ReflexLibre et le Client s’engagent à respecter la réglementation en vigueur applicable au traitement de données à caractère personnel et, en particulier, le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 applicable à compter du 25 mai 2018, dite RGPD.
La présente section a pour objet de définir les conditions dans lesquelles ReflexLibre, sous-traitant, s’engage à effectuer pour le compte du Client, responsable de traitement, les opérations de traitement de données à caractère personnel.
ReflexLibre est autorisé à traiter pour le compte du responsable de traitement les données à caractère personnel nécessaires pour fournir, à la demande du Client, les services ci-après.
La nature des opérations réalisées sur les données est l’hébergement ou l’infogérance des applications auxquelles le Client à souscrit. Dans de nombreux cas, ReflexLibre ignore, conformément à l’article 6-1-2 de la loi n°2004-575 du 21 juin 2004, une ou plusieurs finalités poursuivies par le Client, le type de données à caractères personnels concernées et les catégories de personnes concernées. En revanche, chaque application a une ou plusieurs finalités intrinsèques décrites sur reflexlibre.net dans la partie « Applications ». La plupart des applications présentent également un système de gestion de compte contenant les types de données suivants : Dans certains cas, l’utilisateur peut compléter avec d’autres données à caractères personnels le concernant. Les catégories de personnes concernées sont en général les usagers, qu’ils possèdent un compte ou soient simples visiteurs de ces applications. Il reste possible que soient importées dans ces outils des données à caractère personnel concernant d’autres personnes, qui ne sont pas utilisatrices de l’application.Hébergement ou infogérance d’applications
Lorsque le Client demande de l’aide ou signale un dysfonctionnement, le Client peut être amené à porter à la connaissance de ReflexLibre, volontairement ou non, des données à caractère personnel. Par exemple, ceci peut arriver lors d’un partage d’écran. Dans ce cadre, les données à caractère personnel concernées par le traitement ainsi que les catégories de personnes concernées ne sont pas connues à l’avance. ReflexLibre et le Client, compte tenu de leurs possibilités et du contexte, font en sorte de limiter le plus possible l’étendue de ce partage d’informations.
S'il s’avère que la demande de support ou de conseil concerne manifestement un traitement de données à caractère personnel de grande étendue, les parties documentent les modalités de traitement de ces données.
Si la prestation de développement implique un traitement de données à caractère personnel, ce traitement fait l’objet d’une description spécifique incluse dans le Devis et décrivant la nature des opérations, la finalité du traitement, les données à caractère personnel concernées et les catégories de personnes concernées.
ReflexLibre s'engage à :
Dans le cadre de l’hébergement d’applications ou de serveur, ou de l’infogérance de serveurs loués au nom de ReflexLibre, ReflexLibre est autorisé à faire appel, en tant que sous-traitant ultérieur, à l’une des entités définies dans la liste des fournisseurs de serveur informatique compatibles avec les services de ReflexLibre.
En cas de migration vers les services d’un autre sous-traitant ultérieur de la liste, ReflexLibre informe préalablement et par écrit le responsable de traitement du changement envisagé. Le responsable de traitement dispose d’un délai minium de 15 jours à compter de la date de réception de cette information pour présenter ses objections. La migration ne peut être effectuée que si le responsable de traitement n'a pas émis d'objection pendant le délai convenu. Ce délai n’existe pas si le Client est à l’origine de la demande de migration.
En cas de recrutement de sous-traitants ultérieurs dans d'autres circonstances, le sous-traitant doit recueillir l’autorisation écrite, préalable et spécifique du responsable de traitement.
Il appartient au responsable de traitement de fournir l’information aux personnes concernées par les opérations de traitement au moment de la collecte des données.
Dans la mesure du possible, ReflexLibre doit aider le responsable de traitement à s’acquitter de son obligation de donner suite aux demandes d’exercice des droits des personnes concernées : droit d’accès, de rectification, d’effacement et d’opposition, droit à la limitation du traitement, droit à la portabilité des données, droit de ne pas faire l’objet d’une décision individuelle automatisée (y compris le profilage).
Lorsque les personnes concernées exercent auprès de ReflexLibre des demandes d’exercice de leurs droits, ReflexLibre doit adresser ces demandes dès réception par courrier électronique à l’adresse communiquée lors de la souscription des services.
ReflexLibre notifie au responsable de traitement toute violation de données à caractère personnel dans un délai maximum de 24 heures après en avoir pris connaissance par courrier électronique à l’adresse communiquée lors de la souscription des services. Cette notification est accompagnée de toute documentation utile afin de permettre au responsable de traitement, si nécessaire, de notifier cette violation à l’autorité de contrôle compétente.
Le Client assume la communication auprès des personnes concernées des violations des données à caractère personnel.
ReflexLibre aide le responsable de traitement pour la réalisation d’analyses d’impact relative à la protection des données.
ReflexLibre aide le responsable de traitement pour la réalisation de la consultation préalable de l’autorité de contrôle.
Les postes de travail utilisés par ReflexLibre sont chiffrés ainsi que ses unités de sauvegarde et les sauvegardes elles-mêmes.
Dans le cadre des offres d’hébergement ou d’infogérance, ReflexLibre s’engage à mettre en œuvre les mesures de sécurité suivantes : contrôle des signatures serveurs, authentification par clé, chiffrement TLS, chiffrement des sauvegardes, mises à jour régulières tels que définies dans les présentes, mise en place d’un parefeu et d’un programme contre les attaques par force brute, monitoring des services, suivi des failles de sécurité, vérification régulière de l’effectivité des sauvegardes.
Lors des prestations de développement, ReflexLibre applique de son mieux les bonnes pratiques en matières de sécurité.
Pour le conseil et le support, ReflexLibre limite le nombre d’interlocuteur afin d’éviter les attaques par ingénierie sociale.
Par ailleurs, ReflexLibre conseille ses clients pour sécuriser le transfert des informations avec ReflexLibre.
Au terme de la prestation de service relatif au traitement des données à caractère personnel, ReflexLibre s’engage à transmettre une copie de toutes ces données au responsable de traitement (par exemple par la transmission de la sauvegarde dans le cas de l’hébergement ou l’infogérance) puis à les détruire.
ReflexLibre communique au responsable de traitement le nom et les coordonnées de son délégué à la protection des données, s’il en a désigné un conformément à l’article 37 du règlement européen sur la protection des données
ReflexLibre déclare tenir par écrit un registre de toutes les catégories d’activités de traitement effectuées pour le compte du responsable de traitement comprenant :
ReflexLibre met à la disposition du responsable de traitement la documentation nécessaire pour démontrer le respect de toutes ses obligations et pour permettre la réalisation d'audits, y compris des inspections, par le responsable du traitement ou un autre auditeur qu'il a mandaté, et contribuer à ces audits.
Le responsable de traitement s’engage à :