Accord de traitement des données (article 28 du RGPD)

Objet, nature et durée

• Objet et finalité : recevoir les codes QR lus par l'application, reconstituer et déchiffrer chaque fichier, le vérifier et le mettre à disposition du compte, uniquement pour fournir le service.
• Nature : réception, déchiffrement, vérification d'intégrité, conservation temporaire, mise à disposition, suppression.
• Durée : celle de l'abonnement ; chaque fichier est conservé 7 jours au plus, ou supprimé dès son téléchargement avec l'option prévue.
• Données : le contenu des fichiers que vous choisissez de transférer, leurs noms, et les données des comptes (identifiant, adresse e-mail, journaux de connexion).
• Personnes concernées : les utilisateurs de vos comptes, et toute personne dont les données figurent dans les fichiers transférés.

Instructions et confidentialité

• Nous ne traitons les données que sur vos instructions documentées : l'usage du service et les réglages de votre compte ou de votre instance. Si une instruction nous paraît contraire au RGPD, nous vous en informons.
• Nous n'ouvrons jamais un fichier pour un autre usage, ne le revendons pas et ne l'utilisons pas pour entraîner un modèle.
• Les personnes habilitées à accéder au serveur sont tenues à la confidentialité.

Mesures de sécurité (article 32)

Elles sont décrites, limites comprises, sur la page sécurité ; en résumé :

• chiffrement des transferts avec une clé propre à chaque compte (XSalsa20-Poly1305) et transport HTTPS uniquement ;
• comptes nominatifs, mots de passe en empreintes scrypt, tentatives limitées, second facteur TOTP ;
• journal d'audit chaîné, où toute modification se détecte, de chaque transfert, conservé 365 jours, exportable ;
• durées de conservation courtes, suppression après téléchargement en option, quotas ;
• options d'organisation : approbation à quatre yeux, types de fichiers autorisés, autorisation au dossier, sens autorisés séparément.

Le serveur déchiffre les fichiers pour les reconstituer ; l'application ne revendique aucun chiffrement au repos. Si votre analyse l'exige, une instance dédiée ou une installation sur vos serveurs est possible.

Sous-traitants ultérieurs

Vous nous accordez une autorisation générale de recourir aux sous-traitants listés ci-dessous, chacun pour ce qui le concerne :

• Hetzner Online GmbH : serveur, base de données et fichiers transférés, centre de données d'Helsinki (Finlande, UE). Les fichiers transférés ne sont traités que là.
• Stripe Payments Europe, Ltd. (Irlande) : paiement ; aucun fichier transféré.
• Cloudflare, Inc. (États-Unis) : noms de domaine et réception des e-mails adressés à contact@getbouraq.com ; le trafic de l'application ne passe pas par ses serveurs.
• Google Ireland Limited : notre messagerie, pour les e-mails que vous nous envoyez.

Nous vous informons par e-mail de tout ajout ou remplacement au moins 30 jours à l'avance ; vous pouvez vous y opposer et, à défaut d'accord, résilier sans frais. Chaque sous-traitant est tenu par contrat à des obligations équivalentes à celles du présent accord. Les transferts hors de l'Union européenne qu'impliquent certains d'entre eux sont encadrés par le EU-U.S. Data Privacy Framework ou par les clauses contractuelles types de la Commission européenne.

Assistance et violations de données

• Nous vous aidons à répondre aux demandes d'exercice des droits des personnes, et à réaliser vos analyses d'impact et consultations préalables, dans la mesure de ce que nous savons du traitement.
• En cas de violation de données personnelles touchant vos données, nous vous en informons sans retard injustifié, au plus tard 48 heures après en avoir pris connaissance, avec la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, ses conséquences probables et les mesures prises.

Fin du traitement

À la fin du contrat, ou à votre demande, nous supprimons les fichiers et les données du compte ; vous pouvez les récupérer avant, en un fichier ZIP depuis votre espace. Seules restent, pour la durée du journal (365 jours), les entrées du journal d'audit (compte, nom, taille, empreinte et heure des fichiers, jamais leur contenu), conservées pour la preuve et la sécurité, puis supprimées.

Informations et audits

Nous mettons à votre disposition les informations nécessaires pour démontrer le respect du présent accord : la page sécurité, le dossier d'approbation, les exports du journal d'audit et les reçus signés. Vous pouvez réaliser ou faire réaliser par un auditeur indépendant tenu au secret un audit par an, à vos frais, avec un préavis de 30 jours, ou à tout moment après une violation vous concernant.