Protection des données (RGPD)

Vos fichiers, vos documents signés et les données de vos logiciels contiennent des données personnelles. Cette page explique comment Proxystemes les protège et tient lieu d’accord de traitement des données au sens de l’article 28 du Règlement général sur la protection des données (RGPD). Elle fait partie du contrat conclu avec chaque client, aux côtés des CGV.

1. Qui fait quoi ?

• Le Client est responsable du traitement des données qu’il enregistre dans Cloud Pro, dans ses logiciels sur mesure ou sur ses serveurs hébergés : il décide des données collectées et de leur usage.
• Proxystemes est sous-traitant : elle héberge et traite ces données uniquement pour fournir les services, sur instruction du Client.
• Pour ses propres besoins (gestion des comptes clients, facturation, support, site vitrine), Proxystemes est responsable de traitement : voir la section 8.

2. Accord de traitement des données (article 28)

Objet, durée et nature du traitement

Hébergement, stockage, sauvegarde, affichage, modification, partage et suppression des données saisies par le Client et ses utilisateurs, pour la durée du contrat et la période de réversibilité.

Le Client s’abstient d’enregistrer des données sensibles (santé, opinions, infractions…) sauf si sa propre conformité le permet et après en avoir informé Proxystemes.

Engagements de Proxystemes

1. Traiter les données uniquement sur instruction documentée du Client (le contrat, l’usage des services et ses demandes écrites), et l’informer si une instruction lui paraît contraire au RGPD.
2. Garantir que les personnes autorisées à accéder aux données sont soumises à la confidentialité et n’y accèdent que lorsque c’est nécessaire (support demandé par le Client, incident).
3. Mettre en œuvre les mesures de sécurité décrites à la section 3.
4. Ne recourir à un sous-traitant ultérieur qu’aux conditions de la section 4.
5. Aider le Client à répondre aux demandes d’exercice des droits des personnes (accès, rectification, effacement, portabilité), notamment grâce aux fonctions d’export et de suppression des services.
6. Aider le Client, sur demande, pour ses analyses d’impact et ses échanges avec la CNIL.
7. Notifier toute violation de données dans les conditions de la section 6.
8. Restituer puis supprimer les données à la fin du contrat (section 7).
9. Mettre à disposition les informations nécessaires pour démontrer le respect de ces obligations, et permettre un audit, à la charge du Client, moyennant un préavis de trente jours et un engagement de confidentialité.

Engagements du Client

Le Client dispose d’une base légale pour les traitements qu’il réalise, informe les personnes concernées, gère les droits d’accès de ses utilisateurs et tient son registre des traitements.

3. Mesures de sécurité

• Chiffrement des échanges (HTTPS/TLS) ; secrets de service chiffrés au repos.
• Authentification : double authentification disponible sur tous les services ; connexion unique fédérée par l’espace client.
• Cloisonnement : les données de chaque client sont isolées par organisation, avec des droits par rôle et par dossier.
• Sauvegardes chaque nuit des serveurs, des fichiers et des bases de données, sur notre serveur de sauvegarde : 14 sauvegardes quotidiennes, 4 hebdomadaires et 3 mensuelles sont conservées.
• Supervision permanente des serveurs ; mises à jour de sécurité automatiques.
• Administration des serveurs par clé SSH, protection contre les tentatives d’intrusion, accès d’administration limités et journalisés.
• Traçabilité : journaux d’audit dans les applications (consultations, modifications, partages).

4. Sous-traitants ultérieurs

Proxystemes exploite sa propre infrastructure : les applications, l’édition de documents (ONLYOFFICE) et les sauvegardes tournent sur des serveurs qu’elle possède, installés dans ses locaux en France. Les e-mails envoyés par les services (invitations, notifications) partent eux aussi de ces serveurs.

Proxystemes ne fait appel à aucun sous-traitant ultérieur.

Tout nouveau sous-traitant ultérieur est annoncé au Client au moins trente jours à l’avance ; le Client peut s’y opposer pour un motif légitime et, à défaut d’accord, résilier le service concerné sans frais. Chaque sous-traitant est tenu par contrat aux mêmes obligations que Proxystemes.

5. Localisation des données

Les données sont hébergées en France, sur les serveurs que Proxystemes possède et exploite dans ses propres locaux, sans intermédiaire. Elles ne sont jamais transférées hors de France.

6. Violations de données

En cas de violation de données personnelles touchant ses données, le Client est prévenu dans les meilleurs délais après que Proxystemes en a eu connaissance, pour lui permettre de notifier la CNIL dans le délai de 72 heures. La notification décrit la nature de la violation, les données et personnes concernées, les conséquences probables et les mesures prises.

7. Fin du contrat

À la fin du contrat, le Client exporte ses données pendant 30 jours. Elles sont ensuite supprimées des serveurs de production, puis des sauvegardes au terme de leur rotation, soit au plus tard trois mois après leur suppression, sauf obligation légale de conservation. Proxystemes confirme la suppression sur demande.

8. Les données que Proxystemes traite pour son compte

9. Contact et réclamation

Pour toute question sur vos données ou pour exercer vos droits : contact@proxystemes.com. Nous répondons dans un délai d’un mois. Vous pouvez aussi saisir la CNIL (cnil.fr/fr/plaintes).