AeroCertLink — Accord de traitement des données

1.1 Le présent Accord s'applique aux données personnelles que le Client soumet à la Plateforme concernant son propre personnel, ses contacts ou d'autres personnes, et qu'AeroCertLink traite exclusivement pour le compte du Client (les « Données personnelles du Client »). Pour ces données, le Client est le responsable du traitement et AeroCertLink le sous-traitant.

1.2 Lorsque le Client utilise un service régi par des Conditions particulières de service (par exemple, un service de stockage chiffré de données techniques), ces conditions peuvent compléter le présent Accord, notamment en matière de chiffrement, de gestion des clés et de localisation des données. Lorsque des Données personnelles du Client sont chiffrées de telle sorte qu'AeroCertLink ne peut pas y accéder, les obligations d'assistance d'AeroCertLink prévues aux articles 8 et 10 sont limitées à ce qui est techniquement possible.

1.3 Le présent Accord ne s'applique pas aux données personnelles qu'AeroCertLink traite en tant que responsable du traitement indépendant, telles que décrites dans sa Politique de confidentialité : notamment les données de compte et de profil des Utilisateurs, les Habilitations déclarées, les Registres d'engagement, la preuve de l'acceptation des Conditions, les journaux de sécurité et les signalements de contenus illicites.

3.1 AeroCertLink ne traite les Données personnelles du Client que sur instruction documentée du Client, constituée du présent Accord, des Conditions et de l'utilisation par le Client des fonctionnalités de la Plateforme, sauf si le droit de l'Union européenne ou d'un État membre l'oblige à agir autrement. Dans ce cas, AeroCertLink informe le Client de cette obligation juridique avant le traitement, sauf si ce droit l'interdit.

3.2 AeroCertLink informe immédiatement le Client si, selon elle, une instruction constitue une violation de la Législation sur la protection des données.

3.3 Le Client est responsable de la licéité du traitement qu'il ordonne, notamment de disposer d'une base légale et d'informer les personnes concernées.

AeroCertLink veille à ce que toute personne autorisée à traiter les Données personnelles du Client soit tenue à une obligation de confidentialité, et à ce que l'accès soit limité à ce qui est strictement nécessaire à l'exécution du service.

AeroCertLink met en œuvre les mesures techniques et organisationnelles décrites à l'annexe 2, appropriées au risque, au sens de l'article 32 du RGPD. Elle peut les mettre à jour à condition que le niveau global de sécurité ne soit pas réduit.

6.1 Le Client accorde à AeroCertLink une autorisation générale de faire appel aux sous-traitants ultérieurs énumérés à l'annexe 1.

6.2 AeroCertLink informe le Client de tout ajout ou remplacement envisagé d'un sous-traitant ultérieur au moins quinze (15) jours à l'avance, par e-mail ou sur la Plateforme. Le Client peut s'y opposer dans ce délai pour des motifs raisonnables liés à la protection des données. Si les parties ne parviennent pas à résoudre l'opposition, le Client peut fermer son compte avant la prise d'effet du changement, sans pénalité.

6.3 AeroCertLink impose contractuellement à chaque sous-traitant ultérieur des obligations de protection des données offrant au moins le même niveau de protection que le présent Accord. AeroCertLink demeure pleinement responsable envers le Client de l'exécution des obligations de ses sous-traitants ultérieurs.

7.1 Les Données personnelles du Client sont stockées dans l'Union européenne (Paris, France).

7.2 Lorsqu'un sous-traitant ultérieur traite des Données personnelles du Client en dehors de l'Espace économique européen, le transfert repose sur une décision d'adéquation de la Commission européenne (notamment le cadre de protection des données UE–États-Unis pour les entreprises certifiées) ou, à défaut, sur les clauses contractuelles types adoptées par la décision d'exécution (UE) 2021/914 de la Commission, intégrées au contrat du sous-traitant ultérieur. Le module trois des clauses contractuelles types s'applique aux transferts d'AeroCertLink vers ses sous-traitants ultérieurs.

8.1 Demandes des personnes concernées. AeroCertLink aide le Client, par des mesures techniques et organisationnelles appropriées et dans toute la mesure du possible, à répondre aux demandes des personnes concernées qui exercent leurs droits. Si AeroCertLink reçoit directement une telle demande, elle la transmet au Client dans les meilleurs délais et n'y répond pas elle-même, sauf instruction en ce sens.

8.2 Autres obligations. Compte tenu de la nature du traitement et des informations dont elle dispose, AeroCertLink aide le Client à garantir le respect des articles 32 à 36 du RGPD (sécurité, notification des violations, analyse d'impact relative à la protection des données, consultation préalable).

9.1 AeroCertLink notifie au Client toute violation de données personnelles affectant les Données personnelles du Client dans les meilleurs délais, et au plus tard quarante-huit (48) heures après en avoir pris connaissance.

9.2 La notification décrit, dans la mesure où ils sont connus : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés, les conséquences probables, et les mesures prises ou proposées. Les informations qui ne sont pas disponibles immédiatement sont communiquées de manière échelonnée.

9.3 AeroCertLink prend sans délai les mesures nécessaires pour contenir la violation et en atténuer les effets, et documente chaque violation dans son registre des incidents.

Au terme de l'utilisation de la Plateforme par le Client, AeroCertLink, au choix du Client, restitue les Données personnelles du Client dans un format structuré, couramment utilisé et lisible par machine, ou les supprime, dans un délai de trente (30) jours. Les copies conservées dans les sauvegardes sont supprimées selon leur cycle normal, dans un délai de sept (7) jours, et restent protégées par le présent Accord jusqu'à leur suppression. Cela ne s'applique pas aux données qu'AeroCertLink est tenue de conserver en vertu du droit de l'Union ou d'un État membre.

11.1 AeroCertLink met à la disposition du Client toutes les informations nécessaires pour démontrer le respect du présent Accord, y compris les certifications et rapports de sécurité de ses sous-traitants ultérieurs lorsqu'ils sont disponibles.

11.2 Le Client peut réaliser un audit, lui-même ou par l'intermédiaire d'un auditeur indépendant tenu à la confidentialité, au plus une fois par période de douze (12) mois, sauf à la suite d'une violation de données personnelles ou à la demande d'une autorité de contrôle, moyennant un préavis écrit de trente (30) jours. L'audit est limité au traitement couvert par le présent Accord, ne doit ni perturber le service ni donner accès aux données d'autres clients, et est à la charge du Client.

AeroCertLink tient un registre des activités de traitement qu'elle effectue pour le compte de ses clients (art. 30, paragraphe 2, du RGPD) et coopère avec les autorités de contrôle à leur demande.

13.1 La responsabilité de chaque partie au titre du présent Accord est régie par les Conditions, sans préjudice des droits des personnes concernées en vertu de l'article 82 du RGPD.

13.2 En cas de contradiction entre le présent Accord et les Conditions concernant le traitement des Données personnelles du Client, le présent Accord prévaut.

13.3 Le présent Accord reste en vigueur aussi longtemps qu'AeroCertLink traite des Données personnelles du Client.

Chiffrement des données en transit (TLS) et au repos (chiffrement géré par l'hébergeur).

Contrôle d'accès dans la base de données : politiques de sécurité au niveau des lignes sur chaque table contenant des données métier ; contrôles d'autorisation côté serveur sur chaque action qui écrit des données.

Séparation des Utilisateurs : une Organisation ne voit jamais les données d'une autre Organisation ; un Expert ne voit le nom d'une Organisation qu'une fois engagé sur le Poste concerné, sauf si l'Organisation en décide autrement.

Accès administrateur : limité à des administrateurs nommément désignés, avec authentification multifacteur sur les consoles de la base de données et de l'hébergement, et journalisation des actions administratives (auteur, action, cible, date, motif).

Secrets : conservés dans la configuration de l'environnement, jamais dans le code transmis aux navigateurs.

Sécurité web : en-têtes de sécurité (politique de sécurité du contenu, sécurité de transport stricte) ; limites du nombre d'actions de création par compte.

Environnements séparés : les données de test ne sont jamais copiées en production, et les données de production ne sont jamais copiées dans les environnements de test.

Sauvegardes : sauvegardes quotidiennes automatiques, conservées sept (7) jours.

Contrôle des changements : toute modification de la structure de la base de données est revue et testée sur un environnement de test avant d'être appliquée en production.

Gestion des incidents : procédure écrite en cas de violation et registre des incidents.

Outils d'intelligence artificielle : aucun outil ni agent d'intelligence artificielle n'a accès aux données personnelles dans l'environnement de production. Les vérifications effectuées en production après une modification n'utilisent que des comptes de test.