Accord de traitement des données (DPA)
Cet accord fait partie des conditions générales conclues entre Robin Bonnin (le « Sous-traitant ») et le client (le « Responsable de traitement »). Il s'applique aux données personnelles que le Sous-traitant traite pour le compte du client en fournissant Pomelow, conformément à l'article 28 du RGPD.
1. Objet, nature et durée
- Objet et nature : hébergement et exploitation des applications Pomelow (messagerie, agenda, chat et visio, documents, stockage de fichiers, tâches et autres options activées par le client) : stockage, sauvegarde, transmission et affichage des données.
- Personnes concernées : les membres de l'organisation du client et les personnes avec qui ils échangent.
- Données : identité et coordonnées des membres, contenus (e-mails, messages, documents, fichiers, agendas, tâches), métadonnées et journaux techniques associés. Le client décide seul des contenus déposés, y compris d'éventuelles données sensibles.
- Durée : celle de l'abonnement, puis jusqu'à la suppression qui suit la fermeture de l'organisation (30 jours après la demande).
2. Engagements du Sous-traitant
- Ne traiter les données que sur instruction documentée du client, constituée par les présentes conditions et l'usage que le client fait du service ; l'informer si une instruction lui paraît contraire au RGPD.
- Garantir que les personnes autorisées à accéder aux données sont tenues à la confidentialité.
- Mettre en œuvre les mesures de sécurité de l'article 4.
- Aider le client, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes, notamment par les exports disponibles depuis le portail d'administration.
- Aider le client à respecter ses obligations de sécurité, de notification de violation et d'analyse d'impact, compte tenu des informations dont il dispose.
- Notifier au client toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles.
- Mettre à la disposition du client les informations nécessaires pour démontrer le respect du présent accord, et permettre un audit sur demande motivée, avec un préavis de 30 jours, aux frais du client et au plus une fois par an.
3. Sous-traitants ultérieurs
Le client autorise le recours aux sous-traitants listés sur la page Sous-traitants. Le Sous-traitant informe le client par e-mail au moins 30 jours avant d'en ajouter ou d'en remplacer un ; le client peut s'y opposer pour un motif raisonnable et, à défaut de solution, résilier son abonnement. Le Sous-traitant impose à chacun des obligations équivalentes à celles du présent accord.
4. Mesures de sécurité
- Hébergement chez Scaleway, en France (région de Paris) ; bases de données accessibles uniquement par un réseau privé.
- Chiffrement des connexions (HTTPS/TLS) sur toutes les adresses du service.
- Authentification unique pour toutes les applications, avec double authentification disponible ; séparation des organisations au niveau de l'annuaire d'identité.
- Sauvegardes quotidiennes des bases de données et sauvegarde chaque nuit de toutes les boîtes mail, sur un stockage séparé.
- Accès d'administration à l'infrastructure réservé à l'exploitant, avec des identifiants qui ne sont jamais versionnés dans le code.
- Mises à jour régulières des logiciels libres qui composent le service.
5. Transferts hors de l'Union européenne
Les contenus du client sont hébergés dans l'Union européenne. Aucun transfert hors de l'Union n'a lieu sans garanties appropriées au sens du chapitre V du RGPD ; les transferts éventuels par un sous-traitant sont indiqués sur la page Sous-traitants.
6. Fin du traitement
Avant la fermeture, le client peut récupérer ses données grâce aux exports et téléchargements disponibles. À l'issue du délai de fermeture, le Sous-traitant supprime les données du client et les comptes de ses membres, sauf obligation légale de conservation.