Accord de traitement des données

Objet et parties

Cet accord fait partie du contrat entre le client et KASOCORP SAS (« Cairn »). Il s’applique aux données personnelles que Cairn traite pour le compte du client quand il fournit le service. Pour ces données, le client est responsable du traitement et Cairn est sous-traitant, au sens du règlement (UE) 2016/679 (le RGPD).

Détail du traitement

• Objet et finalité : fournir le service Cairn au client, c’est-à-dire héberger un espace de travail, l’afficher aux personnes que le client autorise, en partager des parties par des liens de partage et le rendre accessible aux agents que le client connecte.
• Durée : la durée de l’abonnement, puis la suppression décrite plus bas.
• Nature : stockage, affichage, transmission, sauvegarde et suppression.
• Personnes concernées : le personnel et les prestataires du client, et les personnes nommées dans ses feuilles de route.
• Catégories de données : nom, adresse e-mail, rôle, équipe, responsabilité des projets, traces des actions, et le texte libre que le client saisit. Le service n’est pas prévu pour des catégories particulières de données, et le client n’en saisit pas.

Instructions

Cairn traite les données uniquement sur instruction documentée du client, c’est-à-dire le contrat, l’usage du service et les demandes écrites du client. Cairn informe le client s’il estime qu’une instruction enfreint la loi.

Confidentialité

Les personnes qui travaillent sur les données chez Cairn sont tenues à une obligation de confidentialité.

Sécurité

Cairn prend des mesures adaptées au risque. Aujourd’hui, elles comprennent :

• les échanges entre le client et le service sont chiffrés ;
• chaque personne a un rôle dans chaque espace de travail, et ce qu’elle peut faire suit ce rôle ;
• les sessions, les jetons d’API et les jetons de renouvellement sont stockés sous forme d’empreintes ;
• un lien de partage ne montre que les champs choisis pour lui, et peut expirer ou être révoqué ;
• les espaces de travail sont séparés par des contrôles de l’application, sur une base de données partagée ;
• les modifications et les actions sensibles sont enregistrées ;
• la base de données est copiée dans des sauvegardes.

Sous-traitants ultérieurs

Le client donne à Cairn une autorisation générale de recourir aux sous-traitants ultérieurs listés sur la page des sous-traitants ultérieurs. Cairn prévient le client au moins 30 jours avant d’en ajouter ou d’en remplacer un, et le client peut s’y opposer pour un motif raisonnable pendant ce délai. Cairn impose à chaque sous-traitant ultérieur des obligations qui protègent les données au même niveau que cet accord, et en reste responsable.

Aide au client

Compte tenu de la nature du traitement, Cairn aide le client à répondre aux demandes des personnes concernées, à sécuriser les données, à notifier une violation et à réaliser une analyse d’impact quand il en faut une.

Violation de données personnelles

Cairn prévient le client dans les meilleurs délais après avoir pris connaissance d’une violation de données personnelles qui touche les données du client, et lui donne les informations dont il dispose et dont le client a besoin pour remplir ses propres obligations.

Suppression et restitution

À la fin des services, Cairn remet au client, sur demande, une copie du contenu de son espace de travail dans un format courant, puis supprime ce contenu de la base active. Les sauvegardes expirent à la fin de leur durée de conservation, soit 30 jours. Cairn ne garde des données plus longtemps que si la loi l’exige.

Audits

Cairn donne au client les informations nécessaires pour démontrer qu’il respecte cet accord, et permet les audits du client ou d’un auditeur qu’il désigne, une fois par an, avec un préavis raisonnable, pendant les heures ouvrées et aux frais du client, sans accès aux données des autres clients.

Transferts hors de l’Espace économique européen

Cairn ne transfère des données personnelles hors de l’Espace économique européen qu’avec une garantie que le RGPD admet, comme une décision d’adéquation ou les clauses contractuelles types.

Ordre de priorité et droit applicable

Si cet accord et les conditions d’utilisation diffèrent en matière de protection des données, cet accord l’emporte. Le droit français le régit, et les tribunaux désignés dans les conditions d’utilisation sont compétents. Le texte français l’emporte et le texte anglais est une traduction de courtoisie.