Annexe 2 · Protection des données personnelles

1. Rôles des Parties

Dans le cadre de l'exécution du Service, le Client agit en qualité de responsable de traitement : il détermine les finalités et les moyens des traitements, ainsi que la base légale applicable.

Alcinae agit en qualité de sous-traitant : elle traite les données à caractère personnel pour le compte du Client, uniquement sur instruction documentée de celui-ci.

Alcinae demeure responsable de traitement pour ses propres traitements, distincts du Service, tels que la gestion de la relation commerciale et les journaux techniques d'exploitation de son infrastructure. Ces traitements sont décrits dans sa politique de confidentialité.

2. Objet, nature et durée des traitements

• Objet Hébergement, stockage, consultation, modification et suppression des données nécessaires au fonctionnement du Service souscrit.
• Nature Opérations de collecte, d'enregistrement, de conservation, de consultation, d'extraction, de transmission et d'effacement réalisées par des moyens automatisés.
• Finalité Permettre au Client d'exploiter le Service conformément à sa destination, telle qu'identifiée au Devis ou, le cas échéant, aux Conditions Particulières.
• Durée Toute la durée du Contrat, prolongée du délai de restitution et de suppression prévu à la section 9.
• Conservation Les durées de conservation des Données Client sont fixées par les instructions du Client. À défaut d'instruction, les Données Client sont conservées pendant la durée du Contrat, puis supprimées dans les conditions de l'article 17 des CGA.

3. Données traitées et personnes concernées

Le tableau ci-dessous constitue la liste de référence des catégories de données traitées par Alcinae pour le compte du Client. Le périmètre applicable est celui du ou des services identifiés au Devis ou, le cas échéant, aux Conditions Particulières.

Le Client décide de l'information de ses visiteurs sur la mesure d'audience et, le cas échéant, du recueil de leur consentement.

Alcinae ne traite aucune donnée relevant des catégories particulières visées à l'article 9 du RGPD. Le Client s'interdit d'introduire de telles données dans le Service sans accord écrit préalable d'Alcinae.

4. Obligations d'Alcinae

Alcinae s'engage à :

• Traiter les données uniquement sur instruction documentée du Client, y compris pour les transferts hors Union européenne, et informer le Client si une instruction lui paraît constituer une violation du RGPD ;
• Garantir la confidentialité des données et veiller à ce que les personnes autorisées à les traiter soient soumises à une obligation de confidentialité ;
• Mettre en œuvre les mesures techniques et organisationnelles appropriées au sens de l'article 32 du RGPD, décrites à la section 6 ci-après ;
• Respecter les conditions de recours à un sous-traitant ultérieur définies à la section 5 ;
• Aider le Client à répondre aux demandes d'exercice des droits des personnes concernées, par la mise à disposition des fonctions d'extraction, de rectification et de suppression du Service, et à défaut par une assistance raisonnable ;
• Transmettre sans délai au Client toute demande d'exercice de droits reçue directement d'une personne concernée ;
• Aider le Client à respecter ses obligations au titre des articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations à sa disposition ;
• Notifier au Client toute violation de données à caractère personnel dans les conditions de la section 7 ;
• Mettre à disposition du Client la documentation nécessaire pour démontrer le respect des obligations du présent accord ;
• Tenir le registre des catégories d'activités de traitement effectuées pour le compte du Client, conformément à l'article 30.2 du RGPD.

5. Sous-traitants ultérieurs

Le Client autorise Alcinae à recourir aux sous-traitants ultérieurs suivants, qui présentent les garanties requises et sont liés par des obligations de protection équivalentes à celles du présent accord :

Les services d'authentification et de mesure d'audience utilisés par Alcinae sont auto-hébergés sur sa propre infrastructure et ne constituent pas des sous-traitants ultérieurs.

Alcinae informe le Client de tout changement envisagé concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, au moins trente (30) jours avant sa mise en œuvre. Le Client dispose de ce délai pour formuler une objection motivée. Les Parties recherchent alors de bonne foi une solution, par exemple le maintien du sous-traitant existant ou le choix d'un autre sous-traitant présentant des garanties équivalentes. À défaut de solution dans les trente (30) jours suivant l'objection, chacune des Parties peut résilier le Contrat par anticipation, par écrit, sans indemnité de part et d'autre et avec remboursement du prix au prorata de la Période d'Abonnement restante, dans les conditions de l'article 16 des CGA.

Prestataire de paiement (Stripe). Lorsque le Service encaisse des paiements en ligne, le prestataire de paiement est contracté par le Client, qui est titulaire du compte, et agit dans le cadre du contrat conclu directement entre le Client et ce prestataire. Il n'est pas un sous-traitant ultérieur d'Alcinae. Les données transmises à Stripe par le Service sont décrites à la section 3. Les transferts éventuels de ces données hors de l'Union européenne sont encadrés par Stripe, au titre du cadre de protection des données UE-États-Unis et des clauses contractuelles types de la Commission européenne. Les données de carte bancaire ne transitent pas par les serveurs d'Alcinae et ne sont jamais stockées par elle.

6. Mesures de sécurité

Conformément à l'article 32 du RGPD, Alcinae met en œuvre les mesures suivantes, qui constituent la liste de référence des mesures de sécurité du Service :

• Hébergement en France, dans le datacenter de Gravelines de la société OVHcloud ;
• Chiffrement des communications par TLS ;
• Hachage des mots de passe selon des algorithmes conformes à l'état de l'art ;
• Authentification des accès administrateurs et journalisation de ces accès ;
• Cloisonnement réseau, services internes non exposés sur Internet ;
• Sauvegardes à accès restreint, dans les conditions de l'article 7 des CGA ;
• Application régulière des mises à jour de sécurité des systèmes et des dépendances applicatives ;
• Restriction des accès aux données au strict nécessaire.

7. Violation de données

Alcinae notifie au Client toute violation de données à caractère personnel dans les meilleurs délais et au plus tard quarante-huit (48) heures après en avoir pris connaissance, par e-mail adressé au Contact pour les données personnelles indiqué aux Conditions Particulières ou, à défaut, au signataire du Devis.

La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou envisagées. Il appartient au Client, en sa qualité de responsable de traitement, de procéder le cas échéant à la notification à la CNIL et à l'information des personnes concernées.

8. Audit

Alcinae met à la disposition du Client, sur demande écrite, les informations nécessaires pour démontrer le respect des obligations du présent accord, notamment par la réponse à un questionnaire et la communication de preuves documentaires.

Le Client peut en outre faire réaliser un audit, par lui-même ou par un auditeur indépendant soumis à une obligation de confidentialité et non concurrent d'Alcinae, au maximum une fois par Période d'Abonnement, sauf violation de données avérée ou demande d'une autorité de contrôle, moyennant un préavis de trente (30) jours. L'infrastructure étant hébergée dans un datacenter tiers non accessible, l'audit porte sur la documentation, les configurations et les journaux, présentés lors d'une session à distance ou dans un lieu convenu entre les Parties, qui ne peut être le domicile de l'entrepreneur individuel. Il se déroule pendant les heures ouvrées, sans perturber l'exploitation du Service ni donner accès aux données des autres clients. Ses frais sont à la charge du Client, sauf si l'audit établit un manquement d'Alcinae à ses obligations au titre du présent accord.

9. Sort des données en fin de Contrat

À la fin du Contrat, Alcinae met à disposition du Client un export des données, puis les supprime définitivement de ses systèmes, sauvegardes comprises, dans les conditions et délais prévus à l'article 17 des CGA, sous réserve des obligations légales de conservation.

Alcinae remet au Client, sur sa demande, une attestation écrite de suppression des données.

10. Localisation et transferts

Les données sont hébergées en France, dans le datacenter de Gravelines de la société OVHcloud. Ni Alcinae ni ses sous-traitants ultérieurs ne transfèrent les Données Client en dehors de l'Union européenne.

Les données que le Service transmet au prestataire de paiement du Client peuvent en revanche faire l'objet de transferts hors de l'Union européenne par ce prestataire, encadrés dans les conditions décrites à la section 5.

11. Obligations et garanties réciproques

Le Client, en sa qualité de responsable de traitement, s'engage à :

• Documenter par écrit ses instructions relatives au traitement des données ;
• Garantir qu'il dispose d'une base légale valide pour chacun des traitements confiés à Alcinae ;
• Avoir informé les personnes concernées conformément aux articles 13 et 14 du RGPD, et leur avoir communiqué l'identité du responsable de traitement ;
• Avoir recueilli, le cas échéant, les autorisations des titulaires de l'autorité parentale lorsque des personnes mineures sont concernées, et veiller à la minimisation des données les concernant ;
• Garantir qu'il dispose des droits nécessaires sur les données issues de référentiels tiers qu'il demande à Alcinae de traiter pour son compte, et mandater expressément Alcinae à cette fin ;
• Veiller au respect des obligations du présent accord par ses propres utilisateurs ;
• Traiter les demandes d'exercice des droits des personnes concernées, Alcinae lui apportant l'assistance prévue à la section 4.

Chaque Partie garantit l'autre contre toute réclamation, action ou condamnation résultant de ses propres manquements au RGPD ou au présent accord. La garantie due par Alcinae reste soumise au plafond de responsabilité prévu à l'article 18 des CGA.

12. Contacts

• Alcinae Luc Nicolas, entrepreneur individuel (EI), contact@alcinae.com. Aucun délégué à la protection des données n'est désigné, les demandes étant traitées directement par le responsable légal.
• Client Contact pour les données personnelles indiqué aux Conditions Particulières ou, à défaut, signataire du Devis.