Accord de sous-traitance des données personnelles

1. Objet et articulation avec les CGU

Le présent accord s'applique aux données personnelles que l'organisateur importe, saisit ou fait traiter dans ConfCert pour ses événements. Pour ces données, l'organisateur est responsable du traitement et l'éditeur de ConfCert, identifié dans les Mentions légales, est sous-traitant.

L'accord fait partie des conditions générales d'utilisation (CGU). Il est accepté en même temps qu'elles, lors de la création du compte et à chaque nouvelle version. Il porte la même version que les CGU.

En cas de contradiction sur la protection des données des participants, le présent accord prévaut sur les CGU. Pour le reste, notamment la responsabilité, le droit applicable et les litiges, les CGU s'appliquent.

Les données des comptes (organisateurs et équipes) ne relèvent pas de cet accord : ConfCert les traite comme responsable du traitement, selon la politique de confidentialité.

2. Durée

L'accord s'applique tant que l'organisateur utilise le service. Il se prolonge après la fin du contrat ou la fermeture de l'organisation, jusqu'à la suppression ou l'anonymisation des données, comme prévu à la section « Fin du contrat ».

3. Nature, finalités, personnes et données concernées

Nature du traitement : hébergement, enregistrement, organisation, consultation, mise à disposition, génération de documents (badges, certificats), envoi d'emails, export, effacement et anonymisation.

Finalités : permettre à l'organisateur de gérer ses événements scientifiques, c'est-à-dire les participants, les communications, les badges, la présence, les certificats et leur vérification publique.

Catégories de personnes concernées :

• participants de l'événement (auteurs, intervenants, relecteurs, auditeurs, etc.) ;
• coauteurs et intervenants des communications ;
• signataires des certificats ;
• membres de l'équipe de l'organisateur, pour les traces de leurs actions sur l'événement ;
• visiteurs des pages publiques de vérification et de badge.

Catégories de données :

• identité et coordonnées : prénom, nom, adresse email, et selon l'événement téléphone, organisation, pays, référence ;
• participation : rôles, communications (titre, référence, résumé, coauteurs), statut, numéro de badge, présence (date, heure, mode d'enregistrement) ;
• certificats : nom imprimé, type, dates, état, numéro et jeton de vérification ;
• signataires : nom, fonction et image de signature ;
• emails : destinataire, type, état d'envoi et dernière erreur ;
• données techniques : adresse IP tronquée et navigateur des visiteurs de la page de vérification, journal d'audit.

L'organisateur n'importe aucune donnée sensible au sens de l'article 9 du RGPD (santé, opinions, origine, etc.), ni aucune donnée relative aux condamnations.

4. Instructions documentées

ConfCert traite les données uniquement sur instruction documentée de l'organisateur. Ces instructions sont les CGU, le présent accord, les réglages de l'organisateur et les actions qu'il réalise dans l'interface (import, envoi, génération, export, anonymisation, suppression).

ConfCert n'utilise pas les données pour son propre compte, ne les vend pas et ne s'en sert pas à des fins publicitaires.

Si une instruction lui semble contraire au RGPD ou à une autre règle de protection des données, ConfCert en informe immédiatement l'organisateur. Il peut alors suspendre son exécution jusqu'à ce que l'organisateur la confirme ou la modifie.

Si le droit de l'Union ou d'un État membre impose à ConfCert un traitement, ConfCert en informe l'organisateur avant le traitement, sauf si ce droit l'interdit.

5. Confidentialité

Seules les personnes qui en ont besoin pour exploiter le service, assurer le support ou la sécurité accèdent aux données. Elles sont tenues à une obligation de confidentialité, contractuelle ou légale.

6. Sécurité des données

ConfCert met en œuvre des mesures techniques et organisationnelles adaptées au risque, au sens de l'article 32 du RGPD, notamment :

• chiffrement des échanges entre le navigateur et le service (HTTPS) ;
• mots de passe conservés sous forme hachée, irréversible ;
• cloisonnement des données par organisation, et droits d'accès selon le rôle (Owner, Staff) ;
• limitation du débit des requêtes et du nombre de tentatives de connexion, protection anti-robot sur les formulaires sensibles ;
• journal d'audit des actions importantes, sans mot de passe ni jeton ;
• masquage des adresses email et des téléphones dans les journaux techniques ;
• liens de vérification et de badge non devinables, pages publiques non indexées ;
• fichiers de badges et d'exports disponibles pendant une heure seulement ;
• sauvegardes éventuelles chiffrées et hébergées dans l'Union européenne.

ConfCert fait évoluer ces mesures selon l'état de l'art. Il ne les réduit pas de manière significative sans en informer l'organisateur.

7. Sous-traitants ultérieurs

L'organisateur donne à ConfCert une autorisation générale de recourir aux sous-traitants ultérieurs suivants :

• hébergement de l'application et de la base de données : un hébergeur établi dans l'Union européenne (OVH SAS, France, ou Hetzner Online GmbH, Allemagne), identifié dans les Mentions légales ;
• stockage des fichiers (logos, signatures, imports, badges, certificats, exports) : Cloudflare, Inc. (États-Unis), service R2 ;
• protection anti-robot des formulaires : Cloudflare, Inc. (États-Unis), service Turnstile ;
• envoi des emails : Amazon Web Services (service Amazon SES, région de l'Union européenne) ;
• suivi des erreurs, lorsqu'il est activé : Functional Software, Inc. (Sentry, États-Unis), avec nettoyage des données personnelles.

ConfCert informe l'organisateur, par email ou dans le service, au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur. L'organisateur peut s'y opposer pour un motif légitime pendant ce délai. Si aucune solution n'est trouvée, il peut résilier sans frais et exporter ses données.

ConfCert impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent accord. ConfCert reste responsable envers l'organisateur de leur respect.

8. Transferts hors de l'Union européenne

ConfCert privilégie un traitement dans l'Union européenne. Lorsqu'un sous-traitant ultérieur peut accéder aux données depuis un pays tiers, notamment les États-Unis, le transfert est encadré par la décision d'adéquation relative au cadre de protection des données UE-États-Unis (Data Privacy Framework) pour les sociétés certifiées, ou à défaut par les clauses contractuelles types de la Commission européenne.

9. Assistance à l'organisateur

Droits des personnes. Le service fournit à l'organisateur des outils pour répondre aux demandes de ses participants : export individuel des données d'un participant (accès et portabilité), modification des données (rectification), effacement irréversible des données d'identité d'un participant (anonymisation). Si une personne s'adresse directement à ConfCert, ConfCert transmet sa demande à l'organisateur sans y répondre lui-même, sauf instruction contraire.

Analyse d'impact et consultation préalable. ConfCert fournit, sur demande, les informations dont il dispose pour aider l'organisateur à réaliser une analyse d'impact (AIPD) et, le cas échéant, à consulter l'autorité de contrôle.

Conservation. L'organisateur règle la durée de conservation de chaque événement : 24 mois par défaut après la fin de l'événement, réglable de 1 à 120 mois. L'anonymisation automatique à l'échéance est activée par défaut pour les nouveaux événements, et l'organisateur peut la désactiver. S'il la désactive, il lui revient d'effacer lui-même les données à l'échéance ; seul l'historique des emails est alors purgé automatiquement. Les propriétaires de l'organisation reçoivent un rappel par email 30 jours, puis 7 jours, avant l'échéance, sauf pour un événement en brouillon ou une organisation suspendue.

L'anonymisation conserve une empreinte cryptographique (HMAC) du nom imprimé, le numéro du certificat, ainsi que le titre et le type des communications désactivées, pour que les certificats restent vérifiables ; le résumé de ces communications est effacé. Cette empreinte reste une donnée pseudonymisée.

10. Violation de données personnelles

ConfCert informe l'organisateur de toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans les 48 heures.

L'information comprend, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées, et un contact. Les informations manquantes sont transmises dès qu'elles sont connues.

Il appartient à l'organisateur, responsable du traitement, de notifier la violation à l'autorité de contrôle dans les 72 heures et, si nécessaire, d'en informer les personnes concernées. ConfCert l'y aide.

11. Fin du contrat : restitution et suppression

L'organisateur exporte ses données depuis le service avant de fermer son organisation. La fermeture accompagne la clôture du compte de son propriétaire : elle est immédiate et irréversible, et l'accès cesse aussitôt. En cas de résiliation à l'initiative de ConfCert, l'organisateur peut, pendant 30 jours, demander à ConfCert l'export de ses données, que ConfCert lui fournit.

Les participants des événements d'une organisation fermée sont anonymisés 30 jours après la fermeture, ce qui vaut suppression des données au sens de l'article 28.3.g du RGPD, à l'exception de l'empreinte du nom imprimé et des données des certificats, conservées pour la vérification publique des certificats déjà émis. Le journal d'audit de l'organisation est alors supprimé, sauf les entrées de facturation, conservées 10 ans. Les certificats déjà émis restent vérifiables publiquement, avec le contrôle du nom imprimé. Les autres données sont supprimées ou anonymisées, sauf si le droit de l'Union ou d'un État membre impose leur conservation. Les sauvegardes éventuelles, chiffrées, en disparaissent au fil de leur rotation. ConfCert confirme la suppression par écrit sur demande.

12. Information et audits

ConfCert met à la disposition de l'organisateur, sur demande, les informations nécessaires pour démontrer le respect du présent accord.

L'organisateur peut faire réaliser un audit, au plus une fois par an, avec un préavis écrit de 30 jours. L'audit est à ses frais. Il est confié à un auditeur indépendant tenu au secret professionnel ou à un engagement de confidentialité. Il se déroule sans perturber le service et sans accès aux données des autres clients. Un audit supplémentaire est possible après une violation de données ou à la demande d'une autorité de contrôle.

13. Obligations de l'organisateur

L'organisateur garantit qu'il dispose d'une base légale pour chaque traitement qu'il confie à ConfCert. Il informe les personnes concernées comme l'exigent les articles 13 et 14 du RGPD, y compris de l'intervention de ConfCert comme sous-traitant et de la vérification publique des certificats.

Il tient son registre des activités de traitement, réalise une analyse d'impact lorsqu'elle est requise, et dispose du droit d'utiliser les signatures et logos qu'il téléverse.

Il donne ses instructions par le service ou par écrit, et choisit une durée de conservation adaptée à ses besoins.