Accord de traitement des données

1. Objet et durée

Le sous-traitant traite des données personnelles pour le compte du responsable du traitement uniquement pour fournir le service décrit dans les Conditions d'utilisation. L'accord dure tant que le sous-traitant conserve des données du compte, donc aussi après la fin du service et jusqu'à la restitution ou la suppression (article 9).

2. Nature et finalité du traitement

Conservation, consultation, traitement, publication sur les liens choisis par le responsable du traitement et suppression des données saisies dans le compte, pour rédiger et envoyer des devis, recueillir l'acceptation en ligne, produire le PDF et mesurer la lecture des devis. Le traitement n'a lieu que sur instruction documentée du responsable du traitement : sont des instructions les Conditions d'utilisation, le présent accord et l'usage que le responsable du traitement fait du service, y compris celui des assistants IA qu'il connecte.

3. Catégories de données et de personnes concernées

Personnes concernées : les clients du responsable du traitement, et les personnes de contact indiquées dans leurs fiches et dans les devis.

Catégories de données personnelles traitées :

• nom et prénom, raison sociale, adresses, e-mail, téléphone et autres contacts ;
• numéro de TVA (partita IVA), code fiscal (codice fiscale), code SDI, PEC et autres données fiscales ;
• contenu des devis, services et montants proposés, et les notes que le responsable du traitement rédige ;
• statistiques de lecture décrites dans la politique pour ceux qui reçoivent un devis : jour, durée, actions sur la page, type d'appareil, navigateur, langue et pays, site de provenance, sans adresse IP ;
• l'enregistrement de l'acceptation : nom saisi, date et heure, choix, adresse IP, pays, navigateur et code de vérification.

Le responsable du traitement ne doit pas saisir de catégories particulières de données (article 9 du Règlement) ni de données relatives à des condamnations pénales, sauf si elles sont strictement nécessaires et qu'il le communique au sous-traitant.

Les données de l'utilisateur du compte (e-mail, nom, sessions, facturation) sont traitées par le fournisseur en tant que responsable du traitement, selon la Politique de confidentialité, et ne font pas l'objet du présent accord.

4. Obligations du sous-traitant

Le sous-traitant :

• traite les données uniquement sur instruction documentée du responsable du traitement, et l'avertit s'il estime qu'une instruction enfreint la réglementation ;
• garantit que les personnes autorisées à traiter les données sont tenues à la confidentialité ;
• adopte les mesures de sécurité de l'article 6 ;
• respecte les conditions de l'article 5 pour les sous-traitants ultérieurs ;
• assiste le responsable du traitement comme prévu aux articles 7 et 8 ;
• n'utilise pas les données à ses propres fins et ne les vend ni ne les cède ;
• met à la disposition du responsable du traitement les informations nécessaires pour démontrer le respect de ces obligations (article 10).

Le responsable du traitement reste tenu de disposer d'une base juridique pour les données qu'il saisit, d'informer ses propres clients et d'utiliser le service de manière licite. Preventivatoree présente aux lecteurs d'un devis la politique générale mentionnée à l'article 3 ; le responsable du traitement peut la compléter.

5. Sous-traitants ultérieurs

Le responsable du traitement donne au sous-traitant une autorisation écrite générale de recourir aux sous-traitants ultérieurs suivants. Avec chacun, le sous-traitant a un contrat qui impose des obligations de protection des données équivalentes à celles-ci.

Les trois derniers ne traitent que des données de l'utilisateur et non des clients du responsable du traitement, et sont indiqués par transparence. Les assistants IA que le responsable du traitement connecte (Claude, ChatGPT, Gemini) ne sont pas nos sous-traitants ultérieurs : ils sont choisis et instruits par le responsable du traitement, qui répond de la relation avec eux. Le sous-traitant ne leur envoie que ce qu'ils demandent par la connexion.

Modifications : le sous-traitant prévient le responsable du traitement par e-mail au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur. Le responsable du traitement peut s'y opposer pour des motifs liés à la protection des données en écrivant dans ce délai ; si aucune solution n'est trouvée, il peut fermer le compte.

6. Mesures de sécurité

Le sous-traitant applique les mesures suivantes, qui sont aujourd'hui présentes dans le service :

• les liens publics des devis utilisent des codes aléatoires de 192 bits, impossibles à deviner ou à énumérer ; les pages des devis ne sont pas indexées par les moteurs de recherche ;
• connexions uniquement en HTTPS, avec HSTS ;
• politique de sécurité du contenu (CSP) restrictive : scripts uniquement depuis le site lui-même, jamais en ligne, aucun service tiers sur les pages, aucune intégration dans d'autres sites ;
• connexion avec Google ou avec un lien à usage unique par e-mail valable 15 minutes, sans mot de passe à garder ; sessions sur des cookies protégés, non lisibles par les scripts de la page ;
• connexion des assistants IA avec OAuth 2.1, avec révocation à tout moment ;
• isolement entre comptes : chaque opération sur les données est limitée au compte qui la demande, et est couverte par des tests automatiques ;
• les devis acceptés ne peuvent pas être modifiés : c'est la base de données elle-même qui l'impose ;
• chiffrement au repos des données de la base de données, géré par Cloudflare ;
• statistiques de lecture sans adresse IP, avec un code anonyme calculé avec une clé journalière supprimée le lendemain, et suppression automatique après 13 mois ;
• accès du personnel aux données du compte uniquement lorsque cela sert à fournir une assistance ou à résoudre un problème.

7. Assistance au responsable du traitement pour les demandes des personnes concernées

Le sous-traitant transmet sans retard au responsable du traitement les demandes reçues directement des personnes concernées et ne répond que sur instruction du responsable du traitement. Le responsable du traitement peut exercer de manière autonome la plupart des droits depuis la page de gestion (consulter, rectifier, supprimer des fiches et des devis, à l'exclusion des enregistrements d'acceptation non modifiables). Pour le reste, le sous-traitant assiste le responsable du traitement par des mesures techniques et organisationnelles appropriées, dans des délais compatibles avec ceux du Règlement. Le responsable du traitement peut demander la suppression des statistiques de lecture d'un devis.

8. Violation de données personnelles

Le sous-traitant prévient le responsable du traitement par e-mail, sans retard injustifié et en tout cas dans les 48 heures après en avoir eu connaissance, de toute violation de données personnelles concernant les données du compte. L'avis décrit, pour autant que cela soit connu, la nature de la violation, les catégories et le nombre approximatif de personnes concernées et de données impliquées, les conséquences probables et les mesures adoptées ou proposées, de manière à permettre au responsable du traitement de notifier le Garante (autorité italienne de protection des données) dans les 72 heures, si cela est dû, et d'informer les personnes concernées.

9. Restitution ou suppression à la fin du contrat

À la fin du contrat, sur demande écrite du responsable du traitement (e-mail à hello@preventivator.ee), le sous-traitant restitue les données personnelles dans un format couramment utilisé ou les supprime, au choix du responsable du traitement, et élimine les copies existantes, sauf si la loi impose leur conservation. Sans demande, les données sont supprimées à la fin de la période de conservation indiquée dans les Conditions d'utilisation (12 mois). La restitution ou la suppression est gérée à la main par le sous-traitant, et non par une fonction du service.

10. Vérifications

Le sous-traitant répond aux demandes du responsable du traitement concernant les informations nécessaires pour démontrer le respect du présent accord. Si elles ne suffisent pas, il autorise des vérifications, y compris des inspections, menées par le responsable du traitement ou par un auditeur qu'il mandate, avec un préavis d'au moins 30 jours, pendant les heures de travail, sans entraver le service, en liant le vérificateur à la confidentialité. Les vérifications ne peuvent pas porter sur les données d'autres comptes. Les coûts sont à la charge du responsable du traitement, sauf si des violations graves apparaissent.

11. Droit applicable

Le droit italien et le tribunal indiqués dans les Conditions d'utilisation s'appliquent.