Accord de traitement des données

Cet accord de traitement des données fait partie des Conditions générales d'OrbitPage. Il est conclu par voie électronique entre le titulaire du compte ou l'organisation identifiée par le compte OrbitPage (le Client) et Paolo Ronco, exploitant OrbitPage (le Sous-traitant). Cela devient contraignant lorsque le client accepte les conditions ou soumet pour la première fois les données personnelles du client à une fonction de sous-traitant.

Cela s'applique uniquement lorsque le Client détermine les finalités et les moyens essentiels du traitement et qu'OrbitPage traite les données personnelles pour le compte du Client. OrbitPage reste un responsable du traitement indépendant pour l'administration des comptes, la facturation, la sécurité des services, la prévention des fraudes et des abus, la conformité légale et ses propres analyses de site Web, comme expliqué dans la Politique de confidentialité.

Google Analytics soumis au consentement, les événements produits de la plateforme PostHog, le suivi des erreurs du navigateur, la relecture masquée de l'éditeur et la reconnaissance des clients récurrents sont les propres activités de responsable du traitement d'OrbitPage. PostHog est un sous-traitant à ces fins de plateforme, et non un sous-traitant désigné pour analyser les visiteurs des pages publiques du Client. Leur divulgation dans l'annuaire des fournisseurs ne prolonge pas ce DPA ni n'autorise un suivi facultatif sans le consentement séparé de l'individu.

Données personnelles du client, responsable du traitement, sous-traitant, traitement et violation de données personnelles ont la signification donnée par le règlement (UE) 2016/679 (RGPD).

Si le client lui-même agit en tant que sous-traitant pour un responsable du traitement client, OrbitPage agit en tant que sous-traitant ultérieur pour les données pertinentes. Le Client confirme qu'il dispose de l'autorisation de traitement requise par l'article 28, qu'il transmettra des instructions licites et documentées et qu'il demeure le point de communication de ce responsable de traitement. Ce DPA n'autorise pas une activité de traitement au-delà de l'autorité accordée par ce responsable du traitement.

OrbitPage traite les données personnelles du client pour fournir l'espace de travail hébergé, la publication, les contrôles de consentement, la newsletter, la boutique, la réservation, la livraison, l'assistance et les fonctionnalités connectées sélectionnées par le client. Le traitement se poursuit pendant la durée du service et les périodes de suppression décrites ci-dessous.

Les instructions documentées du Client sont le présent DPA, les Conditions, la configuration et le contenu du Client, les actions authentifiées du tableau de bord et de l'API, ainsi que les instructions d'assistance écrites cohérentes avec le service. OrbitPage traitera les données personnelles du client uniquement selon ces instructions, y compris pour les transferts internationaux, sauf disposition contraire du droit de l'Union ou des États membres. Lorsque la loi le permet, OrbitPage informera le client avant le traitement requis.

OrbitPage informera rapidement le client si une instruction semble enfreindre la loi applicable en matière de protection des données et pourra suspendre l'instruction concernée pendant que les parties la clarifient.

OrbitPage veillera à ce que le personnel autorisé traite les données personnelles du client uniquement dans la mesure nécessaire à ses fonctions et soit lié par la confidentialité ; maintenir des mesures adaptées au risque conformément à l'article 32 du RGPD ; imposer des obligations équivalentes en matière de protection des données aux sous-traitants ultérieurs ; assister le Client en matière de droits des personnes concernées, de sécurité, d'évaluation des violations, d'AIPD et de consultation préalable lorsque la nature du service et les informations disponibles le permettent ; supprimer ou restituer les données comme indiqué à l'article 11 ; et rendre disponibles les informations nécessaires pour démontrer le respect de l'article 28 en vertu de la section 10.

Le Client est responsable des instructions licites, équitables et transparentes ; mentions et bases légales ; exactitude et minimisation des données ; répondre aux personnes concernées ; configurer la conservation, le consentement et les destinataires ; et s'assurer que ses utilisateurs et les services tiers sélectionnés sont autorisés. Le client ne doit pas utiliser OrbitPage pour traiter des données de catégorie spéciale, des données sur des infractions pénales, une surveillance systématique à grande échelle ou des données sur des enfants sans un accord écrit séparé confirmant que le service et les garanties sont adaptés.

Le Client doit protéger les identifiants de compte, SMTP, API et services connectés, accorder l'accès minimum nécessaire et informer OrbitPage rapidement de toute compromission suspectée. Le Client reste responsable des fournisseurs indépendants qu'il sélectionne, y compris ses fournisseurs SMTP, d'analyse, de gestion des consentements, de réservation, de formulaires et de contenu intégré.

OrbitPage applique les mesures de l'annexe II et peut les mettre à jour en fonction de l'évolution de la technologie et des risques, à condition que la protection globale des données personnelles du client ne soit pas sensiblement réduite. Aucune mesure ne crée une garantie de disponibilité, de temps de récupération ou de point de récupération, à moins qu'un accord de niveau de service signé distinct ne l'indique expressément.

En tenant compte de la nature du traitement, OrbitPage fournira des outils en libre-service disponibles et une assistance raisonnable pour les demandes d'accès, de correction, d'exportation, de restriction, d'opposition et de suppression. Si OrbitPage reçoit une demande concernant principalement les données personnelles du client, elle dirigera le demandeur vers le client ou transmettra la demande lorsque cela est licite et raisonnablement identifiable, et ne répondra pas au nom du client, sauf instruction ou obligation légale.

OrbitPage fournira des informations raisonnablement disponibles pour vous aider à respecter les articles 32 à 36 du RGPD. Les travaux nécessitant un développement personnalisé, une récupération approfondie ou des services professionnels tiers peuvent être facturés à un tarif raisonnable convenu, sauf s'ils sont causés par une violation par OrbitPage du présent DPA.

OrbitPage informera le Client dans les plus brefs délais après avoir pris connaissance d'une violation de données personnelles affectant les Données personnelles du Client. Au fur et à mesure que les informations seront disponibles, l'avis décrira la nature de la violation, les données concernées et les personnes connues, les conséquences probables, les mesures d'atténuation et un point de contact. OrbitPage peut fournir des informations par étapes et prendra des mesures raisonnables pour contenir, enquêter et remédier à l'incident. La notification ne constitue pas un aveu de faute.

Le Client donne une autorisation écrite générale aux fournisseurs identifiés comme sous-traitants ultérieurs pour les fonctionnalités du sous-traitant sélectionné sur la page Sous-traitants, qui est incorporée en tant qu'Annexe III. OrbitPage reste responsable de l'exécution des tâches de sous-traitant applicables et les liera aux obligations de protection des données appropriées au service.

OrbitPage informera activement le Client via le contact du compte ou un avis de mise en service avant d'ajouter ou de remplacer un sous-traitant secondaire autorisé. La notification identifie le traitement concerné et offre une possibilité raisonnable de s'opposer pour des raisons de protection des données ; le simple fait de modifier une liste de sites Web ne constitue pas la totalité de la procédure de notification. Le client peut s'opposer à la modification annoncée pour des raisons documentées liées à la protection des données. Les parties rechercheront une solution raisonnable ; si aucune n'est disponible, le Client peut cesser d'utiliser la fonctionnalité concernée ou mettre fin au service payant concerné.

Les fournisseurs utilisés uniquement à des fins de responsable du traitement indépendant d'OrbitPage et les services externes sélectionnés et sous-traités indépendamment par le client ne sont pas autorisés en tant que sous-traitants ultérieurs simplement parce qu'ils apparaissent dans le répertoire des fournisseurs. Un rôle de fournisseur suit le service et les instructions réels plutôt que son nom marketing.

Lorsque les données personnelles du client sont transférées en dehors de l'EEE vers un pays sans décision d'adéquation applicable, OrbitPage utilisera un mécanisme de transfert légal, y compris les clauses contractuelles types de la Commission européenne de 2021, le cas échéant, et les mesures supplémentaires requises par l'évaluation du transfert. Les emplacements actuels des fournisseurs et les mesures de protection sont décrits sur la page des Sous-traitants.

Un mécanisme de transfert est sélectionné pour l'exportateur, l'importateur et le service réels. Le cas échéant, les transferts de sous-traitant à sous-traitant utilisent le module SCC concerné et les mesures complémentaires requises ; Les données britanniques ou suisses nécessitent les garanties locales applicables. Sur demande, OrbitPage fournit des informations pertinentes sur les garanties de transfert, sous réserve des protections légales de confidentialité. Ce DPA n'est pas en soi une annexe complète et autonome du SCC ni une représentation selon laquelle chaque destination a une décision d'adéquation.

Sur demande écrite raisonnable, OrbitPage fournira les informations nécessaires pour démontrer la conformité à ce DPA, telles que les politiques pertinentes, les conditions du fournisseur, les résumés de sécurité et les réponses à un questionnaire proportionné. Pas plus d'une fois par période de douze mois, à moins qu'un manquement, une demande d'autorité ou une non-conformité matérielle crédible ne justifie davantage, le Client peut demander un audit par un auditeur qualifié indépendant tenu à la confidentialité.

Les audits nécessitent un préavis raisonnable, doivent éviter toute interruption et ne peuvent pas révéler les données, les secrets de sécurité ou les éléments privilégiés d'un autre client. Le Client supporte ses frais d'audit, sauf si l'audit identifie une violation substantielle de la part d'OrbitPage. Contactez contact@orbitpage.com pour commencer ce processus.

Pendant la durée du service, le client peut récupérer les données de l'espace de travail prises en charge via les fonctions d'exportation et de sauvegarde disponibles. Sur demande faite avant la fermeture du compte, OrbitPage fournira une assistance raisonnable avec une exportation disponible. Lorsque le client supprime le compte ou que le service prend fin, OrbitPage supprime les données personnelles du client des systèmes actifs conformément à la Politique de confidentialité, à moins que le client ne demande le retour avant la suppression ou que la loi applicable n'exige la conservation.

Les sauvegardes du fournisseur et les enregistrements de sécurité immuables restent protégés et expirent selon leurs calendriers contrôlés. Les données conservées à des fins juridiques, de prévention de la fraude, de litiges ou de réclamations juridiques sont isolées de l'utilisation ordinaire du produit et supprimées lorsque cette finalité prend fin. À la demande du client, OrbitPage confirmera l'achèvement du processus de suppression du système actif applicable.

Le Client peut choisir de restituer ou de supprimer les Données Personnelles Client à la fin du traitement, sous réserve de la conservation légale applicable. Les copies protégées de récupération après sinistre suivent le cycle de vie des sauvegardes décrit dans la politique de confidentialité et ne doivent pas être utilisées à des fins indépendantes. Une restauration doit préserver les exigences de suppression en suspens.

Si ce DPA entre en conflit avec les Conditions relatives au traitement des données personnelles des clients, ce DPA prévaut. Les Conditions régissent toutes les autres questions, y compris la responsabilité, le paiement, la suspension, la loi applicable et les litiges, sans limiter les droits ou la responsabilité qui ne peuvent légalement être limités en vertu de la loi sur la protection des données.

Ce DPA reste en vigueur pendant qu'OrbitPage traite les données personnelles du client. Les mises à jour suivent le processus de modification des Conditions et ne réduiront pas matériellement les protections obligatoires de l’article 28. Les avis et demandes de protection des données peuvent être envoyés via la page de contact ou à contact@orbitpage.com.

• HTTPS/TLS pour les données en transit prises en charge et protection gérée par le fournisseur pour les données de service stockées.
• Authentification Firebase, identités vérifiées si nécessaire, vérifications de l'adhésion des locataires, autorisations basées sur les rôles et autorisation côté serveur.
• Secrets côté serveur, hachage unidirectionnel des informations d'identification de l'API et chiffrement des mots de passe SMTP fournis par le client.
• Enregistrements à l'échelle du espace de travail, chemins de publication validés, stockage d'objets privés pour les fichiers protégés et informations d'identification de livraison limitées dans le temps.
• Limites de débit, App Check ou attestation de demande équivalente si configurée, contrôles contre les abus, mesures de protection contre la modération et journalisation opérationnelle.
• Historique des révisions, sauvegardes gérées si configurées, contrôles de déploiement, procédures d'incident et rotation contrôlée des informations d'identification.
• Minimisation des données, contexte d'IA limité, informations d'identification restreintes du fournisseur et contrôles de suppression/exportation décrits dans les règles de confidentialité.
• Confidentialité du personnel, accès du fournisseur selon le principe du moindre privilège et examen des sous-traitants ultérieurs en fonction de leur rôle.

La liste actuelle, l'objectif, la portée des données et la documentation du fournisseur sont conservés sur la page Sous-traitants. Les fournisseurs SMTP, d'analyse, de consentement, de réservation, de formulaire et d'intégration sélectionnés par le client sont contrôlés par le client et ne sont pas désignés par OrbitPage en tant que sous-traitants de la plateforme pour les utilisations sélectionnées par le client.