1. Objet et rôles
Le présent accord fait partie du contrat d'abonnement conclu entre le client Omnifloo (le « Client ») et DYONYSOS SASU, au capital de 1 €, immatriculée au RCS de Bayonne sous le numéro 999 108 558 (SIRET 999 108 558 00019), n° de TVA intracommunautaire FR78 999 108 558, siège : 275 chemin de Miquelon, 64990 Mouguerre, qui exploite le service Omnifloo (« Omnifloo »). Il s'applique dès que des données personnelles sont placées dans l'espace du Client.
Pour ces données, le Client est responsable du traitement : il décide pourquoi et comment elles sont utilisées. Omnifloo est son sous-traitant au sens de l'article 28 du règlement (UE) 2016/679 (RGPD) : elle les héberge et les traite pour le seul compte du Client.
Le présent accord ne vise pas les données qu'Omnifloo traite pour son propre compte (compte client, facturation, sécurité de ses services, prospection), qui relèvent de sa politique de confidentialité (omnifloo.com/privacy).
2. Description des traitements
| Objet | hébergement, exploitation, sauvegarde, mise à jour et assistance de l'espace Omnifloo du Client |
|---|---|
| Durée | durée de l'abonnement, prolongée de la période de récupération des données prévue par les conditions générales de vente, puis du cycle de rotation des sauvegardes |
| Nature des opérations | stockage, copie de sauvegarde, restauration, consultation et, seulement à la demande du Client ou lorsque l'assistance l'exige, modification ou extraction |
| Finalité | permettre au Client d'utiliser son logiciel de gestion ; Omnifloo n'utilise pas ces données pour ses propres fins |
| Catégories de données | celles que le Client choisit d'enregistrer : identité et coordonnées, données commerciales et comptables, données relatives aux salariés et aux candidats, journaux de connexion des utilisateurs, et toute autre donnée saisie par le Client |
| Personnes concernées | clients, prospects, fournisseurs, salariés, candidats, utilisateurs et visiteurs du site du Client |
Le Client s'abstient de placer dans son espace des données sensibles (santé, opinions, condamnations…) sans avoir vérifié que le traitement est licite et que les mesures de sécurité lui conviennent.
3. Instructions du Client
Omnifloo ne traite les données que sur instruction documentée du Client. Le contrat, le paramétrage de l'espace et les demandes écrites adressées à l'assistance valent instructions. Omnifloo informe immédiatement le Client si une instruction lui paraît contraire à la réglementation. Si le droit de l'Union ou d'un État membre impose à Omnifloo un traitement, elle en informe le Client avant de l'effectuer, sauf si ce droit l'interdit.
4. Confidentialité
Seules les personnes habilitées par DYONYSOS qui en ont besoin pour exploiter le service ou traiter une demande d'assistance ont accès aux données. Elles sont soumises à une obligation de confidentialité. Elles n'ouvrent l'Espace du Client que pour traiter sa demande, pour la sécurité ou l'exploitation du service, ou sur obligation légale, et se limitent aux données, fichiers et réglages nécessaires. Leurs connexions aux serveurs sont enregistrées dans le journal du système, et les connexions à l'Espace dans le journal des connexions de l'Espace.
5. Sécurité
Omnifloo met en œuvre les mesures techniques et organisationnelles décrites en annexe 2, adaptées au risque (article 32 du RGPD). Elle peut les faire évoluer à condition de ne pas réduire le niveau de protection. Le Client reste responsable de la sécurité de ce qu'il maîtrise : choix des utilisateurs et de leurs droits, mots de passe, double authentification, appareils, applications qu'il installe, accès qu'il donne à des tiers.
6. Sous-traitants ultérieurs
Le Client autorise Omnifloo à recourir aux sous-traitants ultérieurs listés en annexe 3. Omnifloo informe le Client de tout ajout ou remplacement au moins 30 jours à l'avance ; le Client peut s'y opposer pour un motif lié à la protection des données. Si aucune solution n'est trouvée, le Client peut résilier l'abonnement sans frais avant la prise d'effet du changement.
Omnifloo impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection équivalentes à celles du présent accord et reste responsable envers le Client de leur respect.
Les éditeurs d'applications du magasin n'accèdent pas aux données lorsque leur application s'exécute seulement dans l'espace du Client. Lorsqu'un éditeur intervient pour le compte d'Omnifloo, il le fait comme sous-traitant ultérieur selon l'Annexe « Protection des données » des éditeurs. Lorsqu'une application appelle un service externe, sa fiche l'indique ; en l'installant, le Client décide de ce flux.
Un Partenaire choisi par le Client et qui accède à l'espace à sa demande agit pour le compte du Client, selon le contrat qu'ils ont conclu ; il n'est pas un sous-traitant d'Omnifloo.
7. Droits des personnes
Le logiciel permet au Client de consulter, corriger, exporter et supprimer les données de son espace. Omnifloo aide en outre le Client, dans la mesure du possible, à répondre aux demandes des personnes concernées. Si une personne s'adresse directement à Omnifloo, celle-ci transmet la demande au Client sans y répondre elle-même, sauf instruction.
8. Violations de données
Omnifloo notifie au Client toute violation de données personnelles affectant son espace dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, afin qu'il puisse respecter son propre délai de notification à l'autorité de contrôle. La notification décrit, autant que possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Les informations qui ne sont pas encore connues sont transmises dès qu'elles le sont.
9. Aide à la conformité
Omnifloo fournit au Client les informations utiles à ses analyses d'impact et à la consultation éventuelle de l'autorité de contrôle, pour ce qui concerne le service. Une aide qui dépasse la fourniture de documentation existante peut faire l'objet d'un devis.
10. Transferts hors de l'Espace économique européen
Les données de l'espace et leurs sauvegardes sont hébergées dans l'Union européenne. Omnifloo ne les transfère pas hors de l'Espace économique européen sans en informer préalablement le Client et sans garanties appropriées au sens du chapitre V du RGPD (décision d'adéquation ou clauses contractuelles types de la Commission européenne, complétées si nécessaire). Une fonction optionnelle qui ferait appel à un service situé hors de l'Union n'est activée qu'avec l'accord du Client, après information sur ce transfert.
11. Audits
Omnifloo met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord. Le Client peut faire réaliser un audit, y compris une inspection, par lui-même ou par un auditeur indépendant tenu au secret, avec un préavis écrit raisonnable, pendant les heures ouvrées et sans compromettre la sécurité ni la confidentialité des autres clients. Sauf manquement révélé par l'audit, chaque partie supporte ses propres frais. Le Client peut faire réaliser au plus un audit par an, sauf violation de données.
12. Fin du traitement
À la fin de l'abonnement, le Client récupère ses données selon les conditions générales de vente (export complet et période de récupération). Omnifloo supprime ensuite l'espace et toutes les copies dont elle dispose ; les copies présentes dans les sauvegardes sont effacées au plus tard à la fin de leur cycle de rotation et ne sont plus utilisées entre-temps, sauf demande du Client. Omnifloo confirme la suppression par écrit sur demande. Ne sont conservées que les données qu'une obligation légale impose de garder, et seulement pour cette obligation.
13. Responsabilité et durée
Chaque partie répond des manquements qui lui sont imputables, dans les conditions de l'article 82 du RGPD et du contrat d'abonnement. Le présent accord s'applique aussi longtemps qu'Omnifloo traite des données du Client, y compris après la fin de l'abonnement jusqu'à leur suppression effective. En cas de contradiction avec un autre document du contrat, il prévaut pour tout ce qui concerne les données personnelles.
Annexe 1 — Coordonnées
Contact d'Omnifloo pour la protection des données : contact@omnifloo.com. Omnifloo n'a pas désigné de délégué à la protection des données, cette désignation n'étant pas obligatoire pour elle. Contact du Client : l'administrateur principal de l'espace, sauf indication contraire.
Annexe 2 — Mesures de sécurité
- une base de données distincte et cloisonnée pour chaque client ;
- connexions chiffrées (HTTPS) pour l'accès à l'espace, y compris avec un nom de domaine du client ;
- double authentification disponible pour tous les comptes ;
- sauvegarde automatique quotidienne de la base et des fichiers, empreintes de contrôle, restauration testée ;
- copie hors site des sauvegardes chez un second prestataire de l'Union européenne, chiffrée sur le serveur d'Omnifloo avant son envoi (le prestataire ne reçoit que des fichiers chiffrés, noms compris) ; les clés de chiffrement sont détenues par DYONYSOS seule, et la copie est vérifiée par relecture complète après chaque envoi ; historique de 7 sauvegardes quotidiennes, 4 hebdomadaires et 3 mensuelles ;
- contrôle de l'état du service à intervalles réguliers et relance automatique ;
- application des correctifs de sécurité du logiciel ; analyse automatique et validation humaine des applications du magasin avant publication (voir la Politique de sécurité et les Règles de publication) ;
- accès d'administration aux serveurs réservés aux personnes habilitées par DYONYSOS, par connexion chiffrée (SSH) ; pare-feu qui n'ouvre que l'administration et le web (HTTP et HTTPS) ; blocage automatique des adresses à l'origine de tentatives de connexion répétées ; mises à jour de sécurité du système appliquées automatiquement ; connexions d'administration enregistrées dans le journal du système, conservé jusqu'à 14 jours ;
- alerte automatique de l'exploitation en cas d'échec d'une sauvegarde, de la copie hors site ou du contrôle de l'état du service.
Annexe 3 — Sous-traitants ultérieurs
| Sous-traitant | Prestation | Lieu de traitement |
|---|---|---|
| OVH SAS (Roubaix, France) | hébergement des serveurs (serveur privé virtuel) sur lesquels fonctionnent les espaces | France — centre de données de Gravelines |
| Hetzner Online GmbH (Gunzenhausen, Allemagne) | stockage de la copie hors site des sauvegardes | Allemagne (Union européenne) |
| Stripe Payments Europe, Ltd. (Dublin, Irlande) | encaissement des abonnements (ne reçoit pas les données de l'espace) | Irlande (Union européenne) |
| OVH SAS (Roubaix, France) | envoi des courriels émis par les espaces et par le service (serveur de messagerie d'OVH), qui contiennent les données que le Client y place (destinataires, contenu, pièces jointes) | Union européenne (France) |
Assistant d'intelligence artificielle. À la date du présent accord, Omnifloo ne fait appel à aucun prestataire d'intelligence artificielle : l'assistant intégré répond à partir d'une base de connaissances locale, sans envoyer de données à l'extérieur. Le choix d'un fournisseur externe est un réglage réservé à Omnifloo. Avant d'en activer un pour un Espace, Omnifloo l'ajoute à la présente liste en respectant le préavis de l'article 6 ; s'il traite des données hors de l'Union européenne, il n'est activé qu'avec l'accord du Client (article 10). Seuls la question posée et le texte concerné lui seraient alors transmis.