Projet d’accord de traitement des données

L’entreprise qui souscrit à John, ci-après le Client, agit comme responsable de traitement pour les données métier qu’elle introduit ou fait traiter dans le service. Elliott Oger, entrepreneur individuel, OG Conception Industrielle, 39 Le Helleux, 97180 Sainte-Anne, SIRET 904 685 393 00012, agit comme sous-traitant, ci-après OG.

Chaque partie reste responsable des traitements qu’elle détermine pour son propre compte. OG demeure notamment responsable des données nécessaires à la gestion de ses comptes, contrats, factures, sécurité et obligations légales.

OG traite les données uniquement pour fournir, maintenir, sécuriser, assister et restituer John pendant la durée du contrat et la période de sortie prévue. Le contrat, les réglages administrateur, les actions réalisées dans l’interface et les instructions écrites du Client constituent les instructions documentées.

OG informe le Client lorsqu’une instruction paraît contraire au droit applicable, sauf interdiction légale. Une demande qui élargit substantiellement la finalité ou les moyens fait l’objet d’un accord écrit avant exécution.

Les opérations peuvent comprendre collecte via l’interface, hébergement, organisation, consultation, recherche, extraction, génération de documents, synchronisation de messageries, préparation d’actions, transmission aux intégrations activées, export, limitation, anonymisation et suppression.

Les finalités sont la gestion commerciale et opérationnelle du Client, la communication avec ses contacts, la production et le suivi de documents, la facturation électronique et l’assistance par John. Aucune donnée Client n’est vendue ni utilisée par OG pour entraîner un modèle général.

Les catégories peuvent inclure identité et coordonnées, données professionnelles, informations sur les piscines et interventions, contrats, devis, factures, paiements, achats, stocks, messages, pièces jointes, documents, images, voix transcrite, journaux et contenus fournis à John. Les personnes peuvent être les utilisateurs, salariés, prospects, clients, fournisseurs, partenaires et correspondants du Client.

Le service n’est pas conçu pour collecter intentionnellement des données de santé, biométriques, pénales ou relevant de l’article 9 du RGPD. Le Client évite de les introduire ou, si cela est indispensable, vérifie sa base légale et donne des instructions adaptées.

OG limite l’accès aux personnes qui en ont besoin pour leurs fonctions, soumises à une obligation de confidentialité et sensibilisées à la protection des données. Les accès d’assistance sont motivés, limités dans le temps, autorisés par un administrateur du Client et journalisés. OG ne révèle pas les données à un tiers sauf instruction, obligation légale ou sous-traitance déclarée.

OG met actuellement en œuvre des mesures proportionnées au risque : chiffrement TLS en transit, chiffrement des secrets applicatifs, mots de passe hachés, contrôle d’accès par rôle et entreprise, isolation des bases et stockages privés, mises à jour, journalisation des actions privilégiées, expiration des exports, analyse des fichiers et procédure d’incident.

Avant l’activation commerciale, le dispositif prévu ajoute des sauvegardes hors site chiffrées côté serveur avec Restic vers OVHcloud Object Storage à Paris. Il vise un point de reprise maximal d’une heure (RPO) et une remise en service sous quatre heures (RTO) pour le périmètre de gestion inclus. Son activation reste conditionnée à une première restauration hors site réussie ; ces objectifs devront ensuite être contrôlés chaque semaine et lors d’un exercice trimestriel sur machine propre.

Le Client protège ses comptes, attribue des droits adaptés, vérifie ses intégrations et signale sans délai toute compromission. Le détail susceptible d’affaiblir la sécurité n’est pas publié.

Le Client donne une autorisation générale aux catégories de prestataires listées sur la page Sous-traitants. OG informe le Client d’un ajout ou remplacement substantiel avant sa prise d’effet afin qu’il puisse émettre une objection motivée. OG impose des obligations de protection équivalentes et demeure responsable de leur exécution dans les limites du droit applicable.

Pour un transfert hors de l’Espace économique européen, OG ou le prestataire utilise un mécanisme reconnu, notamment une décision d’adéquation ou des clauses contractuelles types accompagnées des mesures nécessaires. Une intégration dont les garanties ne sont pas vérifiées ne doit pas être activée.

OG aide le Client, compte tenu de la nature du traitement et des informations disponibles, à répondre aux demandes d’accès, rectification, effacement, limitation, opposition et portabilité, à documenter les violations, à réaliser les analyses d’impact et à consulter une autorité. OG transmet au Client toute demande reçue directement concernant ses données, sans répondre à sa place sauf instruction ou obligation légale.

OG notifie au Client toute violation confirmée affectant ses données sans délai indu. La notification décrit, selon les éléments disponibles, la nature de l’incident, les catégories et volumes approximatifs, les conséquences probables, les mesures prises et le point de contact. Les compléments sont fournis progressivement et OG conserve un registre interne des incidents.

Les durées par catégorie figurent dans la politique de confidentialité. Le Client peut réduire les durées configurables sans neutraliser une obligation légale. À la fin du contrat, OG permet l’export puis supprime les données opérationnelles sous 30 jours, sauf conservation exigée par la loi ou gel juridique documenté.

Les données supprimées des systèmes actifs peuvent subsister temporairement dans des sauvegardes chiffrées et isolées jusqu’à leur rotation. La politique prévue conserve 48 sauvegardes horaires, 14 quotidiennes, 8 hebdomadaires et 12 mensuelles ; le versioning de la destination peut prolonger cette conservation de 30 jours au maximum pour les versions non courantes. Toute restauration reste isolée jusqu’au rapprochement avec les demandes d’effacement et oppositions consignées dans un registre indépendant des sauvegardes. Tant que ce registre n’est pas opérationnel, ou si ce contrôle ne peut pas être établi avec une assurance suffisante, le traitement affecté reste suspendu et le Client est informé.

OG met à disposition les informations raisonnablement nécessaires pour démontrer le respect du présent accord. Un audit documentaire peut être demandé une fois par an ou après un incident significatif. Un audit sur site exige un préavis raisonnable, respecte la confidentialité et la sécurité des autres clients, et reste à la charge du Client sauf non-conformité substantielle imputable à OG.

Le présent accord prévaut sur toute stipulation contradictoire concernant le traitement des données, sans modifier les autres obligations commerciales. Sa version et son empreinte sont enregistrées lors de l’acceptation par l’administrateur du Client. Une modification substantielle fait l’objet d’une information et, lorsqu’elle modifie les engagements essentiels, d’une nouvelle acceptation.

Questions et instructions relatives aux données : Elliott Oger · elliott.oger@outlook.fr · 07 83 94 57 35.