Avenant relatif au traitement des données

Pour les données personnelles que votre entreprise saisit au sujet de ses clients et de son personnel, vous êtes responsable de traitement et nous sommes sous-traitant. Le présent avenant fait partie de l’Offre publique et prévaut sur elle en cas de contradiction portant sur le traitement.

Nous traitons les coordonnées des clients, les rendez-vous et l’historique des visites, les références de paiement et les dossiers du personnel, aussi longtemps que votre espace de travail existe, plus la période de conservation prévue par l’Offre publique. Le traitement se limite à la fourniture du service et à ce que vous instruisez au travers de celui-ci.

Ne traiter que sur vos instructions ; préserver la confidentialité des données et y astreindre notre personnel ; appliquer les mesures techniques de la section 5 ; vous assister pour les demandes des personnes concernées, les analyses d’impact et les questions des autorités ; et supprimer ou restituer les données à la fin du traitement.

La liste à jour est publiée dans le document « Sous-traitants ultérieurs » et fait partie du présent avenant. Nous informons 30 jours avant l’ajout de l’un d’eux, et vous pouvez vous y opposer pour un motif légitime de protection des données — si l’objection ne peut être levée, vous pouvez résilier et obtenir un remboursement au prorata.

Chiffrement en transit et au repos ; identifiants d’intégration chiffrés avec une clé distincte et inaccessibles en lecture une fois enregistrés ; cloisonnement à trois niveaux se terminant par la sécurité au niveau des lignes de Postgres ; accès limité par rôle et par périmètre de fiches ; journal d’audit complet ; sauvegarde continue avec restauration à l’instant près ; et accès du support uniquement sous une autorisation limitée dans le temps que vous délivrez.

Le traitement a lieu dans l’Espace économique européen. Lorsqu’un sous-traitant ultérieur opère en dehors, le transfert repose sur les clauses contractuelles types assorties d’une analyse d’impact du transfert, l’une et l’autre disponibles sur demande.

Nous vous informons sans retard injustifié et, en tout état de cause, dans les 72 heures suivant la connaissance d’une violation de données personnelles affectant votre espace de travail, en indiquant ce que nous savons, ce que nous faisons, et ce que nous vous recommandons de dire à vos clients.

Moyennant un préavis raisonnable, une fois par an, vous pouvez examiner notre documentation de sécurité et les résultats de nos propres tests. Lorsqu’une autorité exige davantage, nous coopérerons à un audit sur site proportionné, à vos frais.