Accord sur le traitement des données

Les parties

Cet accord est conclu entre l'organisation qui utilise SCDD et accepte les Conditions d'utilisation (le « Client »), responsable du traitement, et CIRCULARWARE S.R.L., dont le siège est à Via dell'Ospedale 16, 12062 Cherasco (CN), Italia, TVA, code fiscal et numéro d'inscription au Registre des entreprises 04067220048, REA CN-333814, capital social � 10.150,00 i.v., PEC circularwaresrl@pro-pec.it (« CircularWare »), sous-traitant.

Préambule

A. CircularWare fournit SCDD, un service web de due diligence de la filière avec lequel chaque entreprise prépare son dossier (profil, auto-évaluation, documents, plan d'amélioration, capacité de production), le partage avec les clients qu'elle choisit et répond aux checklists que ses clients lui demandent, y compris avec l'aide de cabinets de conseil délégués.

B. Pour préparer le dossier, le Client peut déposer des données à caractère personnel d'autres personnes, en particulier de ses travailleurs. Pour ces données, le Client est responsable du traitement et CircularWare les traite pour son compte.

C. Cet accord fixe, comme l'exige l'art. 28 du RGPD, les instructions, les obligations et les garanties de ce traitement. Il fait partie des Conditions d'utilisation de SCDD ; en matière de protection des données, il prévaut sur celles-ci.

1. Définitions

1.1 Les termes définis dans le RGPD, tels que « donnée à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « violation de données à caractère personnel » et « personne concernée », ont le sens que leur donne le RGPD ; les termes portant une majuscule initiale sont définis dans le présent article.

1.2 Données du Client : les données à caractère personnel que le Client, ses utilisateurs ou les cabinets qu'il a délégués saisissent ou déposent dans l'espace du Client sur SCDD, et que CircularWare traite pour le compte du Client. Elles sont décrites à l'annexe A.

1.3 Utilisateurs : les personnes qui travaillent sur SCDD pour le Client, en tant que ses membres ou en tant que membres d'un cabinet délégué.

1.4 Cabinet délégué : le cabinet de conseil auquel le Client a donné une délégation ouverte sur SCDD.

1.5 Client destinataire : l'organisation avec laquelle le Client, en tant que fournisseur, a partagé son dossier.

1.6 Sous-traitant ultérieur : un fournisseur de CircularWare qui traite des Données du Client (annexe C).

2. Objet, rôles et champ d'application

2.1 CircularWare traite les Données du Client en tant que sous-traitant, uniquement pour fournir SCDD au Client : les conserver, les organiser, les montrer aux Utilisateurs autorisés, les communiquer aux Clients destinataires et aux Cabinets délégués choisis par le Client, produire les rapports PDF, les supprimer. La nature, les finalités, la durée, les catégories de données et de personnes concernées figurent à l'annexe A.

2.2 En revanche, CircularWare est responsable du traitement autonome des données qu'elle traite pour gérer le service et le contrat, décrites dans la Politique de confidentialité de SCDD : données des comptes des Utilisateurs, invitations, données de facturation et de paiement, journal des accès des Clients destinataires aux dossiers partagés, données de sécurité, statistiques du site. Cet accord ne les concerne pas. [[À DÉCIDER : rôle pour le journal des accès, point 2]]

2.3 Le Client peut être lui-même sous-traitant pour le compte d'un autre responsable du traitement (par exemple un cabinet qui utilise SCDD pour ses propres clients). Dans ce cas, le Client déclare avoir l'autorisation écrite du responsable du traitement de recourir à CircularWare comme sous-traitant ultérieur, aux conditions de cet accord, et CircularWare agit en tant que sous-traitant ultérieur du Client.

2.4 CircularWare ne traite pas les Données du Client pour ses propres finalités. Elle peut utiliser des données agrégées sur l'utilisation du service (par exemple combien d'organisations, d'invitations ou de délégations existent) qui ne contiennent ni contenus du dossier ni données identifiant des personnes concernées. [[À DÉCIDER : point 13]]

3. Instructions du Client

3.1 CircularWare traite les Données du Client uniquement sur instruction documentée du Client, y compris pour les transferts en dehors de l'Espace économique européen, à moins que le droit de l'Union ou d'un État membre ne l'exige ; dans ce cas, elle en informe d'abord le Client, sauf si la loi l'interdit.

3.2 Sont des instructions documentées du Client : les Conditions d'utilisation et cet accord ; les choix faits par les Utilisateurs avec les fonctions de SCDD, comme déposer ou supprimer un document, choisir « disponible lors de l'audit », accorder ou révoquer un partage, montrer ou masquer la charge des lignes de production, inviter des personnes, donner, modifier ou révoquer une délégation, envoyer la checklist demandée par un client ; les demandes écrites du Client à CircularWare, dans les limites des fonctions du service.

3.3 CircularWare informe immédiatement le Client si elle estime qu'une instruction viole le RGPD ou d'autres règles sur la protection des données.

4. Obligations du Client

4.1 Le Client garantit qu'il dispose d'une base juridique pour déposer les Données du Client et, pour les catégories particulières de données (art. 9 du RGPD), de l'une des conditions de l'art. 9.2, comme les obligations relevant du droit du travail et de la sécurité au travail.

4.2 Le Client informe les personnes concernées du traitement (art. 13 et 14 du RGPD), en indiquant aussi CircularWare comme sous-traitant et les Clients destinataires auxquels il communique le dossier.

4.3 Le Client ne dépose que les données nécessaires. Pour les types de document contenant des données à caractère personnel de travailleurs, SCDD propose « disponible lors de l'audit » (le document est déclaré et montré à l'auditeur, sans être déposé) ; si le Client choisit de les déposer, il le fait sous sa propre responsabilité. En particulier, le Client ne dépose pas :

• les dossiers de santé et de risque ou toute autre documentation clinique des travailleurs : des visites médicales, il dépose tout au plus les avis d'aptitude ;
• les données relatives aux condamnations pénales et aux infractions (art. 10 du RGPD) ;
• l'identité de la personne qui a fait un signalement protégé par le décret législatif 24/2023 ou d'autres données permettant d'y remonter : SCDD n'est pas un canal de signalement ;
• les données de personnes non liées à la due diligence de la filière.

4.4 SCDD ne tient à l'écart des Clients destinataires que les fichiers des types de document que le catalogue signale comme contenant des données à caractère personnel de travailleurs (annexe A). Un document déposé dans un autre type peut être vu et téléchargé par les Clients destinataires : le Client n'y insère pas de données à caractère personnel qu'il ne veut pas communiquer, ou les caviarde avant de les déposer.

4.5 Le Client choisit et gère ses Utilisateurs, les rôles, les délégations aux Cabinets et les partages, et en répond.

4.6 Les instructions du Client respectent le RGPD. Le Client répond des Données du Client communiquées aux Clients destinataires et aux Cabinets délégués selon son choix.

5. Personnes autorisées et confidentialité

5.1 CircularWare ne permet l'accès aux Données du Client qu'aux personnes qui en ont besoin pour gérer, maintenir et assister le service, autorisées par écrit et engagées à la confidentialité ou soumises à une obligation légale de confidentialité.

5.2 Les administrateurs de la plateforme SCDD, dans les fonctions de l'application, n'entrent pas dans les espaces des organisations : ils voient uniquement les paiements, les données de facturation, les règles du score et les statistiques agrégées. L'accès direct aux serveurs, à la base de données et à l'archive des fichiers est réservé aux personnes qui gèrent l'infrastructure [[À COMPLÉTER : liste des rôles]].

5.3 CircularWare n'accède aux contenus d'une organisation que lorsque c'est nécessaire pour une assistance demandée par le Client, pour la sécurité du service ou en vertu d'une obligation légale.

6. Sécurité

6.1 CircularWare applique les mesures techniques et organisationnelles de l'annexe B, adaptées au risque comme l'exige l'art. 32 du RGPD.

6.2 CircularWare peut modifier les mesures au fil du temps sans abaisser le niveau de sécurité global. L'annexe B indique aussi quelles mesures manquent aujourd'hui : CircularWare les met à jour et en informe le Client.

7. Sous-traitants ultérieurs

7.1 Le Client donne à CircularWare une autorisation générale de recourir aux Sous-traitants ultérieurs de l'annexe C.

7.2 CircularWare informe le Client de l'ajout ou du remplacement d'un Sous-traitant ultérieur au moins 30 jours à l'avance, par e-mail aux administrateurs du Client et en mettant à jour la liste sur le site. Un exemple : un service d'intelligence artificielle pour reconnaître les documents, s'il est mis en place un jour.

7.3 Dans ces 30 jours, le Client peut s'opposer pour des motifs raisonnables liés à la protection des données. Si aucune solution n'est trouvée, le Client peut résilier le contrat avant que le changement ne prenne effet, avec remboursement de la partie non utilisée des périodes payées.

7.4 CircularWare impose à chaque Sous-traitant ultérieur, par contrat, des obligations de protection des données non moins strictes que celles de cet accord, et répond envers le Client de l'exécution de leurs obligations par les Sous-traitants ultérieurs (art. 28.4 du RGPD).

8. Transferts en dehors de l'Espace économique européen

8.1 CircularWare ne transfère des Données du Client en dehors de l'EEE qu'avec l'une des garanties du chapitre V du RGPD (décision d'adéquation, clauses contractuelles types assorties, le cas échéant, de mesures supplémentaires, ou autre garantie admise). Les transferts actuels figurent à l'annexe C.

8.2 Lorsque le Client partage le dossier avec un Client destinataire, ou délègue un Cabinet, ayant son siège en dehors de l'EEE, le transfert est décidé par le Client, qui en vérifie les conditions. [[À DÉCIDER : point 4]]

9. Assistance au Client

9.1 Droits des personnes concernées. Compte tenu de la nature du traitement, CircularWare aide le Client à répondre aux demandes des personnes concernées (art. 15 à 22 du RGPD) : avec les fonctions du service (consulter, corriger, supprimer des documents, télécharger des fichiers) et, lorsqu'elles ne suffisent pas, par des interventions sur demande écrite dans un délai de 10 jours ouvrés. CircularWare ne répond pas directement aux personnes concernées au sujet des Données du Client : elle transmet au Client, dans un délai de 5 jours ouvrés, les demandes qu'elle reçoit.

9.2 Sécurité, analyses d'impact, consultations. CircularWare aide le Client à respecter les art. 32 à 36 du RGPD, en fournissant les informations dont elle dispose sur le service, y compris pour une analyse d'impact (AIPD). [[À COMPLÉTER : une AIPD type du service, point 12]]

10. Violations de données à caractère personnel

10.1 CircularWare notifie au Client toute violation de données à caractère personnel concernant les Données du Client sans retard injustifié et en tout cas dans les 48 heures à compter du moment où elle en a connaissance, selon la procédure de l'annexe D.

10.2 La notification contient, dans la mesure où elles sont connues, les informations de l'art. 33.3 du RGPD ; celles qui manquent sont fournies dès qu'elles sont disponibles.

10.3 CircularWare prend immédiatement les mesures raisonnables pour contenir la violation et en atténuer les effets, et collabore avec le Client. La notification à l'autorité de contrôle et la communication aux personnes concernées (art. 33 et 34) incombent au Client ; CircularWare ne les fait pas à sa place, sauf accord écrit ou obligation légale.

10.4 CircularWare documente toute violation concernant les Données du Client : faits, effets, mesures prises.

11. Informations et audit

11.1 CircularWare met à la disposition du Client les informations nécessaires pour démontrer le respect de l'art. 28 du RGPD : cet accord, la liste des Sous-traitants ultérieurs, la description des mesures et, sur demande, les réponses à un questionnaire de sécurité.

11.2 Si ces informations ne suffisent pas, le Client peut faire réaliser un audit, y compris sur place, par un auditeur indépendant tenu à la confidentialité : au maximum une fois par an, avec un préavis écrit d'au moins 30 jours, pendant les heures de travail, sans accéder aux données d'autres organisations et aux frais du Client. La limite annuelle et les frais à la charge du Client ne s'appliquent pas après une violation de données concernant le Client ou si une autorité de contrôle le demande. [[À DÉCIDER : point 9]]

12. Cabinets de conseil et délégations

12.1 Une délégation est une instruction du Client de faire travailler dans son espace les personnes du Cabinet délégué, avec le rôle que le Client choisit et jusqu'à l'échéance ou la révocation. Les personnes du Cabinet voient tout ce que voit un membre du Client ayant le même rôle, y compris les fichiers des documents contenant des données à caractère personnel de travailleurs.

12.2 Le rapport entre le Client et le Cabinet, y compris en matière de protection des données (par exemple la désignation du Cabinet comme sous-traitant), les concerne seuls : CircularWare n'y est pas partie et ne répond pas du traitement du Cabinet.

12.3 Lorsqu'un Cabinet crée sur SCDD l'entreprise de l'un de ses clients, le Cabinet déclare avoir reçu du client le mandat de le faire et d'accepter en son nom les Conditions d'utilisation et cet accord. Le client devient le Client de cet accord et peut à tout moment entrer avec ses propres personnes, modifier ou révoquer la délégation. [[À DÉCIDER : point 1 et point 3]]

12.4 Le Client peut révoquer la délégation à tout moment : le Cabinet perd l'accès immédiatement.

13. Partage du dossier avec les Clients destinataires

13.1 Un partage est une instruction du Client de communiquer à un Client destinataire : les états et les échéances des documents, les fichiers des types sans données à caractère personnel de travailleurs, le résultat de la dernière auto-évaluation envoyée et, uniquement si le Client le choisit séparément, la charge hebdomadaire des lignes de production sans commandes, noms de clients ni notes. Les notes des documents, les sites, le plan d'amélioration et les brouillons ne sont pas communiqués. Des checklists que le Client destinataire a demandées au Client, le partage communique à ce seul Client destinataire le résultat de la dernière auto-évaluation envoyée, avec les remarques sur les réponses « non » et « en partie » et les réponses aux questions, sauf celles aux questions de la bibliothèque commune signalées comme contenant des données à caractère personnel ; le nom de la personne qui l'a envoyée n'est pas communiqué.

13.2 Pour les documents contenant des données à caractère personnel de travailleurs, le Client destinataire ne voit que l'existence, l'état et les dates, jamais les fichiers.

13.3 Ce que le Client destinataire voit ou télécharge, y compris les rapports PDF, il le traite en tant que responsable du traitement autonome. CircularWare enregistre chaque ouverture du dossier ou du résultat d'une checklist et chaque téléchargement de fichier ou de rapport par le Client destinataire, et le Client peut consulter ce journal.

13.4 La révocation du partage vaut immédiatement pour les accès suivants ; elle ne concerne pas les copies déjà téléchargées.

14. Durée, suppression et restitution

14.1 Cet accord dure aussi longtemps que le contrat entre le Client et CircularWare pour l'utilisation de SCDD et, ensuite, tant que CircularWare traite des Données du Client.

14.2 Pendant le contrat, les données que le Client supprime avec les fonctions du service sont supprimées immédiatement de la base de données et de l'archive des fichiers, et des sauvegardes dans le cadre de leur rotation.

14.3 À la fin du contrat, CircularWare, au choix du Client, restitue puis supprime les Données du Client, selon la procédure de l'annexe E, sauf si le droit de l'Union ou d'un État membre en impose la conservation.

15. Responsabilité

15.1 Chaque partie répond envers les personnes concernées comme le prévoit l'art. 82 du RGPD. Dans les rapports entre les parties, ce qui est stipulé dans les Conditions d'utilisation s'applique. [[À DÉCIDER : point 10]]

16. Dispositions finales

16.1 En matière de protection des données, cet accord prévaut sur les Conditions d'utilisation ; pour le reste, ces dernières s'appliquent, y compris le droit applicable et la juridiction compétente.

16.2 CircularWare peut mettre à jour cet accord et ses annexes pour les adapter à la loi, aux indications des autorités ou au service, selon les mêmes règles que les modifications des Conditions d'utilisation ; la liste des Sous-traitants ultérieurs change selon la procédure de l'article 7.

16.3 L'accord est rédigé en italien et traduit en anglais et en français : si les versions ne coïncident pas, la version italienne prévaut.

Annexe A. Description du traitement

A.1 Nature et finalités. Conservation, organisation, consultation et affichage aux Utilisateurs autorisés ; communication aux Clients destinataires et aux Cabinets délégués choisis par le Client ; production à la demande de rapports PDF (qui ne sont pas conservés) ; suppression. Le traitement est automatisé et continu pendant toute la durée du contrat. Finalité : permettre au Client de préparer, de tenir à jour et de montrer son dossier de due diligence de la filière.

A.2 Catégories de personnes concernées :

• travailleurs du Client, actuels et anciens : salariés, travailleurs temporaires et intérimaires, stagiaires et apprentis, y compris ceux des sites de production ;
• personnes ayant présenté des réclamations ou des signalements par le mécanisme de réclamation du Client ;
• personnes nommées dans les documents du dossier : par exemple responsables de la sécurité, médecin du travail, auditeurs, consultants, signataires ;
• interlocuteurs et personnes de clients, fournisseurs et sous-traitants nommés dans les commandes, les notes, les documents ou les réponses aux checklists ;
• Utilisateurs du Client, pour les données que le Client saisit à leur sujet dans son espace (par exemple le responsable d'une action du plan d'amélioration ou l'auteur d'une justification). Les données de leurs comptes sont traitées par CircularWare en tant que responsable du traitement.

A.3 Catégories de données. Elles dépendent des documents que le Client choisit de déposer. Le catalogue du référentiel signale comme contenant des données à caractère personnel de travailleurs ces 11 types de document, dont les fichiers ne sont jamais communiqués aux Clients destinataires et qui sont par défaut « disponible lors de l'audit » :

• HS-P-12, visites médicales et surveillance de la santé : données de santé (art. 9), avis d'aptitude ;
• SOC-P-07, bulletins de paie des 12 derniers mois et preuve du paiement : rémunérations, coordonnées bancaires ; données de santé possibles (maladie) et d'appartenance syndicale (retenues) (art. 9) ;
• SOC-P-09, paiements tracés des salaires des six derniers mois : rémunérations, coordonnées bancaires ;
• SOC-P-10, détail des travailleurs temporaires : identité, agence, périodes de travail ;
• SOC-P-11, liste des salariés par nationalité, genre, âge, ancienneté, contrat et rémunération : données d'état civil et de la relation de travail, nationalité ;
• SOC-O-02, registres du mécanisme de signalement des réclamations : identité et contenu des réclamations ;
• SOC-O-03, contrats de stage et d'apprentissage : données de la relation de travail, âge ;
• SOC-O-06, pièces d'identité, permis de travail et renouvellements : pièces d'identité avec photographie, titres de séjour, nationalité ;
• SOC-O-07, registres des sanctions disciplinaires et des licenciements : données disciplinaires ;
• SOC-O-08, contrats de travail : données de la relation de travail ;
• SOC-O-09, registres de présence et d'horaires : présences, horaires, absences.

Les autres documents, les notes, les commandes et les réponses peuvent contenir des données d'identification et de contact de personnes (nom, fonction, signature, adresse e-mail ou téléphone). Aucune donnée relative aux condamnations pénales et aux infractions (art. 10) n'est prévue, ni aucun document clinique (article 4.3).

A.4 Durée. Pendant toute la durée du contrat, puis selon l'annexe E.

A.5 Lieu. Application et base de données sur un serveur d'Aruba S.p.A., dans un centre de données à [[À CONFIRMER : localisation du centre de données]]. Archive des fichiers sur Microsoft Azure, dans un centre de données de la région [[À CONFIRMER : région Azure, dans l'EEE]]. E-mails de service via Twilio SendGrid (États-Unis), annexe C.

Annexe B. Mesures techniques et organisationnelles

B.1 Mesures appliquées.

Séparation entre organisations et contrôle des accès :

• chaque donnée d'une organisation est rattachée à celle-ci et reçoit un filtre dans la base de données : sans organisation courante, rien n'est visible ;
• qui travaille dans une organisation et avec quel rôle (lecteur, rédacteur, administrateur) est décidé par un seul contrôle : membre actif, ou membre actif d'un cabinet disposant d'une délégation ouverte et non expirée, avec le rôle le moins élevé entre la délégation et le cabinet. Chaque enregistrement relit les rôles et les délégations dans la base de données avant de poursuivre ; règles vérifiées par des tests automatisés ;
• les données d'une autre organisation ne se lisent qu'avec un partage ouvert, vérifié à chaque accès ; la révocation vaut dès la requête suivante ;
• les Clients destinataires ne reçoivent jamais les fichiers des types contenant des données à caractère personnel, les notes des documents, les sites, le plan d'amélioration, les brouillons et les réponses aux questions signalées comme contenant des données à caractère personnel ; des checklists, un Client destinataire ne voit que celles qu'il a demandées ;
• journal de chaque ouverture de dossier ou de résultat de checklist et de chaque téléchargement de fichier ou de PDF par les Clients destinataires, qui ne se modifie pas et que le fournisseur consulte ;
• les administrateurs de la plateforme forment une liste fermée dans la configuration, avec e-mail confirmé, relue dans la base de données à chaque requête ; ils n'entrent pas dans les organisations.

Authentification et sessions :

• mot de passe d'au moins 10 caractères conservé uniquement sous forme d'empreinte salée ; e-mail confirmé obligatoire pour se connecter ; blocage de 15 minutes après 5 tentatives erronées ;
• cookies de session non lisibles par JavaScript, SameSite=Lax, envoyés uniquement en HTTPS, expirant 8 heures après la dernière activité ; état de l'utilisateur revérifié toutes les 30 minutes pendant une session ouverte ; protection des formulaires contre les envois falsifiés ;
• limite de 10 envois par minute et par adresse IP sur les formulaires anonymes (connexion, inscription, mot de passe, invitations, test gratuit), avec le même message dans tous les cas pour ne pas révéler qui est inscrit ;
• codes d'invitation conservés uniquement sous forme d'empreinte SHA-256, valables 7 jours et une seule fois ; plafond d'invitations par organisation.

Transmission et application :

• HTTPS avec redirection et HSTS ; en-têtes de sécurité (X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy) ;
• clés de protection des cookies propres à l'application, séparées de celles d'autres applications sur la même machine ;
• secrets (base de données, e-mail, paiements) hors du code source ; l'application ne démarre pas s'ils manquent, et en développement elle refuse les clés de paiement réelles.

Fichiers :

• chaque dépôt passe par un contrôle unique : extensions fermées (pdf, jpg, png, docx, xlsx), contenu cohérent avec l'extension, documents Office avec macros refusés, 20 Mo au maximum, empreinte SHA-256 ;
• archive sur Microsoft Azure, séparée du serveur de l'application : conteneur privé (l'application ne démarre pas s'il est public), accessible uniquement en HTTPS, avec les fichiers chiffrés au repos par Azure ; chemins générés par le système et jamais par l'utilisateur, aucun écrasement ;
• téléchargement uniquement depuis des adresses qui vérifient l'appartenance ou le partage, sans copies dans le cache du navigateur ; les rapports PDF sont générés à la demande, non conservés, et uniquement pour les personnes ayant accès ;
• pour les types de document contenant des données à caractère personnel de travailleurs, le choix proposé est « disponible lors de l'audit », sans dépôt.

Minimisation et services externes :

• les e-mails partent avec le suivi des ouvertures et des clics désactivé ;
• les données de la carte ne passent pas par SCDD : le paiement a lieu sur les pages de Stripe. Les notifications de Stripe ne sont acceptées qu'avec la signature vérifiée et une seule fois ;
• les journaux de l'application désignent les utilisateurs et les organisations par un identifiant numérique, non par l'e-mail ;
• le test gratuit du site n'enregistre pas les réponses ; la mesure des visites n'enregistre ni IP ni identifiants et n'utilise pas de cookies.

B.2 Mesures qui manquent aujourd'hui [[À DÉCIDER : lesquelles sont nécessaires avant le lancement, point 11]] :

• chiffrement des fichiers avec nos propres clés : aujourd'hui Azure chiffre les fichiers au repos avec des clés gérées par Microsoft ; proposition : clés gérées par CircularWare ou chiffrement applicatif, à évaluer pour les types contenant des données à caractère personnel ;
• chiffrement de la base de données au repos : aujourd'hui il dépend du serveur ; proposition : chiffrement de la base de données ou du disque ;
• protection des clés des cookies : aujourd'hui enregistrées dans un répertoire sans chiffrement ; proposition : les chiffrer et limiter les droits du répertoire ;
• sauvegardes : aujourd'hui aucune procédure définie ; proposition : sauvegardes chiffrées de la base de données, conservées 30 jours en rotation dans un lieu séparé du serveur de production, suppression réversible des fichiers sur Azure pendant la même durée et un test de restauration périodique ;
• suppression et restitution : aujourd'hui aucune fonction pour clôturer un compte ou une entreprise ni pour en exporter toutes les données ; on télécharge les fichiers un à un, ainsi que les PDF. Jusque-là, la procédure manuelle de l'annexe E s'applique ;
• durées de conservation automatiques : aujourd'hui les invitations et le journal des accès restent sans échéance ; proposition : suppressions périodiques selon la Politique de confidentialité ;
• second facteur d'authentification : aujourd'hui absent ; proposition : au moins pour les administrateurs de la plateforme et des organisations ;
• contrôle antivirus des fichiers déposés : aujourd'hui absent (on vérifie le type et le contenu) ; proposition : analyse au dépôt ;
• journal des téléchargements des fichiers contenant des données à caractère personnel par les membres et les cabinets : aujourd'hui seuls les accès des Clients destinataires sont enregistrés ;
• exclusion des fichiers contenant des données à caractère personnel des délégations : aujourd'hui un cabinet délégué les voit avec n'importe quel rôle ; proposition : permettre au Client de les exclure ;
• avertissement au dépôt que les fichiers des types sans données à caractère personnel parviennent aux Clients destinataires ;
• journal nominatif des accès du personnel de CircularWare aux serveurs et à la base de données, et alertes en cas d'accès anormaux ou d'erreurs répétées ;
• résidence des données des e-mails dans l'Union européenne : aujourd'hui les e-mails passent par la région USA de SendGrid ;
• vérifications de sécurité : analyse des dépendances et tests d'intrusion avant le lancement.

B.3 Mesures organisationnelles à adopter :

• liste des personnes autorisées à accéder à l'infrastructure, avec engagement écrit de confidentialité et accès révoqués à la fin de la mission ;
• procédure pour les violations de données (annexe D) et registre des violations ;
• registre des activités de traitement en tant que responsable du traitement et en tant que sous-traitant (art. 30 du RGPD) ;
• contrats au titre de l'art. 28 avec les Sous-traitants ultérieurs et vérification de leurs garanties ;
• aucune donnée réelle dans les environnements de développement et de test ;
• revue de cette annexe au moins une fois par an et à chaque changement important du service.

Annexe C. Sous-traitants ultérieurs

• Aruba S.p.A. : serveur de l'application et base de données [[À COMPLÉTER : et sauvegardes, si elles sont faites avec Aruba]] ; traite toutes les Données du Client ; lieu : [[À CONFIRMER : localisation du centre de données]] ; aucune garantie de transfert n'est prévue si le centre de données est dans l'EEE.
• Microsoft Ireland Operations Limited (Microsoft Azure) [[À VÉRIFIER : société contractante, DPA de Microsoft et garanties pour d'éventuels accès depuis les États-Unis]] : archive des fichiers téléversés dans le dossier ; traite les fichiers, qui peuvent contenir des données à caractère personnel ; lieu : [[À CONFIRMER : région Azure, dans l'EEE]] ; garanties : Data Protection Addendum de Microsoft.
• Twilio Inc. (SendGrid) [[À VÉRIFIER : la société contractante pour les clients de l'UE]] : envoi des e-mails de service ; traite les adresses e-mail et les noms de personnes et d'entreprises dans le texte des e-mails (invitations) ; lieu : États-Unis ; garanties : Data Privacy Framework UE-États-Unis et clauses contractuelles types [[À VÉRIFIER]].

Ne sont pas des sous-traitants ultérieurs pour les Données du Client, parce qu'ils ne les traitent pas, et sont indiqués ici par souci de transparence :

• Stripe (Stripe Payments Europe, Limited, Irlande, avec des traitements de Stripe, Inc. aux États-Unis) : paiements et abonnements. Traite les données de facturation et de paiement du Client, dont CircularWare est responsable du traitement, en partie en tant que responsable du traitement autonome (prévention de la fraude, obligations légales) ;
• l'expert-comptable de CircularWare [[À COMPLÉTER]] : reçoit chaque mois la liste des paiements avec les données de facturation pour émettre les factures électroniques.

Annexe D. Violations de données : procédure

• Qui avertir. Toute personne chez CircularWare qui remarque un incident possible le signale immédiatement à [[À COMPLÉTER : référent sécurité et coordonnées]].
• Première évaluation, dans les 24 heures suivant le signalement : ce qui s'est passé, quelles organisations et quelles données sont concernées, si l'incident est encore en cours. Les mesures pour l'arrêter sont prises immédiatement (par exemple révoquer des identifiants, bloquer un compte, isoler un serveur).
• Notification au Client, dans les 48 heures à compter du moment où CircularWare sait qu'il y a une violation concernant les Données du Client : e-mail aux administrateurs de l'organisation et à l'éventuel contact vie privée indiqué par le Client [[À COMPLÉTER : où le Client l'indique]]. La notification indique, dans la mesure où elles sont connues, la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés, un contact de CircularWare pour obtenir des informations, les conséquences probables et les mesures prises ou proposées, y compris pour en atténuer les effets.
• Mises à jour à mesure que l'on en sait plus, jusqu'à la clôture.
• Le Client décide s'il notifie l'autorité de contrôle (dans les 72 heures à compter du moment où il en a eu connaissance, art. 33) et s'il communique aux personnes concernées (art. 34). CircularWare lui fournit les informations nécessaires.
• Registre et rapport final : chaque violation est consignée dans le registre de CircularWare ; dans les 30 jours suivant la clôture, le Client concerné reçoit un rapport indiquant les causes et les mesures prises pour éviter que cela ne se reproduise.
• Les violations des données dont CircularWare est responsable du traitement (comptes, facturation) suivent la même procédure interne, mais la notification à l'autorité est faite par CircularWare.

Aujourd'hui, le service n'a ni surveillance ni alertes qui aident à découvrir une violation (annexe B.2) : tant qu'elles manquent, la découverte dépend des journaux de l'application et du serveur et des signalements des utilisateurs.

Annexe E. Suppression et restitution en fin de contrat

• Quand le contrat prend fin : lorsque le Client clôture son organisation, lorsqu'une des parties résilie conformément aux Conditions d'utilisation, ou lorsque CircularWare ferme le service. La résiliation d'un plan payant ne met pas fin au contrat : l'organisation continue avec les fonctions gratuites. [[À DÉCIDER : organisations gratuites inactives, point 14]]
• Restitution. Pendant 30 jours à compter de la fin du contrat, le Client peut demander une copie complète des Données du Client : les fichiers avec toutes les versions et les données du dossier dans un format structuré et couramment utilisé [[À COMPLÉTER : format]], sans frais. Pendant le contrat, il peut le faire à tout moment (Conditions d'utilisation, section 19).
• Suppression. Passés les 30 jours, ou avant si le Client le demande par écrit, CircularWare supprime dans un délai de 30 jours les Données du Client de la base de données et de l'archive des fichiers, et des sauvegardes dans le cadre de leur rotation [[À COMPLÉTER : durée, proposition 30 jours]]. Sur demande, elle confirme la suppression par écrit.
• Ce qui reste. Restent les données que CircularWare traite en tant que responsable du traitement et doit conserver en vertu de la loi (par exemple les données de facturation des paiements, 10 ans) et, tant qu'elles sont nécessaires, les données des comptes des Utilisateurs qui travaillent aussi pour d'autres organisations. Restent hors du contrôle de CircularWare les copies que les Clients destinataires et les Cabinets délégués ont déjà téléchargées.
• Entreprises créées par un cabinet. Si une entreprise créée par un Cabinet reste sans personnes propres et sans délégation ouverte, CircularWare avertit le Cabinet et les contacts connus de l'entreprise et, si personne ne la reprend dans les [[À DÉCIDER : nombre de jours]] jours, procède comme pour la suppression.
• Pendant le contrat. Un document que le Client supprime est supprimé immédiatement avec toutes ses versions et tous ses fichiers ; il sort des sauvegardes avec la rotation.
• État du service. Aujourd'hui, la clôture, l'exportation complète et la suppression d'une organisation n'existent pas en tant que fonctions (annexe B.2) : tant qu'elles n'existeront pas, CircularWare les exécute à la main sur demande écrite, avec une procédure interne documentée [[À COMPLÉTER]], dans les mêmes délais.

Version 2026-10-16.