Data Processing& GDPR

Cette page résume la position publique d'Altovar en matière de RGPD et de traitement des données, à l'intention des services achats, juridique, sécurité et protection de la vie privée. Elle est conçue pour répondre aux questions récurrentes soulevées lors de l'intégration des fournisseurs, des contrôles préalables (due diligence) et des évaluations de sécurité.

Elle complète — et ne remplace pas — la Politique de confidentialité, la Politique relative aux cookies, les Conditions d'utilisation, ainsi que tout accord de traitement des données (DPA) signé.

Altovar en tant que responsable du traitement : Pour les données personnelles collectées via notre site web, nos démarches commerciales, l'administration des comptes, la facturation, la correspondance d'assistance et les préférences marketing, Altovar agit en tant que responsable de traitement indépendant.

Altovar en tant que sous-traitant : Lorsqu'un client utilise les services d'Altovar pour stocker, analyser, transmettre ou traiter de toute autre manière des données personnelles pour le compte de ce client, Altovar agit en tant que sous-traitant et le client demeure responsable du traitement, sauf si une répartition différente est définie dans le contrat ou l'architecture du service.

La répartition des rôles est précisée plus en détail dans le bon de commande applicable, la documentation du service et le DPA.

Altovar est établie en Europe et conçoit sa stratégie d'infrastructure de manière à préserver le contrôle juridictionnel de l'UE, à réduire le risque lié aux transferts et à garantir la transparence opérationnelle.

Notre posture de service standard repose sur un hébergement dans l'UE. Les charges de travail applicatives principales, les bases de données, les sauvegardes et les systèmes opérationnels sont sélectionnés de manière à conserver les données de production au sein de l'EEE partout où l'architecture du produit le permet. Lorsqu'une diffusion en périphérie (edge) ou un outil d'assistance introduit un point de contact avec un pays tiers, Altovar applique des garanties documentées et limite l'accès au strict nécessaire.

Altovar fournit un accord de traitement des données (DPA) pour les scénarios de sous-traitance. Pour les formules Business et Enterprise, les clauses du DPA peuvent être intégrées au bon de commande ou au contrat-cadre de services. Pour les autres clients, un DPA standard est disponible sur demande.

Le DPA couvre les instructions de traitement, la confidentialité, les sous-traitants ultérieurs, les mesures de sécurité, la notification des violations, l'assistance à l'exercice des droits des personnes concernées, la suppression / restitution des données et la coopération en matière d'audit dans des limites commercialement raisonnables.

Les demandes de DPA ou d'avenant contractuel peuvent être adressées à [email protected].

Altovar applique un processus contrôlé d'évaluation des fournisseurs pour l'infrastructure, les paiements, les communications et les services de sécurité associés. Chaque sous-traitant ou sous-traitant ultérieur est évalué quant à son adéquation technique, ses implications juridictionnelles, ses contrôles de sécurité, sa couverture contractuelle et sa maturité en matière de réponse aux incidents avant toute mise en production.

Les sous-traitants ultérieurs sont liés par des contrats écrits reflétant les exigences de l'article 28 du RGPD lorsque cela est applicable. Altovar tient un registre interne des sous-traitants ultérieurs et notifie tout changement substantiel par les mécanismes contractuels définis dans le DPA ou le contrat client.

Altovar applique des mesures techniques et organisationnelles à plusieurs niveaux, adaptées à la sensibilité de la charge de travail et au niveau de service concerné. Ces mesures incluent généralement le contrôle d'accès, l'administration selon le principe du moindre privilège, l'authentification multifacteur (MFA) sur les systèmes internes, le transport chiffré, le stockage chiffré le cas échéant, la journalisation d'audit, la gestion des vulnérabilités, les contrôles de sauvegarde et la ségrégation des environnements.

Nos mesures sont réexaminées à mesure que nos produits évoluent. Lorsqu'un client a besoin d'un récapitulatif des mesures techniques et organisationnelles à des fins d'achat ou d'audit, Altovar peut fournir un aperçu à jour sous NDA ou dans le cadre du processus de DPA / de revue de sécurité.

Lorsqu'Altovar agit en tant que responsable du traitement, nous répondons directement aux demandes d'accès, de rectification, d'effacement, d'opposition, de portabilité et de limitation, conformément à notre Politique de confidentialité.

Lorsqu'Altovar agit en tant que sous-traitant, nous assistons le client — dans les limites des fonctionnalités du service et du cadre contractuel — afin qu'il puisse remplir ses propres obligations envers les personnes concernées. Cela peut comprendre une aide à l'export, des processus de suppression, la journalisation des accès ou une coordination opérationnelle via les canaux d'assistance et de protection de la vie privée.

Altovar met en œuvre des procédures de gestion des incidents pour les événements affectant la sécurité, la disponibilité, la confidentialité et l'intégrité des données des clients ou de l'entreprise.

Lorsqu'Altovar agit en tant que sous-traitant et a connaissance d'une violation de données personnelles affectant les données d'un client, nous en informons le client sans retard injustifié afin qu'il puisse évaluer ses éventuelles obligations de notification à l'autorité de contrôle ou aux personnes concernées. Lorsqu'Altovar agit en tant que responsable du traitement, nous évaluons et assumons directement nos obligations de notification conformément au RGPD et au droit national applicable.

Altovar ne fait pas des transferts vers des pays tiers un modèle de fonctionnement par défaut. Si une dépendance de service spécifique, un flux d'assistance ou une fonction de diffusion en périphérie crée un scénario de transfert, Altovar s'appuie sur un mécanisme de transfert juridique identifié et sur des mesures supplémentaires proportionnées avant toute mise en production.

Selon le fournisseur et le contexte de traitement, ces garanties peuvent inclure des décisions d'adéquation, des clauses contractuelles types, la minimisation des accès, le chiffrement et la réalisation d'une analyse d'impact des transferts.

La conformité au RGPD ne s'obtient pas par la seule posture du fournisseur. Les clients restent responsables du choix d'une base légale appropriée, de la configuration licite de leurs environnements, de la définition de règles de conservation conformes à leurs obligations et de la transmission d'instructions valides dans les scénarios de sous-traitance.

Altovar fournit le cadre contractuel et technique nécessaire à une utilisation conforme, mais chaque client demeure responsable de la manière dont il utilise le service dans son propre contexte, y compris l'accès des employés, les contenus téléversés, les choix de conservation et les intégrations tierces.