Accord de traitement des données

1. Introduction

Cet accord de traitement des données ('DPA') fait partie des conditions d'utilisation ('Conditions') entre Infobits ApS ('Sous-traitant', 'nous', 'notre', 'nos') et le client utilisant nos services ('Responsable du traitement', 'vous', 'votre').

Ce DPA reflète l'accord des parties concernant le traitement des données personnelles par nous en votre nom dans le cadre de nos services selon les Conditions. Ce DPA est conçu pour assurer la conformité avec les lois et réglementations applicables en matière de protection des données, y compris, mais sans s'y limiter, le Règlement général sur la protection des données de l'Union européenne ('RGPD') et la loi californienne sur la protection de la vie privée des consommateurs ('CCPA').

2. Définitions

Les termes utilisés dans ce DPA auront les significations énoncées dans cette section, ou s'ils ne sont pas définis, les significations qui leur sont attribuées dans le RGPD ou d'autres lois applicables sur la protection des données :

• Données personnelles: Toute information relative à une personne physique identifiée ou identifiable ('Personne concernée')
• Traitement: Toute opération effectuée sur des données personnelles, que ce soit par des moyens automatisés ou non
• Responsable du traitement: L'entité qui détermine les finalités et les moyens du traitement des données personnelles
• Sous-traitant: L'entité qui traite les données personnelles pour le compte du responsable du traitement
• Sous-traitant ultérieur: Tout sous-traitant engagé par Infobits pour traiter des données personnelles pour le compte du responsable du traitement
• Lois sur la protection des données: Toutes les lois et réglementations applicables au traitement des données personnelles dans le cadre des Conditions, y compris, mais sans s'y limiter, le RGPD et le CCPA

3. Portée et finalité du traitement

Ce DPA s'applique au traitement des données personnelles par Infobits dans le cadre de la fourniture de ses services de suivi d'erreurs et d'analyses ('Services') tels que décrits dans les Conditions.

La finalité du traitement est de fournir les Services, qui impliquent la collecte d'informations sur les erreurs, de données de performance et d'analyses à partir des applications ou sites web du responsable du traitement pour aider à identifier et corriger les problèmes, améliorer les performances et obtenir des informations sur le comportement des utilisateurs d'une manière respectueuse de la vie privée.

4. Obligations et responsabilités

4.1 obligations du responsable du traitement

En tant que responsable du traitement, vous êtes responsable de vous assurer que votre utilisation de nos Services est conforme à toutes les lois applicables sur la protection des données. Spécifiquement, vous devez :

• Vous assurer que vous avez une base juridique valide pour le traitement des données personnelles et pour les activités de traitement que vous nous demandez d'effectuer
• Nous fournir des instructions claires et suffisantes concernant le traitement des données personnelles
• Informer vos utilisateurs du traitement de leurs données personnelles et vous assurer que vous avez obtenu les consentements nécessaires ou que vous disposez d'une autre base juridique valide pour partager les données avec nous
• Respecter toutes les exigences applicables aux responsables du traitement conformément aux lois applicables sur la protection des données

4.2 obligations du sous-traitant

En tant que sous-traitant, nous devons :

• Traiter les données personnelles uniquement sur vos instructions documentées, y compris en ce qui concerne les transferts vers des pays tiers, sauf si nous sommes tenus de le faire par une loi applicable
• Veiller à ce que les personnes autorisées à traiter les données personnelles se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité
• Mettre en œuvre des mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque du traitement
• Ne pas engager un autre sous-traitant (sous-traitant ultérieur) sans votre autorisation préalable et veiller à ce que tout sous-traitant ultérieur soit lié par les mêmes obligations de protection des données
• Vous aider, compte tenu de la nature du traitement, à répondre aux demandes des personnes concernées exerçant leurs droits en vertu des lois applicables sur la protection des données
• Vous aider à assurer le respect des obligations liées à la sécurité, à la notification des violations de données, aux évaluations d'impact sur la protection des données et aux consultations préalables avec les autorités de contrôle

5. Sous-traitants ultérieurs

Vous nous autorisez par la présente à engager des sous-traitants ultérieurs pour le traitement des données personnelles dans le cadre de la fourniture des Services. Nous tiendrons à jour une liste de nos sous-traitants ultérieurs actuels et vous fournirons un préavis d'au moins 30 jours pour tout changement de nos sous-traitants ultérieurs.

Si vous avez une objection raisonnable à tout nouveau sous-traitant ultérieur ou à son remplacement, vous devez nous en informer rapidement par écrit. Si vous vous opposez à un nouveau sous-traitant ultérieur ou à son remplacement, et que nous ne pouvons pas raisonnablement tenir compte de votre objection, vous pouvez résilier les Services en nous fournissant un avis écrit.

5.1 sous-traitants ultérieurs actuels

À la date de ce DPA, nous utilisons les sous-traitants ultérieurs suivants :

• Scaleway: Infrastructure cloud (Kubernetes, PostgreSQL, MySQL, NATS, registre d'images)
• Bunny.net: CDN et DNS
• Proton: E-mail et espace de travail
• Paddle: Traitement des paiements (merchant of record)
• GitHub: Dépôts de code
• Billy: Comptabilité
• Simply.com: Registraire de domaines (domaines principaux)
• Cloudflare: Registraire de domaines (tLDs de marque)

6. Mesures de sécurité

Nous mettrons en œuvre et maintiendrons des mesures techniques et organisationnelles appropriées pour protéger la sécurité, la confidentialité et l'intégrité des données personnelles. Nos mesures de sécurité comprennent, mais ne sont pas limitées à :

6.1 mesures de sécurité

• Chiffrement des données personnelles en transit et au repos
• Tests et évaluations réguliers de l'efficacité des mesures de sécurité
• Mesures pour assurer la confidentialité, l'intégrité, la disponibilité et la résilience continues des systèmes et services de traitement
• Processus de test, d'évaluation et d'appréciation réguliers de l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement
• Mesures pour assurer la capacité de restaurer la disponibilité et l'accès aux données personnelles en temps opportun en cas d'incident physique ou technique
• Contrôles d'accès et d'authentification pour garantir que seul le personnel autorisé a accès aux données personnelles

7. Notification de violation de données

Nous vous informerons sans délai injustifié après avoir pris connaissance d'une violation de données personnelles affectant les données personnelles traitées dans le cadre de ce DPA. Notre notification comprendra, dans la mesure du possible : une description de la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les catégories et le nombre approximatif d'enregistrements de données personnelles concernés, et une description des conséquences probables de la violation.

Nous vous fournirons également des informations sur les mesures prises ou proposées pour remédier à la violation, y compris des mesures pour en atténuer les effets négatifs possibles.

Nous coopérerons avec vous et prendrons les mesures commerciales raisonnables que vous nous indiquerez pour vous aider dans l'enquête, l'atténuation et la résolution de toute violation de données.

8. Droits des personnes concernées

Compte tenu de la nature du traitement, nous vous aiderons en mettant en œuvre des mesures techniques et organisationnelles appropriées, dans la mesure du possible, pour la réalisation de votre obligation de répondre aux demandes des personnes concernées exerçant leurs droits en vertu des lois applicables sur la protection des données.

Nous vous aiderons à répondre aux demandes des personnes concernées cherchant à exercer leurs droits, y compris, mais sans s'y limiter :

• Le droit d'accès à leurs données personnelles
• Le droit de rectification des données personnelles inexactes
• Le droit à l'effacement de leurs données personnelles
• Le droit à la limitation du traitement de leurs données personnelles
• Le droit à la portabilité des données

9. Audits et inspections

Nous mettrons à votre disposition toutes les informations nécessaires pour démontrer la conformité aux obligations énoncées dans ce DPA et permettrons et contribuerons aux audits, y compris les inspections, menés par vous ou un autre auditeur mandaté par vous.

Tout audit ou inspection sera mené pendant les heures normales de bureau, avec un préavis raisonnable à nous, et soumis à des procédures de confidentialité raisonnables. Ces audits n'auront lieu pas plus d'une fois par an, sauf en cas de violation de données ou si une autorité de contrôle l'exige.

Vous supporterez tous les coûts résultant de tout audit ou inspection, à moins qu'un tel audit ne révèle un non-respect important de ce DPA, auquel cas nous supporterons les coûts raisonnables de l'audit.

10. Durée et résiliation

Ce DPA commencera à la date d'entrée en vigueur des Conditions et restera en vigueur jusqu'à la résiliation des Conditions, après quoi ce DPA prendra automatiquement fin.

À la résiliation de ce DPA, nous devrons, à votre choix, supprimer ou vous retourner toutes les données personnelles et supprimer les copies existantes, sauf si la loi applicable exige le stockage des données personnelles.

11. Loi applicable

Ce DPA sera régi et interprété conformément aux lois du Danemark, sans égard à ses dispositions en matière de conflit de lois. Tout litige découlant de ce DPA sera résolu exclusivement devant les tribunaux du Danemark.

12. Coordonnées

Si vous avez des questions sur ce DPA, veuillez nous contacter à :