Avenant relatif au traitement des données

La forme publiée du DPA est [Owner: DPA document version and date, once counsel has settled it]. Tant qu’elle n’existe pas, le DPA de chaque client pilote est négocié sur son propre papier ou sur le nôtre, un à la fois.

Responsable de traitement

Le client. C’est lui qui décide quelles données personnelles entrent dans un modèle, et pourquoi.

Sous-traitant

[Owner: legal entity name], exerçant sous le nom de Superiora, qui ne traite ces données que sur les instructions documentées du responsable de traitement.

Objet et durée

La fourniture de Superiora Planner pendant la durée du contrat, plus le délai d’export après sa fin.

Nature et finalité

Héberger, stocker, calculer et rendre disponible le modèle de planification du client ; envoyer les notifications de la plateforme ; assister le client lorsqu’il le demande.

Catégories de personnes concernées

Les salariés et les prestataires du client (comme utilisateurs de la plateforme, et comme lignes d’un workforce plan), et toute personne que le client choisit de modéliser — un commercial, un franchisé, une contrepartie nommée.

Catégories de données personnelles

Les données d’identité et de contact des utilisateurs de la plateforme ; tout ce que le responsable de traitement met dans le modèle, généralement le nom, le rôle, le centre de coûts, le territoire, le coût d’emploi et des dates.

Catégories particulières

Aucune. La politique d’usage acceptable interdit de charger des données de catégorie particulière sans accord écrit préalable.

• Instructions seulement. Nous ne traitons les données personnelles que sur les instructions documentées du responsable de traitement, y compris en matière de transfert international, sauf si une loi à laquelle nous sommes soumis en dispose autrement — auquel cas nous en informons d’abord le responsable de traitement, lorsque la loi le permet.
• Confidentialité. Toute personne qui y a accès est tenue à la confidentialité.
• Sécurité. Des mesures techniques et organisationnelles appropriées, décrites à la section 03 et plus en détail sur sécurité.
• Sous-traitants ultérieurs. Uniquement avec l’autorisation générale du responsable de traitement, à des conditions non moins strictes que celles-ci, et avec notification de tout changement — voir sous-traitants ultérieurs.
• Assistance pour les droits des personnes concernées. Lorsqu’une personne concernée nous écrit au sujet de données situées dans le modèle d’un client, nous transmettons la demande au responsable de traitement et nous l’aidons à y répondre.
• Assistance pour les analyses d’impact et pour la consultation préalable d’une autorité de contrôle, dans la mesure où notre connaissance du traitement le permet.
• Notification des violations. Nous informons le responsable de traitement sans délai injustifié et en tout état de cause dans les [Owner: breach notification window, e.g. 48 hours] suivant la prise de connaissance d’une violation de données personnelles, avec ce que nous savons et ce que nous faisons.
• Suppression ou restitution. À la fin du contrat, au choix du responsable de traitement, export ou suppression, selon le calendrier figurant dans les Conditions. Les sauvegardes disparaissent au rythme du cycle de sauvegarde plutôt qu’instantanément, et restent protégées jusque-là.
• Audit. Nous mettons à disposition les informations nécessaires pour démontrer la conformité et nous nous soumettons à des audits moyennant un préavis raisonnable, [Owner: audit frequency, notice and cost terms].

• TLS sur chaque connexion à la plateforme ; certificats de Let’s Encrypt, renouvelés automatiquement.
• Mots de passe hachés avec Argon2id. Jetons de session signés à durée de vie limitée, et jetons de courte durée entre le plan de contrôle et le moteur d’un modèle. Une adresse est bloquée après des connexions échouées répétées.
• Accès par rôle, plus un accès dimensionnel (sélectif) qui accorde ou refuse des tranches individuelles d’un modèle. L’accès est appliqué du côté lecture, de sorte qu’une écriture dans une tranche que vous ne pouvez pas voir est refusée avant d’être envoyée.
• Verrous de période : un mois clos refuse toute écriture en son sein — saisie, collée, importée ou planifiée — y compris celle du système lui-même.
• Un journal d’événements en ajout seul : chaque changement apporté à un modèle est enregistré avec son auteur et son heure, et l’état est reconstruit en le rejouant.
• Isolation des tenants : chaque modèle est son propre processus et son propre répertoire de données, adressé au travers d’un plan de contrôle authentifié.
• Le conteneur de l’application tourne sous un utilisateur non root.
• Sauvegarde nocturne du volume de données vers un stockage objet dans la même région.
• Infrastructure dans Amazon Web Services us-east-1, AWS étant responsable de la sécurité physique et environnementale.

Le traitement a lieu aux États-Unis (us-east-1). Pour un responsable de traitement au Brésil, c’est un transfert international au titre du chapitre V de la LGPD ; pour un responsable de traitement dans l’EEE ou au Royaume-Uni, c’est un transfert soumis à restriction au titre du chapitre V du GDPR.

Le mécanisme retenu est [Owner: transfer mechanism — standard contractual clauses / ANPD clausulas-padrao, module and annexes], avec le AWS Data Processing Addendum qui se répercute sur notre fournisseur d’infrastructure.

Aucune autre région n’est proposée aujourd’hui. Si vos données ne peuvent pas quitter le Brésil ou l’EEE, dites-le-nous avant que le pilote ne commence.