Accord de traitement des données

1. Champ d'application et rôles

Le présent Accord de traitement des données (le « DPA ») fait partie des Conditions d'utilisation entre Rediacc OÜ (« Rediacc », le « Sous-traitant ») et le Client, lorsque le Client utilise les Services à titre professionnel et que Rediacc traite des Données personnelles du Client pour le compte du Client. Les termes définis dans les Conditions d'utilisation ont la même signification ici. Le présent DPA est rédigé en anglais ; les traductions sont fournies à titre indicatif uniquement et, en cas de divergence, la version anglaise prévaut.

Pour les Données personnelles du Client, le Client est le responsable de traitement (ou un sous-traitant agissant pour son propre responsable de traitement) et Rediacc est le sous-traitant (ou sous-traitant ultérieur). Pour les enregistrements de Compte, de facturation et d'acceptation et pour les Données de télémétrie, Rediacc est un responsable de traitement indépendant, comme décrit dans la Politique de confidentialité, et le présent DPA ne s'applique pas à ce traitement.

Les Données client présentes sur les Machines du Client ne sont pas traitées par Rediacc. Le stockage chiffré des configurations et les sauvegardes hébergées sont chiffrés avec des clés que Rediacc ne détient pas ; Rediacc stocke donc ces blocs de données mais ne peut pas en lire le contenu.

2. Définitions

• « Lois sur la protection des données » désigne le Règlement général sur la protection des données de l'UE (Règlement (UE) 2016/679, « RGPD »), le RGPD britannique (UK GDPR) et toute autre loi sur la protection des données applicable au traitement régi par le présent DPA.
• « Données personnelles du Client » désigne les données personnelles que Rediacc traite pour le compte du Client dans le cadre de la fourniture de la Plateforme, telles que les noms et adresses e-mail des Utilisateurs autorisés et des membres d'équipe invités par le Client, ainsi que les données chiffrées que le Client stocke sur la Plateforme.
• « Violation de données à caractère personnel », « traitement », « responsable de traitement », « sous-traitant » et « personne concernée » ont le sens que leur donne le RGPD.
• « CCT » désigne les clauses contractuelles types approuvées par la décision d'exécution (UE) 2021/914 de la Commission européenne.
• « Sous-traitant ultérieur » désigne un tiers auquel Rediacc fait appel pour traiter des Données personnelles du Client.

3. Traitement sur instructions

Rediacc ne traite les Données personnelles du Client que sur instructions documentées du Client, à savoir les Conditions d'utilisation, le présent DPA et l'utilisation et la configuration des Services par le Client, sauf si la loi exige autre chose, auquel cas Rediacc en informe le Client avant le traitement, sauf si la loi l'interdit. Rediacc informe le Client lorsqu'il estime qu'une instruction enfreint les Lois sur la protection des données.

4. Détails du traitement

• Objet et finalité : fourniture de la Plateforme, y compris la gestion des Comptes et des équipes, la délivrance de licences, le stockage chiffré des configurations, le stockage hébergé de sauvegardes et l'assistance
• Durée : la durée des Conditions d'utilisation, augmentée du délai de suppression prévu à la Section 11
• Nature du traitement : collecte, stockage, transmission, consultation et suppression
• Catégories de personnes concernées : les Utilisateurs autorisés du Client, les membres d'équipe invités et les contacts de partenaires
• Catégories de données personnelles : noms, adresses e-mail, organisation et fonction, données d'authentification (hachages de mots de passe, clés publiques de passkeys), adresses réseau et agents utilisateurs des sessions, et toute donnée personnelle contenue dans les données chiffrées que le Client stocke sur la Plateforme
• Catégories particulières : aucune prévue ; le Client ne doit pas stocker de catégories particulières de données non chiffrées sur la Plateforme

5. Confidentialité

Rediacc veille à ce que toute personne autorisée à traiter des Données personnelles du Client soit tenue à une obligation de confidentialité.

6. Sécurité

Rediacc met en œuvre des mesures techniques et organisationnelles appropriées au titre de l'article 32 du RGPD, notamment :

• le chiffrement en transit (TLS 1.2 ou ultérieur) et au repos, ainsi que le chiffrement côté client du stockage des configurations et des sauvegardes hébergées avec des clés que Rediacc ne détient pas
• un accès aux systèmes de production limité au personnel autorisé, avec authentification multifacteur
• une séparation logique des données des clients et un stockage régional des données
• la journalisation et la supervision des systèmes de production, ainsi que des tests réguliers des mesures de sécurité

7. Sous-traitants ultérieurs

Le Client autorise Rediacc à faire appel à des Sous-traitants ultérieurs. Rediacc impose à chaque Sous-traitant ultérieur des obligations de protection des données au moins aussi protectrices que celles du présent DPA et reste responsable de l'exécution par ses Sous-traitants ultérieurs. Les Sous-traitants ultérieurs actuels sont :

• Cloudflare, Inc. (États-Unis ; réseau mondial) : hébergement du portail de compte et de l'API (Workers), de la base de données des comptes (D1), du stockage hébergé de sauvegardes et d'objets (R2), diffusion de contenu et DNS, et protection contre les bots sur les formulaires (Turnstile)
• Amazon Web Services, Inc. (Amazon Simple Email Service, dans la région AWS qui dessert la région du compte du Client) : envoi d'e-mails transactionnels tels que les liens de connexion, les avis et les factures
• Stripe, Inc. et ses sociétés affiliées (États-Unis et Irlande) : traitement des paiements, facturation des abonnements, émission des factures et calcul des taxes pour les Abonnements payants
• Hostinger (serveurs virtuels dans l'Union européenne) : hébergement du point de terminaison de télémétrie et d'observabilité (otlp.rediacc.io) qui reçoit les Données de télémétrie et les journaux de service

Rediacc prévient au moins trente (30) jours à l'avance avant d'ajouter ou de remplacer un Sous-traitant ultérieur, en mettant à jour cette page et en notifiant l'adresse e-mail du Compte. Le Client peut s'y opposer dans ce délai pour des motifs raisonnables de protection des données. Si les parties ne parviennent pas à résoudre l'objection, le Client peut résilier les Services concernés et obtenir le remboursement des frais prépayés pour la période postérieure à la résiliation.

L'analyse d'audience du site web (Plausible) ne traite pas de Données personnelles du Client et relève de la Politique de confidentialité.

8. Transferts internationaux

Lorsque des Données personnelles du Client sont transférées vers un pays situé en dehors de l'Espace économique européen et ne bénéficiant pas d'une décision d'adéquation, les CCT sont incorporées au présent DPA par référence : le Module Deux (de responsable de traitement à sous-traitant) lorsque le Client est responsable de traitement, et le Module Trois (de sous-traitant à sous-traitant) lorsque le Client est sous-traitant. Pour les CCT : la clause d'adhésion facultative (clause 7) s'applique ; la clause 9, point a), option 2 (autorisation générale) s'applique avec le délai de préavis de la Section 7 ; la formulation facultative de la clause 11 ne s'applique pas ; les clauses 17 et 18 désignent la loi et les juridictions de Estonie ; et les annexes I et II sont complétées par les Sections 1, 4 et 6, et l'annexe III par la Section 7 du présent DPA.

Pour les transferts soumis au RGPD britannique (UK GDPR), l'International Data Transfer Addendum publié par l'Information Commissioner du Royaume-Uni s'applique avec les CCT. Rediacc s'appuie sur le cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework) pour les Sous-traitants ultérieurs certifiés à ce titre.

9. Demandes des personnes concernées et assistance

Rediacc transmet sans délai au Client toute demande d'une personne concernée relative aux Données personnelles du Client et n'y répond pas lui-même, sauf sur instruction du Client. Compte tenu de la nature du traitement, Rediacc aide le Client à répondre à ces demandes et à respecter ses obligations au titre des articles 32 à 36 du RGPD, y compris les analyses d'impact relatives à la protection des données et les consultations préalables.

10. Violation de données à caractère personnel

Rediacc notifie le Client dans les meilleurs délais, et en tout état de cause dans les soixante-douze (72) heures après avoir pris connaissance d'une Violation de données à caractère personnel affectant des Données personnelles du Client. La notification décrit, dans la mesure où ils sont connus, la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Rediacc prend des mesures raisonnables pour contenir la violation et y remédier.

11. Suppression ou restitution

À la fin des Services, le Client peut exporter les Données personnelles du Client dans un délai de trente (30) jours. Rediacc supprime ensuite les Données personnelles du Client des systèmes actifs, et des sauvegardes dans un délai de quatre-vingt-dix (90) jours, sauf si la loi impose à Rediacc de les conserver.

12. Droit d'audit

Rediacc met à la disposition du Client les informations nécessaires pour démontrer le respect de l'article 28 du RGPD, principalement par des réponses écrites à des questionnaires de sécurité raisonnables et par les rapports d'audit et certifications disponibles de Rediacc et de ses Sous-traitants ultérieurs. Lorsque ces informations sont insuffisantes ou qu'une autorité de contrôle l'exige, le Client peut réaliser un audit, à ses frais, moyennant un préavis de trente (30) jours, pendant les heures ouvrables, au plus une fois par an, sous obligation de confidentialité et de manière à ne perturber ni les Services ni les autres clients.

13. Responsabilité et ordre de priorité

La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations des Conditions d'utilisation, sauf lorsque les Lois sur la protection des données ne le permettent pas. En cas de conflit entre le présent DPA et les Conditions d'utilisation, le présent DPA prévaut pour le traitement des Données personnelles du Client ; en cas de conflit entre les CCT et le présent DPA, les CCT prévalent.

14. Source du présent DPA

Certaines parties du présent DPA sont adaptées des Common Paper Data Processing Agreement Standard Terms Version 1.1 (commonpaper.com/standards/data-processing-agreement/1.1), publiés par Common Paper, Inc. sous la licence Creative Commons Attribution 4.0 International (CC BY 4.0). Le texte a été modifié : il a été restructuré, abrégé et adapté aux Services. Common Paper, Inc. n'approuve pas le présent DPA.