Accord sur le traitement des données

Les termes commençant par une majuscule qui ne sont pas définis ici ont le sens qui leur est donné dans les Conditions. Dans le présent ATD :

Législation sur la protection des données

Le RGPD et les législations des États membres de l’UE et de l’EEE qui le mettent en œuvre ou le complètent, la directive 2002/58/CE (la directive « vie privée et communications électroniques ») telle que transposée en droit national et, lorsqu’ils s’appliquent au traitement, le RGPD britannique, accompagné du Data Protection Act 2018 du Royaume-Uni, ainsi que la loi fédérale suisse sur la protection des données (« LPD »).

Termes du RGPD

Les termes « responsable du traitement », « sous-traitant », « personne concernée », « données à caractère personnel », « violation de données à caractère personnel », « traitement », « catégories particulières de données à caractère personnel » et « autorité de contrôle » ont le sens qui leur est donné dans le RGPD.

Données à caractère personnel du Client

Les données à caractère personnel que nous traitons pour le compte du Client lorsque nous fournissons le Service, comme décrit à l’annexe I. Elles n’incluent pas les données à caractère personnel que nous traitons en qualité de responsable du traitement (voir la section 1).

Service

La messagerie hébergée ExitoMail, Exito Vault, Exito Transfer, les domaines personnalisés et les fonctionnalités d’administration des organisations, tels qu’ils sont fournis au Client conformément aux Conditions.

Utilisateurs

Les personnes que le Client autorise à utiliser le Service avec son compte, notamment le propriétaire et les membres de l’organisation du Client.

Sous-traitant ultérieur

Tout tiers auquel nous faisons appel et qui traite des Données à caractère personnel du Client. Nos propres salariés et les prestataires individuels travaillant sous notre autorité directe ne sont pas des Sous-traitants ultérieurs.

Incident de sécurité

Une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de Données à caractère personnel du Client transmises, conservées ou traitées d’une autre manière par nous ou nos Sous-traitants ultérieurs, ou l’accès non autorisé à de telles données. En d’autres termes, une violation de données à caractère personnel (article 4, point 12, du RGPD) affectant les Données à caractère personnel du Client.

CCT

Les clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers annexées à la décision d’exécution (UE) 2021/914 de la Commission du 4 juin 2021, complétées comme indiqué à la section 8.

Transfert restreint

La divulgation de Données à caractère personnel du Client, par transmission ou mise à disposition, y compris par accès à distance, à un destinataire situé dans un pays extérieur à l’Espace économique européen (EEE) qui ne fait pas l’objet d’une décision d’adéquation au titre de l’article 45 du RGPD ou, pour les données britanniques ou suisses, des règles d’adéquation équivalentes du Royaume-Uni ou de la Suisse.

Jour ouvré

Du lundi au vendredi, à l’exclusion des jours fériés fédéraux aux États-Unis.

Ordre de priorité

En cas de contradiction entre les documents, ceux-ci s’appliquent dans l’ordre suivant :

1. les CCT, lorsqu’elles s’appliquent ;
2. le présent ATD ;
3. les Conditions ;
4. toute autre politique ou tout autre document faisant partie de notre accord avec le Client.

Aucune disposition du présent ATD ne réduit les droits dont bénéficient le Client ou les personnes concernées en vertu de la Législation sur la protection des données. Les termes tels que « notamment » et « par exemple » introduisent des exemples et ne limitent pas la portée générale des termes qui les précèdent.

Objet

Le traitement des Données à caractère personnel du Client nécessaire à la fourniture du Service au Client : hébergement de boîtes aux lettres sur exitomail.com et sur les propres domaines du Client, envoi et réception d’e-mails, stockage et partage de fichiers dans Exito Vault, envoi de fichiers par lien avec Exito Transfer, administration de l’organisation du Client et fourniture d’une assistance.

Durée

Pendant toute la durée de fourniture du Service au Client conformément aux Conditions, puis jusqu’à la suppression des Données à caractère personnel du Client comme décrit à la section 12.

Nature et finalité

Le traitement consiste à héberger, stocker, transmettre, recevoir et distribuer les Données à caractère personnel du Client, à les filtrer pour détecter le spam et les logiciels malveillants, à les indexer pour permettre la recherche, à les sauvegarder, les restaurer et les supprimer, ainsi qu’à assurer l’assistance et l’administration connexes. Nous l’effectuons uniquement pour fournir, maintenir, sécuriser et prendre en charge le Service conformément aux instructions du Client (section 5).

Personnes concernées et types de données à caractère personnel

En résumé, la description complète figurant à l’annexe I :

• Personnes concernées. Les Utilisateurs du Client ; leurs correspondants ; les personnes qui reçoivent des liens Exito Transfer ou importent des fichiers au moyen de liens « demande de fichiers » ; les personnes dont les coordonnées sont enregistrées par les Utilisateurs en tant que contacts ; et toute personne mentionnée dans des e-mails, des fichiers ou des transferts.
• Données à caractère personnel. Contenu et métadonnées des e-mails, contacts, fichiers Exito Vault, fichiers Exito Transfer et adresses e-mail des destinataires, données de compte et d’authentification, journaux comprenant les adresses IP, ainsi que configuration des domaines personnalisés et du DNS.

Le Client est responsable de son utilisation du Service et, en particulier, des éléments suivants :

• Base juridique et transparence. Disposer d’une base juridique pour le traitement conformément à l’article 6 du RGPD et, le cas échéant, à l’article 9, et fournir à ses Utilisateurs et aux autres personnes concernées les informations requises par les articles 13 et 14 du RGPD.
• Instructions licites. Veiller à ce que ses instructions respectent la Législation sur la protection des données et notre Politique d’utilisation acceptable.
• Utilisateurs et configuration. Gérer ses Utilisateurs (le propriétaire et les membres qu’il invite), leurs boîtes aux lettres et leurs adresses, les paramètres de partage et l’expiration des liens, et décider quelles données placer dans le Service et combien de temps les conserver. Le Client doit veiller à ce que les Utilisateurs protègent leurs identifiants et activent la validation en deux étapes.
• Adéquation. Évaluer si le Service, compte tenu notamment des mesures décrites à l’annexe II et de l’absence de chiffrement de bout en bout, convient aux données que le Client choisit de traiter au moyen du Service, en particulier aux catégories particulières de données à caractère personnel (article 9 du RGPD) et aux données à caractère personnel relatives aux condamnations pénales et aux infractions (article 10 du RGPD).
• Ses propres systèmes. Sécuriser ses propres appareils, réseaux et clients de messagerie, ainsi que toute copie des données qu’il exporte depuis le Service.

Traitement uniquement sur instructions documentées

Nous ne traitons les Données à caractère personnel du Client que sur instruction documentée du Client, y compris en ce qui concerne les transferts vers des pays tiers, à moins que le droit de l’Union européenne ou le droit d’un État membre auquel nous sommes soumis ne l’exige. Dans ce cas, nous informons le Client de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d’intérêt public (article 28, paragraphe 3, point a), du RGPD). En tant que société américaine, nous sommes également soumis au droit des États-Unis ; les demandes formulées par les autorités publiques en vertu de ce droit sont traitées comme décrit à la section 14 et aux clauses 14 et 15 des CCT.

Les instructions documentées du Client sont les suivantes :

• le présent ATD et les Conditions ;
• l’utilisation et la configuration du Service par le Client et ses Utilisateurs (par exemple, l’envoi d’un message, le partage d’un fichier, la définition de l’expiration d’un lien, l’ajout d’un domaine ou la suppression d’un Utilisateur ou de ses données) ; et
• toute autre instruction écrite que le Client nous donne, qui est conforme aux Conditions et que nous confirmons par écrit. Les instructions allant au-delà des fonctionnalités du Service nécessitent notre accord écrit préalable.

Instructions contraires à la loi

Nous informons immédiatement le Client si, selon nous, une instruction constitue une violation du RGPD ou d’autres dispositions du droit de l’Union européenne ou du droit d’un État membre relatives à la protection des données. Nous pouvons suspendre cette instruction jusqu’à ce que le Client la confirme ou la modifie. Nous ne sommes pas tenus de procéder à un examen juridique complet des instructions du Client.

Confidentialité du personnel

Nous n’accordons l’accès aux Données à caractère personnel du Client qu’aux membres du personnel qui en ont besoin pour fournir, sécuriser ou prendre en charge le Service, et uniquement dans la mesure nécessaire. Toute personne disposant d’un accès est soumise à des obligations écrites de confidentialité, ou à une obligation légale appropriée de confidentialité, qui subsistent après la fin de son engagement, et reçoit une formation à la sécurité et à la protection des données.

Notre personnel ne lit pas le contenu des e-mails, fichiers ou transferts, sauf lorsque cela est nécessaire pour fournir l’assistance demandée par le Client ou un Utilisateur, enquêter sur un problème de sécurité, un abus ou un recours, ou respecter la loi. Cet accès est limité à ce qu’exige la tâche et consigné dans le dossier d’assistance ou d’abus correspondant. Le filtrage automatisé et l’application automatisée des règles reposent sur des signaux et des résultats d’analyse sans que le personnel lise le contenu.

Sécurité

Nous mettons en œuvre et maintenons les mesures techniques et organisationnelles décrites à la section 6 et à l’annexe II, conformément à l’article 32 du RGPD.

Aucune vente, publicité ou autre finalité

Nous ne vendons, ne louons ni ne communiquons aucune Donnée à caractère personnel du Client à quiconque à des fins publicitaires ou marketing, nous n’affichons aucune publicité et nous n’analysons pas le contenu pour établir le profil des Utilisateurs. Nous n’utilisons pas les Données à caractère personnel du Client pour nos propres finalités, sauf dans les cas suivants :

1. produire des indicateurs opérationnels agrégés et statistiques qui ne permettent d’identifier ni le Client, ni ses Utilisateurs, ni aucune autre personne (par exemple, l’espace de stockage total utilisé, le volume de messages et les taux d’erreur), que nous utilisons pour exploiter le Service, planifier les capacités et améliorer la fiabilité ;
2. assurer, dans la mesure nécessaire, la sécurité du Service et de ses utilisateurs et prévenir les abus (par exemple, en filtrant le spam et les logiciels malveillants, en appliquant les limites d’envoi et en enquêtant sur les signalements d’abus) ; et
3. respecter la loi.

Lorsque le traitement effectué au titre du point (b) ou (c) fait de nous un responsable du traitement, notre Politique de confidentialité s’applique à ce traitement.

Registre des activités de traitement

Nous tenons un registre de toutes les catégories d’activités de traitement effectuées pour le compte de nos clients, conformément à l’article 30, paragraphe 2, du RGPD, et le mettons à la disposition d’une autorité de contrôle sur demande.

Coopération avec les autorités de contrôle

Nous coopérons avec les autorités de contrôle dans l’accomplissement de leurs missions (article 31 du RGPD). Sauf interdiction légale, nous informons le Client dans les meilleurs délais de toute enquête ou demande d’une autorité de contrôle concernant les Données à caractère personnel du Client.

Contact chargé de la protection des données

Toute question concernant le présent ATD doit être adressée à notre équipe chargée de la protection des données à l’adresse privacy@exitomail.com. Nous n’avons pas désigné de délégué à la protection des données ; notre équipe chargée de la protection des données traite toutes les questions en la matière.

Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des personnes concernées, nous mettons en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque (article 32 du RGPD). Ces mesures sont décrites à l’annexe II et, en termes simples, sur notre page Sécurité.

Notre programme de sécurité s’inspire des normes ISO/IEC 27001:2022 et ISO/IEC 27701. Nous ne détenons aucune certification au titre de l’une ou l’autre de ces normes, et aucune disposition du présent ATD ne doit être interprétée comme affirmant le contraire.

Les pratiques de sécurité évoluent ; nous pouvons donc mettre à jour ces mesures au fil du temps. Nous n’apporterons aucune modification qui réduirait sensiblement le niveau global de protection des Données à caractère personnel du Client.

Autorisation générale

Le Client nous accorde une autorisation écrite générale de faire appel à des Sous-traitants ultérieurs (article 28, paragraphe 2, du RGPD). Nos Sous-traitants ultérieurs actuels figurent à l’annexe III et sur notre page Sous-traitants ultérieurs. Le Client les autorise tous, y compris ceux indiqués comme prévus ou conditionnels, qui ne reçoivent des données qu’après le lancement ou l’activation de la fonctionnalité concernée.

Notification des modifications

Nous informons le Client au moins 30 jours avant qu’un Sous-traitant ultérieur nouveau ou remplaçant ne commence à traiter des Données à caractère personnel du Client, par e-mail adressé au propriétaire du compte du Client et par la mise à jour de la page Sous-traitants ultérieurs. Toute personne peut également s’abonner à ces mises à jour en écrivant à privacy@exitomail.com avec pour objet « Subprocessor updates ».

Droit d’opposition

Le Client peut s’opposer au recours à un Sous-traitant ultérieur nouveau ou remplaçant pendant ce délai de 30 jours, en écrivant à privacy@exitomail.com, pour des motifs raisonnables liés à la protection des données. Nous examinons alors de bonne foi les préoccupations du Client avec lui et tentons d’y remédier, par exemple en lui expliquant les garanties mises en place ou en lui proposant un moyen d’utiliser le Service sans que ce Sous-traitant ultérieur traite ses données.

Si nous ne pouvons pas résoudre l’opposition dans un délai raisonnable, le Client peut résilier la partie concernée du Service (ou l’ensemble du Service si la partie concernée ne peut raisonnablement être utilisée seule) par notification écrite. Nous lui remboursons alors, au prorata, les frais payés d’avance pour la période postérieure à la résiliation. Il s’agit du recours dont dispose le Client en cas d’opposition non résolue, sans préjudice des droits que lui confèrent la Législation sur la protection des données et les CCT.

Remplacements urgents

Si nous devons remplacer d’urgence un Sous-traitant ultérieur pour des raisons indépendantes de notre volonté (par exemple, la défaillance soudaine d’un prestataire ou un risque de sécurité), nous pouvons le faire avec un préavis plus court, dans la mesure permise par les CCT et la Législation sur la protection des données. Nous en informons le Client dès que possible, et le droit d’opposition ci-dessus s’applique à compter de cette notification.

Notre responsabilité concernant les Sous-traitants ultérieurs

• Obligations équivalentes. Nous faisons appel à chaque Sous-traitant ultérieur dans le cadre d’un contrat écrit qui lui impose des obligations en matière de protection des données offrant un niveau de protection au moins équivalent à celui du présent ATD, notamment des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées (article 28, paragraphe 4, du RGPD).
• Vérifications préalables. Avant de faire appel à un Sous-traitant ultérieur, nous évaluons ses pratiques en matière de sécurité et de protection des données, puis les réexaminons périodiquement.
• Responsabilité. Nous demeurons pleinement responsables envers le Client de l’exécution par chaque Sous-traitant ultérieur de ses obligations.
• Copies. Sur demande, nous fournissons au Client une copie des dispositions relatives à la protection des données que nous avons convenues avec un Sous-traitant ultérieur. Nous pouvons préalablement en retirer les informations commerciales ou les éléments confidentiels.

Les données restent dans l’UE

Nous stockons les Données à caractère personnel du Client dans l’Union européenne :

Certains de nos Sous-traitants ultérieurs sont établis aux États-Unis (voir l’annexe III) ; un accès aux données depuis l’extérieur de l’EEE, par exemple à des fins de maintenance ou d’assistance, ne peut donc être exclu. En outre :

• Notre site Web et l’application Web accessible sur exitomail.com, notamment les interfaces de messagerie Web, de Exito Vault et de Exito Transfer utilisées dans un navigateur, sont distribués par le réseau mondial de Cloudflare. Cloudflare met fin à la connexion chiffrée à la périphérie de son réseau. Le trafic, y compris les e-mails et fichiers ouverts dans l’application Web, peut donc transiter par des centres de données situés en dehors de l’EEE.
• L’acheminement des e-mails et les applications de messagerie (SMTP, IMAP et JMAP sur mail.exitomail.com) se connectent directement à notre serveur et ne transitent jamais par Cloudflare.
• Les fichiers Exito Vault et Exito Transfer sont directement importés et téléchargés par le navigateur vers et depuis l’espace de stockage d’objets (Wasabi et Cloudflare R2) au moyen de liens signés à courte durée de validité. Ces prestataires voient donc également les adresses IP des personnes qui importent et téléchargent les fichiers.

Lorsque les Utilisateurs envoient des e-mails ou des transferts à des destinataires situés en dehors de l’EEE, ces divulgations sont effectuées sur instruction du Client, dans le cadre du Service qu’il a choisi d’utiliser.

Clauses contractuelles types entre le Client et nous

Nous sommes établis aux États-Unis, qui ne font pas l’objet d’une décision d’adéquation nous concernant, car nous ne sommes pas certifiés au titre du cadre de protection des données UE–États-Unis. Lorsque le Client est soumis au RGPD, la mise à notre disposition des Données à caractère personnel du Client constitue donc un Transfert restreint, même si les données sont stockées dans l’UE (lignes directrices 05/2021 du CEPD, exemple 11). Les CCT sont intégrées au présent ATD par référence et s’y appliquent. Le Client est l’« exportateur de données » et nous sommes l’« importateur de données ». Elles sont complétées comme suit :

Transferts ultérieurs vers des Sous-traitants ultérieurs

Lorsqu’un de nos Sous-traitants ultérieurs traite des Données à caractère personnel du Client d’une manière qui constitue un Transfert restreint, nous veillons à ce que le transfert soit couvert par un mécanisme valide au titre du chapitre V du RGPD et de la clause 8.8 des CCT : soit les CCT (module 3, de sous-traitant à sous-traitant), soit, lorsque le destinataire est certifié au titre du cadre de protection des données UE–États-Unis, la décision d’adéquation adoptée par la Commission le 10 juillet 2023 (décision d’exécution (UE) 2023/1795). Cloudflare, Inc. est certifiée ; Wasabi Technologies LLC ne l’est pas, de sorte que les CCT lui sont applicables. Le mécanisme utilisé pour chaque Sous-traitant ultérieur est indiqué à l’annexe III.

Droit américain et analyse d’impact relative au transfert

En tant que prestataire américain de services de communications électroniques et de services informatiques à distance, nous pouvons être tenus par le droit américain de communiquer les données en notre possession, sous notre garde ou sous notre contrôle, quel que soit leur lieu de stockage (par exemple, en vertu du 18 U.S.C. § 2713). Comme l’exige la clause 14 des CCT, nous évaluons la manière dont les législations et pratiques américaines pourraient influer sur notre capacité à respecter nos obligations, en tenant compte des garanties évaluées par la Commission dans sa décision d’adéquation du 10 juillet 2023, et nous appliquons les mesures supplémentaires prévues à l’annexe II et à la section 14. Un résumé est mis à la disposition du Client sur demande.

Données britanniques et suisses

• Royaume-Uni. Pour les Transferts restreints soumis au RGPD britannique, l’International Data Transfer Addendum aux clauses contractuelles types de la Commission européenne publié par l’autorité britannique chargée de la protection des données (version B1.0, en vigueur depuis le 21 mars 2022) s’applique, les tableaux 1 à 3 étant complétés par les informations figurant dans le présent ATD et ses Annexes. Pour le tableau 4, l’importateur comme l’exportateur peuvent mettre fin à l’Addendum conformément à sa section 19. L’Addendum est régi par le droit de l’Angleterre et du pays de Galles, et les litiges relèvent des juridictions de l’Angleterre et du pays de Galles.
• Suisse. Pour les Transferts restreints soumis à la LPD, les CCT s’appliquent avec les modifications suivantes : les références au RGPD s’entendent comme des références à la LPD ; le Préposé fédéral à la protection des données et à la transparence est l’autorité de contrôle compétente ; et le terme « État membre » n’empêche pas les personnes concernées en Suisse d’intenter une action devant les juridictions de leur lieu de résidence habituelle (clause 18, point c)).

Compte tenu de la nature du traitement, nous aidons le Client, par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à s’acquitter de son obligation de donner suite aux demandes dont les personnes concernées le saisissent en vue d’exercer leurs droits prévus au chapitre III du RGPD (accès, rectification, effacement, limitation, portabilité et opposition) (article 28, paragraphe 3, point e), du RGPD).

Outils en libre-service

La plupart des demandes peuvent être traitées directement dans le Service :

• Accès et portabilité. Les Utilisateurs peuvent télécharger leurs e-mails avec tout client de messagerie standard via IMAP, ainsi que leurs fichiers Exito Vault. Les données de l’organisation peuvent également être exportées avec notre aide sur demande.
• Rectification. Les Utilisateurs peuvent corriger les informations de leur propre profil.
• Effacement. Les Utilisateurs peuvent supprimer des messages, des fichiers et des transferts, et le propriétaire peut supprimer la boîte aux lettres d’un membre ainsi que ses données, au terme d’un délai de 30 jours pendant lequel elle peut être restaurée. Les éléments supprimés sont effacés comme décrit à la section 12 et à l’annexe I.

Demandes que nous recevons directement

Si une personne concernée nous adresse une demande relative aux Données à caractère personnel du Client, nous n’y répondons pas nous-mêmes, sauf pour l’informer que nous l’avons transmise ou pour l’orienter vers le Client. Nous transmettons la demande au Client dans les meilleurs délais, à condition de pouvoir identifier le Client à partir de la demande.

Assistance supplémentaire

Lorsque les outils ne suffisent pas, nous fournissons sur demande une assistance supplémentaire raisonnable. Si une demande exige des efforts importants de notre part, nous pouvons facturer des frais raisonnables, convenus au préalable avec le Client.

Compte tenu de la nature du traitement et des informations dont nous disposons, nous aidons le Client à respecter ses obligations au titre des articles 32 à 36 du RGPD, notamment en ce qui concerne les analyses d’impact relatives à la protection des données (article 35) et les consultations préalables des autorités de contrôle (article 36).

Nous le faisons principalement en mettant à disposition des documents, à savoir le présent ATD et ses Annexes, notre page Sécurité, notre page Sous-traitants ultérieurs et des informations sur les transferts internationaux, ainsi qu’en répondant aux questions raisonnables du Client concernant le traitement.

Notification

Nous informons le Client de tout Incident de sécurité dans les meilleurs délais après en avoir pris connaissance et, en tout état de cause, dans les 72 heures suivant cette prise de connaissance. Nous envoyons la notification à l’adresse e-mail du propriétaire du compte du Client et à tout autre contact que le Client nous a indiqué par écrit à cette fin.

Contenu de la notification

Dans la mesure où les informations sont disponibles, la notification décrit les éléments suivants (article 33, paragraphe 3, du RGPD) :

• la nature de l’Incident de sécurité, y compris, si possible, les catégories et le nombre approximatif de personnes concernées et d’enregistrements de données à caractère personnel concernés ;
• le nom et les coordonnées du point de contact auprès duquel le Client peut obtenir des informations supplémentaires ;
• les conséquences probables de l’Incident de sécurité ; et
• les mesures que nous avons prises ou que nous proposons de prendre pour y remédier, y compris celles visant à en atténuer les éventuelles conséquences négatives.

Lorsque nous ne pouvons pas fournir toutes ces informations en même temps, nous les communiquons progressivement, sans autre retard indu, à mesure que notre enquête avance.

Notre réponse

Nous prenons rapidement des mesures raisonnables pour contenir l’Incident de sécurité et mener une enquête, en atténuer les effets et empêcher qu’il ne se reproduise. Nous documentons les faits, les effets et les mesures correctives prises, et apportons au Client une assistance raisonnable pour lui permettre de s’acquitter de ses propres obligations.

Responsabilités du Client

En qualité de responsable du traitement, le Client reste chargé de décider s’il convient de notifier l’Incident de sécurité aux autorités de contrôle et aux personnes concernées affectées, et de procéder à ces notifications (articles 33 et 34 du RGPD). Nous ne notifions pas aux tiers, pour le compte du Client, un Incident de sécurité affectant les Données à caractère personnel du Client, sauf si le Client nous le demande ou si la loi l’exige.

Aucune reconnaissance de faute

La notification d’un Incident de sécurité ou les mesures prises en réponse à celui-ci ne constituent de notre part aucune reconnaissance de faute ou de responsabilité.

Ce qui ne constitue pas un Incident de sécurité

Les tentatives ou activités infructueuses qui ne compromettent pas la sécurité des Données à caractère personnel du Client, telles que les requêtes ping, les analyses de ports, les tentatives de connexion infructueuses ou les attaques par déni de service n’entraînant ni accès non autorisé ni perte de données, ne nécessitent aucune notification.

Exportation à tout moment

Le Client peut exporter les Données à caractère personnel du Client à tout moment pendant qu’il utilise le Service :

• Messagerie. par IMAP, avec n’importe quel client de messagerie standard ;
• Exito Vault. en téléchargeant les fichiers et les dossiers ;
• Données de l’organisation. avec notre aide, sur demande.

Le Client doit exporter les données qu’il souhaite conserver avant la fin du Service. S’il a besoin d’aide, nous lui apportons une assistance raisonnable sur demande présentée avant la fin du Service.

Suppression après la fin du Service

Lorsque le Service prend fin pour le Client (ou lorsque le Client nous demande de supprimer son compte), nous supprimons les Données à caractère personnel du Client de nos systèmes actifs et de ceux de nos Sous-traitants ultérieurs sous 30 jours.

Les copies contenues dans les sauvegardes de nos bases de données sont supprimées à mesure que ces sauvegardes arrivent à expiration, sous 30 jours. Dans l’intervalle, les sauvegardes restent chiffrées et protégées par les mesures décrites à l’annexe II, et sont utilisées uniquement pour la reprise après sinistre. Si nous devons restaurer une sauvegarde, nous supprimons à nouveau toutes les données qui avaient déjà été supprimées.

Confirmation

Sur demande, nous confirmons la suppression au Client par écrit au moyen d’un certificat de suppression.

Conservation exigée par la loi

Nous ne conservons les Données à caractère personnel du Client après la fin du Service que lorsque le droit de l’Union européenne ou le droit d’un État membre nous impose de les stocker (article 28, paragraphe 3, point g), du RGPD), ou lorsqu’elles font l’objet d’une mesure de conservation à des fins légales décrite dans notre Politique d’utilisation acceptable, par exemple s’il s’agit d’éléments que nous devons préserver après les avoir signalés au NCMEC. Dans ce cas, nous les gardons confidentielles, ne les traitons qu’aux fins concernées et les supprimons lorsque cette obligation prend fin.

Informations que nous mettons à disposition

Nous mettons à la disposition du Client toutes les informations nécessaires pour démontrer le respect de l’article 28 du RGPD et du présent ATD (article 28, paragraphe 3, point h), du RGPD), notamment :

• le présent ATD et les mesures techniques et organisationnelles décrites à l’annexe II ;
• notre présentation de la Sécurité et, sur demande et sous réserve de confidentialité, les politiques pertinentes en matière de sécurité et de protection des données ;
• notre liste de Sous-traitants ultérieurs et une copie de leurs dispositions relatives à la protection des données (voir la section 7) ;
• un résumé des certifications de tiers ou des rapports d’audit que nos Sous-traitants ultérieurs publient ou mettent à notre disposition, lorsqu’ils sont disponibles ; et
• des réponses écrites aux questions raisonnables du Client, y compris à un questionnaire de sécurité par an.

Audits et inspections

Si ces informations ne suffisent pas à démontrer le respect des obligations, nous autorisons les audits, y compris les inspections, réalisés par le Client ou par un auditeur indépendant qu’il désigne, et y contribuons, sous réserve des conditions suivantes :

• Auditeur. L’auditeur est soumis à des obligations écrites de confidentialité et ne fait pas partie de nos concurrents.
• Préavis et fréquence. Le Client nous adresse un préavis écrit d’au moins 30 jours, accompagné d’une proposition de périmètre, et les audits ne peuvent avoir lieu plus d’une fois sur toute période de 12 mois.
• Déroulement. Les audits ont lieu à distance ou sur site, pendant nos Jours ouvrés et nos heures normales de bureau, de manière à ne pas perturber le Service ni à donner accès aux données d’autres clients. Les installations exploitées par nos Sous-traitants ultérieurs sont auditées au moyen des rapports et informations que ceux-ci mettent à disposition.
• Coûts. Le Client supporte ses propres coûts ainsi que ceux de l’auditeur. Si un audit exige de notre part un temps important, nous pouvons demander au Client de prendre en charge nos coûts raisonnables, convenus au préalable.
• Résultats. Le Client nous communique le rapport d’audit, le traite comme confidentiel et l’utilise uniquement pour vérifier le respect du présent ATD. Nous remédions à toute constatation importante dans un délai raisonnable.

Les limites relatives au préavis et à la fréquence ne s’appliquent pas lorsqu’une autorité de contrôle exige l’audit ou après un Incident de sécurité affectant les Données à caractère personnel du Client. Les audits prévus par les CCT sont réalisés de la même manière, dans la mesure où cela est compatible avec les CCT.

Si nous recevons d’une autorité publique, notamment d’une autorité chargée de l’application de la loi ou de la sécurité nationale, une demande juridiquement contraignante de divulgation de Données à caractère personnel du Client ou d’accès à celles-ci, nous :

1. tentons d’inviter l’autorité à demander les données directement au Client ;
2. informons le Client dans les meilleurs délais et, lorsque cela est possible, lui fournissons une copie de la demande, sauf si la loi nous l’interdit ; dans ce cas, nous mettons en œuvre des efforts raisonnables pour obtenir la levée de cette interdiction afin de pouvoir informer le Client dès que possible ;
3. examinons la légalité de la demande et la contestons lorsque, après une évaluation minutieuse, nous concluons qu’il existe des motifs raisonnables de la considérer comme illicite, excessivement large ou contraire au droit du pays de destination ou de l’Union européenne, et exerçons les voies de recours disponibles ;
4. ne divulguons, dans notre réponse, que le minimum de données autorisé sur la base d’une interprétation raisonnable de la demande ; et
5. consignons la demande, notre évaluation et notre réponse.

Nous n’avons intégré et n’intégrerons volontairement aucune porte dérobée au Service, et nous ne donnons à aucune autorité publique un accès direct ou massif aux Données à caractère personnel du Client. Étant une société américaine, nous appliquons notamment ces engagements aux demandes fondées sur le droit des États-Unis. Lorsque les CCT s’appliquent, leur clause 15 régit également ces demandes. Les injonctions prises en vertu des articles 9 et 10 du règlement sur les services numériques sont traitées comme décrit dans notre politique Notification et action.

La responsabilité de chaque partie découlant du présent ATD ou s’y rapportant est soumise aux limitations et exclusions de responsabilité prévues dans les Conditions, comme si le présent ATD en faisait partie.

Aucune disposition du présent ATD ou des Conditions ne limite ni n’exclut :

• toute responsabilité à l’égard des personnes concernées au titre de l’article 82 du RGPD, ou leurs droits en qualité de tiers bénéficiaires au titre des CCT ;
• la responsabilité de l’une ou l’autre partie au titre des CCT, dans la mesure où celles-ci n’en permettent pas la limitation ; ou
• toute responsabilité qui ne peut être limitée ou exclue en vertu du droit applicable.

Le présent ATD prend effet lorsque le Client accepte les Conditions ou, pour un client existant, lorsqu’il traite pour la première fois des Données à caractère personnel du Client au moyen du Service, et reste en vigueur tant que nous traitons de telles données. Il demeure en vigueur après la résiliation des Conditions jusqu’à la suppression de toutes les Données à caractère personnel du Client comme décrit à la section 12.

Si nous ne sommes plus en mesure de respecter le présent ATD, nous en informons le Client dans les meilleurs délais. Le Client peut alors suspendre le traitement concerné et, si nous ne rétablissons pas la conformité dans un délai raisonnable, résilier la partie concernée du Service, avec remboursement au prorata des frais payés d’avance pour la période postérieure à la résiliation.

Droit applicable et juridiction compétente

Lorsque le Client est soumis au RGPD, le présent ATD est régi par le même droit que les CCT en vertu de la clause 17 (voir la section 8), de sorte qu’il constitue un contrat relevant du droit d’un État membre, comme l’exige l’article 28, paragraphe 3, du RGPD, et les litiges qui en découlent relèvent des juridictions choisies en vertu de la clause 18. Lorsque seul le RGPD britannique s’applique, il est régi par le droit de l’Angleterre et du Pays de Galles. Dans tous les autres cas, il est régi par les lois de l’État de Floride, aux États-Unis, et les tribunaux d’État et fédéraux situés dans le comté de Miami-Dade, en Floride sont compétentes, conformément aux Conditions.

Modifications du présent ATD

Nous pouvons mettre à jour le présent ATD afin de :

• tenir compte des modifications de la Législation sur la protection des données, des orientations des autorités ou des juridictions, ou de nouvelles clauses contractuelles types ;
• tenir compte de modifications du Service qui ne réduisent pas la protection des Données à caractère personnel du Client ; ou
• clarifier sa formulation.

Nous annonçons toute modification importante au moins 30 jours avant son entrée en vigueur, par e-mail adressé au propriétaire du compte du Client et sur la présente page. Les modifications ne réduisent jamais le niveau global de protection des Données à caractère personnel du Client. Les versions précédentes sont disponibles sur demande.

Notifications

Le Client envoie les notifications prévues par le présent ATD à privacy@exitomail.com. Nous envoyons les notifications à l’adresse e-mail du propriétaire du compte du Client.

Divisibilité

Si une disposition du présent ATD est déclarée invalide ou inapplicable, les autres dispositions restent en vigueur et elle est remplacée par une disposition valide se rapprochant autant que possible de son intention initiale.

A. Liste des parties

Exportateur de données (responsable du traitement ou sous-traitant agissant pour le compte de son propre responsable du traitement)

Nom et adresse

Le Client, identifié par le nom de l’organisation, les coordonnées et les informations de facturation fournis lors de l’inscription ou dans les Paramètres.

Personne de contact

Le propriétaire du compte du Client ou toute autre personne de contact que le Client nous désigne par écrit.

Activités

Utilisation du Service (ExitoMail, Exito Vault, Exito Transfer et domaines personnalisés) à des fins professionnelles.

Rôle

Responsable du traitement (module 2 des CCT) ou sous-traitant (module 3 des CCT).

Signature et date

Acceptation des Conditions, y compris du présent ATD, à la date de leur acceptation.

Importateur de données (sous-traitant)

Nom et adresse

EXITO Media LLC, une société à responsabilité limitée du Wyoming (Secrétaire d’État du Wyoming, numéro de dépôt 2022-001141268), dont l’adresse professionnelle est 111 NE 1st St, 8th Floor, #88287, Miami, FL 33132, United States

Contact

privacy@exitomail.com

Délégué à la protection des données

Aucun délégué n’a été désigné. L’équipe chargée de la protection des données traite les questions en la matière.

Représentant dans l’UE (article 27 du RGPD)

Data Protection Representative Limited (trading as DataRep), 77 Camden Street Lower, Dublin, D02 XE80, Ireland. E-mail : datarequest@datarep.com (indiquez « EXITO Media LLC » dans l’objet). Formulaire en ligne : datarep.com/data-request (s’ouvre dans un nouvel onglet). Il dispose aussi d’une adresse dans chacun des autres pays de l’UE et de l’EEE : voir toutes les adresses.

Activités

Fourniture du Service au Client conformément aux Conditions.

Rôle

Sous-traitant (module 2 des CCT) ou sous-traitant ultérieur (module 3 des CCT).

Signature et date

Comme pour l’exportateur de données.

B. Description du traitement

Catégories de personnes concernées

• Utilisateurs. Le propriétaire et les membres de l’organisation du Client, ainsi que toute autre personne à laquelle le Client attribue un compte.
• Correspondants. Les personnes qui envoient des e-mails aux Utilisateurs ou en reçoivent de leur part.
• Contacts. Les personnes dont les Utilisateurs enregistrent les coordonnées dans leurs contacts, messages ou fichiers.
• Destinataires de Transfer et des fichiers partagés. Les personnes qui reçoivent des liens Exito Transfer ou des liens de partage Exito Vault de la part des Utilisateurs, ainsi que celles qui importent des fichiers pour les Utilisateurs au moyen de liens « demande de fichiers ».
• Personnes mentionnées dans le contenu. Toute personne nommée ou décrite dans des e-mails, des fichiers ou des transferts.

Catégories de données à caractère personnel

• E-mails. Corps des messages et pièces jointes, objets, adresses des expéditeurs et des destinataires, en-têtes (y compris les adresses IP des serveurs d’envoi), dates, dossiers, indicateurs et index de recherche.
• Contacts. Noms, adresses e-mail et autres coordonnées enregistrés par les Utilisateurs.
• Exito Vault. Fichiers et dossiers, leurs noms, tailles et types, ainsi que les liens de partage et leurs paramètres.
• Exito Transfer. Fichiers, noms et tailles des fichiers, adresses e-mail des destinataires, messages adressés aux destinataires, paramètres des liens et événements de téléchargement (accusés de téléchargement).
• Données de compte. Noms, adresses et alias, adresse e-mail de récupération, rôles et appartenance à une organisation, paramètres et données d’authentification (hachages de mots de passe et secrets de validation en deux étapes).
• Journaux. Adresses IP, informations sur le navigateur et le client, horodatages, événements de connexion, journaux des requêtes et de distribution des e-mails, ainsi que journal d’audit des actions administratives.
• Données de domaine. Noms de domaines personnalisés, enregistrements DNS et état de vérification, clés DKIM, ainsi que tout identifiant d’accès au fournisseur DNS que le Client choisit de fournir pour la configuration automatique.

Données sensibles

Nous ne demandons pas de catégories particulières de données à caractère personnel et n’avons pas l’intention d’en traiter. Le Client et ses Utilisateurs peuvent néanmoins inclure de telles données dans des e-mails, des fichiers ou des transferts. Les mêmes mesures (annexe II) protègent tous les contenus : accès restreint du personnel, TLS lors du transfert, chiffrement au repos dans l’espace de stockage d’objets et aucune analyse du contenu autre que le filtrage automatisé du spam et des logiciels malveillants et l’indexation aux fins de recherche.

Fréquence du transfert

En continu, tant que le Client utilise le Service.

Nature du traitement

Hébergement, stockage, transmission, réception et distribution des e-mails, filtrage du spam et des logiciels malveillants, indexation aux fins de recherche, sauvegarde, restauration, suppression, ainsi qu’assistance et administration connexes.

Finalité du traitement

Fournir, maintenir, sécuriser et prendre en charge le Service pour le Client, conformément aux instructions de ce dernier.

Durée de conservation

Comme indiqué dans le tableau ci-dessous.

Transferts aux Sous-traitants ultérieurs

Aux Sous-traitants ultérieurs énumérés à l’annexe III, pour l’objet, la nature et la durée qui y sont décrits ainsi que dans la présente annexe.

C. Autorité de contrôle compétente

L’autorité de contrôle déterminée conformément à la clause 13 des CCT, comme indiqué à la section 8. Comme nous ne disposons d’aucun établissement dans l’UE, nous n’avons pas d’autorité de contrôle chef de file qui nous soit propre.

Il s’agit des mesures techniques et organisationnelles que nous mettons en œuvre conformément à l’article 32 du RGPD et à la clause 8.6 des CCT. Notre programme de sécurité s’inspire des normes ISO/IEC 27001:2022 et ISO/IEC 27701 ; il n’est pas certifié. Les références indiquent les mesures de l’annexe A de la norme ISO/IEC 27001:2022 auxquelles chaque mesure contribue. Nous examinons ces mesures au moins une fois par an, ainsi qu’après toute modification ou tout incident important.

A.5 Mesures organisationnelles

A.6 Mesures de sécurité applicables aux personnes

A.7 Mesures de sécurité physique

A.8 Mesures de sécurité technologique

Mesures visant à assister le Client

• Outils en libre-service permettant d’accéder aux données, de les exporter, de les rectifier et de les supprimer (section 9).
• Notification de toute violation dans les meilleurs délais et au plus tard 72 heures après en avoir pris connaissance (section 11).
• Documentation relative aux analyses d’impact et aux audits (section 10 et section 13).

Mesures des Sous-traitants ultérieurs

Chaque Sous-traitant ultérieur doit mettre en œuvre, pour le traitement qu’il effectue, des mesures assurant un niveau de protection au moins équivalent à celui décrit dans la présente annexe, conformément à l’accord écrit que nous avons conclu avec lui (section 7).

Le Client autorise les Sous-traitants ultérieurs suivants. La même liste, comprenant toute modification annoncée, est publiée sur notre page Sous-traitants ultérieurs. Les modifications suivent la procédure prévue à la section 7.