Engagement de confidentialité

Le présent engagement définit les engagements de confidentialité qu'ADN36 prend à l'égard des informations et données auxquelles elle accède, qu'elle voit, entend ou manipule dans le cadre d'une prestation d'accompagnement numérique, à domicile ou à distance, pour un particulier, un professionnel ou une association.

Il s'applique à chaque prestation réalisée par ADN36, sauf stipulations contraires expresses convenues par écrit avec le client. Il complète, sans s'y substituer, la politique de confidentialité d'ADN36 et les conditions de prestation applicables (devis, CGV).

ADN36 s'engage à assurer la confidentialité de toutes les informations vues, entendues ou manipulées pendant la prestation : documents, écrans, conversations, contenus présents sur l'appareil du client ou sur les services qu'il utilise.

• Ces informations sont traitées comme confidentielles et ne sont divulguées à personne non autorisée ;
• Aucune capture d'écran, aucun enregistrement, aucune note nominative n'est réalisé sauf besoin expressément convenu avec le client ;
• La confidentialité subsiste après la fin de la prestation.

Conformément au principe de minimisation, ADN36 n'accède qu'aux données et informations strictement nécessaires à la réalisation de la prestation demandée. Aucune navigation, ouverture de fichier ou consultation hors ce périmètre n'est effectuée.

Dans le fonctionnement normal, l'intervention se fait directement sur l'appareil du client. Les documents du client restent chez lui : ils ne sont ni copiés ni conservés sur le matériel d'ADN36.

Un transfert temporaire de données vers le matériel d'ADN36 ne peut intervenir qu'à titre exceptionnel, uniquement s'il est nécessaire à la prestation et avec l'accord exprès du client (par exemple une opération de sauvegarde ou de récupération de données demandée par le client).

• Le transfert est strictement limité aux données nécessaires ;
• Il est réalisé avec des précautions adaptées (support dédié, accès restreint) ;
• Les données transférées sont restituées au client puis supprimées du matériel d'ADN36 dès que leur conservation n'est plus nécessaire, et au plus tard à la fin de la prestation concernée.

Le client saisit de préférence lui-même ses identifiants et mots de passe : c'est la manière la plus sûre de rester seul détenteur de ses accès.

À la demande du client et lorsque c'est nécessaire au bon déroulement de la prestation, ADN36 peut exceptionnellement saisir un identifiant ou un mot de passe pour lui. Dans ce cas :

• La saisie se fait uniquement pour réaliser la prestation en cours ;
• Le mot de passe n'est ni noté, ni enregistré, ni conservé, ni transmis à un tiers ;
• Il n'est pas réutilisé en dehors de la prestation concernée ;
• Il est recommandé au client de modifier son mot de passe après l'intervention s'il le souhaite.

ADN36 s'engage à ne faire aucun usage commercial ni personnel des données auxquelles elle accède dans le cadre de la prestation. Ces données ne sont notamment pas exploitées à des fins de prospection, de revente, d'analyse hors prestation ou de communication publique.

Les informations confidentielles ne sont pas communiquées à des tiers, sauf dans les cas suivants :

• Nécessité prévue dans le cadre de la prestation, avec un cadre contractuel approprié avec le tiers concerné ;
• Obligation légale ou réquisition régulière ;
• Accord exprès du client.

En dehors de ces cas, ADN36 s'interdit toute divulgation des informations confidentielles.

ADN36 met en œuvre des mesures techniques et organisationnelles raisonnables, adaptées aux risques, pour protéger la confidentialité des informations (accès limité, pratiques prudentes, matériel maîtrisé).

En cas d'incident de confidentialité affectant des données du client auxquelles ADN36 aurait eu accès, ADN36 en informe le client sans retard injustifié, décrit la nature de l'incident et les mesures prises ou envisagées, et coopère raisonnablement à la gestion de l'incident.

À la fin de la prestation, ADN36 supprime ou restitue l'ensemble des données éventuellement transférées de manière temporaire, et ne conserve aucune copie des documents du client sur son propre matériel, sauf obligation légale ou accord exprès du client.

Il convient de distinguer deux situations :

• Données traitées par ADN36 pour ses propres besoins (demandes reçues via le site, gestion de la relation client, devis et facturation) : ADN36 agit en qualité de responsable du traitement. Ces données relèvent de la politique de confidentialité d'ADN36.
• Données traitées pour le compte du client lorsque la prestation consiste à traiter des données personnelles selon les instructions du client (par exemple un appui technique d'un professionnel ou d'une association sur ses propres outils) : ADN36 agit alors en qualité de sous-traitant au sens du RGPD, et la clause suivante s'applique.

Le présent engagement ne suffit pas, à lui seul, à satisfaire aux exigences de l'article 28 du RGPD. Lorsque la prestation relève réellement de la sous-traitance, un Accord de sous-traitance RGPD distinct est annexé au devis : consulter l'Accord de sous-traitance RGPD.

Cet accord précise notamment :

• Objet, durée, nature et finalités du traitement ;
• Catégories de données personnelles et catégories de personnes concernées ;
• Obligations et droits du responsable du traitement (le client) et ses instructions documentées ;
• Confidentialité des personnes autorisées à traiter les données ;
• Mesures de sécurité techniques et organisationnelles applicables ;
• Recours à d'éventuels sous-traitants ultérieurs et garanties équivalentes ;
• Assistance au client (droits des personnes, sécurité, violations de données, analyses d'impact) ;
• Sort des données personnelles à l'issue de la prestation (suppression ou restitution).

ADN36 ne fait pas appel à un autre sous-traitant sans autorisation écrite préalable du client. Le cas échéant, des garanties équivalentes sont apportées.