Conditions de sous-traitance des données

En saisissant dans Netaly les coordonnées de ses clients et de ses salariés, le client confie à l’éditeur des données qui concernent d’autres personnes que lui-même.

Dans cette relation, le client est responsable de traitement : c’est lui qui décide quelles données collecter et pourquoi. L’éditeur n’est que sous-traitant : il héberge et traite ces données pour le compte du client, sans jamais en décider l’usage.

Ces conditions sont acceptées lors de la création du compte et valent accord de sous-traitance. Le client n’a pas de document séparé à signer, mais il peut demander un exemplaire daté à quantisysdev@gmail.com.

L’éditeur traite les données pour le seul compte du client, aux fins de lui fournir le service décrit aux conditions générales: organisation du planning, gestion du fichier clients, établissement des devis, factures et avoirs, suivi des règlements, gestion des équipes et du stock.

Les opérations réalisées sont la collecte, l’enregistrement, la conservation, la consultation, la modification, l’extraction, la transmission au destinataire désigné par le client et l’effacement.

Le traitement dure aussi longtemps que le contrat d’abonnement, puis pendant les délais de restitution et d’effacement prévus à l’article 8.

Selon l’usage qu’en fait le client, le service peut contenir :

• Clients et prospects du client — dénomination, nom, prénom, adresse électronique, téléphone, adresse postale, SIRET, numéro de TVA, notes libres saisies par le client.
• Lieux d’intervention — adresses, surfaces, et informations d’accès telles que codes d’entrée, étage ou emplacement des clés.
• Salariés et collaborateurs du client — nom, prénom, adresse électronique, téléphone, intitulé de poste, date d’embauche, coût horaire, planning, absences et congés.
• Données d’activité — interventions réalisées, prestations, devis, factures, avoirs, règlements, mouvements de stock.

Les informations d’accès aux locaux et les absences des salariés sont particulièrement sensibles dans leurs conséquences. Le client veille à n’y inscrire que le strict nécessaire, et notamment à ne pas y mentionner de motif médical.

Le service n’est pas conçu pour héberger des données relevant de l’article 9 du règlement — santé, opinions, appartenance syndicale, données biométriques. Le client s’interdit d’en saisir.

L’éditeur ne traite les données que sur instruction documentée du client. Les présentes conditions, les conditions générales et les actions réalisées par le client dans l’interface constituent ces instructions.

L’éditeur informe le client s’il estime qu’une instruction constitue une violation du règlement, et peut alors suspendre son exécution.

L’éditeur n’exploite les données à aucune fin propre : ni analyse commerciale, ni prospection, ni entraînement de modèle, ni revente.

Les données de chaque entreprise sont cloisonnées : chaque requête du service est filtrée par l’identifiant de l’entreprise, de sorte qu’un client ne peut accéder aux données d’un autre.

Les personnes intervenant pour le compte de l’éditeur sont tenues à la confidentialité. L’accès aux données de production est limité aux opérations de maintenance et d’assistance strictement nécessaires, et n’intervient qu’en cas d’incident ou à la demande du client.

Conformément à l’article 32 du règlement, les mesures suivantes sont mises en œuvre :

• chiffrement de l’intégralité des communications par TLS ;
• mots de passe conservés sous forme d’empreintes bcrypt, jamais en clair ni de manière réversible ;
• base de données accessible uniquement depuis le serveur applicatif, jamais depuis Internet ;
• pare-feu n’autorisant que les ports strictement nécessaires ;
• accès administrateur au serveur par clé cryptographique, authentification par mot de passe désactivée ;
• bannissement automatique des adresses tentant des connexions répétées ;
• installation continue des correctifs de sécurité du système ;
• sauvegardes quotidiennes automatiques, vérifiées à la génération, conservées sur plusieurs supports distincts, et dont la restauration est testée ;
• inaltérabilité des factures émises : une pièce comptable ne peut être ni réécrite ni supprimée, seule l’émission d’un avoir permet de la corriger.

Le client autorise l’éditeur à recourir aux sous-traitants suivants, pour les seules finalités indiquées :

• OVH SAS, France — hébergement des serveurs et de la base de données. Les données demeurent stockées en France.
• Resend, région Irlande (UE) — acheminement des devis, factures et notifications que le client choisit d’envoyer par courriel. Ce prestataire reçoit l’adresse du destinataire et le contenu du message. Les données ne quittent pas l’Union européenne.

Ces sous-traitants sont tenus par des obligations de protection équivalentes à celles du présent document.

L’éditeur informe le client de tout projet de changement de sous-traitant ultérieur au moins trente jours à l’avance, par courriel. Le client qui s’y oppose pour un motif légitime peut résilier sans frais avant l’entrée en vigueur du changement.

L’éditeur aide le client à respecter ses propres obligations. Il met à sa disposition :

• les fonctions d’export lui permettant de répondre aux demandes d’accès et de portabilité des personnes concernées ;
• les fonctions de modification et de suppression nécessaires aux droits de rectification et d’effacement ;
• les informations utiles à une analyse d’impact, lorsque le client doit en conduire une.

Si une personne concernée adresse directement une demande à l’éditeur, celui-ci ne lui répond pas sur le fond : il la transmet au client sans délai, ce dernier étant seul responsable du traitement.

À la fin du contrat, le client dispose de trois mois pour exporter ses données ou en demander la restitution dans un format structuré et couramment utilisé.

Passé ce délai, les données sont supprimées des systèmes actifs. Les sauvegardes les contenant encore sont effacées par rotation dans un délai maximal de soixante jours supplémentaires, sans qu’elles puissent être exploitées entre-temps.

L’éditeur ne conserve, au-delà, que les données dont la loi lui impose la conservation, notamment les pièces comptables relatives à l’abonnement.

En cas de violation de données à caractère personnel concernant les données du client, l’éditeur en informe ce dernier dans les meilleurs délais et au plus tard sous quarante-huit heures après en avoir pris connaissance.

Cette information précise la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises pour y remédier.

Il appartient au client, en sa qualité de responsable de traitement, de procéder le cas échéant à la notification auprès de la CNIL et à l’information des personnes concernées.

L’éditeur met à disposition du client, sur demande écrite, les informations nécessaires pour démontrer le respect des obligations du présent document.

Le client peut demander un audit, au maximum une fois par an, sous réserve d’un préavis de trente jours et de la signature d’un engagement de confidentialité. L’audit ne doit pas compromettre la sécurité des autres clients ni porter sur leurs données. Ses frais sont à la charge du client, sauf s’il révèle un manquement significatif.

Toute demande relative au présent document — exemplaire daté, extrait de registre, demande d’audit, notification d’incident — est adressée à quantisysdev@gmail.com.

Enzo Gogibus, exerçant sous l’enseigne Quantisys, 1556 route de la Biolle, 73200 Pallud, France. SIRET 944 277 573 00019.

L’éditeur tient un registre des catégories d’activités de traitement effectuées pour le compte de ses clients, conformément à l’article 30.2 du règlement. Il peut en communiquer un extrait sur demande.

Le client demeure de son côté tenu de tenir son propre registre, en qualité de responsable de traitement.