Accord de traitement des données

1. Quand cet accord s’applique

En bref: Il s’applique lorsque NINAWA traite pour vous des données personnelles de vos clients ou visiteurs, par exemple via un site ou un système que NINAWA conçoit, héberge ou maintient.

Le présent accord de traitement des données fait partie du contrat entre le client et l’exploitant juridique vérifié derrière NINAWA. Il s’applique chaque fois que NINAWA traite des données personnelles pour le compte du client afin de fournir le service convenu, par exemple des formulaires de contact ou de réservation, des comptes clients, des données de commande ou des listes de diffusion sur un site ou un système que NINAWA conçoit, héberge, maintient ou assiste.

Il ne couvre pas les données personnelles que NINAWA traite pour ses propres finalités, comme les coordonnées du client lui-même, les propositions, les factures ou les messages de support. Ce traitement est décrit dans la notice de confidentialité.

2. Rôles et instructions

En bref: Vous décidez de ce qu’il advient des données ; NINAWA suit uniquement vos instructions documentées.

Le client est responsable du traitement et l’exploitant juridique vérifié derrière NINAWA est sous-traitant. NINAWA traite les données uniquement sur instruction documentée du client, sauf si le droit de l’UE ou le droit belge l’exige autrement. Dans ce cas, NINAWA en informe le client avant le traitement, sauf si ce droit l’interdit.

• Les instructions documentées sont le présent accord, la proposition acceptée et l’annexe de projet, ainsi que les demandes écrites envoyées via Client Studio ou par e-mail.
• NINAWA n’utilise pas les données pour ses propres finalités, ne les vend pas et ne les combine pas avec les données d’autres clients.
• Si NINAWA estime qu’une instruction enfreint le droit de la protection des données, NINAWA en informe le client et peut suspendre cette instruction jusqu’à ce qu’elle soit confirmée ou modifiée.

3. Détails du traitement (annexe I)

En bref: Le tableau montre ce qui est habituellement traité ; votre annexe de projet fixe les détails exacts de votre projet.

La proposition acceptée ou l’annexe de projet fixe, pour chaque projet, l’objet, la durée, les finalités, les catégories de données et les personnes concernées. En cas de différence avec le tableau ci-dessous, l’annexe de projet s’applique.

4. Confidentialité

En bref: Seules les personnes qui ont besoin d’un accès pour fournir le service peuvent voir les données, et elles sont tenues au secret.

NINAWA ne donne accès aux données personnelles qu’aux personnes qui en ont besoin pour fournir le service et qui sont tenues à la confidentialité par contrat ou par une obligation légale. Leur accès prend fin dès qu’il n’est plus nécessaire.

5. Mesures de sécurité (annexe II)

En bref: NINAWA protège les données par des mesures techniques et organisationnelles adaptées au risque.

NINAWA applique des mesures techniques et organisationnelles appropriées, compte tenu de l’état de la technique, des coûts, de la nature du traitement et des risques pour les personnes concernées. Les mesures actuelles sont :

• Transport chiffré (HTTPS/TLS) pour les sites, Client Studio et l’administration.
• Accès uniquement par des comptes personnels, avec mots de passe robustes, protection des sessions et limitation des tentatives de connexion répétées.
• Séparation entre clients : chaque demande est vérifiée par rapport au client auquel elle appartient, et des tests automatisés le couvrent.
• Stockage privé des fichiers, hors du site public, téléchargeables uniquement après un contrôle d’accès ; les envois, téléchargements et suppressions sont journalisés.
• Sauvegardes chiffrées régulières, conservées séparément du serveur de production chez Hetzner dans l’UE, pendant une durée limitée (actuellement 30 jours), avec une procédure de restauration documentée.
• Les e-mails des sites et de Client Studio sont envoyés depuis les propres serveurs de messagerie de NINAWA, et les statistiques de visite tournent sur le propre serveur de NINAWA (Umami auto-hébergé) : aucun prestataire tiers d’e-mail ou d’analyse ne reçoit les données.
• Mises à jour logicielles et correctifs de sécurité dans le cadre de la maintenance et du Managed Care.
• Une procédure d’incident documentée, la journalisation des actions importantes et un accès de l’équipe limité à ce dont chaque rôle a besoin.

NINAWA peut améliorer ces mesures avec le temps, mais ne réduit pas le niveau global de protection sans en informer le client.

6. Sous-traitants ultérieurs

En bref: NINAWA n’utilise que d’autres prestataires enregistrés pour votre projet, et vous prévient avant d’en ajouter ou d’en remplacer un.

Le client donne une autorisation générale pour les sous-traitants ultérieurs enregistrés dans l’annexe de projet. Aujourd’hui, les serveurs de NINAWA sont hébergés dans l’UE par Hetzner et par une société d’hébergement belge, et les sauvegardes chiffrées sont conservées chez Hetzner. Le nom de chaque prestataire utilisé pour un projet figure dans l’annexe de projet et est communiqué sur demande. L’e-mail et les statistiques de visite tournent sur les propres serveurs de NINAWA, sans prestataire tiers d’e-mail ou d’analyse.

NINAWA informe le client par e-mail et dans Client Studio au moins 14 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur. Le client peut s’y opposer pour des motifs raisonnables liés à la protection des données. Si aucune solution raisonnable n’est trouvée, le client peut mettre fin au service concerné sans pénalité.

NINAWA impose les mêmes obligations de protection des données à chaque sous-traitant ultérieur et reste responsable envers le client de leur exécution.

7. Aide pour vos obligations

En bref: Si l’un de vos clients exerce ses droits, ou si vous devez évaluer un risque, NINAWA vous aide.

Compte tenu du service et des informations dont elle dispose, NINAWA aide le client pour :

• les demandes des personnes concernées (accès, rectification, effacement, opposition, portabilité) : NINAWA transmet sans retard injustifié au client toute demande qu’elle reçoit et n’y répond pas sans instruction ;
• la sécurité du traitement, l’évaluation des violations et les notifications correspondantes ;
• les analyses d’impact relatives à la protection des données et la consultation préalable de l’autorité de contrôle lorsque c’est requis.

L’aide dépassant un effort normal est facturée au tarif horaire convenu, et uniquement après approbation de l’estimation par le client.

8. Violations de données personnelles

En bref: Si un problème touche vos données, NINAWA vous prévient rapidement pour que vous puissiez respecter vos propres délais.

NINAWA informe le client sans retard injustifié, en visant un délai de 48 heures, après avoir pris connaissance d’une violation de données personnelles touchant des données du client. Dans la mesure où ils sont connus, la notification décrit :

• ce qui s’est passé et quand ;
• les catégories et le nombre approximatif de personnes et d’enregistrements concernés ;
• les conséquences probables ;
• les mesures prises ou proposées pour limiter le préjudice ;
• une personne de contact.

NINAWA complète l’information au fur et à mesure. En tant que responsable du traitement, le client décide de notifier ou non l’autorité de contrôle (dans les 72 heures lorsque c’est requis) et les personnes concernées ; NINAWA l’y aide.

9. Transferts hors de l’EEE

En bref: Vos données restent dans l’Espace économique européen, sauf si votre annexe de projet en dispose autrement et qu’une garantie juridique valable s’applique.

NINAWA ne transfère pas de données du client hors de l’Espace économique européen, sauf si cela figure dans l’annexe de projet et est couvert par une garantie valable, comme une décision d’adéquation ou les clauses contractuelles types de la Commission européenne.

10. Fin du service : restitution et suppression

En bref: À la fin du service, vous choisissez : vous récupérez vos données ou elles sont supprimées. Les sauvegardes suivent dans leur cycle normal.

À la fin du service, le client choisit si NINAWA restitue les données du client (un export du site, de son contenu et de ses données) ou les supprime. NINAWA :

• restitue ou supprime les données selon l’instruction et le confirme par écrit ;
• laisse expirer les sauvegardes selon leur cycle normal, actuellement dans les 30 jours, et ne les restaure que pour restituer des données au client ;
• ne conserve que ce que le droit de l’UE ou le droit belge exige, pendant la durée requise.

Les étapes du départ (export, transfert du domaine et des comptes, instructions de suppression et expiration des sauvegardes) sont affichées au client dans Client Studio.

11. Audits et information

En bref: Vous pouvez demander à NINAWA de démontrer qu’elle respecte cet accord.

NINAWA met à disposition les informations raisonnablement nécessaires pour démontrer le respect de l’article 28 du RGPD, d’abord par de la documentation et des réponses écrites. Si cela ne suffit pas, le client ou un auditeur tenu à la confidentialité peut réaliser un audit proportionné, après préavis raisonnable, pendant les heures de bureau et sans affecter la sécurité des autres clients. Chaque partie supporte ses propres frais d’audit, sauf si l’audit révèle un manquement important de NINAWA.

12. Durée, responsabilité et priorité

En bref: Cet accord dure aussi longtemps que NINAWA traite vos données et, en matière de protection des données, il prime sur les conditions générales.

Le présent accord s’applique tant que NINAWA traite des données du client, y compris la période de restitution et de suppression. La responsabilité suit les conditions générales, sous réserve du droit impératif et de l’article 82 du RGPD. En cas de contradiction en matière de protection des données avec les conditions générales ou un autre document contractuel général, le présent accord prévaut ; une annexe de projet acceptée pour un projet déterminé prévaut, pour ce projet, sur ce texte standard.

Les versions anglaise et néerlandaise du présent accord font foi ; les autres langues sont des traductions pour votre confort. Questions : support@ninawa.net.