois et après tout changement important, sauf si vous surveillez vos systèmes en continu. Les concessionnaires détenant des données sur moins de 5 000 consommateurs sont exemptés de ce calendrier de tests.
Non. La règle rend la concession responsable de son propre programme et de la supervision de ses prestataires. Votre DMS n'est qu'un système parmi d'autres : la messagerie, l'accès à distance, le Wi-Fi et les appareils du personnel contiennent aussi des données clients.
Un propriétaire, un responsable, un salarié ou un prestataire externe. La concession reste responsable, et le Qualified Individual doit rendre compte par écrit à la direction au moins une fois par an.
Si des informations non chiffrées concernant 500 clients ou plus sont en jeu, vous devez en informer la FTC dans les meilleurs délais et au plus tard 30 jours après la découverte. Un plan de réponse aux incidents testé rend ce délai tenable.
Non. Les tests sont planifiés avec vous à l'avance, peuvent avoir lieu en dehors des heures d'ouverture et utilisent des techniques maîtrisées, conçues pour ne pas interrompre vos systèmes.
Cette page fournit des informations générales sur les exigences réglementaires ; elle ne constitue pas un avis juridique.