Accord de traitement des données
Cet accord couvre les données personnelles qu’une équipe met dans Subsigno — les noms de ses membres, leurs adresses e-mail professionnelles, leurs fonctions, les signatures enregistrées, les photos, logos et bannières. Pour ces données, l’équipe est le responsable du traitement et Subsigno est le sous-traitant. Il fait partie des Conditions et s’accepte en utilisant les comptes d’équipe.
Projet — en cours de relecture juridique, ce n’est pas un conseil juridique. Il peut changer avant de prendre effet.
Qui est qui
Le Client est l’équipe, par l’intermédiaire de celui qui en est propriétaire. Le sous-traitant est Ruben José Dos Santos Marques (RJDSM), l’entrepreneur individuel qui exploite Subsigno, une marque de Solvetus ; les mentions légales portent l’identification complète. Pour les données de connexion des propriétaires et des membres, et pour le journal de sécurité, Subsigno décide lui-même des finalités et est responsable du traitement à part entière, comme l’explique la page Confidentialité.
Ce qui est traité, et pour combien de temps
Objet : fournir les comptes d’équipe, les images hébergées et les liens permanents, et les signatures d’équipe enregistrées. Personnes concernées : les propriétaires et membres du Client et les utilisateurs de ses boîtes partagées. Données : noms, adresses e-mail professionnelles, intitulés de poste, services, numéros de téléphone, informations sur l’entreprise, liens sociaux, photos, logos, bannières et contenu des signatures, ainsi que les données de connexion. Aucune catégorie particulière de données n’est visée, et le Client ne doit en fournir aucune. Durée : tant que l’équipe existe, puis seulement le temps indiqué par la page Confidentialité sous « Combien de temps nous conservons les données ».
Instructions et confidentialité
Subsigno ne traite les données que pour fournir le service et sur instructions documentées du Client — les actions des propriétaires sur les pages du compte, et les Conditions. Il informe le Client si une instruction lui paraît violer la législation sur la protection des données. Toute personne ayant accès aux données est tenue à la confidentialité.
Sécurité
Subsigno applique des mesures adaptées au risque, notamment : chiffrement en transit (HTTPS avec HSTS) et des sauvegardes ; connexion sans mot de passe, avec une clé d’accès en seconde étape pour les propriétaires ; l’espace de l’exploitant derrière Cloudflare Access ; des identifiants aléatoires ; des empreintes à sens unique à clé pour les codes de connexion et les compteurs ; des images réencodées pour supprimer les métadonnées ; des limites de débit ; aucune journalisation des requêtes d’images hébergées ; une sauvegarde chiffrée hors site, restaurée lors d’un test chaque trimestre ; et une procédure écrite en cas de violation de données personnelles.
Sous-traitants ultérieurs
Le Client accepte ces sous-traitants ultérieurs : Cloudflare (hébergement, base de données D1, stockage d’images R2 dans la juridiction de l’UE, DNS et cache) ; Microsoft (envoi des e-mails de connexion et de notification via Microsoft 365) ; OVH (sauvegardes chiffrées, en France). Subsigno reste responsable d’eux et lie chacun par des clauses de protection des données. Il prévient les propriétaires par e-mail 30 jours avant d’en ajouter ou d’en remplacer un ; un propriétaire qui s’y oppose peut télécharger les données de l’équipe et la supprimer avant que le changement ne prenne effet.
Transferts hors de l’EEE
Cloudflare et Microsoft sont des sociétés américaines. Lorsque des données les atteignent en dehors de l’Espace économique européen, le transfert repose sur le cadre de protection des données UE–États-Unis ou sur les clauses contractuelles types de la Commission européenne.
Aider le Client
Les propriétaires peuvent télécharger les données de l’équipe (page Vue d’ensemble) et supprimer l’équipe eux-mêmes (page Zone de danger), et chaque personne peut télécharger ses propres données (page Profil) et supprimer son compte (page Supprimer mon compte). Pour tout le reste — une demande d’une personne concernée, une analyse d’impact, une question d’une autorité — écrivez à privacy(at)subsigno.com et Subsigno vous aide dans un délai raisonnable.
Violations de données personnelles
Si Subsigno a connaissance d’une violation de données personnelles touchant les données de l’équipe, il en informe les propriétaires de l’équipe dans les meilleurs délais, avec ce qu’il sait : la nature de la violation, les données et les personnes concernées, les conséquences probables et ce qu’il fait pour y remédier.
Suppression et restitution
À tout moment, les propriétaires peuvent télécharger les données de l’équipe et demander sa suppression. Après la fenêtre de 30 jours, les données sont effacées ; les sauvegardes et la fenêtre de retour arrière de la base de données expirent selon le calendrier de la page Confidentialité. Seuls des identifiants aléatoires et une date sont conservés définitivement, et ils ne contiennent aucune donnée personnelle.
Audits
Subsigno fournit au Client les informations nécessaires pour démontrer qu’il respecte cet accord et autorise un audit par le Client ou son auditeur, avec 30 jours de préavis, au plus une fois par an, aux frais du Client et sans accès aux données des autres clients.
Acceptation et modifications
Une équipe accepte cet accord en utilisant les comptes d’équipe, comme le disent les Conditions. Subsigno peut le modifier en prévenant les propriétaires 30 jours à l’avance.