Mentions légales et politiques
Accord de traitement des données (DPA)
Ces termes font référence à FIRST SERVER. La personne morale, l'adresse enregistrée et les coordonnées sont publiées dans notre Mentions légales. Vous pouvez nous contacter via le Page Contactez-nous.
1. Parties, rôles et candidature
Ce DPA est destiné à être intégré dans un contrat de service accepté dans lequel le client agit en tant que responsable du traitement (ou sous-traitant autorisé) et FIRST SERVER traite les données personnelles en son nom. La publication à elle seule n’exécute pas un accord de traitement. Avant le début du traitement, les parties doivent enregistrer les informations spécifiques au service dans la section 11 et convenir des dispositions applicables en matière de sécurité et de sous-traitant ultérieur. Si le client est un sous-traitant, il confirme l'autorité de son responsable du traitement pour désigner FIRST SERVER.
2. Instructions documentées
Le traitement se limite à la fourniture et à la sécurisation de l'infrastructure sous-traitée et à l'exécution d'instructions licites documentées, y compris des instructions concernant les transferts. L'accord, le calendrier de traitement complété et les demandes de service autorisées forment ces instructions. Si la loi exige un autre traitement, FIRST SERVER en informera au préalable le client, sauf interdiction. FIRST SERVER informera immédiatement le client s'il considère qu'une instruction enfreint le RGPD ou toute autre loi applicable en matière de protection des données de l'UE ou d'un État membre.
3. Confidentialité et sécurité
Le personnel autorisé doit être tenu à des obligations de confidentialité. FIRST SERVER doit mettre en œuvre les mesures techniques et organisationnelles appropriées conformément à l'article 32 du RGPD, en tenant compte du risque, de l'étendue, du coût et de l'état de la technique. Le programme de sécurité convenu doit aborder le contrôle d'accès et le moindre privilège, la confidentialité, l'intégrité et la disponibilité, la séparation des locataires, la gestion des incidents, la restauration, la sécurité physique et l'évaluation régulière. Un cryptage spécifique, une fréquence de sauvegarde, des temps de récupération ou des certifications ne s'appliquent que s'ils sont documentés et convenus ; aucune certification non vérifiée n'est revendiquée ici.
Le client reste responsable de sa collecte légale, de ses instructions, des autorisations au niveau des applications et des tâches de sécurité qui lui sont attribuées par le contrat de service.
4. Sous-traitants
FIRST SERVER ne peut désigner des sous-traitants ultérieurs qu'avec l'autorisation écrite préalable, spécifique ou générale, du client. Dans le cadre d'une autorisation générale, la liste actuelle doit être fournie et les propositions d'ajouts ou de remplacements notifiées au moins 30 jours à l'avance, permettant une objection motivée en matière de protection des données. Les parties chercheront une solution appropriée ; si cela n’est pas possible, le traitement concerné ne doit pas se poursuivre sans une solution licite convenue, qui peut inclure la fin du service concerné.
Les sous-traitants doivent être tenus à des obligations en matière de protection des données équivalentes à celles applicables au traitement délégué. FIRST SERVER reste responsable envers le client de l'exécution de ces obligations par le sous-traitant ultérieur. Un fournisseur de services de mise à disposition de sites Web n'est pas automatiquement un sous-traitant pour chaque charge de travail client hébergée.
5. Assistance et violations de données personnelles
Compte tenu de la nature du traitement, FIRST SERVER doit assister le client avec les demandes des personnes concernées et avec les articles 32 à 36 du RGPD, y compris la réponse aux violations, les analyses d'impact et la consultation préalable. Les demandes reçues directement seront transmises rapidement, à moins que la loi n'exige une autre réponse.
FIRST SERVER doit informer le client dans les plus brefs délais après avoir pris connaissance d'une violation de données personnelles affectant les données personnelles du client. Les détails disponibles incluront la nature, les catégories concernées et les chiffres approximatifs lorsqu'ils sont connus, les conséquences probables, le point de contact et les mesures d'atténuation. Les informations peuvent être fournies par étapes sans autre retard injustifié. Les délais de notification légaux du client restent à sa charge.
6. Virements internationaux
Les lieux de traitement et les transferts doivent être documentés dans le calendrier de service. Les transferts en dehors de l'EEE nécessitent des instructions légales et un mécanisme valide du chapitre V du RGPD, tel qu'une décision d'adéquation applicable ou des clauses contractuelles types appropriées, avec les mesures supplémentaires nécessaires. Ce DPA ne remplace pas en soi les clauses de transfert international.
7. Démonstration de conformité et audits
FIRST SERVER doit mettre à disposition les informations nécessaires pour démontrer le respect de l'article 28 et permettre et contribuer aux audits, y compris les inspections par le client ou un auditeur agréé. Des arrangements raisonnables peuvent protéger la confidentialité, les autres clients et la sécurité, mais ne doivent pas mettre en échec le droit d'audit ou l'accès du régulateur. Les parties doivent coordonner la portée et le calendrier, sauf lorsque l’urgence l’exige.
8. Fin du traitement
Au choix du client, FIRST SERVER doit restituer ou supprimer les données personnelles du client après la fin du service et supprimer les copies existantes, à moins que la législation de l'UE ou d'un État membre n'exige la conservation. Les parties documenteront le format d'exportation et le calendrier de suppression, y compris l'expiration de la sauvegarde. Les copies conservées doivent rester protégées, être isolées de l'utilisation ordinaire le cas échéant et être supprimées à la fin de l'obligation de conservation.
9. Responsabilité et préséance
Le DPA prévaut sur les conditions générales contradictoires relatives au traitement des données personnelles. Les limites contractuelles ne s'appliquent entre les parties que dans la mesure licite et ne peuvent restreindre les droits des personnes concernées en vertu de l'article 82 du RGPD, les obligations envers les autorités de contrôle ou toute autre responsabilité impérative. Le traitement par FIRST SERVER de ses propres enregistrements de facturation et de contacts professionnels en tant que responsable du traitement est décrit séparément dans la politique de confidentialité.
10. Contacts
Le client doit désigner un contact opérationnel en matière de confidentialité et d'incident dans le planning de service. Les coordonnées de FIRST SERVER se trouvent sur le Page Contactez-nous. Les coordonnées doivent rester à jour pour les notifications urgentes.
11. Calendrier de traitement requis spécifique au service
Les éléments suivants doivent être complétés et convenus pour chaque service applicable avant que le présent DPA ne soit considéré comme l'accord de traitement complet :
- Identité du client/contrôleur et contacts autorisés ; la commande acceptée et la date d'entrée en vigueur du DPA.
- Objet, durée, nature et finalités : par exemple, stockage, transmission, sécurisation et suppression de données dans l'environnement d'hébergement spécifié pendant la durée de service et la période de fermeture convenue.
- Catégories de personnes concernées et données personnelles réellement impliquées, y compris toute catégorie particulière ou donnée relative à une infraction pénale et restrictions convenues.
- Lieux de traitement, sous-traitants agréés, tâches déléguées et garanties en matière de transfert international.
- Mesures techniques et organisationnelles concrètes, répartition des responsabilités et éventuelles dispositions de restauration ou de sauvegarde convenues.
- Dispositions de retour, de suppression et d’expiration de sauvegarde, et instructions supplémentaires documentées.
Cette page établit le cadre contractuel ; il n'affirme pas que le calendrier d'un client inconnu ou la liste des sous-traitants ultérieurs ont déjà été convenus.