Accord de traitement des données

Dans le présent DPA : « droit de la protection des données » désigne toute loi relative à la protection des données à caractère personnel applicable au traitement effectué au titre du présent DPA, y compris le RGPD britannique, le RGPD de l'UE, le Data Protection Act 2018 britannique et toute loi nationale mettant en œuvre ou complétant le RGPD de l'UE ou la directive (UE) 2019/1937 (la « directive sur les lanceurs d'alerte »), chacun tel que modifié ou remplacé. « responsable du traitement », « sous-traitant », « sous-traitant ultérieur », « données à caractère personnel », « catégories particulières de données à caractère personnel », « traitement », « violation de données à caractère personnel », « personne concernée » et « autorité de contrôle » ont le sens qui leur est donné dans le RGPD britannique et le RGPD de l'UE. « données à caractère personnel du client » désigne les données à caractère personnel que Provoxis traite en tant que votre sous-traitant au titre du présent DPA, décrites à l'annexe I ; elles comprennent le « contenu des signalements » — tout ce qu'un lanceur d'alerte soumet et tout ce qu'un gestionnaire de dossier ajoute à un dossier — et les « données du lanceur d'alerte » — les données à caractère personnel relatives à une personne qui soumet un signalement, y est nommée ou est affectée par celui-ci. « clauses contractuelles types » ou « CCT » désigne les clauses figurant à l'annexe de la décision d'exécution (UE) 2021/914 de la Commission. « addendum britannique » désigne l'addendum sur les transferts internationaux de données à ces clauses publié par l'ICO britannique en vertu de l'article 119A du Data Protection Act 2018, et « IDTA britannique » désigne l'accord de transfert international de données autonome de l'ICO. « transfert soumis à restriction » désigne un transfert de données à caractère personnel du client vers un pays pour lequel il n'existe pas de décision d'adéquation pertinente et que le droit de la protection des données n'autorise qu'avec un mécanisme de transfert du type énuméré à l'article 46 du RGPD britannique ou de l'UE. Les termes définis dans les conditions d'utilisation conservent ce sens ici, sauf indication contraire.

Pour le contenu des signalements et les données des lanceurs d'alerte soumis via votre canal de signalement, vous êtes le responsable du traitement et Provoxis est votre sous-traitant. Vous déterminez les finalités et les moyens du traitement ; Provoxis ne traite ces données que pour fournir le service et uniquement sur vos instructions documentées. Provoxis est responsable indépendant du traitement, et non votre sous-traitant, pour un ensemble distinct et limité de données commerciales décrites dans sa politique de confidentialité : les données d'identité et de compte de vos administrateurs et gestionnaires de dossiers (nom, adresse e-mail, rôle et données d'authentification), vos dossiers de facturation et les statistiques de visite du site. Ces données sont régies par la politique de confidentialité, et non par le présent DPA. Lorsque les données à caractère personnel de ces mêmes personnes font au contraire partie d'un dossier — le nom d'un gestionnaire sur une note de dossier, ou une entrée du journal d'audit — elles constituent des données à caractère personnel du client et le présent DPA s'y applique. Une personne qui soumet un signalement via votre canal est une personne concernée au sens du présent DPA, jamais une partie à celui-ci, et n'est jamais tenue de l'accepter.

Vos instructions documentées complètes à Provoxis sont : (a) les présentes conditions d'utilisation, le présent DPA et la politique de confidentialité ; (b) les choix de configuration que vos administrateurs effectuent dans le produit (tels que les catégories de manquements, les paramètres de conservation dans les limites autorisées, l'attribution des rôles, les conservations à des fins juridiques et les demandes d'effacement) ; et (c) toute autre instruction écrite que vous donnez et que les parties conviennent par écrit. Le traitement des données à caractère personnel du client uniquement au sein de la région attribuée à votre compte, tel que décrit à la section 11, fait partie de ces instructions. Provoxis ne traitera les données qu'aux fins de l'exploitation du canal de signalement, de la gestion des dossiers, du portail du lanceur d'alerte et des notifications et de la journalisation associées décrites dans la politique de confidentialité, et ne traitera pas les données à caractère personnel du client à ses propres fins ni à celles d'un tiers. Provoxis vous informera si, à son avis, une instruction enfreint le droit de la protection des données, et pourra suspendre le traitement concerné jusqu'à ce que l'instruction soit confirmée ou modifiée.

L'objet du traitement est l'exploitation d'un service de réception de signalements et de gestion des dossiers en matière d'alerte professionnelle. Sa nature et sa finalité, les types de données à caractère personnel, les catégories de personnes concernées et la fréquence du traitement (continue, pendant toute la durée de l'abonnement) sont exposés à l'annexe I. Le traitement se poursuit tant que votre abonnement est actif, puis pendant la période supplémentaire nécessaire à l'exécution des étapes de restitution et de suppression prévues à la section 14.

Provoxis veille à ce que toute personne qu'elle autorise à traiter des données à caractère personnel du client — qu'il s'agisse d'un salarié ou d'un prestataire agréé — soit soumise à une obligation contractuelle ou légale de confidentialité appropriée qui survit à la fin de son engagement, reçoive une formation adaptée à son rôle en matière de protection des données à caractère personnel, et ne se voie accorder l'accès que dans la mesure nécessaire pour exploiter ou assurer le support du service. Au sein du produit, l'accès au contenu des signalements est restreint par rôle et appliqué dans la couche de contrôle d'accès de l'application, pas seulement dans l'interface. Le personnel de Provoxis n'accède pas au contenu de vos dossiers, sauf lorsque vous demandez un support qui l'exige, ou lorsque cet accès est strictement nécessaire pour maintenir la sécurité ou l'intégrité du service ; chacun de ces accès est limité à ce que la tâche requiert et est enregistré dans le journal d'audit qui vous est accessible.

Provoxis met en œuvre et maintient les mesures techniques et organisationnelles exposées à l'annexe II, en tenant compte de l'état de l'art, des coûts de mise en œuvre et des risques du traitement — en particulier le risque qu'un signalement contienne des données de catégories particulières ou permette d'identifier un lanceur d'alerte. Provoxis peut faire évoluer ces mesures au fil du temps, à condition que le niveau de protection ne soit pas réduit, et fournit une copie à jour de l'annexe II et répond à un questionnaire de sécurité raisonnable sur demande au titre de la section 13.

Vous donnez à Provoxis une autorisation écrite générale de recourir aux sous-traitants ultérieurs énumérés à l'annexe III et dans le registre des sous-traitants ci-dessous. Provoxis impose à chaque sous-traitant ultérieur des obligations de protection des données au moins aussi protectrices que celles du présent DPA, et demeure pleinement responsable envers vous de leur exécution. Chaque sous-traitant ultérieur n'est utilisé que pour le flux de données spécifique décrit le concernant ; une nouvelle finalité nécessite une nouvelle divulgation. Provoxis annoncera tout ajout ou remplacement envisagé d'un sous-traitant ultérieur en mettant à jour le journal « Modifications de cette liste » sur la même page, au moins 30 jours avant que le nouveau sous-traitant ultérieur ne commence le traitement. Si vous formulez une objection raisonnable en matière de protection des données dans ce délai, les parties travailleront de bonne foi à sa résolution. À défaut de résolution dans les 30 jours, vous pourrez résilier la partie du service qui nécessite le sous-traitant ultérieur contesté, par notification écrite, et Provoxis remboursera les frais prépayés couvrant la période postérieure à la résiliation pour cette partie.

Compte tenu de la nature du traitement, Provoxis vous assiste par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, pour vous acquitter de votre obligation de répondre aux demandes d'exercice des droits des personnes concernées — notamment les demandes d'accès, de rectification, d'effacement, de limitation du traitement, de portabilité des données, d'opposition au traitement, et le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé. Comme le contenu des signalements et les données des lanceurs d'alerte restent sous votre contrôle, les principaux outils sont entre vos mains : vos administrateurs peuvent exporter un dossier complet, mettre en place ou lever une conservation à des fins juridiques, et procéder à tout moment à un effacement manuel d'un dossier, motivé et journalisé, cette fonctionnalité étant disponible pendant toute la durée sans frais supplémentaires. Si une personne concernée contacte directement Provoxis au sujet de données que Provoxis traite pour vous, Provoxis ne répondra pas sur le fond mais la renverra vers vous et transmettra la demande sans retard injustifié.

Provoxis vous notifie sans retard injustifié, et en tout état de cause dans les 72 heures, après avoir pris connaissance d'une violation de données à caractère personnel affectant des données qu'il traite pour vous. La notification est adressée à vos administrateurs de compte, décrit — dans la mesure du possible, et par étapes à mesure que les informations sont disponibles — la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées, et identifie un point de contact pour de plus amples informations. Une notification au titre de la présente section ne constitue pas une reconnaissance de faute ou de responsabilité par Provoxis. Provoxis ne notifie pas une autorité de contrôle ni les personnes concernées en votre nom, sauf instruction écrite de votre part.

Compte tenu de la nature du traitement et des informations à sa disposition, Provoxis fournit une assistance raisonnable pour toute analyse d'impact relative à la protection des données et toute consultation préalable d'une autorité de contrôle que vous êtes tenu d'effectuer en lien avec votre utilisation du service. Les informations de sécurité de l'annexe II, le modèle de conservation et la fonction de journal d'audit sont destinés à faciliter cette démarche.

(a) Localisation des données. Provoxis ne stocke et ne traite le contenu des signalements et les données des comptes personnel que dans la région attribuée à votre compte. Chaque région est une infrastructure autonome ; ces données ne transitent par aucune autre région, n'y sont ni répliquées ni sauvegardées. (b) Provoxis en tant que sous-traitant britannique. Provoxis Ltd est établie au Royaume-Uni et son personnel administre et assure le support de chaque infrastructure régionale depuis le Royaume-Uni ; votre acceptation du présent DPA ordonne et autorise cet accès. À la date du présent DPA, la décision d'adéquation de la Commission européenne du 28 juin 2021 concernant le Royaume-Uni est en vigueur, de sorte que cet accès ne constitue pas un transfert soumis à restriction. Si cette décision expire, est suspendue ou n'est pas renouvelée, les CCT (module deux, du responsable du traitement au sous-traitant) sont incorporées au présent DPA par renvoi et s'appliquent à compter de cette date au traitement par Provoxis des données à caractère personnel du client de la région UE, complétées comme suit : l'annexe I et l'annexe II du présent DPA renseignent les annexes des CCT ; la clause d'amarrage facultative (clause 7) n'est pas utilisée ; au titre de la clause 9, les parties choisissent l'autorisation écrite générale avec le délai de préavis prévu à la section 7 ; la clause facultative de recours (clause 11) n'est pas utilisée ; au titre de la clause 17, les clauses sont régies par le droit irlandais ; au titre de la clause 18, les litiges sont soumis aux juridictions irlandaises ; et l'autorité de contrôle compétente est identifiée à l'annexe I. (c) Transferts par les sous-traitants ultérieurs. Lorsqu'un sous-traitant ultérieur figurant à l'annexe III traite des données à caractère personnel du client en dehors du Royaume-Uni et de l'EEE dans le cadre d'un flux de données autorisé, Provoxis veille à ce que ce transfert soit couvert par une garantie appropriée au titre de l'article 46 du RGPD britannique ou de l'UE — les CCT avec l'addendum britannique, ou l'IDTA britannique — et par une évaluation des risques du transfert. Parmi les sous-traitants ultérieurs actuels, AWS (Francfort) et Mailgun (infrastructure UE) traitent dans l'EEE ; Stripe traite les données de facturation principalement aux États-Unis en vertu de ses propres CCT et de l'addendum britannique. (d) Nouveaux transferts. Provoxis n'engagera aucun nouveau transfert de données à caractère personnel du client vers un pays tiers sans mécanisme de transfert valide et, si nécessaire, sans mesures supplémentaires en place. (e) Suisse. Lorsque le client est établi en Suisse, ou que le traitement est par ailleurs soumis à la loi fédérale suisse sur la protection des données (« LPD »), et que la solution de repli prévue au point (b) est déclenchée, les CCT incorporées au titre de ce point s'appliquent à ces données à caractère personnel du client avec les adaptations publiées par le Préposé fédéral suisse à la protection des données et à la transparence (« PFPDT ») : les références au RGPD de l'UE s'entendent comme des références à la LPD dans la mesure où la LPD n'accorde pas un niveau de protection inférieur ; le terme « État membre » s'entend comme incluant la Suisse, de sorte qu'une personne concernée en Suisse puisse faire valoir les clauses dans son lieu de résidence habituelle ; et l'autorité de contrôle compétente est le PFPDT.

Si Provoxis reçoit une demande juridiquement contraignante d'une autorité publique, y compris une autorité répressive, visant à divulguer des données à caractère personnel du client, Provoxis, sauf interdiction légale : vous notifie sans retard injustifié et, dans la mesure du possible, avant toute divulgation ; informe l'autorité que Provoxis est un sous-traitant, que vous n'avez pas autorisé la divulgation et qu'elle doit adresser sa demande à vous ; conteste une demande illicite, excessivement large ou incompatible avec la courtoisie internationale, et sollicite des mesures provisoires lorsqu'elles sont disponibles ; et ne divulgue que le minimum de données réellement requis, selon une interprétation raisonnable de la demande. Lorsqu'il est interdit à Provoxis de vous notifier, elle s'efforce raisonnablement d'obtenir une levée de cette interdiction et documente les efforts qu'elle a déployés afin de pouvoir vous les communiquer. Provoxis tient un registre des demandes qu'elle reçoit et, dans la mesure où elle y est légalement autorisée, vous en fournit un récapitulatif sur demande.

Provoxis met à votre disposition les informations raisonnablement nécessaires pour démontrer le respect de l'article 28 et du présent DPA, et permet la réalisation d'audits, y compris des inspections, menés par vous ou un auditeur mandaté par vous, et y contribue. Dans un premier temps, Provoxis satisfait à cette obligation en fournissant sa documentation de sécurité, une annexe II complétée et sa liste de sous-traitants ultérieurs sur demande, et — pour les données qu'il traite pour vous — au moyen du journal d'audit accessible au client, qui enregistre chaque lecture d'un signalement, d'une note, d'un fichier de preuve ou d'un enregistrement audio ainsi que chaque action privilégiée ; dès que Provoxis dispose d'un rapport d'audit tiers à jour (tel que SOC 2 ou ISO 27001), la fourniture de ce rapport satisfait également une demande. Provoxis ne dispose pas actuellement d'une certification SOC 2 ou ISO 27001 ; la plateforme est conçue selon les contrôles d'accès et de preuve d'audit que ces référentiels examinent, mais Provoxis ne revendiquera pas une certification qu'il ne détient pas. Vous supportez vos propres frais d'audit et remboursez les frais raisonnables de temps et de matériel engagés par Provoxis pour accompagner un audit sur site allant au-delà de la fourniture de documentation. Un auditeur que vous mandatez ne doit pas être un concurrent de Provoxis et doit être lié par des obligations de confidentialité au moins aussi protectrices que celles du présent DPA. Un audit sur site ne peut être réalisé plus d'une fois par an (sauf si une autorité de contrôle l'exige ou en cas de violation), moyennant un préavis raisonnable, pendant les heures ouvrables, et d'une manière qui ne vous donne pas accès aux données d'un autre client.

À l'expiration ou à la résiliation de votre abonnement, Provoxis conserve les données de signalement à votre disposition pour export, au moyen de l'export de dossier intégré au produit, pendant 30 jours. Passé ce délai, et en tout état de cause dans les 60 jours suivant la résiliation, Provoxis supprime les données de signalement et les copies existantes et enjoint à ses sous-traitants ultérieurs d'en faire de même, sauf si le droit de la protection des données en impose la conservation — auquel cas Provoxis isole et protège ces données et les supprime à l'expiration de l'obligation. La suppression suit par ailleurs les règles de conservation décrites dans la politique de confidentialité : un dossier faisant l'objet de procédures judiciaires ou disciplinaires en cours ou raisonnablement prévisibles est conservé jusqu'à la clôture de ces procédures, et toute conservation à des fins juridiques que vous avez mise en place suspend entièrement la suppression. Les sauvegardes chiffrées sont purgées selon leur cycle glissant habituel et ne sont pas conservées au-delà. Le contenu des signalements, son stockage d'objets et tout jeton d'accès associé sont supprimés définitivement, et non simplement masqués. Provoxis confirme la suppression par écrit sur demande.

Provoxis fournit l'assistance décrite aux sections 8 à 13 dans le cadre du service. Lorsqu'une demande d'assistance est manifestement infondée ou excessive, notamment en raison de son caractère répétitif, ou lorsque le besoin d'assistance résulte de votre propre acte ou omission, Provoxis peut facturer des frais raisonnables fondés sur son coût administratif, après vous en avoir informé et vous avoir donné la possibilité de retirer ou de restreindre la demande.

Provoxis ne vend pas les données à caractère personnel du client et ne les utilise pas à des fins publicitaires ni à ses propres fins commerciales. Provoxis n'utilise pas le contenu des signalements ni les données des lanceurs d'alerte pour entraîner, affiner ou évaluer des modèles d'apprentissage automatique ou d'intelligence artificielle. Provoxis peut créer et utiliser des statistiques agrégées sur le fonctionnement du service (telles que les volumes de requêtes et les taux d'erreur), à condition qu'elles ne contiennent aucune donnée à caractère personnel et ne permettent d'identifier ni vous, ni un lanceur d'alerte, ni aucune autre personne concernée.

La responsabilité de chaque partie au titre ou en lien avec le présent DPA est soumise aux exclusions et limitations de responsabilité prévues dans les conditions d'utilisation ; tout plafond applicable à la responsabilité globale d'une partie dans ces conditions s'applique à sa responsabilité au titre des conditions d'utilisation et du présent DPA pris ensemble, et non comme un plafond additionnel distinct. Aucune disposition du présent DPA ou des conditions d'utilisation ne limite la responsabilité d'une partie envers une personne concernée ou une autorité de contrôle au titre du droit de la protection des données, ni une responsabilité qui ne peut être légalement limitée.

Provoxis tient un registre des activités de traitement qu'elle effectue pour votre compte, conformément à l'article 30, paragraphe 2, du RGPD britannique et de l'UE, et coopère, sur demande, avec une autorité de contrôle dans l'exécution de ses missions relatives à ce traitement.

Vous concluez le présent DPA en votre nom propre et, dans la mesure requise par le droit de la protection des données, au nom et pour le compte de vos sociétés affiliées dont les données à caractère personnel sont traitées via votre compte. Vous restez le point de contact unique pour l'ensemble des instructions, demandes et communications avec Provoxis au titre du présent DPA, et êtes responsable des actes et omissions de ces sociétés affiliées comme s'ils étaient les vôtres. La responsabilité totale combinée de Provoxis envers vous et l'ensemble de ces sociétés affiliées est soumise à la section 17.

Les notifications au titre du présent DPA sont faites par écrit. Provoxis vous notifie par e-mail à vos administrateurs de compte, ou via le produit ; vous notifiez Provoxis à support@provoxis.com. Une notification est réputée reçue le jour de son envoi si ce jour est un jour ouvrable, et sinon le jour ouvrable suivant. Il vous appartient de maintenir vos coordonnées enregistrées à jour.

Provoxis peut mettre à jour le présent DPA de temps à autre — par exemple pour tenir compte d'une évolution législative, d'un nouveau sous-traitant ultérieur, d'une modification du service ou d'un nouveau mécanisme de transfert. Pour une modification qui ne réduit pas de manière substantielle vos droits ni n'augmente de manière substantielle vos obligations, Provoxis met à jour la date de « dernière mise à jour » ci-dessus. Pour une modification qui le fait, Provoxis informe vos administrateurs de compte au moins 30 jours avant son entrée en vigueur ; si vous notifiez Provoxis dans ce délai que vous vous y opposez et que les parties ne parviennent pas à convenir d'une solution de rechange, vous pouvez résilier le service concerné par notification écrite avant l'entrée en vigueur de la modification, et Provoxis remboursera les frais prépayés couvrant la période postérieure à la résiliation. La poursuite de l'utilisation du service après l'entrée en vigueur d'une modification vaut acceptation de celle-ci. Une modification exigée par la loi prend effet à la date que la loi impose.

Le présent DPA prend effet lorsque vous acceptez les conditions d'utilisation et se poursuit tant que Provoxis traite des données à caractère personnel du client pour vous. La section 14 (restitution et suppression), la section 17 (responsabilité) et toute disposition qui, par sa nature, est destinée à survivre, survivent à la résiliation jusqu'à leur pleine exécution.

Le présent DPA est régi par le droit qui régit les conditions d'utilisation, et les mêmes juridictions sont compétentes, sauf lorsque les CCT s'appliquent au titre de la section 11(b), auquel cas leurs propres clauses de droit applicable et de for prévalent pour les matières qu'elles couvrent. Aucune disposition de la présente section ne prive une personne concernée de la protection du droit impératif de son pays de résidence.

Vous garantissez, pendant toute la durée de votre utilisation du service, que : vous avez mis en place et exploitez votre canal de signalement conformément au droit de la protection des données et à la loi nationale transposant la directive sur les lanceurs d'alerte qui vous est applicable ; vous disposez d'une base légale valable pour le traitement que vous demandez à Provoxis d'effectuer, y compris pour les données de catégorie particulière ou relatives à des infractions pénales qu'un signalement peut contenir ; vous avez réalisé toute analyse d'impact relative à la protection des données que la loi exige de vous avant la mise en service de votre canal ; et vous avez fourni aux personnes susceptibles d'utiliser votre canal — les lanceurs d'alerte et, lorsque cela est requis, les personnes visées par un signalement et les témoins — les informations sur le traitement exigées par les articles 13 et 14 du RGPD britannique et de l'UE, y compris le fait que Provoxis agit en tant que votre sous-traitant. Vous êtes responsable des choix de configuration, des paramètres de conservation, de l'attribution des rôles et des conservations à des fins juridiques effectués par vos administrateurs, ainsi que du maintien à jour des coordonnées de vos administrateurs et de vos contacts de compte afin que les notifications prévues par le présent DPA vous parviennent. Provoxis se fonde sur ces garanties pour fournir le service.

La présente section ne s'applique que lorsque, et dans la mesure où, des données à caractère personnel du client sont soumises à une loi d'un État des États-Unis sur la protection de la vie privée, telle que le California Consumer Privacy Act modifié par le California Privacy Rights Act (« CCPA »). Pour ces données, Provoxis agit en tant que votre « prestataire de services » (ou « sous-traitant » lorsque ce terme est employé), et non en tant que « tiers ». Provoxis ne traite ces données que pour fournir le service sur vos instructions et à aucune autre fin ; ne les « vend » ni ne les « partage » ; ne les conserve, ne les utilise ni ne les divulgue en dehors de la relation commerciale directe avec vous ou à une fin autre que le service ; et ne les combine pas avec des informations personnelles provenant d'une autre source, sauf dans la mesure où une finalité commerciale autorisée le permet. Provoxis vous informera s'il détermine qu'il ne peut plus respecter ses obligations au titre de la loi applicable, et vous pouvez prendre des mesures raisonnables pour faire cesser et corriger tout traitement non autorisé. Provoxis certifie qu'il comprend et respectera les restrictions énoncées dans la présente section. Rien dans la présente section ne fait de Provoxis le responsable du traitement ou l'« entreprise » pour ces données, ni n'étend une loi d'un État des États-Unis à un traitement que cette loi ne régit pas selon ses propres termes.

A. Parties et rôles. Le responsable du traitement est le Client : l'organisation identifiée dans l'inscription du compte Provoxis, agissant en tant que responsable du traitement du contenu des signalements et des données des lanceurs d'alerte soumis via son canal de signalement. Le sous-traitant est Provoxis Ltd, numéro de société 17472067, siège social Grosvenor House, 3 Chapel Street, Congleton, England, CW12 4AB, agissant en tant que sous-traitant du Client pour ces données. Points de contact : pour le Client, ses administrateurs de compte tels qu'enregistrés dans le compte ; pour Provoxis, support@provoxis.com. B. Description du traitement. Catégories de personnes concernées : les personnes qui soumettent un signalement via le canal de signalement d'un client (lanceurs d'alerte), identifiées ou anonymes ; les personnes nommées ou décrites dans un signalement (y compris la personne visée par une allégation et les éventuels témoins) ; et les administrateurs et gestionnaires de dossiers du client eux-mêmes, dans la mesure où leurs actions sur un dossier sont enregistrées. Catégories de données à caractère personnel : le contenu en texte libre d'un signalement ; les pièces jointes de preuve facultatives ; un enregistrement audio anonymisé lorsque le canal oral est utilisé ; les messages échangés entre un lanceur d'alerte et un gestionnaire de dossier ; les métadonnées du dossier (code de référence, catégorie, statut, horodatages, délais de SLA) ; et toute donnée d'identité ou de contact qu'un lanceur d'alerte choisit de fournir. Catégories particulières de données à caractère personnel (article 9) : un signalement peut, par sa nature, révéler l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, des données de santé ou des données concernant la vie sexuelle ou l'orientation sexuelle, et — parce que le canal oral capte la voix d'une personne — peut comprendre des données biométriques ; des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux allégations connexes (article 10) peuvent également être traitées. Les garanties appliquées à ces données figurent à l'annexe II. Fréquence du traitement : continue, pendant toute la durée de l'abonnement. Nature et finalité : recevoir, accuser réception, trier, instruire et traiter les signalements de manquements dans le cadre du programme d'alerte professionnelle du Client et de la directive sur les lanceurs d'alerte ou d'une loi nationale équivalente, et conserver les enregistrements qui en résultent pendant les durées requises. Durée : la durée de l'abonnement, majorée de la période de restitution et de suppression prévue à la section 14, sous réserve des règles de conservation décrites dans la politique de confidentialité et de toute limite de conservation imposée par la loi nationale transposant la directive sur les lanceurs d'alerte applicable au Client. C. Autorité de contrôle compétente. Lorsque les CCT s'appliquent au titre de la section 11(b), l'autorité de contrôle compétente est celle de l'État membre de l'UE dans lequel le Client est établi ou, lorsque le Client a désigné un représentant au titre de l'article 27 du RGPD de l'UE, celle de l'État membre du représentant ; lorsque le Client n'est pas établi dans l'UE et n'a pas désigné un tel représentant, l'autorité de contrôle de l'État membre dans lequel le propre représentant de Provoxis au titre de l'article 27 ([GDPR ART. 27 EU REPRESENTATIVE — NOT YET APPOINTED]) est établi.

Résidence et isolation des données : chaque client est rattaché lors de l'approvisionnement à une seule région et y est routé au niveau du DNS et de la périphérie ; les serveurs applicatifs, la base de données, le cache, les workers de file d'attente et le stockage d'objets constituent une infrastructure complète et indépendante par région, et les données de signalement ne transitent jamais par une autre région ni n'y sont répliquées. Chiffrement : le texte du signalement et les éventuels champs d'identité du lanceur d'alerte, ainsi que son adresse de notification facultative, sont chiffrés au repos au niveau de l'application ; les fichiers de preuve et les enregistrements audio sont chiffrés au repos avec une clé de chiffrement de données propre au client, protégée par un service régional de gestion des clés ; la base de données est en outre protégée par un chiffrement au niveau du disque ; tout le trafic vers et depuis le service est chiffré en transit via TLS. Contrôle d'accès : chaque utilisateur dispose d'un compte individuel nominatif, authentifié par client ; une fois soumis, le contenu d'un signalement est visible par tout membre authentifié de l'équipe du client concerné, l'attribution des dossiers, la conservation à des fins juridiques, l'effacement manuel et les modifications des règles de contrôle d'accès étant réservés aux administrateurs du client, tandis que les changements courants de statut du dossier et de niveau de conservation sont accessibles à tout membre authentifié de l'équipe. Un signalement soumis de façon anonyme ne comporte aucun champ d'identité — et non simplement masqué — de sorte qu'il n'y a rien à exposer, quel que soit le membre de l'équipe qui le consulte. Sécurité du personnel : comptes individuels nominatifs avec authentification multifacteur pour tout accès administratif de Provoxis, autorisation selon le principe du moindre privilège, aucun identifiant partagé, processus d'arrivée et de départ, et vérifications des antécédents du personnel ayant accès à la production dans la mesure permise par la loi. Développement sécurisé : revue de code par les pairs, analyse des dépendances et analyse statique, gestion des changements, environnements séparés, et aucun contenu de signalement de production dans les environnements de développement ou de test. Gestion des vulnérabilités : application régulière des correctifs, analyses de vulnérabilité périodiques, et tests d'intrusion de la plateforme par un tiers au moins une fois par an, les constats importants étant corrigés selon une hiérarchisation des risques. Journalisation et surveillance : journalisation centralisée de l'infrastructure et de l'application au sein de la région et alertes sur les accès anormaux ou privilégiés. Traçabilité : un journal d'audit inaltérable enregistre chaque lecture du contenu d'un signalement et chaque action privilégiée (conservation à des fins juridiques mise en place ou levée, effacement manuel, modification des règles de conservation ou de contrôle d'accès, export du journal d'audit). Minimisation des données : aucun champ d'identité n'est requis pour soumettre un signalement ; les métadonnées identifiantes (EXIF/GPS, auteur du document et historique des révisions) sont supprimées des fichiers de preuve téléversés côté serveur au moment du téléversement, sans conservation d'une copie non nettoyée. Signalements oraux : l'audio subit un décalage de hauteur et de formants en interne avant stockage ; l'enregistrement brut n'est jamais conservé et aucun service de transcription tiers n'est utilisé. Réponse aux incidents : un plan documenté avec des rôles définis, la notification au client au titre de la section 9, et une revue post-incident. Résilience et continuité : sauvegardes chiffrées automatisées de la base de données par région avec tests de restauration périodiques ; le service fonctionne sur une seule instance par région sans bascule automatique et ne donne aucun engagement de délai ou de point de reprise au-delà d'une reprise fondée sur les sauvegardes. Organisationnel : obligations de confidentialité pour l'ensemble du personnel, formation à la protection des données, accès selon le principe du moindre privilège pour le personnel de support, et un registre documenté des sous-traitants ultérieurs tenu synchronisé avec la production, avec des clauses contractuelles au moins aussi protectrices que le présent DPA.

Les sous-traitants ultérieurs autorisés actuels, leur finalité et leurs lieux de traitement sont énumérés dans le registre des sous-traitants ci-dessous, qui fait partie de la présente annexe. À la date de dernière mise à jour du présent DPA, il s'agit de : Amazon Web Services (hébergement cloud, stockage chiffré des preuves et des enregistrements audio, gestion des clés et DNS ; traitement dans l'EEE à Francfort) ; Stripe (facturation des abonnements et traitement des cartes de paiement ; principalement aux États-Unis, en vertu de ses propres clauses contractuelles types et de l'addendum britannique) ; et Mailgun (envoi d'e-mails transactionnels, depuis une infrastructure UE, ne contenant que des métadonnées de dossier et un lien vers le produit, jamais le contenu complet d'un signalement). Les modifications sont régies par la section 7 et consignées dans le journal « Modifications de cette liste » sur la même page.

Les questions relatives au présent DPA, ou une demande de copie contresignée, peuvent être adressées à support@provoxis.com. Le délégué à la protection des données de Provoxis est [DATA PROTECTION OFFICER — NOT YET APPOINTED / REQUIREMENT NOT YET DETERMINED]. Le représentant de Provoxis dans l'Union européenne aux fins de l'article 27 du RGPD de l'UE est [GDPR ART. 27 EU REPRESENTATIVE — NOT YET APPOINTED].