1. Introduction
Cet Addendum sur le traitement des données (« DPA ») fait partie de l'accord entre vous (« Client ») et Getia AS (« Processeur ») pour l'utilisation des services Portifer.
2. Définitions
- Personal Data: Données personnelles : Toute information relative à une personne physique identifiée ou identifiable
- Processing: Traitement : Toute opération effectuée sur des données personnelles
- Controller: Responsable du traitement : entité qui détermine les finalités et les moyens du traitement.
- Processor: Sous-traitant : l'entité qui traite les données personnelles pour le compte du responsable du traitement
3. Portée du traitement
Le sous-traitant doit :
- Traiter les données personnelles uniquement sur instructions documentées du Client
- Veiller à ce que les personnes traitant des données soient soumises à des obligations de confidentialité
- Mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées
- Aider le Client à répondre aux demandes des personnes concernées
- Supprimer ou restituer toutes les données personnelles à la fin des services
4. Sous-traitants
Le Client autorise le Sous-traitant à engager des sous-traitants ultérieurs tels qu'énumérés dans le Liste des sous-traitants.
5. Mesures de sécurité
- Chiffrement en transit : le service est fourni exclusivement via HTTPS, avec HTTP Strict Transport Security.
- Chiffrement des identifiants stockés : les identifiants API des transporteurs, les jetons CRM et les clés du service d'impression sont chiffrés au niveau de l'application avec AES-256-GCM. Les autres données stockées sont protégées par les contrôles de sécurité des sous-traitants ultérieurs chargés de l'hébergement et du stockage.
- Hachage : les clés API des clients sont stockées uniquement sous forme de hachages, et les mots de passe des utilisateurs sont hachés avec bcrypt.
- Contrôle d'accès : accès fondé sur les rôles par organisation cliente, authentification à deux facteurs facultative (TOTP), expiration des sessions avec révocation centralisée, et limitation du débit avec verrouillage temporaire après des échecs de connexion répétés.
- Journalisation : les actions administratives pertinentes pour la sécurité, les connexions et les accès du personnel aux comptes clients sont consignés dans des journaux d'audit.
- Intégrations : les webhooks sortants sont signés avec HMAC-SHA256, et les requêtes vers des adresses réseau internes sont bloquées.
- Les violations de données à caractère personnel sont traitées et notifiées conformément à la section 6.
6. Notification de violation de données
En cas de violation de données personnelles, le Sous-traitant en informera le Client dans les 72 heures.
7. Contacter
Pour toute question concernant le traitement des données, veuillez nous contacter à [email protected]
Entreprise: Getia AS (N° d'organisation : 926 610 198)
Adresse: À Mesh, Møllergata 6, 0179 Oslo, Norvège