Accord de traitement des données

Responsable du traitement = le client, sous couvert d'un contrat de services en vigueur ; Sous-traitant = statycs GmbH (FN 613704g, Liechtensteinstraße 59, 1090 Vienne, Autriche).

Le présent accord régit les traitements effectués pour le compte du Responsable du traitement dans le cadre de la plateforme SaaS statycs. Il prend effet dès l'acceptation des Conditions générales. Le DPA prévaut en matière de protection des données.

Objet : traitement des données à caractère personnel nécessaires à la fourniture de la plateforme par statycs.

Durée : durée du contrat de services, augmentée de toute période de clôture et de suppression prévue au § 11.

Fourniture de la plateforme : collecte, stockage, organisation, structuration, consultation, extraction, utilisation, effacement.

Uniquement sur instructions documentées du Responsable du traitement, sauf obligation découlant du droit de l'Union européenne ou du droit autrichien.

Catégories : noms, adresses électroniques, numéros de téléphone, fonctions, société, adresse IP, navigateur et appareil, et toute information saisie par le Responsable du traitement. Les données financières téléversées peuvent contenir des données à caractère personnel.

Personnes concernées : salariés, prestataires, clients, fournisseurs, investisseurs et autres personnes physiques.

Le Responsable du traitement est le responsable du traitement au sens du RGPD et répond seul de la licéité du traitement des données à caractère personnel, y compris de l'existence d'une base juridique valable, tant pour le traitement lui-même que pour le transfert des données à statycs.

Le Responsable du traitement répond de l'exactitude, de la qualité et de la licéité des données à caractère personnel fournies à statycs, ainsi que du respect de l'ensemble des lois applicables en matière de protection des données, y compris l'information des personnes concernées quant au traitement de leurs données.

statycs s'engage à :

• Traiter les données uniquement sur instructions documentées
• Soumettre le personnel autorisé à une obligation écrite de confidentialité
• Mettre en œuvre des MTO appropriées
• Prêter assistance pour les réponses aux articles 15 à 22 du RGPD
• Prêter assistance pour les articles 32 à 34 du RGPD, les AIPD et les consultations préalables
• Notifier toute violation de données sans retard injustifié
• Restituer ou supprimer les données au terme du contrat, sauf obligation légale de conservation
• Informer le Responsable du traitement si une instruction enfreint le RGPD

statycs satisfait aux obligations d'audit de l'article 28, § 3, point h) du RGPD en fournissant, sur demande écrite raisonnable et au maximum une fois tous les douze mois, un résumé de sécurité à jour, la liste des sous-traitants ultérieurs et des réponses écrites à un questionnaire raisonnable du Responsable du traitement. Un audit sur site peut être mené au maximum une fois tous les vingt-quatre mois ou à tout moment sur instruction de l'autorité de contrôle ou en cas de soupçon fondé de violation. Aux frais du Responsable du traitement, avec un préavis de 30 jours, pendant les heures ouvrables, sur accord écrit préalable portant sur le périmètre, le calendrier et la confidentialité.

Liste des sous-traitants ultérieurs :

• Google Analytics (Google LLC, États-Unis) - mesure d'audience
• PostHog (PostHog Inc., États-Unis ; PostHog Cloud EU hébergé en Allemagne) - analyse produit
• Hanko (Hanko GmbH, Allemagne) - authentification
• Zero (Zero Inc., Finlande) - CRM
• Hetzner (Hetzner Online GmbH, Allemagne) - hébergement
• Chatwoot (Chatwoot Inc., États-Unis) - chat en direct pour les visiteurs du site, non pour les utilisateurs de l'application

L'ensemble des sous-traitants ultérieurs est lié par des contrats écrits comportant des obligations de protection des données équivalentes. Le Responsable du traitement est informé au moins 30 jours à l'avance. Il peut s'y opposer dans un délai de 14 jours pour des motifs raisonnables. À défaut de résolution, le Responsable du traitement peut résilier à la date de prise d'effet du changement ; remboursement au prorata.

Traitement principalement au sein de l'UE / EEE. Clauses contractuelles types et décisions d'adéquation, le cas échéant.

Copie des garanties sur demande à [email protected].

statycs met en œuvre les mesures techniques et organisationnelles suivantes :

• Chiffrement des données en transit (TLS) et au repos
• Contrôle d'accès fondé sur les rôles (RBAC) selon le principe du moindre privilège
• Authentification multifactorielle en interne
• Revues périodiques de sécurité et tests par des tiers de manière ponctuelle
• Sauvegardes et plan de reprise d'activité
• Journalisation et surveillance des accès aux données à caractère personnel
• Formation des collaborateurs à la sécurité

Description à jour disponible sur demande à [email protected].

Notification sans retard injustifié dès que statycs en a connaissance.

Contenu de la notification : nature de la violation, catégories et volume de données concernées, conséquences probables, mesures prises ou proposées, et point de contact ([email protected]).

Obligation de coopération avec le Responsable du traitement.

La responsabilité au titre du traitement des données prévu par le présent DPA est régie par les Conditions générales du contrat de services sous-jacent. Aucune disposition du présent DPA ne modifie ni n'étend le régime de responsabilité convenu entre les parties.

Chaque partie répond des dommages causés par un traitement contraire au RGPD, conformément à l'article 82 du RGPD. statycs n'est responsable que des dommages causés par un traitement non conforme aux obligations incombant spécifiquement aux sous-traitants au titre du RGPD ou aux instructions licites du Responsable du traitement.

Résiliation automatique en cas de résiliation du contrat de services.

Conservation pendant 30 jours, puis suppression définitive, sauf demande du Responsable du traitement de restitution dans un format courant et structuré. Dérogation en cas de conservation légale, avec information du Responsable du traitement.

Droit autrichien applicable ; juridiction exclusive : Vienne.