Accord de traitement des données

1. Quand cet ATD s'applique

Si vous utilisez Smile Rain uniquement à titre individuel pour gérer vos propres tâches et notes, le traitement de vos données est régi par la Politique de confidentialité et cet ATD ne s'applique pas à vous. Cet ATD s'applique uniquement si vous êtes une organisation agissant en tant que responsable du traitement dont l'utilisation de Smile Rain implique le traitement de données personnelles de vos employés, sous-traitants, clients ou autres utilisateurs finaux. Dans ce cas, l'article 28 du RGPD exige un accord écrit formalisant la manière dont le sous-traitant (Smile Rain) traite ces données.

2. Objet, nature et durée

Le traitement couvert par cet ATD est l'exploitation de l'espace de travail Smile Rain — le stockage, la récupération et l'affichage du contenu que le responsable du traitement téléverse — pendant la durée de l'abonnement du responsable du traitement et toute période de conservation ultérieure exigée par la loi. La nature du traitement est le traitement automatisé du contenu de l'espace de travail au moyen d'une infrastructure cloud. La finalité est de fournir l'espace de travail de productivité décrit dans les Conditions d'utilisation.

3. Catégories de données et personnes concernées

Les données personnelles traitées au titre de cet ATD peuvent inclure les noms, adresses e-mail, photos de profil, contenu des tâches kanban, contenu des notes, entrées chiffrées du coffre-fort et noms d'étiquettes. Les personnes concernées sont les employés, sous-traitants et utilisateurs finaux du responsable du traitement qui accèdent à l'espace de travail. Il incombe au responsable du traitement de s'assurer qu'il dispose d'une base légale pour téléverser et traiter ces données.

4. Obligations du sous-traitant (art. 28, par. 3, du RGPD)

Smile Rain, agissant en tant que sous-traitant, s'engage à :

• Traiter les données personnelles uniquement sur instructions documentées du responsable du traitement, y compris celles énoncées dans cet ATD et les Conditions d'utilisation, et informer immédiatement le responsable du traitement si une instruction venait à enfreindre la législation applicable.
• Veiller à ce que le personnel autorisé à traiter les données personnelles soit soumis à des obligations de confidentialité et n'ait accès qu'aux données nécessaires à ses fonctions.
• Mettre en œuvre les mesures techniques et organisationnelles de sécurité décrites au §6 et aider le responsable du traitement à respecter ses propres obligations de sécurité.
• Respecter les conditions du §5 pour recourir à des sous-traitants ultérieurs et demeurer responsable envers le responsable du traitement de tout sous-traitant ultérieur qui ne respecterait pas des obligations équivalentes.
• Aider le responsable du traitement à répondre aux demandes des personnes concernées (§8) et à remplir ses obligations au titre des articles 32 à 36 du RGPD (sécurité, notification des violations, AIPD et consultation préalable).
• Restituer ou supprimer toutes les données personnelles, au choix du responsable du traitement, à la fin de la relation, comme indiqué au §11.
• Mettre à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect de cet ATD et de l'article 28 du RGPD, et contribuer aux audits comme indiqué au §10.

5. Sous-traitants ultérieurs

Le responsable du traitement accorde une autorisation générale de recourir à des sous-traitants ultérieurs pour l'hébergement, l'authentification, l'analytique et l'acheminement des e-mails. La liste actuelle est publiée dans la Politique de confidentialité §3. Nous informerons le responsable du traitement au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur. Si le responsable du traitement s'y oppose, il peut résilier les services concernés par notification écrite dans ce délai de 30 jours. Nous imposons à chaque sous-traitant ultérieur des obligations non moins protectrices que celles du présent ATD.

6. Mesures de sécurité

Compte tenu de l'état de l'art, des coûts de mise en œuvre ainsi que de la nature et des risques du traitement, Smile Rain maintient des mesures techniques et organisationnelles comprenant : le chiffrement TLS en transit ; le chiffrement au repos au niveau de la couche de stockage ; des contrôles d'accès basés sur les rôles limitant l'accès aux données au personnel autorisé ; le chiffrement côté client pour les entrées du coffre-fort (le responsable du traitement détient la clé) ; et une revue annuelle de la posture de sécurité.

7. Transferts internationaux

Lorsque le transfert de données personnelles vers un sous-traitant ultérieur situé en dehors de l'UE/EEE est nécessaire, ces transferts sont effectués au titre des Clauses Contractuelles Types de la Commission européenne — en particulier le Module 2 (responsable du traitement vers sous-traitant) publié dans la décision (UE) 2021/914 de la Commission — complétées par des garanties supplémentaires lorsqu'une analyse d'impact du transfert en indique la nécessité. Des copies des CCT applicables sont disponibles sur demande.

8. Demandes des personnes concernées

Si une personne concernée contacte directement Smile Rain pour exercer ses droits, nous la réorienterons sans délai vers le responsable du traitement. Nous fournirons une assistance technique et organisationnelle raisonnable pour aider le responsable du traitement à répondre aux demandes d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition dans les délais imposés par la législation applicable.

9. Violations de données personnelles

En cas de violation de données personnelles affectant les données traitées au titre de cet ATD, Smile Rain notifiera le responsable du traitement sans délai injustifié et, en tout état de cause, dans les 72 heures après en avoir pris connaissance. La notification comprendra, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées pour remédier à la violation.

10. Audits et inspections

Le responsable du traitement a le droit d'auditer la conformité de Smile Rain à cet ATD et à l'article 28 du RGPD. Nous répondrons aux demandes d'audit écrites raisonnables dans un délai de 30 jours par un résumé de notre programme de sécurité et des certifications ou évaluations de tiers pertinentes. Les audits sur site nécessitent un préavis écrit d'au moins 30 jours, sont soumis à un accord de confidentialité signé et ne peuvent être réalisés plus d'une fois par an, sauf en cas de violation avérée.

11. Restitution ou suppression des données

Dans les 90 jours suivant la résiliation de l'abonnement du responsable du traitement, Smile Rain, au choix écrit du responsable du traitement, restituera toutes les données personnelles traitées au titre de cet ATD dans un format couramment utilisé et lisible par machine, ou les supprimera de manière sécurisée, sauf lorsque la conservation est requise par le droit de l'UE ou d'un État membre. Nous confirmerons l'achèvement par écrit.

12. Exécution de cet ATD

Pour exécuter cet ATD pour votre organisation, envoyez un e-mail à [email protected] en indiquant le nom de votre entité juridique et les coordonnées du signataire autorisé. Nous vous retournerons une copie contresignée sous 10 jours ouvrés. Jusqu'à l'échange d'une copie signée, votre utilisation de l'espace de travail en tant que responsable du traitement vaut acceptation des conditions de cet ATD telles que publiées.