Accord sur le traitement des données

Traduction de courtoisie. Seule la version italienne de ce document a une valeur juridique : en cas de divergence, le texte italien prévaut. Le droit italien s'applique en tout état de cause.

Les rôles, sans ambiguïté

Lorsque vous utilisez Flarseo pour travailler sur votre marque, le responsable du traitement, c'est vous : vous décidez quels contenus charger, quelles données saisir, où publier et à quelles fins.

Collaborazioni Digitali Srl agit comme sous traitant : elle traite les données pour votre compte, dans les limites de vos instructions et pour fournir le service souscrit.

Nous restons en revanche responsables pour les données que nous collectons en propre : compte, facturation, journaux techniques et échanges avec le support. Cette partie est décrite dans la politique de confidentialité.

Lire la politique de confidentialité

Objet et durée du traitement

Le client s'engage à ne pas charger de catégories particulières de données au sens de l'article 9 du RGPD ni de données relatives à des condamnations pénales. La plateforme n'est pas conçue pour les recevoir.

Instructions du responsable

Nous traitons les données uniquement sur instruction documentée du client. Ces instructions figurent dans le contrat, dans la configuration de l'espace de travail et dans les demandes adressées via la plateforme.

Si une instruction nous paraît contraire au RGPD ou à une autre règle applicable, nous en informons le client avant de l'exécuter.

Si une règle de l'Union ou d'un État membre nous oblige à un traitement différent, nous informons le client avant de procéder, sauf si cette règle l'interdit pour des motifs d'intérêt public.

Confidentialité

Les personnes autorisées à accéder aux données sont identifiées nominativement, formées au traitement et tenues à une obligation de confidentialité qui survit à la fin de leur contrat ou de leur mission.

Nos équipes n'accèdent aux données du client que lorsque c'est nécessaire : assistance demandée par le client, diagnostic d'une panne, respect d'une obligation légale. Ces accès sont journalisés.

Nous n'utilisons pas les contenus du client à nos propres fins. En particulier, nous ne les utilisons pas pour entraîner des modèles généralistes.

Mesures de sécurité

Nous appliquons des mesures techniques et organisationnelles adaptées au risque, au sens de l'article 32 du RGPD.

• Chiffrement des données en transit et au repos.
• Chiffrement des secrets et des identifiants des services connectés.
• Contrôle des accès selon le principe du moindre privilège, avec authentification robuste.
• Séparation logique entre les espaces de travail des différents clients.
• Sauvegardes régulières et procédures de restauration testées.
• Journalisation des événements pertinents et surveillance des erreurs.
• Procédure documentée de gestion des incidents.

Détail des mesures de sécurité

Sous traitants ultérieurs

Le client autorise de façon générale le recours à des sous traitants ultérieurs pour les catégories de services nécessaires au fonctionnement de la plateforme : infrastructure cloud, modèles de langage, paiements, envoi d'emails transactionnels, données SEO, surveillance des erreurs.

Chaque sous traitant est tenu par contrat à des obligations de protection des données au moins aussi strictes que les nôtres envers le client. Nous restons pleinement responsables de leurs prestations envers le client.

Nous annonçons avec un préavis raisonnable toute intention d'ajouter ou de remplacer un sous traitant, afin que le client puisse s'y opposer pour des motifs documentés de protection des données.

Catégories de sous traitants et processus de notification

Assistance au responsable

Nous assistons le client, par des mesures techniques et organisationnelles appropriées et compte tenu de la nature du traitement, dans les obligations que le RGPD met à sa charge.

1. Demandes des personnes concernées : si une demande nous parvient, nous la transmettons sans délai au client et fournissons les outils pour y répondre.
2. Sécurité du traitement : nous fournissons les informations nécessaires pour documenter les mesures en place.
3. Analyse d'impact : nous fournissons les informations techniques en notre possession lorsque le client doit en réaliser une.
4. Consultation préalable de l'autorité : nous coopérons avec les informations qui relèvent de nous.

Nous mettons également à disposition du client les informations nécessaires pour démontrer le respect des obligations de l'article 28.

Violations de données personnelles

Si nous avons connaissance d'une violation de données personnelles touchant les données traitées pour le compte du client, nous en informons le client sans délai injustifié, comme le prévoit l'article 33 paragraphe 2 du RGPD.

La communication indique, dans la mesure du disponible, la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements, les conséquences probables et les mesures prises ou proposées.

Si toutes les informations ne sont pas disponibles lors de la première communication, nous les fournissons progressivement sans nouveau délai. Les notifications à l'autorité de contrôle et aux personnes concernées restent à la charge du client, en sa qualité de responsable.

Transferts hors de l'Espace économique européen

Lorsqu'un traitement implique un transfert vers un pays tiers, nous appliquons l'une des garanties du chapitre V du RGPD : décision d'adéquation, ou clauses contractuelles types accompagnées des mesures supplémentaires nécessaires.

Les informations sur les garanties appliquées à chaque catégorie de fournisseur sont disponibles sur demande.

Suppression ou restitution à la fin

À la fin de la relation, le client choisit entre la restitution des données et leur suppression.

Les outils d'export restent disponibles pendant la période de récupération prévue par le contrat cadre. Ce délai écoulé, nous procédons à la suppression.

Sont exclues de la suppression les copies que la loi nous impose de conserver : elles restent protégées par les mêmes mesures de sécurité et ne sont plus utilisées à d'autres fins.

Audit et vérifications

Le client a le droit de vérifier le respect des obligations de l'article 28.

La vérification passe d'abord par la documentation que nous mettons à disposition sur demande : description des mesures de sécurité, liste à jour des sous traitants, informations sur les garanties utilisées pour les transferts.

Si la documentation ne suffit pas, le client peut demander un audit moyennant un préavis raisonnable, aux heures ouvrables, sans perturber la disponibilité du service pour les autres clients et dans le respect de la confidentialité qui leur est due. Les modalités et les limites figurent dans l'accord signé.

Le texte signé

Cette page est une synthèse pédagogique. L'accord qui lie les parties est l'accord signé, remis en annexe du contrat cadre lors de l'inscription, en italien.

Si vous avez besoin d'en recevoir copie avant de souscrire, demandez la : nous vous l'envoyons sans engagement.

En cas de divergence entre cette synthèse et l'accord signé, l'accord signé prévaut. Les versions anglaise, française et allemande de cette page sont des traductions de courtoisie.