Accord de traitement des données

Le responsable du traitement est le client professionnel titulaire du compte (« le Client »). Le sous-traitant est Pandem Network, association déclarée (loi du 1er juillet 1901), SIREN 131 572 885, dont le siège est situé Dom Ici, 57 rue Auguste Chevallier, 37000 Tours, France (« Pandem »). Pandem traite ces données pour le compte du Client, uniquement pour fournir, sécuriser et sauvegarder les services souscrits.

Pour les données de votre propre compte client (coordonnées, factures, journaux de connexion), Pandem est responsable du traitement : voir la politique de confidentialité.

• Services concernés : messagerie (boîtes, alias, carnets d’adresses et agendas), serveurs virtuels (VPS), serveurs de jeu et bots Discord, hébergement web (fichiers, bases de données), hébergement DNS.
• Opérations : hébergement, stockage, transmission, réplication entre sites, sauvegarde et suppression.
• Finalité : fournir les services souscrits, en assurer la sécurité et la sauvegarde.
• Données : celles que le Client place dans les services ; pour la messagerie, les messages et pièces jointes, contacts, agendas, identifiants d’accès et journaux de connexion des boîtes.
• Personnes concernées : les utilisateurs du Client, ses clients, ses correspondants et les visiteurs de ses sites.
• Durée : celle des services souscrits, puis suppression selon l’article 9.

Pandem ne demande aucune catégorie particulière de données (article 9 du RGPD). Le Client ne place pas dans les services de données de santé soumises à l’obligation d’hébergement certifié (article L.1111-8 du Code de la santé publique), sauf accord écrit de Pandem.

Pandem :

• ne traite les données que sur instruction documentée du Client : les CGV, le présent accord, les réglages faits dans l’espace client et les demandes écrites du Client, y compris pour tout transfert hors de l’Union européenne ; si une instruction lui paraît contraire au RGPD, Pandem en informe le Client ; si la loi l’oblige à un traitement, il en informe le Client avant, sauf si la loi l’interdit ;
• veille à ce que les personnes autorisées à traiter les données soient tenues au secret ; les écrans d’administration ne montrent que les métadonnées des boîtes, jamais le contenu des messages ;
• met en œuvre les mesures de sécurité de l’article 5 ;
• ne recourt à un sous-traitant ultérieur que dans les conditions de l’article 6 ;
• aide le Client à répondre aux demandes d’exercice des droits des personnes (article 7) ;
• aide le Client à respecter ses obligations de sécurité, de notification des violations, d’analyse d’impact et de consultation préalable (articles 32 à 36 du RGPD), compte tenu des informations dont il dispose ;
• supprime les données à la fin des services, selon l’article 9 ;
• met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord et permet des audits selon l’article 10.

Les données du Client sont hébergées sur les serveurs de Pandem dans la région de Tours (Indre-et-Loire, France) et chez les sous-traitants ultérieurs listés en annexe, aux lieux qu’elle indique. Pandem ne transfère pas les données du Client hors de l’Union européenne sans instruction du Client et sans les garanties prévues au chapitre V du RGPD.

• chiffrement TLS de tous les accès (IMAP, POP, SMTP, DAV, panneaux, API) et des flux entre sites ;
• mots de passe stockés hachés et secrets des serveurs chiffrés au repos ; mots de passe d’application révocables pour la messagerie ; double authentification disponible sur les comptes ;
• réseaux des services filtrés par les routeurs de Pandem, réseaux de la messagerie isolés ; administration des serveurs par clé SSH uniquement ;
• messagerie répliquée sur trois sites ; sauvegardes régulières des machines ; copies hors site chiffrées avant l’envoi, avec une clé que Pandem conserve hors ligne ;
• journalisation des connexions et des actions d’administration ;
• les disques des serveurs ne sont pas chiffrés au repos.

Ces mesures évoluent ; Pandem ne les réduit pas en deçà du niveau décrit ici.

Le Client autorise Pandem à recourir aux sous-traitants ultérieurs listés en annexe. Pandem informe le Client par e-mail de tout ajout ou remplacement au moins 30 jours à l’avance ; le Client peut s’y opposer dans ce délai et, à défaut d’accord, résilier sans frais le service concerné, avec remboursement de la période payée non utilisée.

Pandem impose à chaque sous-traitant ultérieur, par contrat, les mêmes obligations de protection des données que celles du présent accord et reste responsable envers le Client de leur respect.

Pandem transmet sans délai au Client toute demande d’une personne concernée qu’il reçoit directement, sans y répondre lui-même sauf instruction. Le Client dispose dans l’espace client des outils pour y répondre (export des boîtes par IMAP, suppression de boîtes, d’alias et de sites, modification des zones DNS) ; Pandem l’aide pour le reste, sur demande.

Pandem notifie au Client toute violation de données personnelles le concernant dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par e-mail à l’adresse du compte, avec les informations de l’article 33.3 du RGPD dont il dispose, qu’il complète au fur et à mesure. Il appartient au Client, responsable du traitement, de notifier la CNIL et d’informer les personnes concernées si nécessaire ; Pandem l’y aide.

Avant la fin d’un service, le Client récupère ses données : boîtes par IMAP, fichiers des sites et des serveurs par SFTP ou depuis les panneaux. À la fin, les données sont supprimées selon les règles des CGV (article 4) : messagerie en lecture seule pendant 30 jours, puis suspendue et supprimée 60 jours après l’échéance ; sites web hors ligne pendant 7 jours, puis supprimés avec leurs bases de données et leurs sauvegardes ; serveurs supprimés à la fin du service.

Les sauvegardes du service sont supprimées avec lui ; les copies qui subsistent dans les sauvegardes de l’infrastructure disparaissent au fil de leur rotation. Seules les données que la loi oblige Pandem à conserver le sont, pour la durée légale.

Pandem fournit au Client, sur demande, les informations nécessaires pour démontrer le respect du présent accord (description des mesures de sécurité, liste des sous-traitants ultérieurs, extraits du registre des traitements). Le Client peut faire réaliser un audit sur demande écrite, avec un préavis de 30 jours, au plus une fois par an sauf violation avérée, à ses frais, par un auditeur tenu au secret et sans accès aux données des autres clients.

Le présent accord est soumis au droit français ; les litiges relèvent des tribunaux désignés à l’article 11 des CGV. En cas de contradiction entre le présent accord et les CGV sur la protection des données, le présent accord prévaut.

À la date de mise à jour du présent accord :