Accord de traitement des données

1. Rôle des parties

Le client, l'organisation qui utilise le Service, est responsable du traitement des données personnelles contenues dans ce que son équipe confie au Service : le contenu des conversations et les fichiers qui y sont joints, ce que l'assistant lit dans les comptes cloud connectés, la bibliothèque de questions, les validations et le journal des changements. Move2Cloud les traite en qualité de sous-traitant, pour le compte du client.

Pour les données dont il a besoin pour ses propres finalités (les comptes des utilisateurs et leur connexion, la sécurité du Service, la facturation, le support et la relation avec le client), Move2Cloud est responsable du traitement ; la politique de confidentialité les décrit.

2. Instructions

Move2Cloud ne traite les données personnelles que sur instruction documentée du client : les conditions d'utilisation, cet accord, et les choix que le client fait dans le Service (les comptes cloud qu'il connecte, les changements qu'il confirme, les durées de conservation qu'il fixe). Il ne les traite pour aucune autre finalité, n'en vend rien et ne les utilise pour entraîner aucun modèle. Si une instruction lui semble contraire au droit de la protection des données, il en informe le client.

3. Confidentialité

Les personnes de Move2Cloud autorisées à traiter les données sont tenues à la confidentialité. L'administration de la plateforme n'affiche ni les identifiants des comptes cloud ni le contenu des conversations.

4. Sécurité

Move2Cloud met en œuvre les mesures techniques et organisationnelles décrites à la section 7 de la politique de confidentialité, dont les échanges chiffrés, les identifiants des comptes cloud chiffrés en base de données, la double authentification exigée de chaque utilisateur, le cloisonnement des données par utilisateur et par organisation, et l'hébergement en France.

5. Sous-traitants ultérieurs

Le client donne à Move2Cloud une autorisation générale de recourir aux sous-traitants ultérieurs suivants, décrits à la section 5 de la politique de confidentialité :

• Scalingo (France) : hébergement du Service, de ses bases de données et de leurs sauvegardes, ainsi que du service d'identité.
• Scaleway (France) : conservation des fichiers joints et des exports, et envoi des e-mails.
• Prestataires de traitement automatisé (Union européenne ou États-Unis, comme indiqué à la section 6) : production des réponses de l'assistant ; leur identité est communiquée au client sur demande, à contact@move2cloud.fr.

Les prestataires de paiement et de facturation nommés dans la politique de confidentialité (Mollie, Qonto) ne sont pas des sous-traitants au titre de cet accord : ils traitent les données de facturation de Move2Cloud, dont Move2Cloud est responsable. Google et Microsoft non plus, que seules utilisent les personnes qui choisissent de se connecter avec eux.

Move2Cloud impose par contrat à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles de cet accord, et en reste responsable envers le client. Avant d'ajouter ou de remplacer un sous-traitant ultérieur, il en informe le propriétaire de l'organisation au moins 10 jours à l'avance, par e-mail et dans les notifications. Dans ce délai, le client peut s'y opposer pour un motif lié à la protection des données ; faute d'accord, il peut annuler son abonnement sans le mois de préavis.

6. Transferts hors de l'Union européenne

Le Service et ses données sont hébergés en France. Seules les réponses de l'assistant peuvent être produites aux États-Unis, pour les conversations sur AWS ou Microsoft Azure et celles sans compte cloud. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne (décision d'exécution (UE) 2021/914), intégrées à l'accord de traitement des données de chaque prestataire concerné.

7. Droits des personnes

Le Service permet au client de répondre lui-même à la plupart des demandes : chaque membre télécharge ses données et supprime son compte depuis la console, et les administrateurs gèrent l'équipe, les comptes cloud et le journal. Si Move2Cloud reçoit directement une demande, il la transmet au client sans y répondre, et l'aide à y répondre dans les délais prévus par la loi.

8. Violations de données personnelles

Move2Cloud informe le propriétaire de l'organisation de toute violation de données personnelles concernant ses données dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec ce qu'il sait de sa nature, des données et des personnes concernées, de ses conséquences probables et des mesures prises. Il aide ensuite le client à remplir ses propres obligations de notification.

9. Assistance

Sur demande, Move2Cloud fournit au client les informations dont il dispose pour mener une analyse d'impact relative à la protection des données, ou une consultation préalable de l'autorité de contrôle.

10. Audits

Sur demande écrite, une fois par an, Move2Cloud fournit au client les documents nécessaires pour démontrer qu'il respecte cet accord. S'ils ne suffisent pas, le client peut faire réaliser un audit une fois par an, à ses frais, par un auditeur indépendant tenu à la confidentialité et non concurrent de Move2Cloud, avec un préavis d'au moins 30 jours, pendant les heures ouvrées et sans perturber le Service.

11. Fin du traitement

Lorsque l'organisation est supprimée, ses données sont supprimées du Service, dans les délais indiqués à la section 6 de la politique de confidentialité ; les données supprimées peuvent subsister dans les sauvegardes de l'hébergeur jusqu'à leur expiration. Auparavant, le client peut télécharger ses conversations et exporter son journal depuis la console. Les factures et la preuve des mandats de prélèvement SEPA sont conservées le temps exigé par la loi.

12. Durée et primauté

Cet accord s'applique tant que Move2Cloud traite des données personnelles pour le client en application des conditions d'utilisation. En cas de contradiction avec les conditions d'utilisation, il prévaut pour ce qui concerne la protection des données personnelles. La responsabilité de chaque partie est régie par les conditions d'utilisation.

Annexe : description du traitement

• Nature et finalité : la fourniture du Service, c'est-à-dire répondre aux questions de l'équipe du client sur ses comptes cloud, préparer et exécuter les changements qu'elle confirme, et conserver ses conversations, sa bibliothèque de questions et son journal.
• Personnes concernées : les membres de l'équipe du client, et toute personne dont des données personnelles figurent dans les conversations, les fichiers joints ou les comptes cloud connectés.
• Catégories de données : les données de compte des membres (nom, adresse e-mail, rôle) ; le contenu des conversations et des fichiers joints ; ce que l'assistant lit dans les comptes cloud (noms, configuration et état des ressources, qui peuvent contenir des données personnelles) ; la bibliothèque de questions, les validations et le journal des changements.
• Données sensibles : aucune n'est attendue ; le client évite d'en confier au Service.
• Fréquence et durée : en continu, tant que le client utilise le Service, puis jusqu'à la suppression décrite à la section 11.