Accord de sous-traitance des données (RGPD)

Cet accord complète les conditions d’utilisation pour les espaces entreprise, au sens de l’article 28 du règlement général sur la protection des données (RGPD). Il s’applique dès la création d’un espace et pendant toute sa durée d’existence.

1. Rôles

Le Client est responsable du traitement des données de son annuaire et des utilisateurs de son espace. L’éditeur, OhMySign, agit comme sous-traitant : il ne traite ces données que sur les instructions du Client, données par l’utilisation du service et de ses réglages. Il informe le Client si une instruction lui semble contraire au RGPD.

2. Description du traitement

Finalités: Créer, héberger et diffuser les signatures d’e-mail, les bannières et les cartes de visite des collaborateurs du Client ; envoyer les e-mails du service (invitations, liens de signature, mot de passe) ; mesurer les clics sur les bannières et les consultations des cartes.
Personnes concernées: Collaborateurs du Client, utilisateurs de l’espace, et personnes qui cliquent sur une bannière ou consultent une carte de visite (comptées sans adresse IP).
Données: Identité, fonction, service, coordonnées professionnelles, photo et réseaux sociaux professionnels des collaborateurs ; nom, adresse e-mail, rôle et historique de connexion des utilisateurs ; journal d’activité de l’espace ; statistiques de clics et de consultations, sans adresse IP (empreinte quotidienne non réversible).
Durée: Celle de l’espace : les données sont supprimées à sa fermeture, dans les conditions de l’article 5.

3. Obligations de l’éditeur

Traiter les données uniquement pour les finalités ci-dessus, sans les utiliser pour son propre compte ni les céder.
Réserver l’accès aux personnes habilitées, tenues à la confidentialité.
Aider le Client à répondre aux demandes des personnes concernées : consultation, modification et suppression se font directement dans l’espace, et l’export complet des données est disponible à tout moment.
Notifier au Client toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles à sa propre notification.
Aider le Client, à sa demande, pour une analyse d’impact ou une consultation de l’autorité de contrôle.
Mettre à disposition les informations nécessaires pour démontrer le respect de cet accord, et permettre un audit à la demande raisonnable du Client, moyennant un préavis de 30 jours et à ses frais.

4. Sécurité

Les mesures en place :

échanges chiffrés (HTTPS, HSTS) ;
mots de passe hachés avec scrypt, jamais stockés en clair ; liens de réinitialisation à usage unique ;
sessions dans un cookie protégé (HttpOnly, Secure), fermées après 7 jours d’inactivité ;
cloisonnement des données par entreprise, rôles et droits d’accès, journal d’activité ;
limitation des tentatives de connexion ;
sauvegarde continue de la base de données (restauration possible à un instant donné), conservée 90 jours au plus.

5. Fin du traitement

Le Client peut exporter ses données puis supprimer son espace depuis « Sécurité et données ». Les données de l’espace, photos et logos compris, sont alors effacées aussitôt, et des sauvegardes dans un délai de 90 jours au plus.

6. Sous-traitants ultérieurs

Le Client autorise le recours aux sous-traitants suivants :

Hébergement du site et de l’API: Vercel (Vercel Inc., États-Unis), Dublin (Irlande).
Base de données: Turso (ChiselStrike Inc., États-Unis), Irlande (AWS eu-west-1).
Images importées (photos, logos, bannières): Vercel Blob (Vercel Inc., États-Unis), Dublin (Irlande).
Envoi des e-mails: Brevo (Sendinblue SAS, France), Union européenne (France, Allemagne, Belgique).

Chacun est soumis à des obligations de protection des données équivalentes. L’éditeur informe le Client de tout changement au moins 30 jours à l’avance ; le Client peut s’y opposer et, à défaut d’accord, supprimer son espace.

7. Localisation et transferts

Les données sont hébergées dans l’Union européenne : en Irlande pour le site, la base de données et les images, en France, en Allemagne et en Belgique pour l’envoi des e-mails. Vercel et Turso sont des sociétés établies aux États-Unis : Vercel adhère au Data Privacy Framework entre l’Union européenne et les États-Unis et s’appuie sur les clauses contractuelles types de la Commission européenne ; avec Turso, les données restent stockées en Irlande.

8. Contact

Pour toute question sur cet accord ou sur vos données : contact.ohmysign@gmail.com. Les traitements dont l’éditeur est lui-même responsable sont décrits dans la politique de confidentialité.