Informations juridiques
Accord de traitement des données
Comprenez le traitement des données clients couvert par un DPA Configurix. Demandez l’accord et les annexes applicables à votre déploiement.
Mise à jour:
Cette page présente les sujets de traitement à examiner avec Configurix. L’accord contraignant identifie le client et le prestataire effectifs, les instructions convenues et les annexes du déploiement. Convenez de l’accord écrit applicable avant le traitement de données personnelles pour le compte de votre entreprise.
Accord et responsabilités
Lorsqu’un client détermine pourquoi et comment ses données personnelles sont utilisées, il agit en tant que responsable du traitement. Lorsque Configurix les traite pour son compte, ses obligations de sous-traitant sont définies par l’accord applicable et la loi. Les rôles dépendent du traitement effectif.
Le DPA convenu précise les droits et obligations du responsable et les devoirs du sous-traitant. Il se lit avec le contrat de service et ses annexes de traitement.
Périmètre et durée du service
Configurix est spécialisé dans les produits complexes et développe des configurateurs et logiciels de gestion sur mesure. Un déploiement peut relier sélection de produits et prix aux devis, au CRM et à la qualification des demandes, aux calendriers et rendez-vous, aux matériaux/BOM, aux interventions, commandes, factures ou intégrations convenues.
Documentez les fonctions et traitements effectivement inclus, leur finalité, la période de traitement et les instructions du client. Préparez l’annexe à partir des éléments suivants.
| Point à convenir | Éléments à documenter |
|---|---|
| Service et finalité | Fonctions du logiciel, opérations de traitement et finalités professionnelles couvertes. |
| Durée | Périodes du service et du traitement, et dispositions de fin de service. |
| Personnes et données | Personnes concernées et champs de données personnelles réellement utilisés. |
| Systèmes et lieux | Hébergement, stockage, pays d’accès, sous-traitants ultérieurs et systèmes connectés. |
| Sécurité et conservation | Mesures techniques et organisationnelles applicables, conservation et suppression. |
| Instructions et contacts | Instructions autorisées, contacts responsables et gestion des incidents et demandes. |
Personnes et données personnelles
Le périmètre peut comprendre les salariés du client utilisant le logiciel, les clients finaux, les contacts professionnels et les participants aux projets. Identifiez les groupes et champs applicables dans l’accord.
Les données produit et commerciales entrent dans le périmètre personnel lorsqu’elles identifient une personne ou concernent une personne identifiable. Limitez les données aux besoins du service convenu.
- Coordonnées et données de compte : nom, adresse électronique professionnelle, téléphone et adresse du projet
- Données de configuration, devis, rendez-vous, commande ou facture liées à une personne
- Messages, documents et informations d’assistance contenant des données personnelles
- Données techniques : adresses IP, activité des comptes et journaux pertinents
Instructions et confidentialité
Le traitement pour le compte du client suit ses instructions documentées, y compris celles relatives aux transferts, sauf obligation légale contraire. Précisez les personnes habilitées à donner des instructions et la gestion d’une instruction contraire au droit de la protection des données.
L’accord doit encadrer la confidentialité des personnes autorisées, les accès nécessaires à leur travail et la possibilité pour le responsable d’exercer ses droits contractuels.
Mesures techniques et organisationnelles
Convenez de mesures adaptées aux données, risques et architecture au titre de l’article 32 du RGPD lorsqu’il s’applique. Précisez les contrôles et responsabilités du déploiement réel, sans supposer des réglages identiques pour toutes les mises en œuvre.
L’annexe de sécurité devrait couvrir, selon les besoins, contrôle des accès, chiffrement, sauvegarde et restauration, disponibilité, surveillance, gestion des incidents et vérifications. Demandez les mesures et éléments justificatifs applicables au service envisagé.
Sous-traitants ultérieurs
Documentez les prestataires traitant les données clients, leurs tâches et la procédure d’autorisation. L’article 28 du RGPD exige une autorisation écrite préalable spécifique ou générale ; l’autorisation générale implique une information préalable et la possibilité de s’opposer aux changements proposés.
L’accord doit prévoir des obligations de protection équivalentes pour les sous-traitants ultérieurs et la responsabilité du sous-traitant pour leur exécution. Demandez la liste des prestataires et la procédure de modification de votre déploiement.
Hébergement et transferts internationaux
Identifiez les lieux de stockage et les pays depuis lesquels les données sont accessibles. Ils dépendent de l’hébergement, de l’assistance et des services connectés convenus ; demandez les destinations du déploiement réel.
Lorsque les règles du RGPD sur les transferts internationaux s’appliquent, documentez le mécanisme et les garanties pertinents, tels qu’une décision d’adéquation applicable ou des garanties contractuelles. Ils doivent correspondre au transfert réel ; le nom d’un prestataire ne suffit pas à établir ces dispositions.
Demandes, incidents et assistance
Le DPA doit couvrir l’assistance pour les droits des personnes, les obligations de sécurité, la notification des violations et les analyses d’impact lorsqu’elles s’appliquent, compte tenu du traitement et des informations disponibles.
En cas de violation de données personnelles concernant le traitement pour le compte du client, le sous-traitant doit informer le responsable sans retard injustifié. Consignez les contacts, l’escalade, le partage d’informations et les responsabilités dans l’accord.
Restitution, suppression et conservation
En fin de service, les dispositions convenues doivent prévoir restitution ou suppression au choix du responsable, y compris les copies existantes, sauf obligation légale de conservation. Définissez le format, les délais et les responsabilités.
Documentez les obligations de conservation et la gestion des sauvegardes. Demandez les dispositions applicables à vos données clients, sans supposer que la durée de conservation des demandes du site s’applique à votre logiciel.
Informations et droits d’audit
Le DPA doit prévoir les informations nécessaires pour démontrer les obligations de traitement pertinentes et les audits, y compris inspections, du responsable ou d’un auditeur autorisé. Convenez d’une procédure pratique de demandes et d’accès.
Demandez les documents de traitement et de sécurité applicables à votre service et consignez la procédure de contrôle convenue.
Demander l’accord
Utilisez le contact régional ou de protection des données pour demander un DPA signé, discuter de clauses ou obtenir les annexes de traitement de votre service.
- Identifiez votre entreprise et le service Configurix ou le projet envisagé
- Décrivez les données, utilisateurs, besoins d’hébergement et systèmes à connecter
- Demandez le périmètre du traitement, les mesures de sécurité, les prestataires et les détails des transferts
Visiteurs et demandes du site
Le traitement pour le site de Configurix, ses demandes commerciales et son administration est décrit dans la politique de confidentialité du site. Les choix de statistiques facultatives sont distincts des instructions d’un DPA client.