RGPD et protection des données
Comment sont encadrés les responsabilités, les droits, les instructions documentées et les transferts lorsque le RGPD s’applique.
Sur cette page
1. Application et responsabilité
Le Règlement général sur la protection des données s’applique selon les traitements, établissements et personnes concernés. Un abonnement logiciel ne rend pas, à lui seul, une organisation conforme. MigiHub soutient le programme de protection des données du client au moyen de mesures contractuelles, techniques et organisationnelles adaptées au service convenu.
InnuCloud agit généralement comme sous-traitant pour les données de l’espace contrôlé par le client et comme responsable du traitement pour son site, ses relations commerciales et son administration. Chaque partie demeure responsable de ses obligations.
2. Modalités et instructions licites
L’ATD documente l’objet, la durée, les fins, les catégories de données, la confidentialité, les mesures de protection, les sous-traitants, l’assistance, les audits et la restitution ou suppression. Il doit être intégré à l’entente client lorsque cela est requis.
Le client établit son fondement licite, ses avis, la collecte autorisée et les permissions de ses utilisateurs. Nous traitons les données du client sur instructions documentées et signalons celles qui, à notre avis, contreviennent au droit applicable.
3. Protection dès la conception
Les mesures pertinentes comprennent la minimisation, les accès par rôle, les options d’authentification unique, le chiffrement, la journalisation, les sauvegardes, les procédures de reprise, le développement sécurisé et la gestion des vulnérabilités. Leur disponibilité et leur portée doivent être confirmées pour la configuration du client.
Le client devrait limiter les notes et documents sensibles, revoir les permissions, définir ses instructions de conservation et évaluer les fonctions facultatives de localisation ou d’intégration avant leur activation.
4. Droits et évaluations
Nous aidons les clients à répondre aux demandes applicables d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition, compte tenu du service et des renseignements disponibles. Les demandes reçues directement sont acheminées au responsable concerné lorsque cela convient.
Lorsque requis, nous apportons notre assistance aux analyses d’impact et aux consultations des autorités. Le client demeure responsable de déterminer si son traitement exige une analyse et d’appliquer ses propres contrôles opérationnels.
5. Transferts et fournisseurs
Un transfert au Canada est évalué selon la portée de la décision d’adéquation applicable, notamment l’inclusion du destinataire dans le champ des organisations commerciales canadiennes concernées. Un transfert hors de cette portée exige un autre mécanisme valide; des clauses contractuelles types et des mesures supplémentaires peuvent convenir. Les règles britanniques et suisses exigent leur propre évaluation.
Le recours aux sous-traitants et leurs changements suivent l’ATD. La certification d’un fournisseur ne certifie pas MigiHub. Consultez Transferts internationaux et DPF.
6. Incidents, conservation et gouvernance
Comme sous-traitant, nous avisons le client sans délai indu après avoir pris connaissance d’une violation de données et fournissons les renseignements disponibles selon l’ATD. Le responsable détermine si les obligations de notification à l’autorité et aux personnes prévues au RGPD s’appliquent; l’avis du sous-traitant ne remplace pas la déclaration réglementaire du responsable.
Nous maintenons les registres et mécanismes d’assistance pertinents. La conservation, la restitution et la suppression suivent l’entente et les instructions documentées. Les obligations de représentation pour les activités hors EEE ou Royaume-Uni sont évaluées lorsqu’elles s’appliquent; cette page ne désigne aucun représentant à elle seule. Contactez info@innucloud.com pour les contacts et documents contractuels applicables.