Annexe de traitement des données

Version 2026-10-09

1. Parties et rôles

Pour les données personnelles confiées par le Client dans les configurations, alertes, tickets ou sauvegardes, le Client agit en responsable de traitement et SAS ALLDAMNLIFE en sous-traitant. Chaque partie reste responsable de ses traitements propres, notamment la gestion commerciale et la sécurité de son compte.

2. Objet, nature et durée

Le sous-traitant réalise la collecte technique, l’hébergement, l’organisation, la consultation, la transmission, la protection, la sauvegarde, la restauration et la suppression nécessaires au provisioning, à la cyberprotection, à la supervision et au support. Le traitement dure pendant le contrat, la période de réversibilité puis le temps strictement nécessaire à la suppression et aux obligations légales.

3. Finalités

• provisionner et administrer le service demandé ;
• protéger, sauvegarder et restaurer les appareils couverts ;
• détecter, présenter et notifier les événements ;
• fournir le support, les tickets et rapports ;
• assurer la sécurité, la continuité et la preuve des opérations.

4. Données et personnes concernées

Les données peuvent comprendre : identité et coordonnées professionnelles, identifiants techniques, noms d’appareils, systèmes et versions, adresses réseau et journaux, événements de sécurité, métadonnées de sauvegarde, contenus sauvegardés selon la politique, diagnostics et contenus de tickets. Les personnes concernées sont les représentants, utilisateurs, salariés, prestataires et autres personnes dont les données se trouvent légitimement sur les appareils couverts.

5. Instructions documentées

Le sous-traitant agit sur les instructions résultant du contrat, des configurations et demandes authentifiées. Il informe le Client si une instruction paraît contraire au droit applicable, sauf interdiction légale. Toute instruction additionnelle susceptible d’entraîner un coût ou un risque fait l’objet d’un accord.

6. Confidentialité et habilitations

L’accès est limité aux personnes autorisées ayant besoin d’intervenir, soumises à la confidentialité et sensibilisées à la sécurité. Les habilitations sont attribuées selon le moindre privilège et revues selon les procédures internes.

7. Mesures de sécurité

Selon le risque et les capacités fournisseurs : chiffrement des flux, cloisonnement par tenant, protection des secrets, authentification, journalisation, mises à jour, sauvegardes des données applicatives, contrôle des accès, procédures d’incident et tests de reprise. Le Client maintient la sécurité de ses identifiants, postes et messagerie.

8. Sous-traitants ultérieurs

Le Client autorise de manière générale les prestataires nécessaires, notamment Acronis pour la cyberprotection, Stripe pour paiement/facturation, l’hébergeur applicatif et de base de données, et les fournisseurs d’email. La liste effective, les fonctions et régions sont mises à disposition avant production et tenue à jour. Un changement matériel est notifié ; le Client peut formuler une objection motivée liée à la protection des données.

9. Localisation et transferts

Les régions effectivement utilisées sont documentées dans la liste des sous-traitants. Tout transfert hors EEE doit reposer sur une décision d’adéquation, des clauses contractuelles types ou une autre garantie reconnue, assortie si nécessaire de mesures complémentaires.

10. Droits des personnes

Compte tenu de la nature du traitement, le sous-traitant aide raisonnablement le Client à répondre aux demandes d’accès, rectification, effacement, limitation, opposition et portabilité. Il transmet au Client les demandes reçues directement, sauf obligation contraire.

11. Violations et assistance

Le sous-traitant informe le Client sans délai injustifié après avoir pris connaissance d’une violation concernant les données traitées pour son compte et fournit progressivement les informations disponibles : nature, catégories, volumes estimés, conséquences, mesures et point de contact. Il aide raisonnablement aux obligations des articles 32 à 36 du RGPD.

12. Preuve et audit

Le sous-traitant met à disposition les informations raisonnablement nécessaires pour démontrer le respect de l’article 28. Un audit est organisé avec préavis raisonnable, pendant les heures ouvrées, sans compromettre la sécurité ou la confidentialité d’autres clients. Les coûts spécifiques peuvent être facturés sauf non-conformité significative imputable au sous-traitant.

13. Sort des données

À la fin, les données sont restituées ou supprimées selon les capacités du service, le calendrier de réversibilité et les obligations légales. Les sauvegardes techniques résiduelles suivent leur cycle de purge. La suppression d’un tenant Acronis est irréversible et fait l’objet d’une trace d’exécution.

À finaliser avant commercialisation : identité, fonction, région et garanties de chaque sous-traitant effectif, ainsi que la description technique confirmée par A2SCI.