Accord de traitement des données.

Cet accord fait partie des conditions de guruburu Care et couvre chaque site que nous hébergeons pour vous. C’est le contrat qu’exige l’article 28 du RGPD (règlement (UE) 2016/679), conclu sous forme électronique lorsque vous acceptez les conditions : il n’y a rien d’autre à signer.

Qui est qui

Vous, le client indiqué sur le compte, êtes le responsable du traitement des données personnelles présentes sur vos sites. Nous, Vălcăneanțu Alin-Ștefan PFA (numéro fiscal 44410738, F35/197/2024), Timișoara, Roumanie, sommes votre sous-traitant.

Si vous êtes vous-même sous-traitant pour quelqu’un d’autre, par exemple une agence qui héberge les sites de ses clients, nous sommes votre sous-traitant ultérieur, et vous vous assurez que votre client l’a accepté.

Ce que nous traitons

• Finalité : héberger vos sites WordPress et en assurer la maintenance : les faire fonctionner, les sauvegarder, essayer et appliquer les mises à jour, vérifier qu’ils répondent, les restaurer, les migrer chez nous, le support et l’intervention technique.
• Nature : stockage, copie (sauvegardes, copie de staging et copie sur laquelle les mises à jour sont essayées), lecture pour les contrôles et les captures d’écran, transfert entre nos serveurs, et suppression.
• Durée : la durée du contrat, puis jusqu’à la suppression du site, 30 jours après la fin de l’offre, et de ses sauvegardes 7 jours plus tard.
• Données : tout ce que contiennent vos sites. En général des noms, des adresses e-mail et postales, des numéros de téléphone, des comptes utilisateurs et des hachages de mots de passe, des commandes, des messages envoyés par des formulaires, des commentaires, ainsi que les adresses IP et les navigateurs des visiteurs dans les journaux du serveur.
• Personnes concernées : les visiteurs, clients, utilisateurs, abonnés et membres du personnel de votre site, et toute personne dont parle votre contenu.

Notre service n’est pas conçu pour des catégories particulières de données, comme les données de santé. Si votre site en contient, vous vous assurez que les mesures ci-dessous sont suffisantes.

Uniquement sur vos instructions

Nous traitons les données uniquement sur vos instructions documentées : les conditions, votre offre, et ce que vous faites ou demandez dans le portail, par ticket ou par e-mail. Nous ne les utilisons à aucune fin qui nous serait propre. Nous ne les transférons hors de l’UE que comme l’indique la liste des sous-traitants ultérieurs ci-dessous.

Si nous estimons qu’une instruction enfreint le droit de la protection des données, nous vous le disons immédiatement. Si le droit de l’UE ou le droit roumain nous oblige à traiter les données autrement, nous vous en informons d’abord, sauf si ce droit l’interdit.

Confidentialité

Seules les personnes qui ont besoin d’un accès pour fournir le service l’obtiennent, et elles sont tenues à la confidentialité. Le personnel ne regarde à l’intérieur d’un site que pour les raisons indiquées dans « Support et intervention technique » des conditions, et chaque intervention est consignée et conservée 3 ans.

Sécurité

Nous protégeons les données par des mesures techniques et organisationnelles adaptées au risque (RGPD, art. 32). Aujourd’hui, ce sont :

• Des serveurs en Allemagne, avec les mises à jour de sécurité du système d’exploitation installées automatiquement.
• Chaque site tourne sous son propre utilisateur système, avec ses propres processus PHP, sa base de données et son object cache, séparé des autres sites.
• HTTPS sur chaque site et sur le portail.
• Des sauvegardes chiffrées, conservées selon votre offre, plus une copie quotidienne de tout le serveur conservée 7 jours par notre fournisseur de serveurs.
• Un accès administrateur aux serveurs uniquement avec des clés SSH, et le blocage des échecs de connexion répétés.
• Les mots de passe du portail stockés uniquement sous forme de hachages, avec vérification en deux étapes facultative ; le panneau du personnel uniquement avec vérification en deux étapes.
• Les mots de passe que nous créons pour vous affichés une seule fois et conservés chiffrés 7 jours au plus.
• Les journaux du serveur web conservés 14 jours au plus.
• Sur les offres Care, les mises à jour essayées sur une copie du site avant d’y arriver.

Nous pouvons modifier ces mesures tant que le niveau de protection ne baisse pas.

Sous-traitants ultérieurs

Vous nous autorisez de manière générale à faire appel à des sous-traitants ultérieurs. Aujourd’hui, ce sont :

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Allemagne : les serveurs, à Nuremberg, en Allemagne, et leurs copies quotidiennes. Les données restent dans l’UE.
• Zoho Corporation B.V., Beneluxlaan 4B, 3527 HT Utrecht, Pays-Bas : nos e-mails (ZeptoMail et Zoho Mail), dans ses centres de données de l’UE ; uniquement pour les données de votre site qui nous parviennent par e-mail, dans une demande de support par exemple.
• Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, États-Unis : le transfert des e-mails envoyés à nos adresses ; là encore uniquement pour les données qui nous parviennent par e-mail.

Nous vous écrivons au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur. Vous pouvez vous y opposer dans ce délai pour un motif raisonnable ; si nous ne pouvons pas y donner suite, vous pouvez mettre fin au contrat avant le changement.

Chaque sous-traitant ultérieur est lié par des conditions de protection des données qui protègent les données comme le fait cet accord, et nous restons responsables envers vous de ses obligations.

Hors de l’UE

Vos sites et leurs sauvegardes restent dans l’UE. Le personnel de support de Zoho en Inde peut accéder à son centre de données de l’UE en vertu des clauses contractuelles types de la Commission européenne. Cloudflare, Inc. est certifiée dans le cadre de protection des données UE-États-Unis, avec les clauses contractuelles types comme solution de repli.

Notre aide

Nous vous aidons à répondre aux personnes concernées lorsqu’elles demandent à consulter, corriger, supprimer ou récupérer leurs données, surtout grâce à ce que WordPress et le portail vous permettent de faire vous-même ; pour le reste, écrivez-nous. Nous vous aidons aussi pour la sécurité, les violations de données, les analyses d’impact et la consultation de l’autorité, dans la mesure où notre part du traitement le permet.

Violations de données

Si nous apprenons une violation de données personnelles de notre côté qui touche vos sites, nous vous en informons dans les meilleurs délais, et au plus tard dans les 48 heures, avec ce que nous savons : ce qui s’est passé, quels sites et quelles données, ce que nous avons fait et ce que vous devrez peut-être faire. Vous décidez s’il faut en informer l’autorité et les personnes concernées, et nous vous donnons ce dont nous disposons pour cela.

À la fin

À la fin du contrat, le site et ses sauvegardes restent 30 jours, pour que vous puissiez revenir ou nous demander une copie. Ensuite, nous supprimons le site, puis ses sauvegardes 7 jours plus tard ; ils disparaissent des copies quotidiennes de notre fournisseur de serveurs dans les 7 jours suivants. Nous ne conservons rien, sauf si le droit de l’UE ou le droit roumain l’exige.

Informations et audits

Nous vous fournissons les informations nécessaires pour démontrer que ces obligations sont respectées. Vous, ou un auditeur indépendant tenu à la confidentialité, pouvez nous auditer une fois par an, avec un préavis de 30 jours et à vos frais, sans accès aux données d’autres clients. Nous pouvons d’abord répondre par des documents.

Responsabilité et contact

Les règles de responsabilité des conditions s’appliquent à cet accord dans la mesure où le RGPD le permet. Pour toute question de protection des données, écrivez à hello@guruburu.eu.