Accord de traitement des données (DPA)

Ce texte est une traduction fournie pour votre commodité ; en cas de divergence, le texte anglais disponible à /dpa/ fait foi.

Finalité et utilisation des données

EuroVPS décrit toujours la nature et la finalité de toute collecte, de tout traitement ou de toute utilisation de données aux parties concernées par cette collecte, ce traitement ou cette utilisation. Dans le cadre d'une relation client, l'utilisation des données est décrite conformément à l'Accord de protection des données conclu entre EuroVPS et le Client.

Le traitement a lieu dans le centre de données EuroVPS choisi par le Client : Athènes ou Amsterdam (UE), ou Toronto (Canada, sous réserve de la décision d'adéquation de la Commission européenne). Tout autre transfert des données requiert le consentement préalable des personnes ou organisations liées à ces données et n'a lieu que si les Conditions particulières définies à l'article 44 (et aux articles similaires) du Règlement général sur la protection des données (RGPD, en anglais GDPR) sont remplies.

Assurance qualité

Outre le respect de toutes les dispositions énoncées ici, nous nous conformons aux obligations légales prévues aux articles 28 à 33 du RGPD. Nous veillons en particulier au respect des exigences suivantes :

Un Responsable de la protection des données est désigné au poste de Délégué à la protection des données. Nous informons immédiatement les personnes concernées de tout changement à ce poste. Les coordonnées du Délégué à la protection des données sont facilement accessibles sur notre site web.

Nous appliquons des protocoles de confidentialité stricts et veillons à ce que seuls certains employés aient accès au processus de collecte des données. Ces employés satisfont déjà aux exigences de confidentialité et connaissent la sécurité de la protection des données. Toute personne ayant accès à des données à caractère personnel ne peut les traiter que conformément aux instructions des personnes concernées par l'utilisation de ces données (y compris celles énoncées dans le présent document), sauf obligation légale contraire.

Lorsque cela est requis, les personnes ou organisations dont nous collectons, traitons ou utilisons autrement les données peuvent être tenues de coopérer avec une Autorité de contrôle. Nous pouvons également être tenus de coopérer avec elle sur demande.

Ces personnes ou organisations sont immédiatement informées de toute inspection ou mesure prise par l'Autorité de contrôle dès lors qu'elle concerne la collecte, le traitement ou toute autre utilisation de leurs données. Cela s'applique si nous faisons l'objet d'une enquête pour une infraction relative au traitement de données à caractère personnel.

Si l'un de nos Clients fait l'objet d'une inspection de l'Autorité de contrôle en lien avec une infraction, une procédure pénale ou la réclamation d'une partie lésée, nous mettons tout en œuvre pour l'assister au mieux de nos capacités.

Nous contrôlons régulièrement l'ensemble des processus internes ainsi que les mesures techniques et organisationnelles afin de garantir la conformité à toute législation applicable en matière de protection des données et la protection des droits de toutes les parties concernées.

La documentation attestant les mesures prises à cet égard est mise à la disposition de toutes les parties concernées sur demande.

Mesures techniques et organisationnelles conformément à l'article 32 du RGPD

Avant le début de tout service nécessitant la collecte ou le traitement de données, nous présentons aux personnes concernées les mesures techniques et organisationnelles mises en place pour protéger ces données. Toute utilisation ultérieure de ces données est limitée aux finalités convenues entre EuroVPS et la partie concernée, et ces mesures et finalités font partie intégrante des conditions de service liant EuroVPS et la partie concernée. Toute modification de ces mesures ou finalités n'est discutée et mise en œuvre qu'après accord mutuel entre EuroVPS et la partie concernée.

Nous prenons les mesures de sécurité nécessaires conformément à tous les articles pertinents du RGPD. Toutes les mesures garantissent un niveau de protection des données adapté au niveau de risque de chaque situation, en particulier quant à la confidentialité, à l'intégrité, à la disponibilité et à la résilience des systèmes en place. Ces mesures tiennent compte du coût de mise en œuvre, de la portée et de la finalité des données collectées, de l'état de la technique et du risque potentiel pour les droits et libertés d'une personne ou d'une organisation et pour ses données.

Nous pouvons faire évoluer les mesures techniques et organisationnelles prises pour protéger les données que nous collectons, y compris en mettant en œuvre des mesures alternatives, à condition qu'elles ne compromettent pas le niveau de sécurité des mesures techniques et organisationnelles en place. Tout changement substantiel est documenté.

Rectification, limitation et effacement des données

Nous ne sommes pas habilités à effacer ou à limiter le traitement de données pour le compte de tiers. Si nous sommes sollicités au sujet d'un problème de collecte de données, nous transmettons immédiatement la demande à la partie concernée.

Nous donnons suite sans délai à toute demande relative au « droit à l'oubli », aux politiques d'effacement, à la rectification des données, à la portabilité et à la communication.

Sous-traitance

En règle générale, nous ne communiquons pas les données que nous collectons à des tiers, mais dans le cas où nous ferions appel à un service externalisé susceptible d'avoir accès à ces données, nous mettons en place des dispositions contractuelles juridiquement contraignantes et les mesures nécessaires pour garantir la protection et la sécurité des données collectées.

Droits d'inspection

Les personnes ou organisations dont nous avons collecté les données ont le droit de procéder à des inspections après concertation avec nous, ou de faire réaliser des inspections par des inspecteurs dans des cas individuels précis. Elles ont le droit de vérifier le respect du présent document au moyen de contrôles ponctuels, qui doivent être annoncés dans un délai raisonnable.

Nous veillons à ce que le respect de nos obligations au titre de l'article 28 du RGPD puisse être vérifié. Nous fournissons aux personnes ou organisations concernées les informations pertinentes sur demande, ainsi que la documentation relative à la mise en œuvre des mesures techniques et organisationnelles en place pour protéger leurs données.

La documentation des mesures qui concernent (sans s'y limiter) la relation avec la personne ou l'organisation dont nous collectons les données peut être fournie conformément aux codes de conduite approuvés et aux certifications prévus par les articles pertinents du RGPD. Une documentation peut également être fournie sous forme de rapports, y compris ceux établis par des organismes indépendants (tels qu'un Délégué à la protection des données, un service de sécurité informatique, un auditeur qualité, etc.), ainsi qu'une certification appropriée par un service de sécurité informatique ou un audit de protection des données.

Nous pouvons demander des frais supplémentaires pour accompagner une inspection et financer la fourniture de documentation et/ou de certifications.

Communication en cas d'infraction

Nous respectons nos obligations relatives à la sécurité des données à caractère personnel et toutes les exigences relatives aux violations de données, aux analyses d'impact et aux consultations préalables visées aux articles 32 à 36 du RGPD.

Ces obligations comprennent :

1. Garantir des niveaux de protection suffisants au moyen de mesures techniques et organisationnelles tenant compte des diverses circonstances et finalités du traitement des données, ainsi que de la probabilité et de la gravité de toute violation potentielle de la loi due à des failles de sécurité. Des mesures sont également mises en place pour détecter toute violation de la loi le plus rapidement possible.
2. Nous signalons immédiatement aux parties concernées toute violation constatée de données à caractère personnel.
3. Le cas échéant, nous assistons les parties concernées dans leurs propres obligations d'information des personnes affectées. Nous leur rappelons également leurs obligations dans ce cas.
4. Nous assistons les parties concernées dans leur analyse d'impact relative à la protection des données.
5. Nous assistons les parties concernées préalablement à leur consultation de l'autorité de contrôle.
6. Nous pouvons facturer des frais pour l'assistance fournie à ce titre lorsqu'elle n'est pas comprise dans les services de support que nous proposons habituellement à nos clients et qu'elle ne résulte pas de nos propres manquements.

L'émission d'instructions

Toute instruction qui nous est donnée par une partie concernée doit être confirmée immédiatement par écrit par ladite partie.

Nous informons immédiatement la partie concernée si nous estimons qu'une instruction donnée enfreint la réglementation sur la protection des données. Nous sommes alors autorisés à suspendre l'exécution de cette instruction jusqu'à ce qu'elle ait été modifiée de manière à pouvoir être jugée conforme à la réglementation sur la protection des données.

Effacement et restitution des données à caractère personnel

Nous ne créons aucune copie ni aucun double de données à caractère personnel sans que les personnes ou organisations dont nous collectons les données en aient préalablement connaissance, à l'exception des copies de sauvegarde nécessaires pour garantir un traitement correct des données et des données nécessaires au respect de diverses obligations légales.

Nous détruisons tous les documents et jeux de données relatifs à une personne ou organisation donnée conformément à la législation sur la protection des données, à l'issue de la relation de service avec cette personne ou organisation ou à sa demande. Nous lui fournissons également toute information pertinente sur la nature et la date de l'effacement de ces données.

Nous conservons toute documentation permettant de prouver que les données ont été traitées correctement après la fin de la relation de service, conformément aux durées de conservation applicables. Nous pouvons être libérés de cette obligation en remettant cette documentation aux parties concernées à la fin de la relation de service.