Accord de traitement des données (DPA)

Ce DPA fait partie de l’accord de service entre SOMEPASS (sous-traitant) et la personne ou l’organisation déterminant licitement les traitements de l’espace (responsable de traitement), y compris pour un espace gratuit. Il encadre les données traitées pour le compte du responsable et prévaut sur les conditions de service contradictoires à ce sujet. Les rôles réels et l’habilitation du représentant doivent être établis ; la seule vérification d’un domaine email ne suffit pas.

https://www.somepass.com · France

1. Définitions

Les termes données personnelles, traitement, responsable de traitement, sous-traitant, violation de données et autorité de contrôle ont le sens du RGPD. Les données d’espace comprennent les données personnelles des comptes, rattachements, contenus configurés, participations, pièces jointes, communications et journaux nécessaires au service et à sa sécurité pour le compte du responsable.

2. Objet, périmètre et durée

Les traitements couvrent les opérations configurées ou initiées par le responsable et ses utilisateurs habilités. Ils durent pendant l’accord de service et les opérations de restitution/suppression décrites ci-dessous. L’annexe 1 précise les traitements et personnes concernées, l’annexe 2 les mesures de sécurité et l’annexe 3 les sous-traitants ultérieurs.

Les services d’identité proposent la connexion, la gestion des accès et des membres, le rattachement de domaines et la configuration d’applications OAuth/OIDC. Les administrateurs sont responsables des applications connectées, des adresses de redirection et des autorisations demandées. Le fournisseur est responsable de ses propres traitements de sécurité des comptes et d’authentification, et sous-traitant pour les instructions du titulaire d’un espace.

3. Obligations du sous-traitant

Traiter les données uniquement sur instruction documentée, y compris pour les transferts, sauf obligation du droit de l’Union ou d’un État membre ; informer le responsable de cette obligation avant le traitement, sauf interdiction légale. Les personnes habilitées sont tenues à la confidentialité et reçoivent une sensibilisation adaptée. Mettre en œuvre les mesures de sécurité appropriées, assister l’exercice des droits et les obligations des articles 32 à 36, notifier les violations sans délai indu et fournir les informations de conformité et d’audit. Informer immédiatement le responsable d’une instruction paraissant illicite et suspendre cette instruction dans l’attente de clarification si nécessaire.

4. Obligations du responsable

Déterminer la base légale et les finalités, informer les personnes, minimiser les données et gérer les droits et le cycle de vie des utilisateurs. Éviter les catégories particulières de données sauf nécessité et licéité. Vérifier que les administrateurs sont habilités à donner des instructions et que les intégrations sont adaptées. Dans l’éducation, vérifier l’habilitation à traiter les données des apprenants, à organiser l’accès des mineurs et à inviter des partenaires ; vérifier toute reprise institutionnelle avant le transfert des instructions ou de l’autorité administrative.

5. Confidentialité

Toute personne habilitée à traiter les données d’espace est soumise à une obligation contractuelle ou légale de confidentialité. Ses accès sont limités à ses responsabilités autorisées.

6. Sous-traitants ultérieurs et objections

Le responsable accorde une autorisation écrite générale de recourir aux sous-traitants de l’annexe 3. Avant tout ajout ou remplacement, le sous-traitant informe par écrit le responsable du changement envisagé, des traitements et de leur localisation, avec un délai raisonnable pour s’y opposer avant le début des nouveaux traitements. La seule mise à jour silencieuse de cette page ne remplace pas cette information. Les parties recherchent une solution aux objections raisonnables de protection des données ; à défaut, le service concerné peut être résilié selon l’accord.

Le sous-traitant impose par contrat écrit à chaque sous-traitant ultérieur les mêmes obligations pertinentes de protection des données, notamment les garanties de sécurité appropriées, et reste pleinement responsable envers le responsable de leur exécution.

7. Transferts internationaux

L’hébergement principal se situe en France. Les prestataires mondiaux peuvent traiter des données hors EEE, Royaume-Uni ou Suisse, selon le cas. Ces transferts suivent les instructions documentées et les exigences applicables, avec une décision d’adéquation ou des clauses contractuelles types et les mesures complémentaires nécessaires. Les destinations et garanties pertinentes sont accessibles auprès du contact confidentialité.

8. Violations de données personnelles

Notifier le responsable sans délai indu après avoir pris connaissance d’une violation affectant les données d’espace. Fournir les informations disponibles sur sa nature, les catégories et nombres approximatifs de personnes et d’enregistrements, les conséquences probables, le point de contact et les mesures correctrices. Les informations peuvent être complétées progressivement ; la notification n’attend pas que tous les détails soient connus. Le responsable assure les notifications aux autorités et personnes, sauf accord contraire.

9. Restitution et suppression

Au terme de la prestation de traitement, restituer ou supprimer toutes les données d’espace au choix du responsable et supprimer les copies existantes, sauf obligation de conservation du droit de l’Union ou d’un État membre. Les difficultés techniques sont traitées dans un processus opérationnel convenu et ne suppriment pas cette obligation. Les parties documentent le périmètre demandé, les formats de restitution utilisables, le calendrier d’exécution et la confirmation des opérations réalisées. Les demandes passent par le formulaire de confidentialité.

Les données restantes dans les sauvegardes protégées sont isolées de l’usage courant et supprimées selon le cycle de rotation documenté, dont le calendrier applicable est communiqué au responsable. Ces copies ne servent qu’aux restaurations nécessaires, contrôles de résilience, obligations de sécurité ou légales. Les instructions de suppression sont réappliquées à la restauration. Toute donnée légalement conservée est limitée à la finalité et à la durée requises.

10. Audits et informations de conformité

Fournir les informations nécessaires pour démontrer le respect du DPA et de l’article 28, permettre les audits, y compris les inspections, et y contribuer, auprès du responsable ou de son auditeur mandaté. Des documents et réponses écrites peuvent être utilisés lorsque adaptés. Les audits sur place sont organisés avec un préavis raisonnable, confidentialité, un périmètre proportionné et des conditions d’exploitation raisonnables ; ces modalités ne doivent pas empêcher un audit effectif.

11. Assistance à l’exercice des droits

Assister le responsable par des mesures appropriées, compte tenu de la nature des traitements, pour l’accès, la rectification, la suppression, la limitation, la portabilité et l’opposition. Les demandes reçues directement par le sous-traitant concernant l’espace sont coordonnées avec le responsable, sans déterminer une nouvelle finalité pour les données.

12. Responsabilité

La responsabilité suit l’accord de service, sous réserve du droit impératif de la protection des données et des droits des personnes concernées.

---

Annexe 1 — Description des traitements

Les traitements interviennent pendant l’usage du service : hébergement, stockage, consultation, affichage, contrôle d’accès, collaboration, sauvegardes, surveillance de sécurité et assistance sur instruction. Lorsqu’ils sont disponibles et autorisés, ils comprennent aussi l’envoi de notifications mobiles et les échanges avec les intégrations facultatives. Ils ne sont pas destinés aux catégories particulières de données. Les précisions propres au produit suivent.

Les données d’espace comprennent les membres, rôles, vérifications de domaines, références des fournisseurs d’identité, utilisateurs d’applications, métadonnées des clients OAuth/OIDC, autorisations, consentements et événements d’autorisation.

Annexe 2 — Mesures techniques et organisationnelles

• Accès : droits par rôle, moindre privilège, invitations autorisées et séparation des espaces.
• Chiffrement : TLS en transit ; protection du stockage d’infrastructure selon la configuration déployée ; stockage chiffré des sessions et caches mobiles lorsque l’application compagnon le fournit. Les secrets applicatifs sont séparés des données applicatives.
• Journalisation : traces de sécurité et d’audit pour détecter les abus, analyser les incidents et assurer l’assistance, avec accès restreint.
• Sauvegardes : accès restreint, cycles documentés, procédures de restauration et réapplication des instructions de suppression après restauration.
• Développement : gestion des dépendances, correction des vulnérabilités et séparation des configurations et identifiants de développement et de production.
• Incidents : qualification, confinement, correction, communication, analyse et actions correctrices.
• Continuité : procédures de reprise, validation des sauvegardes et gestion des changements critiques. Ces mesures ne créent pas de niveau de disponibilité contractuel sauf accord distinct.

Annexe 3 — Sous-traitants ultérieurs

Les prestataires suivants interviennent dans les traitements d’espace. Les fournisseurs d’identité et d’assistants facultatifs choisis par les utilisateurs ou le responsable peuvent agir dans le cadre de leur propre accord ; la politique de confidentialité décrit ces échanges. Les prestataires de notre propre facturation y sont présentés séparément selon leur rôle, sans être présentés comme destinataires de toutes les données d’espace.