Accord sur le traitement des données

1. Portée et formation de l’accord

Le présent accord sur le traitement des données, ou « DPA », est conclu entre Flying Golem SAS, 1 Keroulard Vras, 29530 Plonévez-du-Faou, France, et le client qui souscrit ou utilise Plumelin à des fins professionnelles, désigné ci-dessous le « Client ».

Il complète les conditions générales lorsque Flying Golem traite pour le compte du Client des données personnelles contenues dans un espace de travail, un projet, un manuscrit, une invitation, un commentaire ou tout autre contenu confié à Plumelin. Il devient contraignant lorsque le Client accepte les conditions générales ou un document de commande qui l’incorpore par référence. Une signature ou une case distincte n’est pas nécessaire, sauf accord contraire écrit entre les parties.

Si le Client agit lui-même comme sous-traitant pour un responsable de traitement, le présent accord s’applique à Flying Golem en qualité de sous-traitant ultérieur. Le Client garantit qu’il est autorisé à donner les instructions prévues par le présent accord. En cas de contradiction concernant le traitement des Données client, le présent accord prévaut sur les conditions générales.

2. Rôles des parties

Données traitées pour le Client

Le Client est responsable de traitement ou sous-traitant, selon le cas. Il détermine les finalités et les moyens essentiels de son utilisation de Plumelin, choisit les personnes invitées et leurs autorisations, et s’assure de la licéité des données et instructions confiées au service. Flying Golem agit comme sous-traitant pour les données personnelles présentes dans les contenus et espaces de travail du Client, désignées les « Données client ».

Traitements propres à Flying Golem

Flying Golem reste responsable de traitement pour la création et la sécurité des comptes, la preuve d’acceptation du contrat, la facturation et les identifiants de paiement qu’il reçoit, la prévention de la fraude, la sécurité du service, l’assistance, la défense de ses droits et le respect de ses obligations légales. Ces traitements sont décrits dans la politique de confidentialité et ne sont pas réalisés pour le compte du Client au sens du présent accord.

Le traitement d’une transaction par Stripe Managed Payments relève des rôles propres de Stripe, de Link et de Flying Golem décrits dans la politique de confidentialité et la liste des sous-traitants et autres destinataires. Le présent DPA ne fait pas de Flying Golem un sous-traitant de Stripe et ne concerne pas la conservation des données de carte par Stripe.

3. Description des traitements confiés

Objet: Fournir l’édition, le stockage local et synchronisé, la structuration, la collaboration, l’import, l’export, la certification et, sur action expresse, l’analyse assistée par intelligence artificielle.
Durée: Pendant la durée du contrat et jusqu’à la restitution ou à la suppression des Données client selon l’article 9, sous réserve des obligations légales de conservation.
Nature: Collecte, réception, organisation, stockage, consultation technique limitée, synchronisation, transmission aux collaborateurs autorisés, transformation, export, effacement et, lorsque demandé, analyse automatisée.
Finalités: Exécuter les fonctions choisies par le Client, sécuriser leur fonctionnement, résoudre les incidents et fournir l’assistance demandée.
Personnes concernées: Utilisateurs, salariés, prestataires, auteurs, coauteurs, correcteurs, lecteurs, traducteurs, contacts d’assistance et toute personne dont les informations apparaissent dans un contenu fourni par le Client.
Données: Identité et coordonnées professionnelles, rôles et invitations, contenus de manuscrits et d’univers, commentaires et suggestions, historique de collaboration, fichiers importés ou exportés, métadonnées de projet et données techniques nécessaires au service.

Un manuscrit peut contenir, au choix du Client, des informations sensibles ou relatives à des tiers. Le Client limite ces informations à ce qui est nécessaire, vérifie qu’il dispose d’une base légale appropriée et n’utilise pas Plumelin pour un traitement réglementé incompatible avec les caractéristiques publiées du service.

4. Instructions et obligations du Client

Les instructions documentées du Client résultent du présent accord, des conditions générales, de la configuration de son compte et des actions réalisées par ses utilisateurs dans Plumelin. Toute instruction supplémentaire doit être écrite, licite, compatible avec le service et ne pas imposer une modification substantielle sans accord des parties.

Flying Golem traite les Données client uniquement selon ces instructions, y compris pour un transfert vers un pays tiers, sauf obligation contraire du droit de l’Union européenne ou d’un État membre. Dans ce cas, Flying Golem informe préalablement le Client de cette obligation, sauf interdiction légale. Flying Golem signale sans délai raisonnable toute instruction qui lui paraît contraire au droit applicable à la protection des données.

Le Client fournit les informations requises aux personnes concernées, traite leurs demandes, encadre ses propres utilisateurs et collaborateurs, maintient des autorisations appropriées et retire sans délai les accès qui ne sont plus nécessaires.

5. Confidentialité et sécurité

Les personnes autorisées par Flying Golem à intervenir sur les Données client sont soumises à une obligation de confidentialité et n’y accèdent que selon le principe du moindre privilège, pour une opération nécessaire à l’exploitation, à la sécurité ou à l’assistance.

Compte tenu de la nature du service et des risques connus, Flying Golem maintient notamment les mesures suivantes :

chiffrement des communications réseau au moyen de TLS et restriction des interfaces d’administration ;
authentification sans mot de passe, expiration et invalidation des sessions, limitation des tentatives et séparation des comptes individuels ;
contrôles d’accès par projet et par rôle, invitations explicites et révocation des collaborateurs ;
validation des entrées, vérification cryptographique des notifications Stripe et protection des secrets d’exploitation ;
journaux techniques à contenu borné, sans enregistrement volontaire du texte des manuscrits dans les journaux ordinaires ;
sauvegardes indépendantes et chiffrées de la base, archivage continu des journaux de transactions, copie de reprise des fichiers de projet, tests planifiés de restauration et surveillance externe dans Microsoft Azure ;
suppression programmée des éléments placés dans la corbeille et des fichiers d’export temporaires, ainsi que procédures d’incident et d’effacement.

Le Client reste responsable des appareils, navigateurs, comptes de messagerie et copies exportées qu’il contrôle. Le dispositif de reprise indépendant protège la continuité du service, mais ne remplace pas les exports du Client nécessaires à un accès hors ligne ou à la conservation de ses propres archives.

6. Sous-traitants ultérieurs

Le Client autorise de manière générale Flying Golem à recourir aux prestataires figurant dans la liste des sous-traitants et autres destinataires. Flying Golem leur impose par contrat des obligations de protection substantiellement équivalentes pour les traitements qu’ils réalisent pour son compte et reste responsable envers le Client de l’exécution de leurs obligations de sous-traitance.

Flying Golem informe le Client, par courrier électronique à l’adresse administrative du compte ou au moyen d’un avis durable dans l’application, de l’ajout ou du remplacement prévu d’un sous-traitant ayant accès aux Données client. Sauf urgence de sécurité ou nécessité imposée par le fournisseur, cette information intervient au moins quinze jours avant le changement. Le Client peut présenter pendant ce délai une objection motivée par la protection des données. Les parties recherchent alors une solution raisonnable ; si aucune solution n’est possible, le Client peut cesser d’utiliser la fonction concernée ou mettre fin à la partie affectée du service.

7. Localisation et transferts internationaux

Le service principal est hébergé dans l’Espace économique européen. Les lieux de traitement et mécanismes de transfert applicables à chaque prestataire sont indiqués dans la liste des sous-traitants.

Lorsqu’un traitement pour le compte du Client implique un transfert hors de l’Espace économique européen, Flying Golem utilise un mécanisme reconnu par le droit applicable, tel qu’une décision d’adéquation ou les clauses contractuelles types de la Commission européenne assorties, lorsque nécessaire, de mesures supplémentaires. Flying Golem fournit sur demande raisonnable les informations disponibles sur ce mécanisme, sous réserve des obligations de confidentialité.

8. Droits, conformité et incidents

Compte tenu de la nature du traitement, Flying Golem aide raisonnablement le Client à répondre aux demandes d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Sauf obligation légale de répondre directement, Flying Golem transmet au Client toute demande portant manifestement sur les Données client.

Flying Golem fournit les informations raisonnablement disponibles pour aider le Client à respecter ses obligations de sécurité, de notification des violations, d’analyse d’impact et de consultation préalable. Il informe le Client sans retard injustifié après avoir confirmé une violation de données personnelles affectant les Données client et lui communique progressivement les informations disponibles sur sa nature, ses conséquences probables et les mesures prises. Le Client demeure responsable de ses notifications aux autorités et aux personnes concernées.

9. Restitution et suppression

Pendant la durée du contrat, les fonctions d’export permettent au Client de récupérer ses projets dans les formats proposés. Avant la suppression du compte, Plumelin rappelle au Client d’effectuer un dernier export. À son choix exprimé par cette action ou par une demande écrite, Flying Golem restitue les données disponibles puis les supprime, ou les supprime directement, à la fin des services concernés.

Les éléments placés dans la corbeille restent récupérables pendant trente jours et les fichiers d’export produits sur le serveur sont supprimés après vingt-quatre heures. Une suppression de compte efface les données actives du serveur et du miroir actif des fichiers, sous réserve des sauvegardes chiffrées de la base conservées selon une rotation de huit sauvegardes complètes et quatorze sauvegardes différentielles, des copies Azure de suppression et de version conservées jusqu’à trente jours supplémentaires et des éléments que Flying Golem doit conserver en tant que responsable de traitement pour une obligation légale ou la défense de ses droits. Ces copies sont isolées de l’utilisation ordinaire et ne sont pas traitées pour d’autres finalités.

10. Démonstration, audit et contact

Flying Golem met à disposition du Client les informations raisonnablement nécessaires pour démontrer le respect du présent accord. Le Client examine d’abord la documentation fournie. Si elle ne suffit pas, il peut demander, au plus une fois par an sauf incident ou indice sérieux de non-conformité, un audit ciblé réalisé pendant les heures ouvrées, avec un préavis raisonnable, par une personne indépendante soumise à confidentialité. L’audit ne doit pas compromettre la sécurité du service ni les données d’autres clients. Ses coûts sont supportés par le Client, sauf non-conformité substantielle imputable à Flying Golem.

La responsabilité des parties au titre du présent accord suit les règles applicables aux professionnels dans les conditions générales, sans limiter les droits des personnes concernées ni les responsabilités qui ne peuvent légalement être exclues. Toute question, instruction ou objection peut être adressée à privacy@plumelin.com.

Flying Golem peut mettre à jour le présent accord lorsque le service ou le droit applicable évolue. Une modification importante est notifiée avant son entrée en vigueur. La version applicable à une commande est celle portée à la connaissance du Client lors de son acceptation, sous réserve des modifications rendues obligatoires par la loi.