Traitement des donnéeset RGPD

Traduction de courtoisie. En cas de divergence, la version anglaise prévaut.

Cette page résume la position publique d'Altovar en matière de RGPD et de traitement des données, à l'usage des équipes achats, juridiques, sécurité et protection des données. Elle vise à répondre aux questions récurrentes soulevées lors de l'intégration de fournisseurs, des audits de diligence raisonnable (due diligence) et des évaluations de sécurité.

Elle complète — sans les remplacer — la politique de confidentialité, la politique en matière de cookies, les conditions générales d'utilisation, ainsi que tout accord de traitement des données (DPA) conclu.

Altovar en tant que responsable du traitement : Pour les données à caractère personnel collectées via notre site web, nos démarches commerciales, la gestion des comptes, la facturation, la correspondance avec le support, et les préférences marketing, Altovar agit en tant que responsable du traitement indépendant.

Altovar en tant que sous-traitant : Lorsqu'un client utilise les services d'Altovar pour stocker, analyser, transmettre ou traiter de toute autre manière des données à caractère personnel pour son propre compte, Altovar agit en tant que sous-traitant et le client demeure responsable du traitement, sauf répartition différente définie dans le contrat ou l'architecture du service.

La répartition des rôles est précisée plus en détail dans le bon de commande (Order Form) applicable, la documentation du service, et le DPA.

Altovar est établie en Europe et conçoit sa stratégie d'infrastructure de manière à préserver le contrôle juridictionnel de l'UE, à limiter les risques liés aux transferts de données, et à garantir la transparence opérationnelle.

Notre positionnement standard repose sur un hébergement au sein de l'UE. Les charges applicatives principales, les bases de données, les sauvegardes et les systèmes opérationnels sont choisis de manière à conserver les données de production au sein de l'EEE, dans la mesure où l'architecture du produit le permet. Lorsque des outils de diffusion en périphérie (edge-delivery) ou de support introduisent un point de contact dans un pays tiers, Altovar applique des garanties documentées et limite l'accès au périmètre strictement nécessaire.

Altovar met à disposition un accord de traitement des données (DPA) pour les scénarios de sous-traitance. Pour les offres Business et Enterprise, les clauses du DPA peuvent être intégrées au bon de commande (Order Form) ou au contrat-cadre de services. Pour les autres clients, un DPA standard est disponible sur demande.

Le DPA couvre les instructions de traitement, la confidentialité, les sous-traitants ultérieurs, les mesures de sécurité, la notification des violations, l'assistance relative aux droits des personnes concernées, la suppression / restitution des données, ainsi que la coopération en matière d'audit, dans des limites commercialement raisonnables.

Les demandes de DPA ou d'avenant contractuel peuvent être adressées à [email protected].

Altovar applique un processus contrôlé d'évaluation des fournisseurs pour l'infrastructure, les paiements, les communications et les services de sécurité complémentaires. Chaque sous-traitant ou sous-traitant ultérieur est évalué, avant sa mise en production, au regard de son adéquation technique, de ses implications juridictionnelles, de ses contrôles de sécurité, de sa couverture contractuelle et de sa maturité en matière de réponse aux incidents.

Les sous-traitants ultérieurs sont liés par des contrats écrits reflétant, le cas échéant, les exigences de l'article 28 du RGPD. Altovar tient un registre interne des sous-traitants ultérieurs et notifie tout changement substantiel par le biais des mécanismes contractuels définis dans le DPA ou l'accord client.

Altovar applique des mesures techniques et organisationnelles à plusieurs niveaux, adaptées à la sensibilité de la charge de travail et au niveau de service concerné. Ces mesures comprennent généralement le contrôle d'accès, une administration fondée sur le principe du moindre privilège, l'authentification multifacteur (MFA) sur les systèmes internes, le chiffrement des transmissions, le chiffrement du stockage lorsque cela est pertinent, la journalisation d'audit, la gestion des vulnérabilités, les contrôles de sauvegarde, et la séparation des environnements.

Nos mesures sont réexaminées au fur et à mesure de l'évolution de nos produits. Lorsqu'un client a besoin d'une synthèse des mesures techniques et organisationnelles (TOMs) à des fins d'achat ou d'audit, Altovar peut fournir un aperçu actualisé sous accord de confidentialité (NDA) ou dans le cadre du processus de DPA / d'examen de sécurité.

Lorsqu'Altovar agit en tant que responsable du traitement, nous répondons directement aux demandes d'accès, de rectification, de suppression, d'opposition, de portabilité et de limitation, conformément à notre politique de confidentialité.

Lorsqu'Altovar agit en tant que sous-traitant, nous assistons le client — dans la limite des capacités du service et du cadre contractuel — afin qu'il puisse s'acquitter de ses propres obligations envers les personnes concernées. Cette assistance peut inclure un accompagnement à l'export des données, des processus de suppression, la journalisation des accès, ou une coordination opérationnelle via les canaux de support et de protection des données.

Altovar applique des procédures de gestion des incidents pour les événements affectant la sécurité, la disponibilité, la confidentialité et l'intégrité des données des clients ou de l'entreprise.

Lorsqu'Altovar agit en tant que sous-traitant et prend connaissance d'une violation de données à caractère personnel affectant les données d'un client, nous en informons le client sans retard injustifié, afin qu'il puisse évaluer ses éventuelles obligations de notification à l'autorité de contrôle ou aux personnes concernées. Lorsqu'Altovar agit en tant que responsable du traitement, nous évaluons et gérons directement les obligations de notification, conformément au RGPD et au droit national applicable.

Altovar ne fait pas des transferts vers des pays tiers un mode de fonctionnement par défaut. Si une dépendance de service spécifique, un flux de support ou une fonction de diffusion en périphérie (edge-delivery) donne lieu à un scénario de transfert, Altovar s'appuie sur un mécanisme juridique de transfert identifié ainsi que sur des mesures supplémentaires proportionnées, avant toute mise en production.

Selon le fournisseur et le contexte du traitement, ces garanties peuvent inclure des décisions d'adéquation, des clauses contractuelles types, une minimisation des accès, le chiffrement, et la réalisation d'analyses d'impact relatives aux transferts (Transfer Impact Assessment).

La conformité au RGPD ne résulte pas uniquement du positionnement du fournisseur. Les clients demeurent responsables du choix d'une base juridique appropriée, de la configuration licite de leurs environnements, de la définition de règles de conservation conformes à leurs obligations, et de la formulation d'instructions valables dans les scénarios de sous-traitance.

Altovar fournit le cadre contractuel et technique nécessaire à une utilisation conforme, mais chaque client demeure responsable de la manière dont il utilise le service dans son propre contexte, y compris s'agissant des accès de ses employés, du contenu téléversé, des choix de conservation, et des intégrations avec des tiers.