Annexe RGPD / DPA

La presente annexe RGPD / DPA encadre les traitements de donnees personnelles realises dans le cadre des services fournis via la Plateforme Profitum, lorsqu'un traitement est effectue pour le compte d'un client ou d'un partenaire.

Elle complete les CGU, la politique de confidentialite, les CGV et toute documentation contractuelle applicable.

Le traitement en qualite de sous-traitant court pendant la duree du contrat principal et, le cas echeant, pendant les periodes strictement necessaires aux obligations legales d'archivage, de preuve et de conformite.

• Profitum agit en qualite de responsable de traitement pour ses finalites propres (securite, administration, facturation, supervision, prevention de la fraude, amelioration de la Plateforme).
• Profitum agit en qualite de sous-traitant lorsqu'elle traite des donnees sur instructions documentees d'un client ou partenaire (gestion operationnelle des dossiers, workflows, communications, hebergement technique).

Nature des operations : collecte, enregistrement, structuration, consultation, transfert, archivage, suppression.

Finalites principales : execution des services, mise en relation, suivi dossier, preuve, securite, conformite.

Categories de donnees : identite, coordonnees, donnees professionnelles, donnees de dossier, journaux techniques, documents transmis.

Categories de personnes : representants des clients, experts, apporteurs, collaborateurs autorises, prospects et contacts operationnels.

Profitum traite les donnees personnelles uniquement sur instructions documentees du responsable de traitement, sauf obligation legale contraire. Toute instruction complementaire est formalisee par ecrit.

Si une instruction parait manifestement illicite, Profitum en informe sans delai la partie concernee.

• Le responsable garantit disposer d'une base legale valable pour chaque traitement confie a Profitum.
• Il fournit des instructions documentees, licites, claires et proportionnees a la finalite poursuivie.
• Il garantit que les donnees transmises sont pertinentes, exactes et licitement collectees en amont.
• Il informe les personnes concernees conformement aux articles 12 a 14 du RGPD.
• Il demeure responsable des demandes des personnes concernees et des arbitrages de conformite.
• Il peut exercer ses droits d'audit dans les conditions prevues a l'article 15.

Profitum veille a ce que les personnes autorisees a traiter les donnees soient soumises a une obligation de confidentialite et n'accedent qu'aux donnees strictement necessaires a leur mission.

Les habilitations sont gerees selon le principe du moindre privilege et revues periodiquement.

Profitum met en oeuvre des mesures techniques et organisationnelles appropriees au sens de l'article 32 du RGPD, en tenant compte de l'etat de l'art, des couts de mise en oeuvre, de la nature, de la portee, du contexte et des finalites du traitement, ainsi que des risques pour les droits et libertes des personnes physiques.

• Controles d'acces, authentification et gestion des habilitations
• Chiffrement en transit et mesures de protection des donnees au repos selon les contextes
• Journalisation et tracabilite des operations pertinentes
• Sauvegardes, supervision et mesures de continuite d'activite
• Cloisonnement logique des environnements et controles de securite applicatifs
• Gestion des vulnerabilites, correction et revue de securite raisonnable

Profitum peut recourir a des sous-traitants ulterieurs pour l'hebergement, la communication, la supervision et certaines fonctions techniques necessaires au service.

Le responsable donne une autorisation generale de recours aux sous-traitants ulterieurs, sous reserve d'une information prealable en cas d'ajout ou de remplacement substantiel. Le responsable peut emettre une objection motivee dans un delai raisonnable (en principe 15 jours calendaires) lorsque le changement cree un risque objectivement documente pour la protection des donnees.

Profitum impose a ces sous-traitants des obligations contractuelles equivalentes en matiere de securite, confidentialite, assistance et protection des donnees. Une liste des sous-traitants ulterieurs peut etre communiquee sur demande raisonnable et/ou annexee a la documentation contractuelle.

Profitum assiste le responsable de traitement, par des mesures techniques et organisationnelles appropriees, pour repondre aux demandes d'exercice des droits (acces, rectification, effacement, opposition, limitation, portabilite) dans les limites de ses moyens et obligations contractuelles.

En cas de violation de donnees personnelles relevant du perimetre sous-traitant, Profitum notifie sans delai indu le responsable de traitement et lui fournit les informations disponibles utiles a l'analyse, la documentation, la notification et, le cas echeant, l'information des personnes concernees.

La notification initiale est transmise via le canal contractuel de securite convenu entre les parties (a defaut : email de contact contractuel), et contient dans la mesure du possible : nature de l'incident, categorie de donnees concernees, volume estime, impact potentiel, mesures deja prises et plan d'attenuation.

Lorsque toutes les informations ne sont pas immediatement disponibles, Profitum complete la notification par vagues successives raisonnables au fur et a mesure de l'investigation.

Profitum assiste egalement en cas de controle d'une autorite de protection des donnees dans le perimetre concerne.

Profitum fournit une assistance raisonnable au responsable de traitement pour les analyses d'impact (DPIA) et, si necessaire, les consultations prealables aupres de l'autorite competente, compte tenu de la nature du traitement et des informations disponibles.

Tout transfert de donnees hors EEE est encadre par un mecanisme juridique approprie : decision d'adequation lorsque disponible, ou clauses contractuelles types (SCC/CCT) de la Commission europeenne en l'absence d'adequation, completees le cas echeant par des mesures supplementaires appropriees.

Profitum informe le responsable, sur demande raisonnable, des categories de transferts concernes, des pays de destination et des garanties mobilisees pour ces flux.

A l'issue du contrat et selon l'instruction du responsable, Profitum restitue les donnees personnelles exploitables et/ou les supprime dans un delai raisonnable, sauf conservation imposee par une obligation legale ou necessaire a la preuve des droits en justice.

Les copies de sauvegarde sont purgees selon les cycles techniques et politiques de retention applicables.

Le responsable de traitement peut demander des justificatifs raisonnables de conformite (audit documentaire, attestations, elements de controle) avec un preavis raisonnable et dans la limite d'une frequence compatible avec l'exploitation normale du service.

L'audit documentaire est privilegie. Tout audit sur site intervient en second niveau, uniquement si les justificatifs documentaires sont insuffisants ou en cas d'incident majeur de securite.

Sauf circonstance exceptionnelle justifiee, la frequence d'audit est limitee a un audit par periode de 12 mois. Les audits sont a la charge du responsable, sauf non-conformite grave imputable a Profitum constatee.

Les audits sont strictement encadres pour preserver la securite, la confidentialite, les secrets d'affaires et les droits des autres clients de Profitum.

En cas de demande d'une autorite administrative ou judiciaire portant sur des donnees traitees pour le compte d'un responsable, Profitum informe ce dernier, sauf interdiction legale.

En cas de contradiction entre la presente annexe et un autre document contractuel, la presente annexe prevaut pour les stipulations relatives a la protection des donnees personnelles dans le perimetre sous-traitant.

Service / activite : gestion de dossiers via la plateforme.

Nature et finalite : collecte, consultation, mise a jour, suivi operationnel et tracabilite.

Donnees concernees : identite, coordonnees, donnees professionnelles, documents de dossier.

Personnes concernees : representants clients, experts, apporteurs, collaborateurs habilites.

Duree indicative : pendant la relation contractuelle plus archivage contractuel raisonnable.

Service / activite : messagerie et coordination.

Nature et finalite : echanges et coordination des actions liees au dossier.

Donnees concernees : messages, metadonnees, pieces jointes utiles.

Personnes concernees : utilisateurs autorises de la plateforme.

Duree indicative : pendant le service puis retention limitee selon finalite de preuve.

Service / activite : journalisation et securite.

Nature et finalite : supervision, detection d'incident, prevention de fraude, auditabilite.

Donnees concernees : logs techniques, traces d'acces, evenements de securite.

Personnes concernees : utilisateurs, administrateurs techniques habilites.

Duree indicative : retention technique proportionnee (en principe jusqu'a 12 mois).

Service / activite : hebergement et sauvegarde.

Nature et finalite : disponibilite, continuite, restoration et resilience du service.

Donnees concernees : donnees presentes dans la plateforme et sauvegardes associees.

Personnes concernees : toutes categories de personnes liees au perimetre contractuel.

Duree indicative : selon cycles techniques de sauvegarde et obligations legales.