1.Objet et parties
Cet accord encadre les données personnelles qu’une organisation cliente (le « client ») confie à Colabbs. Le client en est le responsable de traitement ; la société GROUPY, SARL, qui édite Colabbs sous le nom commercial Synexus (« Synexus »), les traite pour son compte, comme sous-traitant au sens de l’article 28 du RGPD.
Il est annexé aux conditions d’utilisation et aux conditions générales de vente, et accepté avec elles : il n’y a rien à signer à part. Pour les données personnelles, il prévaut sur elles. Pour les données dont Synexus décide seule (les comptes, la facturation, la sécurité du service), Synexus est responsable de traitement, comme le décrit la politique de confidentialité.
2.Description du traitement
- Nature : hébergement, synchronisation, affichage, recherche, envoi et stockage des messages, discussions, tâches, agendas, documents et contacts ; acheminement des appels et conservation de leur journal et des messages vocaux.
- Finalité : fournir Colabbs au client, rien d’autre. Ni publicité, ni profilage, ni revente, ni entraînement d’un modèle d’intelligence artificielle.
- Durée : celle de l’utilisation de Colabbs par le client, puis les délais de suppression ci-dessous.
- Données : identité et coordonnées, contenu des messages et des pièces jointes, discussions, tâches, événements, documents, contacts, journal des appels, messages vocaux et annonces, journal de sécurité. Colabbs n’est pas conçu pour des catégories particulières de données (santé, opinions…) : le client décide de ce qu’il y dépose et en reste responsable.
- Personnes concernées : les membres du client, ses correspondants, ses contacts et les personnes qui l’appellent.
3.Instructions du client
Synexus traite les données sur les instructions documentées du client : ces conditions, les réglages qu’il fait dans Colabbs et ses demandes écrites. Si une instruction lui paraît contraire au RGPD, Synexus le lui dit aussitôt. Elle ne traite les données pour aucune autre fin, sauf si le droit de l’Union ou français l’y oblige ; elle en informe alors le client, sauf interdiction légale.
4.Confidentialité
Les personnes de Synexus qui administrent le service sont tenues à la confidentialité. Aucun rôle d’administration n’ouvre le contenu des messages : il n’est consulté qu’à la demande explicite du client pour un message précis, pour la sécurité du service ou si la loi l’exige.
5.Sécurité
Synexus applique les mesures de l’article 32 du RGPD décrites sur la page Sécurité, qui forme l’annexe 2 de cet accord : hébergement en France, connexions chiffrées, identifiants chiffrés, contrôle des accès, cloisonnement des organisations, journal de sécurité, sauvegardes. Elles peuvent évoluer, sans jamais baisser le niveau de protection.
6.Sous-traitants ultérieurs
Le client autorise Synexus à faire appel aux sous-traitants ultérieurs de l’annexe 1. Avant d’en ajouter ou d’en remplacer un, Synexus prévient les propriétaires de chaque organisation par e-mail au moins 30 jours à l’avance. Le client peut s’y opposer pendant ce délai ; si aucune solution n’est trouvée, il peut résilier sans frais, et la part payée d’avance non utilisée lui est remboursée.
Chaque sous-traitant ultérieur est tenu par contrat aux mêmes obligations de protection que celles de cet accord, et Synexus reste responsable envers le client de leur respect.
7.Transferts hors de l’Union européenne
Les serveurs de Colabbs sont en France. Aucune donnée n’est transférée hors de l’Union européenne, sauf dans les cas que l’annexe 1 indique avec leur garantie (le paiement, par Stripe). Tout nouveau transfert serait annoncé comme un nouveau sous-traitant et encadré par une garantie de l’article 46 du RGPD, en premier lieu les clauses contractuelles types de la Commission européenne. Les fournisseurs de messagerie que le client choisit de connecter (Google, son hébergeur) agissent selon leurs propres conditions avec lui.
8.Droits des personnes
Synexus aide le client à répondre aux demandes des personnes concernées (accès, rectification, effacement, limitation, opposition, portabilité), notamment par les fonctions de Colabbs et, sinon, sur demande à rgpd@colabbs.com. Une demande reçue directement par Synexus pour des données du client lui est transmise sans tarder, sans y répondre à sa place.
9.Violations de données
Synexus notifie au client toute violation de données personnelles le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec ce qu’elle en sait : nature, personnes et données concernées, conséquences probables, mesures prises ou proposées. Elle complète ces informations au fur et à mesure, pour que le client puisse notifier la CNIL et, si besoin, les personnes.
10.Analyses d’impact
Synexus fournit au client les informations dont il a besoin pour une analyse d’impact relative à la protection des données ou une consultation préalable de la CNIL, dans la mesure où elles concernent Colabbs.
11.Fin du contrat
Avant la fin, le client récupère ses données : les messages des boîtes connectées restent chez leur fournisseur, les documents se téléchargent, et Synexus fournit sur demande une copie des autres données dans un format courant. Une organisation supprimée est conservée 15 jours pour pouvoir être restaurée, puis effacée ; ses copies dans les sauvegardes disparaissent au fil de leur rotation, en 90 jours au plus. Seules les factures sont gardées, dix ans, comme l’exige le code de commerce.
12.Documentation et audit
Synexus met à la disposition du client les informations nécessaires pour démontrer le respect de cet accord. Le client peut faire réaliser un audit une fois par an, à ses frais, en prévenant 30 jours à l’avance, par un auditeur tenu à la confidentialité qui n’est pas un concurrent de Synexus, sans accès aux données des autres clients.
13.Référent RGPD
Le référent RGPD de Synexus est Stéphane Le Rouzès, gérant de GROUPY SARL. Toute question ou demande sur les données personnelles lui est adressée à rgpd@colabbs.com ou par courrier au siège : 2 rue du Bois de Soeuvres, 35770 Vern-sur-Seiche.
14.Annexe 1 : sous-traitants ultérieurs
- Hostinger (Hostinger International Ltd, Chypre (Union européenne)) : Serveurs de l’application, de sa base de données et de ses sauvegardes, de l’antivirus des liens publics, des aperçus et de l’éditeur bureautique, administrés par Synexus. Données : Toutes les données de l’application : comptes, copie des messages, discussions, tâches, journaux. Lieu : France. Aucun transfert hors de l’Union européenne.
- Scaleway (Scaleway SAS, France) : Boîtes de messagerie Colabbs et leurs sauvegardes, fichiers de Documents, serveur d’appels (visio, postes, standard), relais d’envoi des boîtes Colabbs. Données : Messages des boîtes Colabbs, documents, messages vocaux, flux des appels. Lieu : Paris, France. Aucun transfert hors de l’Union européenne.
- easybell (easybell GmbH, Allemagne) : Opérateur des numéros de téléphone, pour les organisations qui en ont un. Données : Numéros appelant et appelé, horaires et voix des appels avec l’extérieur. Lieu : Allemagne. Aucun transfert hors de l’Union européenne.
- Brevo (Sendinblue SAS (Brevo), France) : Envoi des e-mails de l’application : invitations, création de compte, mot de passe, rappels. Données : Nom, adresse e-mail et contenu de ces e-mails, jamais vos messages. Lieu : Union européenne. Données hébergées dans l’Union européenne ; un transfert par un de ses propres sous-traitants est encadré par des clauses contractuelles types, selon son accord de traitement.
- Stripe (Stripe Payments Europe Ltd, Irlande) : Paiement des abonnements, calcul de la TVA, factures. Données : Nom et adresse de facturation, adresse e-mail du payeur, moyen de paiement (que Colabbs ne voit pas). Lieu : Union européenne et États-Unis. Transfert vers Stripe, Inc. (États-Unis) encadré par le Data Privacy Framework UE–États-Unis, et à défaut par les clauses contractuelles types de la Commission européenne.
15.Annexe 2 : mesures de sécurité
Les mesures techniques et organisationnelles sont celles de la page Sécurité, dans sa version en vigueur.