Accord de traitement des données

Cette page décrit notre accord de traitement des données standard afin que vous puissiez l'examiner avant de le demander. Elle ne constitue pas en elle-même un accord et ne crée aucune obligation. C'est le DPA signé, avec ses annexes, qui fait foi, et lorsque cette page en diffère, le DPA signé prévaut.

Chaque fois que nous construisons, hébergeons, maintenons ou assurons le support d'un système contenant des données à caractère personnel qui vous appartiennent ou qui appartiennent à vos utilisateurs. Vous êtes le responsable du traitement (ou « business ») ; DCI Brands LLC est le sous-traitant (ou « service provider »). Le DPA fait partie intégrante du contrat de projet. Lorsque des informations de santé protégées sont concernées, un Business Associate Agreement est également signé et, pour ces données, ses conditions prévalent.

Tout ce qu'exige l'article 28, paragraphe 3, du RGPD, ainsi que les équivalents prévus par le UK GDPR et par la loi fédérale suisse sur la protection des données (LPD) :

1. La description du traitement : objet, durée, nature et finalité, types de données à caractère personnel et catégories de personnes concernées, dans une annexe propre à votre projet.
2. Un traitement uniquement sur vos instructions documentées, y compris pour les transferts, et notre engagement de vous informer si nous estimons qu'une instruction enfreint le droit de la protection des données.
3. Confidentialité : toute personne que nous autorisons à traiter vos données est soumise à une obligation écrite de confidentialité.
4. Sécurité : les mesures techniques et organisationnelles figurant en annexe, conformes à l'article 32. Nous pouvons les mettre à jour à condition que la protection ne soit pas substantiellement réduite.
5. Sous-traitants ultérieurs : votre autorisation écrite générale, notre répercussion écrite d'obligations équivalentes et notre responsabilité quant à l'exécution de leurs obligations.
6. Assistance pour les droits des personnes concernées : accès, rectification, effacement, portabilité, limitation et opposition, compte tenu de la nature du traitement.
7. Assistance au titre des articles 32 à 36 : sécurité, notification des violations, analyses d'impact relatives à la protection des données et consultation préalable, compte tenu des informations dont nous disposons.
8. Suppression ou restitution à la fin du projet, à votre choix.
9. Informations et audits, comme décrit à la section 8.
10. Conditions de transfert : les clauses contractuelles types, l'Addendum du Royaume-Uni et les modifications suisses, avec les annexes complétées.
11. Conditions relatives aux États américains : nous agissons en qualité de service provider ou de sous-traitant (processor), nous ne vendons ni ne partageons vos données, nous ne les conservons, ne les utilisons ni ne les divulguons en dehors de la relation commerciale directe ou à toute autre fin que l'exécution du projet, et nous ne les combinons pas avec des données provenant d'autres sources.
12. Vos garanties : que vous disposez d'une base juridique, que vous avez fourni les informations et obtenu les consentements dus à vos utilisateurs, et que vos instructions sont licites.

Nous les traitons uniquement sur vos instructions documentées et uniquement pour réaliser le projet : construction, test, déploiement, hébergement, surveillance, sauvegarde et support du système. Nous ne les utilisons pas à nos propres fins et nous ne les vendons pas.

Nous n'utilisons pas vos données à caractère personnel pour entraîner, affiner ou améliorer un quelconque modèle, et nos sous-traitants ultérieurs sont contractuellement configurés pour ne pas le faire non plus. Nous pouvons produire des statistiques agrégées sur le fonctionnement du système uniquement lorsqu'elles ne peuvent être reliées ni à vous, ni à vos utilisateurs, ni à une quelconque personne.

Nous ne faisons appel à des sous-traitants ultérieurs que lorsque le projet l'exige, dans le cadre de conditions écrites au moins aussi protectrices que le DPA, et nous demeurons responsables de leurs actes. Catégories : infrastructure cloud dans la région indiquée dans votre devis, envoi d'e-mails transactionnels, et prestataires de services vocaux, linguistiques et de modèles lorsqu'une fonctionnalité en requiert un et que le devis le mentionne. Le DPA signé énumère les prestataires précis pour votre projet.

Nous vous informons 30 jours à l'avance avant d'en ajouter un. Vous pouvez vous y opposer pendant ce délai pour des motifs raisonnables liés à la protection des données ; nous rechercherons une solution avec vous de bonne foi et, si nous ne parvenons pas à la trouver, chacune des parties peut résilier le service concerné, avec un remboursement au prorata des sommes payées d'avance et non utilisées. Il s'agit du seul recours. Les livraisons sur site et en environnement isolé (air-gapped) suppriment entièrement le sous-traitant ultérieur d'infrastructure.

Les systèmes livrés intègrent les mesures prévues dans l'annexe relative à la sécurité : au minimum, le chiffrement en transit et au repos, un contrôle d'accès fondé sur les rôles, une journalisation d'audit structurée et la suppression sécurisée des fichiers temporaires. L'accès du personnel est limité aux personnes nommément désignées qui en ont besoin et est journalisé. Les projets réglementés ajoutent les contrôles indiqués dans votre annexe.

Nous vous informons dans les meilleurs délais après avoir pris connaissance d'une violation de données à caractère personnel affectant vos données, et en tout état de cause dans un délai de 72 heures après en avoir pris connaissance. La notification expose ce que nous savons, ce que nous avons fait et ce que nous recommandons ; une première notification peut être préliminaire et nous la complétons à mesure que nous en apprenons davantage. Nous ne signalons pas les tentatives d'accès infructueuses, les analyses (scans) ou les pings, et une notification ne constitue pas une reconnaissance de faute ou de responsabilité.

Nous vous aidons à répondre aux demandes d'accès, de rectification, d'effacement et de portabilité dans le délai que la loi vous impartit.

Les audits commencent par des documents. Sur demande, une fois par période de 12 mois, nous fournissons notre documentation de sécurité, notre annexe relative aux mesures et un questionnaire de sécurité rempli. Lorsque cela est réellement insuffisant, ou après une violation confirmée affectant vos données, ou lorsqu'une autorité de contrôle l'exige, vous pouvez nous auditer moyennant un préavis écrit de 30 jours, une fois par période de 12 mois, pendant les heures ouvrables, à vos frais, sous réserve de confidentialité, sans perturber nos activités ni les données d'autres clients, et en recourant à un auditeur qui n'est pas notre concurrent.

Les données de production au repos restent dans la région indiquée dans votre devis. L'accès administratif depuis d'autres lieux, et tout transfert inévitable hors de l'EEE, du Royaume-Uni ou de la Suisse, sont couverts par les clauses contractuelles types et les addenda applicables.

Nous restituons ou supprimons vos données à caractère personnel, à votre choix, et certifions la suppression. Les copies figurant dans des sauvegardes chiffrées sont supprimées selon le cycle ordinaire de sauvegarde et restent protégées jusque-là. Nous ne conservons que ce que la loi nous oblige à conserver.

Écrivez à constantine@vavusai.com en indiquant la référence de votre devis. Nous vous l'envoyons pour signature en même temps que le contrat de projet. Nous examinerons votre propre DPA et le signerons lorsque ses conditions sont substantiellement compatibles avec les nôtres ; à défaut, le nôtre prévaut.