Accord de traitement des données (DPA)

(Art. 28 RGPD)

4.1 Qui est qui

Lorsqu'un atelier charge dans Registro les données de ses propres clients — noms, adresses, téléphones, photographies des cartes, correspondance —, le responsable du traitement est l'atelier. Nous traitons ces données uniquement pour le compte de l'atelier, en qualité de sous-traitant.

Concrètement, cela signifie que nous ne décidons rien concernant ces données. Nous ne les utilisons pas à nos propres fins, ne les analysons pas, ne les utilisons pas pour entraîner des systèmes automatisés et ne les montrons pas à d'autres ateliers.

4.2 Ce que nous traitons, pour qui, et pendant combien de temps

• Objet : fourniture du service Registro.
• Durée : la durée du contrat, plus les 30 jours de récupération.
• Nature et finalité : stockage, organisation, consultation, production de documents, envoi de communications aux clients de l'atelier pour son compte.
• Types de données : données d'identité et de contact, photographies d'objets (les cartes), contenus économiques (devis, paiements), correspondance.
• Personnes concernées : les clients de l'atelier et les collaborateurs que l'atelier ajoute.
• Catégories particulières : non prévues. L'atelier s'engage à ne pas en charger.

4.3 Nos obligations

Nous traitons les données uniquement sur instruction documentée de l'atelier, qui correspond à l'usage normal des fonctions du produit. Nous soumettons à la confidentialité ceux qui y ont accès. Nous appliquons les mesures de sécurité décrites au point 2.6.

Assistance à l'atelier. Si un client de l'atelier exerce ses droits, nous mettons à la disposition de l'atelier les outils pour y répondre : export complet d'un client donné et suppression de ses données, photographies comprises.

Violations. Si nous constatons une violation, nous en informons l'atelier dans les meilleurs délais, avec ce que nous savons, car c'est à l'atelier de la notifier à l'autorité de contrôle. Nous ne la notifions pas à sa place.

4.4 Sous-traitants ultérieurs

L'atelier autorise le recours aux prestataires énumérés au point 2.4, aux mêmes conditions de protection. Si nous changeons ou ajoutons un prestataire, nous le communiquons avec un préavis d'au moins 30 jours, et l'atelier peut s'y opposer ; en cas d'opposition, il peut résilier sans pénalité, car nous ne pouvons pas fournir le service sans infrastructure.

4.5 À la fin de la relation

À la cessation, et en tout état de cause dans les 30 jours prévus au point 1.8, nous supprimons toutes les données personnelles traitées pour le compte de l'atelier, sauf ce que la loi nous impose de conserver. Avant la suppression, l'atelier peut tout exporter.

4.6 Audits

L'atelier peut nous demander les informations nécessaires pour démontrer le respect de l'article 28, et convenir d'un audit moyennant un préavis raisonnable, à ses frais et sans compromettre la confidentialité des autres ateliers.