Accord de traitement des données (DPA)

Dans le cadre de l'utilisation de Pierrr, le client peut faire transiter et héberger des données personnelles concernant ses propres utilisateurs finaux. Pour ces données, le client est responsable de traitement et Pierrr agit comme sous-traitant, traitant ces données uniquement pour fournir le service (build, déploiement, hébergement de la base managée, sauvegardes, supervision).

Si vous pilotez un serveur que vous possédez avec l'agent Pierrr, vos applications et vos données restent sur votre serveur : Pierrr ne reçoit alors que les informations d'exploitation nécessaires (état et consommation des conteneurs, résumés d'analyses), et n'héberge pas le contenu de vos bases.

Les catégories de données et de personnes dépendent de l'application que le client déploie et restent sous son contrôle. Elles peuvent inclure, par exemple, les comptes et contenus des utilisateurs finaux du client, stockés dans la base managée et le code déployé. Pierrr n'accède pas au contenu de ces données dans le cadre normal du service. Le client s'engage à ne pas confier de catégories particulières de données (santé, données biométriques, condamnations pénales) sans avoir vérifié que les mesures décrites ci-dessous sont adaptées à son cas.

Le traitement par Pierrr dure aussi longtemps que le projet correspondant est actif sur la plateforme. Il prend fin au décommissionnement du projet ou à la résiliation du compte, sous réserve des opérations de restitution et de suppression décrites plus bas.

Pierrr traite les données du client uniquement sur instruction documentée de celui-ci, matérialisée par l'utilisation de la plateforme et par le présent accord. Pierrr n'utilise pas ces données à ses propres fins et ne les traite pas en dehors du périmètre du service. Si une obligation légale impose un traitement supplémentaire, Pierrr en informe le client sauf interdiction légale. Si une instruction du client lui paraît contraire à la loi, Pierrr l'en informe.

L'accès aux données du client est limité au personnel de Pierrr qui en a strictement besoin pour exploiter et maintenir le service. Ce personnel est soumis à une obligation de confidentialité.

Pierrr met en œuvre des mesures techniques et organisationnelles appropriées : chiffrement des communications (HTTPS), chiffrement au repos des secrets et des sauvegardes, isolation entre les espaces de chaque client, contrôle des accès et journalisation. Ces mesures sont régulièrement réévaluées. Elles comprennent aussi des sauvegardes chiffrées copiées hors site, l'authentification à deux facteurs disponible pour tous les comptes, des jetons d'accès stockés sous forme de condensat et des tests de sécurité réguliers de la plateforme.

Le client donne à Pierrr une autorisation générale de recourir à des sous-traitants ultérieurs, chacun lié par des obligations de protection des données équivalentes à celles du présent accord. La liste à jour figure sur la page des sous-traitants (/legal/subprocessors). Pierrr informe le client de tout ajout ou remplacement au moins 30 jours à l'avance, en mettant à jour cette page et, sur demande, par courriel, et lui laisse la possibilité de s'y opposer pour un motif légitime lié à la protection des données. Pierrr reste responsable de l'exécution des obligations de ses sous-traitants ultérieurs.

Pierrr est établie au Royaume-Uni et héberge son infrastructure dans l'Union européenne. Lorsqu'un transfert vers un pays sans décision d'adéquation est nécessaire, il est encadré par les clauses contractuelles types de la Commission européenne et, pour les données soumises au UK GDPR, par l'addendum britannique correspondant, ou par tout autre mécanisme reconnu. Les parties conviennent que ces clauses sont incorporées au présent accord en tant que de besoin.

En cas de violation de données à caractère personnel affectant les données du client, Pierrr en informe le client sans retard indu après en avoir pris connaissance, avec les informations utiles pour permettre au client de remplir ses propres obligations de notification (notamment le délai de 72 heures à l'autorité de contrôle).

Pierrr assiste raisonnablement le client pour répondre aux demandes des personnes concernées (accès, rectification, effacement, portabilité), pour la sécurité du traitement, pour les analyses d'impact et pour les éventuelles consultations préalables de l'autorité de contrôle. Si une personne concernée s'adresse directement à Pierrr pour des données du client, Pierrr la renvoie vers le client.

À la fin de la prestation, sur demande du client, Pierrr restitue les données du client dans un format exploitable, puis les supprime. Sauf obligation légale de conservation, les données du projet sont supprimées au décommissionnement et les sauvegardes chiffrées correspondantes sont purgées sous 30 jours. Vous pouvez exporter vos données vous-même à tout moment depuis le tableau de bord (export du projet, sauvegardes téléchargeables) ou par l'API.

Pierrr met à disposition du client les informations nécessaires pour démontrer le respect du présent accord et permet, dans des conditions raisonnables et confidentielles, la réalisation d'audits, y compris par un tiers mandaté par le client, avec un préavis raisonnable, sans perturber le service ni compromettre la sécurité des autres clients.

La responsabilité de chaque partie au titre du présent accord est soumise aux limites prévues par les conditions générales d'utilisation, sauf disposition légale contraire. Le présent accord est régi par le droit anglais, sous réserve des dispositions impératives applicables à la protection des données. Pour toute question ou demande liée au présent accord : team@pierrr.com, avec « DPA » en objet.