Accord de traitement des données

CONTEXTE

Le présent Accord de traitement des données ( « ATD » ) fait partie intégrante du Contrat de licence utilisateur final TRAILD (« CLUF TRAILD »), tel que mis à jour périodiquement, conclu entre TRAILD PTY LTD (ACN 627 799 982), société de droit australien dont le siège social est situé au 35 Market St, South Melbourne, VIC 3205, Australie (« Fournisseur », « nous », « notre » ou « nos ») et la partie acceptant le CLUF TRAILD (« Client »). En cas de conflit ou d’incohérence entre le présent ATD et le CLUF TRAILD, le présent ATD prévaudra.

Tous les termes en majuscules auront la signification qui leur est attribuée dans le CLUF TRAILD, sauf définition contraire dans le présent DPA.

1. DÉFINITIONS
   

   Loi applicable	signifie, selon le cas, et contraignant pour le Client ou le Fournisseur : (a) toute loi, tout statut, tout règlement, tout arrêté ou toute législation subordonnée en vigueur de temps à autre à laquelle une partie est soumise et/ou dans toute juridiction à laquelle ou pour laquelle les Services sont fournis ; (b) la common law et les lois d’équité applicables aux parties de temps à autre; (c) toute ordonnance, jugement ou décret judiciaire contraignant; ou d) toute directive, politique, règle ou ordonnance applicable qui lie une partie et qui est faite ou donnée par un organisme de réglementation ayant compétence sur une partie ou sur l’un des actifs, des ressources ou des activités de cette partie;
   Mesures de protection appropriées	désigne les mécanismes juridiquement exécutoires pour les transferts de données personnelles qui peuvent être autorisés par les lois sur la protection des données de temps à autre ;
   BJournée de l'entreprise	désigne n’importe quel jour, à l’exception des samedis, des dimanches, des jours fériés et des jours fériés en Irlande ;
   contrôleur de données	a le sens donné à ce terme (ou au terme « responsable du traitement ») dans les lois sur la protection des données ;
   Processeur de données	a le sens donné à ce terme (ou au terme « processeur ») dans les lois sur la protection des données ;
   Lois sur la protection des données	désigne toutes les lois et réglementations relatives à la vie privée ou à l'utilisation ou au traitement des données relatives aux personnes physiques, y compris : a) la directive 2002/58/CE de l’UE (telle que modifiée par la directive 2009/136/CE) et toute législation mettant en œuvre ou édictée en vertu de cette directive ; b) Règlement UE 2016/679 ( « RGPD » ) ; (c) le RGPD tel qu’il fait partie du droit en Angleterre et au Pays de Galles, en Écosse et en Irlande du Nord en vertu de l’article 3 de la loi de 2018 sur le retrait de l’Union européenne ( « RGPD britannique » ) et de la loi de 2018 sur la protection des données ( « loi sur la protection des données » ) ; d) la loi fédérale suisse sur la protection des données du 1er septembre 2023 et ses ordonnances correspondantes (« LPD suisse ») ; (e) toute loi ou réglementation ratifiant, mettant en œuvre, adoptant, complétant ou remplaçant le RGPD, le RGPD britannique, la loi sur la protection des données ou la loi suisse sur la protection des données ; (f) dans chaque cas, dans la mesure où elles sont en vigueur et, à ce titre, mises à jour, modifiées ou remplacées de temps à autre ; et (g) toutes directives ou codes de pratique obligatoires émis par une autorité de surveillance dans chaque cas, dans la mesure où ils sont en vigueur et applicables aux parties, et qui, à ce titre, sont mis à jour, modifiés ou remplacés de temps à autre ;
   Personne concernée	désigne une personne physique qui peut être identifiée, directement ou indirectement, par les Données Personnelles ;
   Demande de sujet de données	désigne une demande faite par une personne concernée pour exercer les droits des personnes concernées en vertu des lois sur la protection des données ;
   Organisation internationale	désigne une organisation et ses organismes subordonnés régis par le droit international public, ou tout autre organisme créé par ou sur la base d'un accord entre deux ou plusieurs pays ;
   Données personnelles	désigne toute information relative à une personne physique identifiée ou identifiable, y compris un identifiant tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne ou un ou plusieurs éléments spécifiques propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale de cette personne physique ;
   Violation des données personnelles	désigne toute violation de sécurité entraînant la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès accidentel ou illégal à des Données Protégées ;
   traitement	désigne toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données personnelles ou à des ensembles de données personnelles, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la restriction, l'effacement ou la destruction (et les termes connexes tels que processus ont des significations correspondantes) ;
   Instructions de traitement	a le sens donné à ce terme dans la clause 3.1.1;
   Données protégées	désigne les Données personnelles reçues du Client ou au nom du Client dans le cadre de l'exécution des obligations du Fournisseur en vertu du CLUF TRAILD et du présent DPA ;
   Clauses contractuelles types ou « EU-SCC »	désigne les clauses contractuelles types pour le transfert de données personnelles vers des pays tiers conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil (texte présentant de l'intérêt pour l'EEE), tel que modifié, remplacé ou remplacé ponctuellement conformément au présent avenant. Lorsque le client agit en qualité de responsable du traitement, les clauses de sous-traitant (module 2) s'appliquent à un transfert de données. Lorsque le client agit en qualité de sous-traitant, les clauses de sous-traitant à sous-traitant (module 3) s'appliquent à un transfert de données. Compte tenu de la nature du traitement, le client convient qu'il est peu probable que le fournisseur connaisse l'identité de ses responsables du traitement, car il n'a pas de relation directe avec eux. Par conséquent, le client remplira ses obligations envers les responsables du traitement du client en vertu des clauses de sous-traitant à sous-traitant ;
   Services	désigne tous les services fournis par le Fournisseur au Client conformément au CLUF TRAILD ;
   Sous-traitant	désigne un autre sous-traitant de données engagé par le fournisseur pour effectuer des activités de traitement concernant les données protégées pour le compte du client ; et
   Autorité de surveillance	désigne toute agence locale, nationale ou multinationale, tout département, tout fonctionnaire, tout parlement, toute personne publique ou statutaire ou tout organisme gouvernemental ou professionnel, toute autorité de réglementation ou de surveillance, tout conseil ou tout autre organisme chargé de l'administration des lois sur la protection des données ; et
   Addendum au Royaume-Uni	désigne l'addendum sur le transfert international de données (version B1.0) publié par le Bureau du Commissaire à l'information en vertu de l'article 119(A) de la loi britannique sur la protection des données de 2018, tel qu'il peut être modifié, remplacé ou remplacé de temps à autre.

2. Responsable du traitement et du traitement des données
   1. Les parties conviennent que, pour les Données Protégées, le Client sera le Responsable du Traitement des Données et le Fournisseur sera le Sous-Traitant des Données.
   2. Le fournisseur doit traiter les données protégées conformément à :
      1. les obligations des sous-traitants de données en vertu des lois sur la protection des données concernant l'exécution de leurs obligations en vertu du présent DPA ; et
      2. les termes du présent DPA.
   3. Le client doit se conformer à :
      1. toutes les lois sur la protection des données en rapport avec le traitement des données protégées, les services et l'exercice et l'exécution de ses droits et obligations en vertu du présent DPA, y compris le maintien de tous les enregistrements et notifications réglementaires pertinents requis par les lois sur la protection des données ; et
      2. les termes du présent DPA.
   4. Le client garantit, déclare et s'engage à ce que :
      1. toutes les données obtenues par le Client pour être utilisées dans le cadre des Services doivent être conformes à tous égards, y compris en termes de collecte, de stockage et de traitement (ce qui comprend la fourniture par le Client de toutes les informations requises en matière de traitement équitable aux personnes concernées et l'obtention de tous les consentements nécessaires de celles-ci), aux lois sur la protection des données ;
      2. toutes les instructions données par le Client au Fournisseur concernant les Données Personnelles doivent à tout moment être conformes aux lois sur la protection des données ; et
      3. il est convaincu que : (a) les opérations de traitement du Prestataire sont adaptées aux fins pour lesquelles le Client propose d'utiliser les Services et de confier au Prestataire le traitement des Données Protégées ; et (b) le Prestataire dispose de l'expertise, de la fiabilité et des ressources suffisantes pour mettre en œuvre des mesures techniques et organisationnelles conformes aux exigences des lois sur la protection des données.
3. Instructions et détails du traitement
   1. Dans la mesure où le fournisseur traite des données protégées pour le compte du client :
      1. sauf si la loi applicable l'exige autrement, le fournisseur doit (et doit prendre des mesures pour garantir que chaque personne agissant sous son autorité doit) traiter les données protégées uniquement sur et conformément aux instructions documentées du client telles qu'énoncées dans la présente clause 3 et l'annexe 1, annexe 1 du présent DPA («Détails du traitement des données”), tel que mis à jour de temps à autre («Instructions de traitement”);
      2. nonobstant toute autre disposition du présent DPA, si une loi applicable exige que le fournisseur effectue le traitement des données personnelles autrement que conformément aux instructions du client, un tel traitement ne constituera pas une violation du présent DPA ;
      3. si la loi applicable l'oblige à traiter les données protégées autrement que conformément aux instructions de traitement, le fournisseur doit informer le client de toute exigence de ce type avant de traiter les données protégées (à moins que la loi applicable n'interdise ces informations pour des motifs importants d'intérêt public) ; et
      4. Le Prestataire informera sans délai le Client s'il a connaissance d'une Instruction de Traitement qui, de son avis, enfreint les lois sur la protection des données, étant entendu que : (a) ceci ne porte pas atteinte aux clauses 2.3 et 2.4 ; et (b) dans toute la mesure permise par la loi impérative, le Prestataire n'aura aucune responsabilité, quelle qu'en soit la nature (contractuelle, délictuelle (y compris la négligence) ou autre), pour toutes pertes, coûts, dépenses ou responsabilités découlant de ou liés à tout traitement effectué conformément aux Instructions de Traitement du Client après réception de ces informations par ce dernier.
4. Mesures techniques et organisationnelles
   1. Le fournisseur doit mettre en œuvre et maintenir des mesures techniques et organisationnelles appropriées en relation avec le traitement des données protégées par le fournisseur, comme indiqué à l'annexe 2 de l'annexe 1 du présent DPA («« Mesures techniques et organisationnelles »).
5. Utilisation du personnel et d'autres processeurs
   1. Par la présente, le Client donne au Fournisseur son consentement général pour engager des Sous-traitants pour le traitement des Données personnelles en son nom. La liste des Sous-traitants actuels du Fournisseur figure à l'Annexe 2. Si le Fournisseur ajoute un nouveau Sous-traitant, la liste sera mise à jour sans délai. Le Client doit informer le Fournisseur de toute objection à l'encontre d'un Sous-traitant. Si cette objection est raisonnable et formulée dans les sept (7) jours suivant la première apparition du Sous-traitant sur la liste, le Fournisseur pourra, à sa seule discrétion :
      1. supprimer ce sous-traitant de la liste et ne pas engager ce sous-traitant pour traiter des données protégées, auquel cas le présent DPA continuera ; ou
      2. discuter de solutions alternatives avec le Client. Dans ce cas, si les parties ne parviennent pas à s'entendre sur une solution dans un délai raisonnable, le Fournisseur sera en droit de résilier le présent ATD et le Service moyennant un préavis raisonnable. Pendant ce préavis, le Fournisseur ne transmettra aucune donnée personnelle au Sous-traitant.
   2. Le Fournisseur conclura des accords écrits appropriés avec tous ses sous-traitants ultérieurs, selon des modalités sensiblement similaires à celles du présent ATD, y compris, sans s'y limiter, le droit du Client à réaliser des audits chez le sous-traitant ultérieur, ou à s'assurer que ce dernier réalisera des audits par des auditeurs externes au moins une fois par an. Le Fournisseur demeurera le principal responsable envers le Client de l'exécution ou de la non-exécution des obligations du sous-traitant ultérieur.
   3. À la demande du Client, le Fournisseur fournira des informations concernant tout Sous-traitant, y compris le nom, l'adresse e-mail et le Traitement effectué par le Sous-traitant.
6. Assistance à la conformité du client et aux droits des personnes concernées
   1. Le fournisseur doit transmettre toutes les demandes de personnes concernées qu'il reçoit au client dans les trois (3) jours ouvrables suivant la réception de la demande.
   2. Le fournisseur doit fournir l'assistance raisonnable dont le client a raisonnablement besoin (en tenant compte de la nature du traitement et des informations dont dispose le fournisseur) pour garantir le respect des obligations du client en vertu des lois sur la protection des données en ce qui concerne :
      1. sécurité du traitement ;
      2. évaluations d’impact sur la protection des données (au sens où ce terme est défini dans les lois sur la protection des données) ;
      3. consultation préalable d'une autorité de contrôle concernant le traitement à haut risque ; et
      4. notifications à l'Autorité de contrôle et/ou communications aux personnes concernées par le Client en réponse à toute violation de données personnelles.
   3. Le Client devra payer les frais raisonnables du Fournisseur pour la fourniture de l'assistance décrite dans la présente clause 6.
7. Transferts internationaux de données
   1. Le client consent à ce que le fournisseur puisse transférer des données protégées en dehors du Royaume-Uni («UK”), Espace économique européen (« EEE ») et la Suisse, si nécessaire pour fournir les Services à une juridiction pour laquelle la Commission européenne, l'Autorité de surveillance du Royaume-Uni ou l'Autorité de surveillance suisse n'a pas émis de décision d'adéquation («Transfert de données”), à condition que le fournisseur ait mis en œuvre une solution de transfert conforme aux lois sur la protection des données, qui doit inclure :
      1. Clauses contractuelles types. En ce qui concerne les transferts de Données Protégées protégées par le RGPD, le Prestataire traitera les Données Protégées conformément aux CGU de l'UE, qui sont intégrées et font partie intégrante du présent Accord de Protection des Données, comme suit : (a) Le Prestataire est l'« importateur de données » et le Client est l'« exportateur de données » ; (b) Article 7 : la clause d'ancrage s'applique ; (c) Article 9 : Option 2 – autorisation générale pour les sous-traitants ;

         (d) Clause 17 : la loi applicable sera celle prévue par le présent DPA ;

         (e) Clause 18 : Le forum et la juridiction seront ceux définis dans le présent DPA ;

         (f) Annexe I et II : Les détails sont fournis à l'annexe 1 du présent DPA ; et

         (g) L'autorité de contrôle compétente de l'annexe IC est le commissaire fédéral allemand à la protection des données et à la liberté d'information (Bundesbeauftragter für Datenschutz und Informationsfreiheit ou « BfDI »).

      2. Addendum du Royaume-Uni. En ce qui concerne les transferts de données protégées par le RGPD britannique, les clauses contractuelles types de l’UE (i) s’appliquent telles que complétées conformément au paragraphe 7.1.1 ci-dessus ; et (ii) sont réputés modifiés conformément aux dispositions de l'avenant britannique, lequel est réputé exécuté par les Parties et intégré au présent accord de protection des données, comme suit : (a) Le tableau 1 est réputé complété par les informations figurant à l'annexe 1 (annexe I), le cas échéant, dont le contenu est convenu par les Parties ; (b) Dans le tableau 2, les Parties cochent la case : « les clauses contractuelles types de l'UE approuvées, y compris les informations figurant en annexe et avec uniquement les modules, clauses ou dispositions facultatives suivants des clauses contractuelles types de l'UE approuvées mises en application aux fins du présent avenant », et le tableau correspondant est réputé complété conformément aux clauses contractuelles types de l'UE, dans le modèle figurant à l'annexe 2 ; (c) Le tableau 3 est réputé complété par les informations figurant à l'annexe 2 (annexes I à III des clauses contractuelles types de l'UE), dont le contenu est convenu par les Parties.

         (d) Le tableau 4 de la partie 1 est réputé rempli en cochant la case indiquant : « aucune des parties » ;

         (e) Tout conflit entre les termes des EU-SCC et l'Addendum du Royaume-Uni sera résolu conformément à l'article 10 et à l'article 11 de l'Addendum du Royaume-Uni ;

      3. Loi fédérale sur la prévention du crime et la justice (LPDC) suisseEn ce qui concerne les transferts de données protégées par la LPRPDE suisse, les clauses contractuelles types de l'UE s'appliquent telles que complétées conformément au paragraphe 7.1.1 ci-dessus, à l'exception des points suivants : a) l'autorité de contrôle compétente pour ces données protégées est le Préposé fédéral à la protection des données et à la transparence suisse ; b) à l'article 17 des clauses contractuelles types de l'UE, le droit applicable est le droit suisse ; c) les références à un « État membre » dans les clauses contractuelles types de l'UE s'entendent comme désignant la Suisse, et les personnes concernées résidant en Suisse sont habilitées à exercer et à faire valoir leurs droits en vertu des clauses contractuelles types de l'UE en Suisse.

         (d) les références au « Règlement général sur la protection des données », au « Règlement 2016/679 » ou au « RGPD » dans les CCT de l’UE doivent être comprises comme des références à la LPD suisse (telle que modifiée ou remplacée).

      4. Une autre garantie appropriée conformément à l’article 46 du RGPD ; ou
      5. Dérogation conformément à l’article 49 du RGPD.
   2. Le Fournisseur informera rapidement le Client s'il constate qu'il ne peut plus remplir ses obligations au titre de la présente clause 7 et, dans ce cas, collaborera avec le Client et prendra rapidement toutes les mesures raisonnables et appropriées pour mettre fin à tout Traitement en dehors du Royaume-Uni, de l'EEE et de la Suisse. Si cela s'avère impossible, le Fournisseur aura le droit de résilier le présent ATD et le CLUF TRAILD moyennant un préavis raisonnable. Pendant ce délai, le Client ne lui transmettra aucune Données Protégées.
8. Dossiers, informations et audit
   1. Le fournisseur doit conserver, conformément aux lois sur la protection des données qui le lient, des enregistrements écrits de toutes les catégories d'activités de traitement effectuées pour le compte du client.
   2. Le Fournisseur doit, conformément aux lois sur la protection des données, mettre à la disposition du Client les informations raisonnablement nécessaires pour démontrer la conformité du Fournisseur à ses obligations en vertu de l'article 28 du RGPD britannique (et de toute loi sur la protection des données équivalente à cet article 28), et permettre et contribuer aux audits, y compris les inspections, par le Client (ou un autre auditeur mandaté par le Client) à cette fin, sous réserve que le Client :
      1. donner au Fournisseur un préavis raisonnable de la demande d'informations, de l'audit et/ou de l'inspection requis par le Client ;
      2. veiller à ce que toutes les informations obtenues ou générées par le Client ou son/ses auditeur(s) dans le cadre de ces demandes d'informations, inspections et audits soient strictement confidentielles (sauf divulgation à l'Autorité de surveillance ou tel que requis par la loi applicable) ;
      3. en veillant à ce que cet audit ou cette inspection soit effectué pendant les heures normales de bureau, avec une perturbation minimale des activités du fournisseur, des activités des sous-traitants et des activités des autres clients du fournisseur ; et
      4. payer les frais raisonnables du fournisseur pour l'aider à fournir des informations et permettre et contribuer aux inspections et audits.
9. Notification d'infraction
   1. En cas de violation de données personnelles impliquant des données protégées, le fournisseur doit, sans délai indu :
      1. informer le client de la violation des données personnelles ; et
      2. fournir au client des détails sur la violation des données personnelles.
10. Suppression ou restitution des données protégées et des copies
    1. Le fournisseur doit, à la demande écrite du client, soit supprimer, soit restituer toutes les données protégées au client sous la forme que le client demande raisonnablement dans un délai raisonnable après la première des éventualités suivantes :
       1. la date à laquelle tous les paiements au titre des Services applicables ont été effectués et le CLUF TRAILD a été résilié ou a expiré ; ou
       2. Dès lors que le traitement des Données Protégées par le Fournisseur n'est plus nécessaire à l'exécution de ses obligations au titre du CLUF TRAILD, les copies existantes seront supprimées, sauf si la conservation de ces données est requise par la loi applicable. Le cas échéant, le Fournisseur en informera le Client. Le Client autorise toutefois le Fournisseur à conserver une copie des Données Protégées à des fins de sauvegarde uniquement.
11. Résolution de litige
    1. Le présent DPA sera régi par les lois de l'Angleterre et du Pays de Galles et les parties se soumettent par la présente à la juridiction exclusive des tribunaux anglais.

ANNEXE 1 DE LA LPD

ANNEXE 1

DÉTAILS DU TRAITEMENT

 

Conformément à la loi sur la protection des données, le Fournisseur traite les données personnelles uniquement conformément aux instructions de traitement du Client, conformément à la LPD. Ce document fait partie intégrante des instructions de traitement du Client et indique au Fournisseur la portée, la nature et la finalité du traitement des données personnelles pour le compte du Client. Les instructions de traitement peuvent être modifiées par écrit par le Client, par notification écrite au Sous-traitant par son représentant autorisé ou par l'utilisation du Service par le Client.

1. Finalité du traitement

Le fournisseur traitera les données personnelles uniquement aux fins de l’exécution des services pour le client.

2. Catégories de personnes concernées

• Les utilisateurs des Services qui téléchargent des factures sur les systèmes TRAILD (tels que définis dans le CLUF TRAILD)
• Les personnes dont les coordonnées sont contenues dans les factures téléchargées par les utilisateurs des services

3. Types de données personnelles

• Nom
• Email
• Nom d'utilisateur ( Ou : Nom d'épouse )
• Numéro de téléphone
• Enregistrer des données

4. Catégories particulières de données personnelles

Données de santé (si contenues dans les factures traitées à l'aide des Services TRAILD).

5. Activités de traitement

• Collection
• Stockage
• Accès, lecture ou consultation à des fins de support client
• Effacement ou destruction

6. Durée du traitement

Les données personnelles ne seront pas traitées plus longtemps que nécessaire à la réalisation de leur finalité. Le traitement des données collectées dans le cadre d'un projet cessera à l'expiration ou à la résiliation des services fournis pour ce projet. Toutes les données personnelles seront alors restituées au client et toutes les copies détruites, à l'exception d'une copie que le prestataire conservera en lieu sûr pour ses archives pendant 7 ans après la fin des services concernés.

7. Lieu de traitement

Le traitement a lieu dans des centres de données situés aux endroits indiqués ici :

·Les états-unis d'Amérique

• Canada
• Pays-Bas
• Australie
• Royaume-Uni

Les données personnelles sont stockées dans le centre de données le plus proche du client, mais peuvent être consultées par le fournisseur à partir d'autres juridictions.

ANNEXE 2

MESURES TECHNIQUES ET ORGANISATIONNELLES

Les informations suivantes comprennent les informations requises par l’annexe II des SCC de l’UE et l’annexe II de l’addendum du Royaume-Uni.

Mesure de sécurité technique et organisationnelle	DÉTAILS
Mesures de pseudonymisation et de cryptage des données personnelles	L'entreprise a déployé des méthodes et protocoles sécurisés pour la transmission d'informations confidentielles ou sensibles sur les réseaux publics. Les bases de données contenant des données clients sensibles sont chiffrées au repos. L'entreprise utilise exclusivement les suites et protocoles de chiffrement sécurisés recommandés pour chiffrer tout le trafic en transit, et les données clients sont chiffrées de manière sécurisée avec des chiffrements et des configurations robustes au repos.
Mesures visant à garantir en permanence la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes et services de traitement	Les contrats clients de la Société contiennent des obligations strictes de confidentialité. De plus, la Société exige de chaque sous-traitant en aval qu'il signe des clauses de confidentialité strictes afin de protéger les informations clients. L'entreprise a mis en œuvre tous les contrôles SOC 2 Type 2 requis pour les critères de service de confiance de sécurité.
Mesures visant à garantir la capacité de rétablir la disponibilité et l'accès aux données personnelles en temps opportun en cas d'incident physique ou technique	Des sauvegardes quotidiennes, hebdomadaires et mensuelles des magasins de données de production sont effectuées. Les sauvegardes sont testées périodiquement conformément aux politiques de sécurité de l’information et de gestion des données.
Processus permettant de tester, d'évaluer et d'apprécier régulièrement l'efficacité des mesures techniques et organisationnelles afin de garantir la sécurité du traitement	L'entreprise a mis en œuvre tous les contrôles SOC 2 Type 2 requis pour les critères de service de confiance de sécurité.
Mesures d'identification et d'autorisation des utilisateurs	L'entreprise utilise des protocoles et processus d'accès sécurisés et applique les meilleures pratiques du secteur en matière d'authentification, notamment l'authentification multifacteur et l'authentification unique (SSO). Tous les accès en production nécessitent une authentification à deux facteurs, et l'infrastructure réseau est configurée de manière sécurisée selon les meilleures pratiques des fournisseurs et du secteur afin de bloquer tous les ports, services et trafic réseau non autorisé.
Mesures de protection des données lors de la transmission	L'entreprise a déployé des méthodes et protocoles sécurisés pour la transmission d'informations confidentielles ou sensibles sur les réseaux publics. Elle utilise exclusivement les suites et protocoles de chiffrement sécurisés recommandés pour chiffrer l'ensemble du trafic en transit (par exemple, TLS 1.2).
Mesures de protection des données pendant le stockage	Le chiffrement au repos est automatisé grâce au chiffrement transparent des disques de GCP, qui utilise le chiffrement AES-256 standard pour sécuriser toutes les données du volume (disque). Toutes les clés sont entièrement gérées par GCP.
Mesures visant à assurer la sécurité physique des lieux où les données personnelles sont traitées	L'ensemble du traitement des données de l'entreprise s'effectue dans des centres de données physiques gérés par GCP.  https://cloud.google.com/trust-center/security
Mesures pour assurer la journalisation des événements	L'entreprise surveille l'accès aux applications, outils et ressources qui traitent ou stockent les données clients, y compris les services cloud. La surveillance des journaux de sécurité est gérée par les équipes de sécurité et d'ingénierie. Les activités des journaux sont analysées si nécessaire et remontées en conséquence.
Mesures pour garantir la configuration du système, y compris la configuration par défaut	L'entreprise applique un processus de gestion des modifications pour gérer les modifications apportées à l'environnement de production des Services, y compris les modifications apportées aux logiciels, applications et systèmes sous-jacents. [Toutes les modifications de production sont automatisées grâce à des outils CI/CD afin de garantir la cohérence des configurations.]
Mesures de gouvernance et de gestion de l’informatique interne et de la sécurité informatique	La Société maintient un programme de gouvernance de la sécurité de l'information basé sur les risques, conforme à la norme ISO 27001. Ce programme de sécurité comprend des mesures de protection administratives, organisationnelles, techniques et physiques conçues pour protéger les Services ainsi que la confidentialité, l'intégrité et la disponibilité des Données Client.
Mesures de certification/assurance des processus et des produits	L'entreprise est soumise à des audits annuels SOC 2 Type II et ISO 27001.
Mesures pour assurer la minimisation des données	Les clients de la Société déterminent unilatéralement les données qu'ils acheminent via les Services. De ce fait, la Société fonctionne selon un modèle de responsabilité partagée. Elle leur permet de contrôler précisément les données entrant sur la plateforme. De plus, la Société a intégré une fonctionnalité en libre-service aux Services qui permet aux clients de supprimer et de supprimer des données à leur guise.
Mesures pour garantir la qualité des données	L'entreprise adopte une approche à plusieurs niveaux pour garantir la qualité des données. Ces mesures comprennent : (i) des tests unitaires pour garantir la qualité de la logique de traitement des appels d'API ; (ii) des règles de validation du schéma de base de données qui s'appliquent aux données avant leur enregistrement dans notre base de données ; (iii) une conception d'API axée sur le schéma, utilisant GraphQL et un typage fort, pour garantir un contrat strict entre les clients officiels et les résolveurs d'API. L'entreprise applique ces mesures de manière systématique, à la fois pour garantir la qualité des données d'utilisation collectées et pour garantir le fonctionnement de sa plateforme conformément aux paramètres attendus. La société garantit que la qualité des données est maintenue à partir du moment où un client envoie des données client aux services et jusqu'à ce que ces données client soient présentées ou exportées.
Mesures visant à garantir une conservation limitée des données	Les Clients déterminent unilatéralement les données qu'ils acheminent via les Services. De ce fait, la Société fonctionne selon un modèle de responsabilité partagée. Si un Client ne peut supprimer des Données Personnelles via la fonctionnalité libre-service des Services, la Société supprime ces Données Personnelles sur demande écrite du Client, dans le délai spécifié dans le présent Accord de protection des données et conformément à la législation applicable en matière de protection des données. Toutes les Données Personnelles sont supprimées des Services après leur résiliation (à l'exception d'une copie que le Fournisseur conservera en toute sécurité pour ses archives pendant sept ans après la résiliation des services concernés).
Mesures pour garantir la responsabilité	L'entreprise a adopté des mesures visant à garantir la responsabilité, telles que la mise en œuvre de politiques de protection des données et de sécurité de l'information à l'échelle de l'entreprise, l'enregistrement et le signalement des violations de données personnelles, et la définition formelle des rôles et responsabilités en matière de sécurité de l'information et de confidentialité des données. De plus, l'entreprise effectue régulièrement des audits par des tiers afin de garantir le respect de ses normes de confidentialité et de sécurité.
Mesures permettant la portabilité des données et garantissant leur effacement	Les données personnelles soumises aux Services par le Client peuvent être supprimées par le Client ou à la demande du Client. Les données personnelles sont accessoires aux services de la Société. Conformément aux principes de protection des données dès la conception et de minimisation des données, la Société limite strictement la collecte et le traitement des données personnelles dans le cadre des Services. La plupart des cas de portabilité des données personnelles de la Société ne sont pas applicables. Cependant, la Société répondra à toutes les demandes de portabilité afin de répondre aux besoins des clients.
Mesures techniques et organisationnelles des sous-traitants	La Société conclut des accords de traitement de données avec ses sous-traitants autorisés comportant des obligations de protection des données sensiblement similaires à celles contenues dans le présent DPA.

 

ANNEXE 2 DE LA LPD

MESURES TECHNIQUES ET ORGANISATIONNELLES, Y COMPRIS LES MESURES TECHNIQUES ET ORGANISATIONNELLES VISANT À ASSURER LA SÉCURITÉ DES DONNÉES

Se référer à l'annexe 1, annexe 2 de la DPA

 

ANNEXE III – LISTE DES SOUS-TRAITANTS

Le responsable du traitement a autorisé l'utilisation des sous-traitants suivants : https://trust.traildsoftware.com