Accord de traitement des données

Le présent DPA régit le traitement par HansaChat des données à caractère personnel du client afin de fournir le service. L’objet, la nature, la finalité, les catégories de données, les personnes concernées et la durée sont précisés à l’annexe 1.

Le client détermine les finalités et les moyens essentiels du traitement du contenu des espaces de travail. HansaChat traite ces données pour le compte du client. Le présent DPA ne couvre pas les données à caractère personnel que HansaChat traite comme responsable indépendant pour la facturation, l’administration des comptes, la sécurité du service, la prévention des abus, l’administration de l’assistance ou la conformité ; ce traitement est décrit dans la Politique de confidentialité.

HansaChat traite les données à caractère personnel du client uniquement sur la base d’instructions documentées du client, y compris le Contrat de service, le présent DPA, l’utilisation et la configuration du service par le client, ainsi que les instructions ultérieures envoyées sous forme de texte. HansaChat peut traiter les données lorsque le droit de l’Union ou d’un État membre l’exige et informe le client au préalable, sauf si ce droit interdit cette information pour d’importants motifs d’intérêt public.

HansaChat informe immédiatement le client si, à son avis, une instruction contrevient au RGPD ou à une autre législation applicable de l’Union ou d’un État membre en matière de protection des données, et peut suspendre l’instruction concernée jusqu’à sa confirmation ou sa modification.

HansaChat garantit que chaque personne autorisée à traiter les données à caractère personnel du client est liée par une obligation de confidentialité ou un devoir légal approprié et ne reçoit un accès que lorsque cela est nécessaire à l’exploitation, à la maintenance, au dépannage, à la sécurité, à la prévention des abus, à la conformité légale ou à l’assistance demandée par le client.

Lorsque l’article 3 de la loi allemande sur la protection des données des services numériques de télécommunications (TDDDG) s’applique, HansaChat protège également le contenu et les circonstances des communications au titre du secret des télécommunications. HansaChat n’acquiert pas de connaissance au-delà de ce qui est nécessaire pour fournir le service de communication ou protéger ses systèmes techniques, et n’utilise cette connaissance à une autre fin que si une loi l’autorise expressément en matière de télécommunications.

L’obligation de confidentialité se poursuit après la fin de l’activité de la personne concernée et après la fin du Contrat de service.

En tenant compte de l’état de l’art, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, HansaChat maintient des mesures techniques et organisationnelles appropriées au titre de l’article 32 du RGPD. Les mesures actuelles sont décrites à l’annexe 2 et sur la page Sécurité.

HansaChat peut mettre à jour ces mesures à mesure que la technologie et les risques évoluent, à condition que le niveau global de protection ne soit pas sensiblement réduit pendant le Contrat de service.

Le client accorde à HansaChat une autorisation écrite générale d’utiliser les sous-traitants ultérieurs listés à l’annexe 3. HansaChat impose à chaque sous-traitant ultérieur des obligations de protection des données essentiellement identiques, reste responsable de son exécution au titre du présent DPA et tient la liste à jour.

HansaChat notifie par e-mail, au moins 30 jours à l’avance, au contact du compte du client ou par un avis de service bien visible tout ajout ou remplacement d’un sous-traitant ultérieur traitant des données à caractère personnel du client. Un délai plus court peut être utilisé lorsque cela est nécessaire pour faire face à un risque urgent de sécurité, juridique ou de disponibilité ; HansaChat notifie alors dès que raisonnablement possible.

Le client peut s’y opposer pendant le délai de notification pour des motifs raisonnables de protection des données. Les parties œuvrent de bonne foi à une solution commercialement raisonnable. À défaut de solution disponible, le client peut résilier le service concerné avant que le nouveau sous-traitant ultérieur ne commence le traitement, sans pénalité pour la période prépayée non utilisée de ce service.

Le stockage principal des espaces de travail est situé en Allemagne. Les copies de sauvegarde Restic chiffrées sont stockées à Francfort et à Stockholm. La distribution réseau et les fonctions de soutien facultatives peuvent impliquer d’autres lieux, comme indiqué à l’annexe 3.

HansaChat ne transfère pas de données à caractère personnel du client vers un pays tiers ou une organisation internationale, sauf instruction du client, nécessité pour fournir une fonctionnalité activée du service ou obligation légale, et uniquement si les exigences du chapitre V du RGPD sont remplies. Les garanties applicables peuvent inclure une décision d’adéquation, les clauses contractuelles types de la Commission européenne et des mesures techniques et organisationnelles supplémentaires.

Si HansaChat reçoit une demande d’une personne concernée concernant des données à caractère personnel du client, elle transmet sans tarder la demande au client et n’y répond pas, sauf autorisation du client ou obligation légale.

Compte tenu de la nature du traitement et des informations disponibles, HansaChat assiste raisonnablement le client dans l’exercice des droits des personnes concernées et dans ses obligations au titre des articles 32 à 36 du RGPD, y compris la sécurité, l’évaluation des violations, les analyses d’impact relatives à la protection des données et les consultations préalables.

HansaChat notifie au client, sans retard injustifié après en avoir pris connaissance, toute violation de données à caractère personnel affectant des données à caractère personnel du client. La notification comprend les informations dont dispose HansaChat et dont le client a raisonnablement besoin pour ses obligations au titre des articles 33 et 34 du RGPD ; des informations complémentaires peuvent être fournies par phases dès qu’elles deviennent disponibles.

HansaChat prend des mesures raisonnables pour contenir, examiner, remédier et atténuer la violation et coopère avec le client. La notification ne vaut pas reconnaissance de faute ni de responsabilité.

Au choix du client, HansaChat restitue ou supprime les données à caractère personnel du client après la fin des services de traitement et supprime les copies existantes, sauf obligation de conservation en vertu du droit de l’Union ou d’un État membre. Le client doit demander la restitution avant la date de suppression de l’espace de travail ; à défaut d’instruction, la suppression est sélectionnée.

Les espaces de travail payants et d’essai résiliés restent utilisables jusqu’à la fin de la période payante ou d’essai en cours, puis deviennent accessibles en lecture seule pendant 90 jours avant suppression. La suppression demandée par le propriétaire rend l’espace de travail immédiatement en lecture seule et le supprime après une période de grâce de 30 jours, sauf annulation. Les espaces de démonstration sont supprimés après 24 heures. Les espaces de travail gratuits restent inscriptibles et sont supprimés après 90 jours sans message conservé. Les bases de données des espaces de travail et les objets téléversés sont supprimés par le processus de suppression applicable ; les données supprimées disparaissent des sauvegardes chiffrées selon le calendrier de l’annexe 2.

HansaChat met à disposition les informations raisonnablement nécessaires pour démontrer la conformité à l’article 28 du RGPD et au présent DPA. Le client peut auditer le traitement couvert lui-même ou par un auditeur indépendant et qualifié lié par la confidentialité.

Les audits commencent normalement par la documentation disponible et un examen à distance. L’inspection sur site est possible lorsque la documentation est insuffisante ou qu’il existe des indices raisonnables de non-conformité, avec un préavis raisonnable et sans porter atteinte aux autres clients, à la sécurité ou aux secrets d’affaires. Le client prend en charge les coûts raisonnables de l’audit, sauf si celui-ci révèle une violation substantielle par HansaChat. Les pouvoirs des autorités de contrôle ne sont pas limités.

Le présent DPA commence lorsqu’il devient contraignant conformément à la section Statut contractuel et reste en vigueur jusqu’à ce que HansaChat ait supprimé l’ensemble des données à caractère personnel du client. Si HansaChat ne peut pas se conformer au présent DPA, elle en informe sans tarder le client. Le client peut suspendre le traitement ou résilier le service concerné lorsqu’une violation substantielle n’est pas remédiée dans un délai raisonnable.

La responsabilité, le droit applicable et la juridiction suivent le Contrat de service, sauf si le droit impératif de protection des données l’exige autrement. Rien dans le présent DPA ne limite les droits des personnes concernées ni les pouvoirs d’une autorité de contrôle compétente.