Accord de traitement des données

Préambule

JOIN s’est donné pour mission de connecter les chercheurs d’emploi et les entreprises dans le monde entier. Les entreprises peuvent utiliser la plateforme JOIN sur https://join.com (ci-après désignée la “Plateforme”) pour publier des postes vacants et gérer les candidatures reçues en un seul endroit. Nos services sont conçus pour faciliter le processus de recrutement aussi bien pour les entreprises que pour les candidats, notamment pour l’attribution de candidats appropriés et la simplification de la procédure de candidature. 

La Société peut publier des offres d’emploi et gérer les procédures de candidature associées sur la Plateforme à l’aide d’un outil de gestion en ligne (“Outil de Gestion des Candidatures”). Dans ce contexte, les données personnelles générées par la Société pour le processus de candidature respectif sont traitées par JOIN agissant en tant que sous-traitant pour la Société en tant que responsable du traitement au sens de la législation en vigueur sur la protection des données. La Société vise à recruter des candidats pour ces offres d’emploi et utilise la Plateforme de JOIN à cette fin. 

Pour les autres services de JOIN, tels que l’attribution de candidats appropriés ou les offres destinées aux candidats, les données personnelles sont traitées par JOIN en tant que responsable du traitement au sens de la législation en vigueur sur la protection des données. Veuillez-vous référer à la Politique de Confidentialité de JOIN pour plus d’informations. 

Le présent DPA a pour objet de protéger les parties contre l’utilisation abusive des données personnelles traitées dans l’Outil de Gestion des Candidatures, d’assurer la protection des données par JOIN en raison des données personnelles que la Société lui a communiquées, et de respecter les exigences légales dans l’hypothèse où la relation commerciale entre la Société et JOIN serait qualifiée de traitement de données.

Le présent DPA fait partie intégrante de tout accord de service entre les parties, sauf accord contraire expressément stipulé dans un contrat à conclure après la conclusion du présent DPA. Ce document, y compris toutes les annexes, précise également les obligations de protection des données des parties découlant de l’accord de service sous-jacent comme suit :

1. Champ d’application et définitions

1.1 Les dispositions suivantes s’appliquent uniquement aux services JOIN qui constituent un traitement de données dans le cadre de l’accord de service, notamment l’Outil de Gestion des Candidatures et tous les services connexes fournis par JOIN à la Société.

1.2 Lorsque le terme “traitement de données” ou “traitement” de données est utilisé dans le présent Accord, il désigne en général l’utilisation de données personnelles. Le traitement de données ou le traitement de données désigne toute opération ou série d’opérations effectuées sur des données personnelles, avec ou sans l’aide de procédés automatisés.

2. Objet et durée de l’accord

2.1 Dans le cadre du présent DPA, JOIN traitera les données personnelles exclusivement pour le compte et conformément aux instructions de la Société. Cela inclut notamment les services de traitement que JOIN fournit à la Société via l’Outil de Gestion des Candidatures conformément à l’accord de service. Dans cet accord de service et à la section 4, les parties ont précisé les détails conformément à l’article 28 (3) et (4) du Règlement Général sur la Protection des Données de l’UE (“RGPD”) et à l’article 9 de la Loi Fédérale Suisse sur la Protection des Données (“LFPD”), notamment l’objet et la durée du traitement des données, ainsi que les modalités, la nature et la finalité du traitement des données prévu, le type de données et les personnes concernées.

2.2 Le traitement des données par JOIN pour le compte de la Société est effectué conformément à l’art. 28 RGPD et à l’art. 9 LFPD, en ce qui concerne chaque loi uniquement si et dans la mesure où elle est applicable à l’activité de traitement respective. La Société reste toujours l’entité responsable du traitement des données.

3. Hiérarchie des accords contractuels

Les dispositions du présent DPA font partie intégrante de l’accord de service entre les parties et prévalent sur les autres accords contractuels des parties en matière de protection des données, notamment les autres contrats contenant des dispositions qui s’écartent de celles du présent DPA au détriment de la Société. La clause 1.1 reste inchangée. Les dispositions du présent DPA ne s’appliquent pas au traitement des données personnelles que JOIN, en tant que responsable du traitement, fournit à la Société ou à tout autre utilisateur individuel dans le cadre de l’accord de service.

4. Finalité, portée et nature du traitement des données

Les parties conviennent par la présente que la finalité du traitement des données est l’accomplissement des objectifs contractuels conformément à l’accord de service, notamment la mise en œuvre et la gestion de processus de candidature spécifiques, auxquels la Société peut accéder via l’Outil de Gestion des Candidatures sur la Plateforme JOIN. La portée et la nature de la collecte, du traitement et/ou de l’utilisation des données personnelles sont déterminées par les dispositions de l’accord de service ainsi que par les services effectivement utilisés par la Société.

5. Personnes concernées

Les personnes concernées par le traitement des données personnelles dans le cadre de l’accord de service comprennent :

• les candidats aux postes publiés par la Société via la Plateforme ; et
• les employés de la Société utilisant la Plateforme.

6. Types de données personnelles

Les types de données suivants sont particulièrement concernés par le traitement sous-traité :

• Les données personnelles des candidats (p.ex. nom, titre, diplôme académique, date de naissance, numéro de téléphone, adresse e-mail),
• les données transmises par les candidats (données de candidature ; curriculum vitae, références, certificats, etc.),
• toutes les informations relatives au processus de candidature enregistrées dans l’Outil de Gestion des Candidatures, telles que les messages envoyés via la Plateforme, les informations sur le processus de candidature et la progression d’un candidat dans le processus de candidature enregistrée sur notre Plateforme, ou les questions posées dans le cadre du processus de candidature et enregistrées sur notre Plateforme,
• les données générées par l’utilisation de l’Outil de Gestion des Candidatures, telles que les métadonnées, notamment les informations sur la durée d’un processus de candidature, le nombre de candidats ayant postulé et la progression d’un candidat dans le processus de candidature,
• les données générées par les interactions avec l’Outil de Gestion des Candidatures, telles que les réponses aux questions posées par les candidats, les données enregistrées par la Société elle-même qui n’ont pas été supprimées dans l’Outil de Gestion des Candidatures et les messages d’établissement de contact avec les candidats ou JOIN,
• Les données personnelles (p.ex. nom, intitulé de poste, adresse e-mail, numéro de téléphone, adresse professionnelle) et les données d’accès (p.ex. nom d’utilisateur et mot de passe) des employés de la Société.

Si ces données sont traitées dans le cadre d’autres services JOIN, tels que l’attribution de candidats appropriés ou les services destinés aux candidats, cela ne relève pas du champ d’application du présent DPA. Dans ces cas, JOIN traitera ces données en tant que responsable du traitement au sens de la législation en vigueur sur la protection des données. Référence est faite à la Politique de Confidentialité de JOIN. 

7. Droits et obligations de la Société

7.1 La Société est seule responsable de l’évaluation de la licéité du traitement des données effectué par JOIN pour le compte de la Société et de la sauvegarde des droits des personnes concernées. La Société est notamment, mais pas exclusivement, responsable de (1) remplir les obligations d’information en matière de protection des données à l’égard des candidats, (2) obtenir le consentement nécessaire des candidats pour le traitement des données par la Société ou JOIN, si cela est absolument requis par la législation en vigueur sur la protection des données, et (3) respecter les délais de suppression applicables au processus de candidature respectif.

7.2 En tant que responsable du traitement, la Société est habilitée à tout moment à donner des instructions sur la nature, la portée et la procédure du traitement des données effectué pour son compte. Les instructions verbales doivent être confirmées par la Société par écrit (y compris par e-mail). JOIN devra confirmer promptement la réception et l’exécution de ces instructions et informer la Société si, de son avis, une instruction enfreint la législation applicable en matière de protection des données.

7.3 Si la Société le juge nécessaire, des personnes habilitées à donner des instructions peuvent être désignées. Les informations doivent être fournies par écrit par la Société. En cas de changement des personnes habilitées à donner des instructions au sein de la Société, la Société en informera JOIN en temps utile, en indiquant la ou les nouvelles personnes dans chaque cas.

7.4 La Société informera JOIN si des erreurs ou des irrégularités sont détectées en lien avec le traitement des données personnelles par JOIN.

7.5 La Société est habilitée à vérifier la conformité des mesures de sécurité des données techniques et organisationnelles prises par JOIN conformément à la section 9 avant le début du traitement des données, puis à intervalles réguliers, mais au maximum une fois par an, après une notification préalable en temps utile d’au moins 30 jours pendant les heures normales de bureau et en tenant compte des intérêts de JOIN. La Société peut également faire effectuer ce contrôle par un tiers, à condition qu’il ait préalablement conclu un accord de confidentialité. La Société est tenue de rémunérer les personnes chargées de mettre en œuvre ces mesures.

7.6 La Société est tenue d’informer JOIN des incidents de protection des données ou d’autres violations de la législation en vigueur sur la protection des données affectant les activités de traitement de JOIN.

7.7 La Société informera JOIN sans délai si elle prend connaissance de mesures spécifiques prises par les autorités de contrôle affectant la Société, notamment des mesures d’enquête des autorités, à condition que cela affecte le traitement des données pour la Société et que la Société ne soit pas tenue de maintenir la confidentialité.

8. Obligations de JOIN

8.1 Traitement des données

JOIN est tenue de traiter les données personnelles dans le cadre du présent DPA uniquement conformément au présent accord et/ou à l’accord de service sous-jacent et aux instructions de la Société. 

8.2 Droits des personnes concernées

JOIN aidera la Société dans toute la mesure du possible dans l’exercice des droits des personnes concernées, notamment en ce qui concerne la rectification, la limitation du traitement et la suppression, la notification et la fourniture d’informations. 

JOIN devra, sur instruction de la Société, rectifier, supprimer ou limiter le traitement des données personnelles traitées pour le compte de la Société. Cette obligation ne s’applique pas aux données personnelles que JOIN traite en tant que responsable du traitement dans le cadre des services qu’elle propose via la Plateforme.

Si une personne concernée contacte JOIN directement pour demander la rectification, la suppression ou la limitation du traitement de ses données personnelles, JOIN transmettra cette demande à la Société immédiatement à réception. La Société reste responsable de l’exécution des demandes.

8.3 Obligations de contrôle interne

JOIN mettra en œuvre les mesures de contrôle appropriées, p.ex. des audits internes, un concept de protection des données, etc., afin de s’assurer que les données personnelles traitées dans le cadre du présent DPA le sont conformément au présent accord et aux instructions correspondantes.

8.4 Obligation d’information

JOIN, en tant que sous-traitant, informera la Société si, selon sa propre évaluation, une instruction viole les dispositions légales. JOIN sera alors habilitée à suspendre l’exécution de l’instruction correspondante jusqu’à ce qu’elle soit modifiée par la Société. Cela ne justifie pas pour autant l’obligation de contrôle ou de notification de JOIN.

JOIN notifiera la Société de toute violation des réglementations en matière de protection des données, au plus tard 48 heures après en avoir pris connaissance, des réglementations établies dans l’accord de service et l’accord et/ou les instructions émises, survenant au cours du traitement des données par JOIN, les personnes qu’elle emploie ou les autres tiers chargés du traitement, si cela déclenche les obligations de notification en matière de protection des données en vigueur. Cette notification devra inclure, au minimum :

1. une description de la nature de la violation (incluant, dans la mesure du possible, les catégories et le nombre approximatif de personnes concernées et d’enregistrements de données concernés) ;
2. les conséquences probables de la violation ; et
3. les mesures prises ou proposées pour remédier à la violation et atténuer les éventuels effets négatifs. 

Si l’accès aux données personnelles que la Société a transmises à JOIN pour le traitement des données est mis en péril par des mesures prises par des tiers (p.ex. mesures prises par un administrateur d’insolvabilité, saisie par les autorités fiscales, etc.), JOIN est tenue d’en notifier la Société.

JOIN ne transmettra des informations à une partie demandant des informations qu’après accord préalable avec la Société, sauf si JOIN est tenue de fournir des informations en vertu de mesures gouvernementales ou de décisions judiciaires.

8.5 Établissement d’un registre de traitement

Sur demande, JOIN aidera la Société à établir une liste des activités de traitement dans le cadre de l’DPA et du traitement des données en cours, et fournira les informations nécessaires de manière appropriée.

JOIN tiendra également son propre registre de toutes les catégories d’activités de traitement effectuées pour le compte de la Société, conformément aux dispositions de la législation en vigueur sur la protection des données.

8.6 Obligations de déclaration et de coopération

JOIN aidera la Société sur demande dans :

1. l’accomplissement de ses obligations de déclaration ;
2. l’obligation de réaliser des analyses d’impact sur la protection des données ;
3. les obligations de notification et de communication des violations de données personnelles ;
4. toute consultation préalable avec les autorités de contrôle.

8.7 Lieu de traitement des données

Sauf accord contraire entre les parties, le traitement et l’utilisation des données par JOIN ont lieu en Suisse, dans l’Union européenne ou dans un autre État partie à l’Accord sur l’Espace économique européen. Tout transfert des activités de traitement des données de JOIN vers un pays tiers n’est autorisé que si les exigences spéciales du Chapitre V du RGPD ou de la Section 2 de la LFPD sont respectées. La Société accepte que lorsque JOIN fait appel à un sous-traitant ultérieur conformément au présent accord pour effectuer des activités de traitement spécifiques (pour le compte de la Société) dans un pays tiers et que ces activités de traitement impliquent un transfert de données personnelles au sens du RGPD ou de la LFPD, selon le cas, JOIN et le sous-traitant ultérieur peuvent utiliser les clauses contractuelles types adoptées par la Commission sur la base de l’article 46(2) RGPD afin de satisfaire aux exigences du Chapitre V du RGPD, à condition que les conditions d’utilisation de ces clauses soient remplies et qu’une évaluation interne ait conclu que ce transfert répond au niveau de protection des données du RGPD et de la LFPD.

8.8 Suppression des données personnelles après la résiliation de l’accord

Après la résiliation de l’accord de service, JOIN est tenue à la demande de la Société de remettre à la Société toutes les données personnelles, documents et résultats de traitement et d’utilisation qui relèvent du présent DPA et qui sont liés à la relation contractuelle, ainsi que de supprimer conformément aux directives de protection des données et de sécurité des données et aux instructions de la Société ce que JOIN n’est pas contractuellement ou légalement habilitée ou tenue de continuer à traiter. Cette obligation de suppression ne s’applique pas aux données personnelles que JOIN traite en tant que responsable du traitement dans le cadre des services qu’elle propose via la Plateforme.

9. Contrôles de protection des données et droits d’audit

9.1 JOIN accepte par la présente que la Société soit habilitée, après accord mutuel préalable, à effectuer des contrôles de conformité avec les réglementations en matière de protection des données et les accords contractuels dans la mesure nécessaire, soit elle-même, soit par l’intermédiaire de tiers ayant préalablement conclu un accord de confidentialité, notamment en obtenant des informations et en inspectant les données et systèmes stockés. Les droits d’audit, d’accès et d’inspection de la Société dans le cadre de cette clause sont limités aux seuls registres de JOIN (y compris notamment les registres des activités de traitement des données personnelles, les registres des destinataires des données personnelles) et ne s’appliquent pas aux locaux physiques de JOIN. Tout audit et toute demande d’information seront limités aux informations nécessaires aux fins du présent DPA et tiendront dûment compte des obligations de confidentialité de JOIN et de son intérêt légitime à protéger ses secrets commerciaux.

9.2 JOIN aidera la Société à effectuer les contrôles dans la meilleure mesure de ses capacités et fournira des éclaircissements rapides et complets si nécessaire.

9.3 JOIN acceptera toute mesure de contrôle de l’autorité de contrôle de la protection des données s’il existe une obligation légale à cet effet. Elle informera la Société conformément à la section 8.4 après notification ou prise de connaissance de la mise en œuvre de la mesure de contrôle et d’autres demandes ou enquêtes de l’autorité de contrôle de la protection des données, dans la mesure où les mesures ou demandes peuvent affecter le traitement des données que JOIN fournit à la Société et JOIN n’est pas légalement tenue de maintenir la confidentialité.

9.4 Sur demande, JOIN confirmera par écrit la conformité avec les mesures techniques et organisationnelles précisées à l’Annexe 1.

10. Sous-traitance et sous-traitants ultérieurs

10.1 JOIN est habilitée à confier le traitement des données à des sous-traitants ultérieurs conformément aux dispositions suivantes :

• JOIN sélectionne soigneusement les sous-traitants ultérieurs en fonction de leur aptitude et de leur fiabilité et s’assure que le sous-traitant ultérieur respectif garantit un niveau approprié de protection des données. Si des sous-traitants ultérieurs sont mandatés, un niveau de protection comparable à celui du présent Accord doit toujours être garanti. 
• JOIN est tenue de rédiger les accords contractuels avec les sous-traitants ultérieurs conformément aux accords en vigueur dans la relation entre la Société et JOIN, et de veiller à ce que toute instruction complémentaire de la Société s’applique également aux sous-traitants ultérieurs.
• JOIN informera la Société en temps utile, c’est-à-dire au plus tard 30 jours avant le début de la sous-traitance prévue, de tout changement prévu concernant l’intervention ou le remplacement d’autres sous-traitants. Si la Société ne s’oppose pas à la sous-traitance dans les deux semaines suivant la réception de l’information, celle-ci est réputée approuvée. 

10.2 JOIN fournira à la Société une copie de l’accord de traitement sous-traité sur demande, dans la mesure où cela n’est pas contraire aux intérêts de JOIN.

10.3 JOIN coopérera, au moment de la conclusion de l’Accord, avec les sous-traitants ultérieurs nommés à l’Annexe 2 dans l’exécution de l’Accord, dont la Société accepte expressément le mandat.

11. Secret des donnée

11.1 JOIN est tenue de maintenir la confidentialité et le secret des données lors du traitement des données pour la Société.

11.2 JOIN n’utilisera pour l’exécution de l’accord que des employés ou d’autres mandataires suffisamment engagés au respect du secret des données ou de la confidentialité lors du traitement des données personnelles fournies et ayant été correctement informés des exigences en matière de protection des données.

12. Mesures techniques et organisationnelles

12.1 JOIN met en œuvre les mesures techniques et organisationnelles décrites à l’Annexe 1.

12.2 JOIN garantit les mesures de sécurité des données convenues contractuellement et prescrites légalement décrites à l’Annexe 1. Pour la durée de la relation contractuelle, JOIN prendra toutes les mesures nécessaires pour sécuriser les données et la sécurité du traitement, en tenant notamment compte des normes technologiques actuelles, ainsi que pour réduire les éventuelles conséquences défavorables pour les personnes concernées. Afin de toujours pouvoir garantir un niveau de sécurité approprié pour le traitement des données, JOIN veillera à ce que les mesures mises en œuvre soient régulièrement révisées et, si nécessaire, améliorées. JOIN est libre d’apporter des modifications aux mesures techniques et organisationnelles qui augmentent le niveau de sécurité convenu. JOIN informera la Société en temps utile des modifications apportées à ces mesures.

13. Clause de forme

13.1 JOIN peut, de temps à autre, modifier le présent DPA. JOIN en informera la Société au moins 30 jours avant que cette modification ne s’applique à la Société.

13.2 Toutes les déclarations des parties, notamment les notifications, annonces, déclarations et autres informations à transmettre à l’autre partie, doivent être faites par écrit pour être valables. Pour éviter toute ambiguïté, l’expression « par écrit » inclut la signature électronique et les autres communications textuelles.

14. For juridique

14.1 Le seul for juridique, également au niveau international, pour tous les litiges découlant directement ou indirectement du présent DPA sera le tribunal compétent pour le siège social de JOIN. L’accord sur le for juridique ne s’applique pas si le litige porte sur des demandes autres que des demandes pécuniaires ou si un for juridique exclusif a déjà été établi pour le litige conformément aux dispositions légales.

14.2 JOIN est habilitée à intenter une action en justice contre la Société devant son for juridique général.

15. Dispositions diverses

15.1 En cas d’incompatibilité entre les dispositions du présent accord et les dispositions de l’accord de service, les dispositions du présent accord prévaudront.

15.2 Le présent accord est régi par le droit suisse, à l’exclusion de la Convention des Nations Unies sur les contrats de vente internationale de marchandises et des règles de conflit de lois. Pour les clients établis dans l’Union européenne, le droit de l’État membre dans lequel la Société a son siège social s’applique.

ANNEXE 1 à l’DPA

Mesures techniques et organisationnelles

JOIN assure qu’elle a pris les mesures techniques et organisationnelles suivantes :

1. Mesures pour assurer la confidentialité

1.1. Contrôle d’accès physique

Mesures qui empêchent physiquement les personnes non autorisées d’accéder aux systèmes informatiques et aux systèmes de traitement des données traitant des données personnelles, ainsi qu’aux fichiers confidentiels et aux supports de données.

• La zone de traitement des données est adéquatement sécurisée par une méthode de construction appropriée
• Toutes les entrées possibles ont été sécurisées contre tout accès non autorisé
• Un système de contrôle d’accès avec lecteur de carte à puce et système de verrouillage à transpondeur est mis en place
• Il existe une attribution contrôlée des clés, carte à puce, etc.
• Documentation de l’attribution des clés et des cartes à puce
• Sécurité des portes (ouverture électronique des portes, etc.)
• Obligation des employés au secret des données conformément au BDSG (Loi allemande sur la protection des données), notamment §5, §43
• Politique de mots de passe
• Certificats numériques
• Connexion utilisateur à deux facteurs (pour les services critiques)
• Chiffrement des communications/du traitement des données
• Utilisation de pare-feux logiciels (pour les appareils Windows)
• Verrouillage automatique de l’écran/politique employés
• Gestion des utilisateurs à jour
• Chiffrement des supports de données dans les ordinateurs portables
• Attribution des droits d’utilisateur (dans la mesure du possible, configurée spécialement pour les services critiques)

1.2 Contrôle d’accès logique personnes non autorisées

Mesures pour empêcher les personnes non autorisées de traiter ou d’utiliser des données protégées par la législation sur la protection des données.

• Obligation des employés au secret des données conformément au BDSG (Loi allemande sur la protection des données), notamment §5, §43
• Concepts d’autorisation (profils, rôles, etc.)
• Pas de stockage sur serveur sur site (cloud uniquement)
• Procédure de mot de passe, c’est-à-dire connexion personnelle et individuelle lors de l’enregistrement sur le système (caractères spéciaux, longueur minimale, changement régulier du mot de passe)
• Un générateur de mots de passe pour les mots de passe aléatoires est utilisé
• La transmission des données d’authentification confidentielles via le réseau est chiffrée
• Les mots de passe d’accès et/ou les saisies de formulaires ne sont pas stockés sur le client ou dans son environnement (p.ex. stockage dans le navigateur ou sur des Post-Its)
• Les autorisations d’accès sont toujours attribuées individuellement (personnellement)
• Le cercle des personnes autorisées est réduit au nombre jugé nécessaire sur le plan opérationnel
• Une personne responsable de l’émission des autorisations d’accès a été désignée
• Gestion des droits par l’administrateur système
• Lecteur de carte d’identité, attribution contrôlée des clés, carte à puce, etc.
• Sécurité des portes (ouverture électronique des portes, etc.)
• Système de verrouillage manuel
• Serrures de sécurité
• Systèmes de contrôle d’accès avec lecteurs de cartes à puce et systèmes de verrouillage à transpondeur
• Il existe une procédure sécurisée pour réinitialiser les blocages d’accès, p.ex. réattribuer un identifiant utilisateur
• Limitation du nombre d’employés autorisés
• Listes d’accès
• Encapsulation des systèmes sensibles dans des zones réseau séparées (aucun système sensible n’étant hébergé sur site)
• Procédure d’authentification
• Installation de filtres antivirus et anti-espion régulièrement mis à jour
• Transmission des données via des réseaux de données chiffrés ou des connexions tunnel (VPN – c’est partiellement le cas pour les données sensibles)
• Politique de mots de passe
• Utilisation de pare-feux logiciels
• Installation de filtres antivirus et anti-espion régulièrement mis à jour (pour les appareils et services utilisés, cela est partiellement effectué côté service, sinon automatiquement côté appareil)

1.3 Contrôle d’utilisation personnes autorisées

Mesures garantissant que les personnes autorisées à utiliser les procédures de traitement des données ne peuvent accéder qu’aux données personnelles relevant de leur autorisation d’accès, afin que les données ne puissent pas être lues, copiées, modifiées ou supprimées sans autorisation lors du traitement, de l’utilisation et du stockage.

• Concepts d’autorisation (profils, rôles, etc.)
• Les autorisations d’accès sont toujours attribuées individuellement (personnellement)
• Gestion des droits par l’administrateur système
• Le cercle des personnes autorisées est réduit au nombre jugé nécessaire sur le plan opérationnel
• Le nombre d’administrateurs est limité au nombre jugé essentiel.
• Une personne responsable de l’émission des autorisations d’accès a été désignée
• Chaque personne disposant d’une autorisation d’accès ne peut accéder qu’aux données dont elle a spécifiquement besoin pour traiter le processus en cours conformément à son affectation et qui sont configurées dans son profil d’autorisation individuel.
• Les autorisations sont liées à un identifiant utilisateur personnel et à un compte.
• Verrouillage automatique de l’écran/politique employés
• Politique de mots de passe
• Attribution des droits d’utilisateur
• Journalisation des tentatives de connexion et arrêt du processus de connexion après un nombre spécifié de tentatives infructueuses (selon que cela est inclus dans le service)
• Journalisation des accès et des tentatives d’utilisation abusive (selon que cela est inclus dans le service)
• Effacement physique des supports avant réutilisation
• Utilisation de déchiqueteuses de documents ou de prestataires de services (si possible avec label et/ou certification de protection des données)

1.4 Exigence de séparation

Mesures pour s’assurer que les données collectées à des fins différentes sont traitées séparément et sont séparées des autres données et systèmes de telle manière que ces données ne puissent pas être utilisées par inadvertance à d’autres fins.

• Séparation des clients, côté logiciel
• Séparation des systèmes de test et de production : séparation en serveur de développement, serveur de staging et serveur de production
• Bases de données et services séparés (par exemple, dans la base de données commerciale, seul l’identifiant de l’entreprise est stocké, mais pas d’autres informations sur l’entreprise (stockées dans une autre base de données). De même, les données de performance pour un produit spécifique par client sont séparées des deux bases de données susmentionnées.

1.5 Pseudonymisation

Mesures réduisant l’attribution directe des données personnelles à une personne concernée spécifique lors du traitement, de telle sorte que l’identification d’une personne concernée spécifique n’est possible qu’avec l’inclusion d’informations supplémentaires. Ces informations supplémentaires doivent être stockées séparément du pseudonyme à l’aide de mesures techniques et organisationnelles appropriées.

• Généralisation
• Chiffrement des données sensibles lors du stockage en base de données (p.ex. chiffrement Blowfish pour les mots de passe stockés)
• Utilisation du HTTPS sur l’ensemble du site et en particulier pour les transferts d’informations sensibles
• Jetons pour la transmission des données de paiement
• Communication entre l’application et la base de données via OAuth
• Bases de données et services séparés (par exemple, dans la base de données commerciale, seul l’identifiant de l’entreprise est stocké, mais pas d’autres informations sur l’entreprise (stockées dans une autre base de données). De même, les données de performance pour un produit spécifique par client sont séparées des deux bases de données susmentionnées.

2. Mesures pour assurer l’intégrité

2.1 Contrôle des transferts

Mesures garantissant que les données personnelles ne peuvent pas être lues, copiées, modifiées ou supprimées sans autorisation lors de la transmission électronique ou lors de leur transport ou stockage sur des supports de données, ainsi que des mesures permettant de vérifier et de déterminer où les données personnelles doivent être transmises.

• Séparation appropriée des tâches
• Attribution de comptes utilisateurs personnels
• Politique de mots de passe
• Attribution limitée des droits d’administrateur
• Attribution limitée des droits d’accès aux données
• Désactivation des comptes utilisateurs inutilisés
• Les personnes non autorisées sont empêchées d’accéder aux installations de traitement 
• L’accès non autorisé aux données personnelles est empêché
• La modification ou la suppression non autorisée des données personnelles est empêchée
• Les données personnelles ne seront traitées que sur instruction de la Société
• Transmission des données via des réseaux de données chiffrés ou des connexions tunnel (VPN)
• La transmission des données entre les clients et les serveurs est chiffrée (SSL, SSH ou SFTP)
• La connexion aux systèmes backend est protégée.
• Les données à exigences de protection élevées sont chiffrées.
• Processus de traitement avec responsabilité individuelle
• Gestion des droits par l’administrateur système
• Stockage des fichiers d’accès et/ou de journaux
• Les composants matériels ou les documents sont détruits de telle manière que la récupération n’est pas possible du tout ou seulement avec un effort disproportionné (NB : dépend du document)
• Utilisation de pare-feux logiciels
• Les pare-feux sont toujours activés
• Authentification mutuelle par méthodes cryptographiques (authentification homme-machine) – Authentification à 2 facteurs via une application supplémentaire, indépendamment du poste pour tous les systèmes critiques

2.2 Contrôle de la saisie des données

Mesures garantissant que l’accès, la modification ou la suppression de données personnelles dans les systèmes informatiques peut être vérifié et déterminé ultérieurement.

• Traçabilité des personnes qui ont accédé, modifié et supprimé des données grâce à l’utilisation de noms d’utilisateurs individuels (pas de groupes d’utilisateurs)
• Attribution des droits d’accès, de modification et de suppression des données sur la base d’un concept d’autorisation
• Journalisation de toutes les activités du système et conservation de ces journaux pendant au moins trois ans

3. Mesures pour assurer la disponibilité et la fiabilité

3.1 Contrôle de disponibilité

Mesures garantissant que les données personnelles sont protégées contre la destruction ou la perte accidentelle.

• Concepts de récupération et de sauvegarde (RAID, mise en miroir de disque dur, etc.)
• Sauvegardes effectuées régulièrement
• Des vérifications sont régulièrement effectuées pour déterminer s’il est possible de restaurer une sauvegarde (récupération de données)
• Systèmes de détection incendie et fumée
• Système d’extinction incendie/extincteurs dans ou devant les salles électroniques
• Climatisation dans les salles électroniques
• Salles électroniques non situées sous des systèmes sanitaires/conduites d’eau
• Pas de salles serveurs dans le bâtiment, toutes les données et tous les outils fonctionnent via le cloud

3.2 Capacité de récupération rapide

Mesures garantissant la capacité de restaurer rapidement la disponibilité et l’accès aux données personnelles en cas d’incident physique ou technique.

• Tests réguliers de récupération des données
• Concepts de récupération et de sauvegarde (RAID, mise en miroir de disque dur, etc.)
• Sauvegardes effectuées régulièrement
• Des vérifications sont régulièrement effectuées pour déterminer s’il est possible de restaurer une sauvegarde (récupération de données)
• Les sauvegardes sont stockées dans un endroit sécurisé hors site

4. Mesures pour évaluer régulièrement la sécurité du traitement des données

Mesures garantissant un traitement conforme à la protection des données et sécurisé. 

• Gestion de la protection des données
• Concept général de protection des données
• Concept de suppression
• Les instructions de la Société sont documentées
• Gestion formalisée des contrats

5. Mesures pour assurer la fiabilité

Mesures garantissant que toutes les fonctions du ou des système(s) sont disponibles et que les dysfonctionnements survenant sont signalés.

• Surveillance de la disponibilité des services pertinents
• Redondances système
• Surveillance système
• Surveillance via un système automatisé de gestion de réseau (NMS)
• Plans de sauvegarde
• Utilisation de systèmes de test/pré-staging
• Utilisation d’un système de gestion des versions pour les systèmes d’exploitation
• Alertes

6. Mesures pour assurer la séparabilité

Mesures garantissant que les données personnelles collectées à des fins différentes peuvent être traitées séparément.

• Concept de protection des données
• Concepts d’autorisation (profils, rôles, etc.) and their documentation
• Définition des droits de base de données
• Création de catégories de données avec différents emplacements de stockage
• Capacité multi-client interne
• Séparation logique des clients
• Concept d’affectation interne
• Les données des différents clients JOIN sont stockées dans des fichiers séparés et dans des répertoires séparés selon le contenu et ne sont pas fusionnées
• Concepts d’accès
• Isolation des ensembles de données, des systèmes (p.ex. UAT, staging et production) et des processus
• Séparation physique des catégories de données
• Séparation des données particulièrement sensibles

ANNEXE 2 à l’DPA

Liste des sous-traitants ultérieurs mandatés par JOIN

Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxembourg

Finalité : Envoi d’e-mails

Lieu du traitement : Allemagne (Francfort – région « eu-central-1 »)

Détails : Service d’envoi d’e-mails (Amazon SES) utilisé pour envoyer des e-mails relatifs aux produits et aux transactions, y compris pour le compte du responsable du traitement dans le cadre des services.

Atlassian Inc, 350 Bush Street, Level 13, San Francisco, CA 94104, USA

Finalité : Suivi des incidents

Lieu du traitement : États-Unis d’Amérique

Détails : Système interne de suivi des incidents utilisé pour gérer les tâches de développement et les rapports de bogues. Peut contenir des données limitées sur les clients liées aux incidents signalés. 

Cloudflare Inc.,  101 Townsend St, San Francisco, CA 94107, USA

Finalité : Sécurité et performances

Lieu du traitement : États-Unis d’Amérique

Détails : Pare-feu d’application Web (WAF), réseau de diffusion de contenu (CDN) et protection contre les attaques DDoS pour les services JOIN.

FrontApp Inc., 525 Brannan St, San Francisco, CA 94107, USA

Finalité : Communication avec la clientèle et assistance

Lieu du traitement : États-Unis d’Amérique

Détails : Plateforme de communication client utilisée pour gérer les boîtes de réception partagées, les interactions avec le service client et les flux de travail par e-mail.

Functional Software Inc. (Sentry), 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA

Finalité : Surveillance des applications

Lieu du traitement : États-Unis d’Amérique

Détails : Surveillance des erreurs et suivi des performances de l’application JOIN. Peut traiter des données techniques contenues dans les journaux.

Google Cloud EMEA Limited, Gordon House, Barrow Street, Dublin 4, Ireland

Finalité : Infrastructure cloud

Lieu de traitement : Belgique (région europe-west1)

Détails : Hébergement et stockage de la plateforme JOIN, y compris les machines virtuelles (Compute Engine), les bases de données gérées (Cloud SQL / Firestore), le stockage d’objets (Cloud Storage), la mise en réseau et les sauvegardes.

Google Ireland Limited (Workspace), Gordon House, Barrow Street, Dublin 4, Ireland

Finalité : Productivité et communication

Lieu de traitement : Irlande (régions de données de l’UE, le cas échéant)

Détails : Messagerie électronique et suite bureautique (Gmail, Drive, Docs, Sheets, Meet, Calendar) utilisées pour les opérations internes et les communications avec les clients.

Intuit Inc. (Mailchimp), 2700 Coast Avenue, Mountain View, CA 94043, USA

Finalité : Envoi d’e-mails

Lieu de traitement : États-Unis d’Amérique

Détails : Plateforme de messagerie électronique utilisée pour envoyer des e-mails marketing, relatifs aux produits et transactionnels aux utilisateurs et pour le compte du responsable du traitement.

Linear Orbit, Inc., 2261 Market Street #4455, San Francisco, CA 94114, USA

Finalité : Suivi des incidents et gestion des produits

Lieu du traitement : États-Unis d’Amérique

Détails : Outil de suivi des incidents et de gestion des produits utilisé pour gérer le développement des produits, le suivi des bogues et les flux de travail internes.

Testlify Inc., 2823 Oakley Ave, Bensalem PA 19020, États-Unis

Finalité : Évaluation et tests des candidats

Lieu du traitement : États-Unis d’Amérique

Détails : Plateforme de tests préalables à l’embauche utilisée pour évaluer les compétences des candidats au moyen de tests et d’évaluations en ligne dans le cadre du processus de recrutement.