Accord de traitement des données #
Date d’entrée en vigueur : avril 2026
Le présent accord de traitement des données (« DPA ») fait partie intégrante du contrat entre le client (« Responsable du traitement ») et EthicsPortal (« Sous-traitant ») pour la fourniture de la plateforme de signalement EthicsPortal (« Service »).
Besoin d’une copie signée ? Contactez [email protected] pour demander une version PDF contresignée de ce DPA pour vos archives.
1. Parties #
Responsable du traitement : L’organisation qui s’abonne à EthicsPortal et détermine les finalités et les moyens du traitement des données personnelles via le Service.
Sous-traitant : EthicsPortal, exploité par Yaroslav Shmarov, ul. Obrzeżna 1A, 02-691 Varsovie, Pologne. Contact : [email protected].
2. Périmètre et finalité du traitement #
Le Sous-traitant traite les données personnelles pour le compte du Responsable du traitement uniquement aux fins de la fourniture du Service, ce qui inclut :
- La réception et le stockage des signalements de lanceurs d’alerte
- La mise en place d’une communication sécurisée entre les lanceurs d’alerte et les gestionnaires de dossiers
- La gestion des workflows de dossiers (assignation, suivi de statut, résolution)
- La génération de journaux d’audit et de registres de conformité
- L’envoi de notifications par e-mail transactionnel aux gestionnaires de dossiers et aux administrateurs de l’organisation
- Le traitement des paiements pour le Service
Le Sous-traitant ne traite les données personnelles à aucune autre fin que la fourniture du Service conformément aux instructions du Responsable du traitement.
3. Types de données personnelles traitées #
| Catégorie de données | Exemples | Chiffré au repos |
|---|---|---|
| Identité du lanceur d’alerte (facultatif) | Nom, adresse e-mail, numéro de téléphone | Oui (non déterministe) |
| Contenu du signalement | Description du problème signalé | Oui (non déterministe) |
| Contenu des communications | Messages entre le lanceur d’alerte et le gestionnaire du dossier | Oui (non déterministe) |
| Pièces jointes | Documents, images, fichiers audio et vidéo téléchargés par les lanceurs d’alerte | Stockés avec métadonnées supprimées |
| Codes d’accès | Codes uniques utilisés par les lanceurs d’alerte pour accéder à leurs signalements | Oui |
| Données des gestionnaires et administrateurs | Nom, adresse e-mail, rôle, appartenance à l’organisation | Non (données opérationnelles) |
| Entrées du journal d’audit | Horodatages, identité de l’acteur, type d’action | Non (registres critiques pour l’intégrité) |
| Données techniques | Adresses IP hachées à sens unique (non réversibles) uniquement pour la limitation de débit | Non applicable (hachage, pas de données personnelles) |
4. Catégories de personnes concernées #
- Lanceurs d’alerte / signalants — personnes qui soumettent des signalements via le portail (peuvent être anonymes)
- Gestionnaires de dossiers — personnes désignées par le Responsable du traitement pour recevoir et gérer les signalements
- Administrateurs de l’organisation — personnes qui gèrent le compte EthicsPortal et les paramètres du Responsable du traitement
5. Durée du traitement #
Le Sous-traitant traite les données personnelles pendant la durée de l’abonnement du Responsable du traitement au Service. À la résiliation :
- Le Responsable du traitement peut exporter ses données avant la fin de l’abonnement.
- Les données de signalement sont conservées selon la durée de conservation configurée par le Responsable du traitement (12, 24, 36 ou 60 mois après la clôture du signalement), puis supprimées définitivement.
- Sur demande écrite, le Sous-traitant supprimera toutes les données restantes du Responsable du traitement dans un délai de 30 jours suivant la résiliation de l’abonnement, sauf si la conservation est requise par la loi applicable.
6. Obligations du Sous-traitant #
6.1 Instructions de traitement #
Le Sous-traitant traite les données personnelles uniquement sur instructions documentées du Responsable du traitement, sauf si le droit de l’UE ou d’un État membre l’exige. Si une telle exigence légale survient, le Sous-traitant informera le Responsable du traitement avant le traitement, sauf si la loi interdit une telle notification.
6.2 Confidentialité #
Toutes les personnes autorisées à traiter des données personnelles se sont engagées à la confidentialité ou sont soumises à une obligation légale de confidentialité appropriée.
6.3 Mesures de sécurité #
Le Sous-traitant met en œuvre et maintient les mesures techniques et organisationnelles décrites sur la page Sécurité, notamment :
- Chiffrement non déterministe au repos pour toutes les données sensibles de signalement
- Aucun stockage d’adresses IP (hachage à sens unique uniquement pour la limitation de débit)
- Suppression automatique des métadonnées des fichiers (EXIF, GPS, données d’auteur)
- Contrôle d’accès basé sur les rôles avec politiques d’autorisation Pundit
- Journal d’audit immuable pour toutes les actions
- Limitation de débit sur tous les points d’accès publics du portail
- HTTPS/TLS pour toutes les connexions
- Protection CSRF
6.4 Sous-traitants ultérieurs #
Le Sous-traitant utilise les sous-traitants ultérieurs listés à la Section 8. Le Sous-traitant notifiera le Responsable du traitement au moins 30 jours avant l’ajout ou le remplacement d’un sous-traitant ultérieur. Le Responsable du traitement peut s’opposer à la modification ; si aucune résolution n’est trouvée, le Responsable du traitement peut résilier le contrat.
6.5 Droits des personnes concernées #
Le Sous-traitant aide le Responsable du traitement à répondre aux demandes des personnes concernées exerçant leurs droits en vertu du RGPD (accès, rectification, effacement, limitation, portabilité, opposition) en fournissant les capacités techniques nécessaires au sein du Service.
6.6 Notification de violation de données #
En cas de violation de données personnelles, le Sous-traitant notifiera le Responsable du traitement sans délai injustifié et en tout état de cause dans les 72 heures suivant la prise de connaissance de la violation. La notification inclura :
- Une description de la nature de la violation
- Les catégories et le nombre approximatif de personnes concernées affectées
- Les conséquences probables de la violation
- Les mesures prises ou proposées pour remédier à la violation
6.7 Analyses d’impact relatives à la protection des données #
Le Sous-traitant aide le Responsable du traitement dans la réalisation d’analyses d’impact relatives à la protection des données et de consultations préalables auprès des autorités de contrôle, dans la mesure où les activités de traitement du Sous-traitant nécessitent une telle assistance.
6.8 Suppression et restitution des données #
À la résiliation du Service, le Sous-traitant, au choix du Responsable du traitement :
- Restituera toutes les données personnelles au Responsable du traitement dans un format structuré et couramment utilisé (export PDF), ou
- Supprimera toutes les données personnelles et confirmera la suppression par écrit
sauf si le droit de l’UE ou d’un État membre impose une conservation prolongée.
6.9 Droits d’audit #
Le Sous-traitant met à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer la conformité aux obligations de l’Article 28 du RGPD. Le Responsable du traitement peut réaliser des audits, y compris des inspections, directement ou par l’intermédiaire d’un auditeur mandaté, sous réserve d’un préavis raisonnable (au moins 30 jours) et pendant les heures normales de bureau. Le Sous-traitant coopérera à ces audits.
7. Obligations du Responsable du traitement #
Le Responsable du traitement est responsable de :
- S’assurer d’une base légale pour le traitement des données personnelles via le Service
- Fournir les avis de confidentialité requis aux personnes concernées (EthicsPortal affiche un avis de confidentialité sur le formulaire de soumission du portail)
- Configurer des durées de conservation appropriées au sein du Service
- Désigner les gestionnaires et administrateurs autorisés
- Répondre aux demandes des personnes concernées, avec l’assistance du Sous-traitant telle que décrite ci-dessus
8. Sous-traitants ultérieurs #
Les sous-traitants ultérieurs suivants sont autorisés à la date d’entrée en vigueur du présent DPA :
| Sous-traitant ultérieur | Finalité | Localisation | Garanties |
|---|---|---|---|
| Hetzner Online GmbH | Hébergement de l’application, base de données | Nuremberg, Allemagne (UE) | Données traitées entièrement au sein de l’UE |
| Stripe, Inc. | Traitement des paiements | UE | Aucun identifiant de paiement stocké par le Sous-traitant ; Stripe est certifié PCI DSS Niveau 1 |
| Postmark (ActiveCampaign) | Envoi d’e-mails transactionnels | États-Unis (avec traitement dans l’UE) | Clauses contractuelles types (CCT) |
| Cloudflare, Inc. (R2) | Stockage des pièces jointes | UE | Données stockées dans la région UE |
Le Sous-traitant n’utilise aucun autre sous-traitant ultérieur pour le traitement des données personnelles. L’analyse marketing (Cloudflare Web Analytics) est sans cookie et ne traite pas de données personnelles.
9. Transferts internationaux de données #
Tout le traitement principal des données personnelles a lieu au sein de l’Union européenne (Hetzner, Allemagne). Le stockage des fichiers est dans l’UE (Cloudflare R2). Le traitement des paiements a lieu au sein de l’UE (Stripe).
Postmark (e-mail transactionnel) traite des données aux États-Unis. Ce transfert est régi par les clauses contractuelles types (CCT) approuvées par la Commission européenne. Postmark est utilisé uniquement pour les notifications aux gestionnaires/administrateurs — les pages du portail destinées aux lanceurs d’alerte ne déclenchent pas d’envoi d’e-mails vers des sous-traitants basés aux États-Unis.
Aucune donnée personnelle n’est transférée vers un pays situé en dehors de l’UE/EEE sans les garanties appropriées requises par le Chapitre V du RGPD.
10. Responsabilité #
La responsabilité de chaque partie en vertu du présent DPA est soumise aux limitations de responsabilité prévues dans le contrat de service principal entre les parties.
11. Durée et résiliation #
Le présent DPA prend effet lorsque le Responsable du traitement commence à utiliser le Service et reste en vigueur aussi longtemps que le Sous-traitant traite des données personnelles pour le compte du Responsable du traitement. Les obligations du présent DPA survivent à la résiliation dans la mesure nécessaire pour achever la suppression ou la restitution des données personnelles.
12. Droit applicable #
Le présent DPA est régi par le droit de la République de Pologne, sans tenir compte des principes de conflit de lois. Les tribunaux compétents de Varsovie, Pologne, ont compétence exclusive pour les litiges découlant du présent DPA.
Contact #
Pour toute question concernant ce DPA ou pour demander une copie signée :
EthicsPortal Yaroslav Shmarov ul. Obrzeżna 1A, 02-691 Varsovie, Pologne [email protected]