Accord de traitement des données

Les requêtes protégées sont authentifiées et autorisées. Les opérations métier importantes sont journalisées.

Haviqo traite des données à caractère personnel pour le compte du Responsable du traitement pendant la durée du contrat d’abonnement et pendant toute période de conservation légalement requise par la suite. L’objet porte sur la fourniture des services de la plateforme Haviqo tels que décrits dans les Conditions de service.

Haviqo traite les catégories de données à caractère personnel suivantes aux fins suivantes :

• Traiter les données personnelles uniquement sur instructions documentées du Responsable du traitement (comme indiqué dans les Conditions de service et dans la présente DPA).
• Veiller à ce que les personnes autorisées à traiter des données personnelles soient soumises à des obligations de confidentialité.
• Mettre en œuvre des mesures techniques et organisationnelles de sécurité appropriées (voir Section 7).
• Ne pas engager de sous-traitants sans autorisation écrite préalable du Responsable du traitement (voir Section 5).
• Assister le Responsable du traitement dans la réponse aux demandes d'exercice des droits des personnes concernées dans les délais exigés par la PDPL des EAU et par le RGPD.
• Notifier le Responsable du traitement sans retard inutile (et dans les 72 heures) dès qu'il prend connaissance d'une violation de données personnelles, comme l'exige l'article 17 de la PDPL des EAU.
• Supprimer ou retourner toutes les données personnelles au Responsable du traitement à la résiliation de l'accord (voir Section 10).
• Fournir toutes les informations nécessaires pour démontrer le respect de la présente DPA et permettre la réalisation d'audits (voir Section 11).

Haviqo utilise actuellement les sous-traitants ultérieurs approuvés suivants :

Haviqo informera le Responsable du traitement au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant. Le Responsable du traitement peut s'opposer dans un délai de 14 jours.

Lors de la réception d'une demande d'exercice des droits d'une personne concernée portant sur des données traitées par Haviqo pour le compte du Responsable du traitement, Haviqo informera rapidement le Responsable du traitement et fournira une assistance raisonnable afin de permettre au Responsable du traitement de répondre dans le délai applicable (15 jours en vertu de la PDPL des EAU ; 30 jours en vertu du RGPD).

Haviqo met en œuvre les mesures techniques et organisationnelles suivantes, conformes aux exigences de l’article 11 du PDPL des EAU et de l’article 32 du RGPD :

• Protection HTTPS en transit et protection au repos gérée par les fournisseurs selon la configuration active.
• Isolation multi‑locataire au niveau des lignes, appliquée aux couches application et base de données.
• Contrôle d'accès basé sur les rôles (RBAC) avec principe du moindre privilège.
• Journaux d'audit immuables pour tous les accès et événements de modification des données.
• Tests d'intrusion réguliers et évaluations des vulnérabilités.
• Plan d'intervention en cas d'incident avec procédures d'escalade définies.

En cas de violation de données à caractère personnel, Haviqo notifiera le Responsable du traitement sans retard indu et dans les 72 heures suivant la prise de connaissance de la violation (article 17 du PDPL des EAU). La notification comprendra : (a) la nature de la violation ; (b) les catégories et le nombre approximatif de personnes concernées affectées ; (c) les catégories et le nombre approximatif d’enregistrements affectés ; (d) les conséquences probables ; (e) les mesures prises ou proposées pour remédier à la violation.

Le Responsable du traitement demeure responsable de notifier, dans les 72 heures, l'Office des données des EAU et les personnes concernées, conformément à l'article 14 de la PDPL des EAU.

Les données à caractère personnel principales sont hébergées dans l’Union européenne (Francfort, Allemagne) par Supabase (base de données, authentification, stockage) et Render (serveur applicatif et API). Certains sous-traitants ultérieurs se trouvent aux États‑Unis : Vercel Inc. (hébergement de l’interface utilisateur), Resend via Amazon SES (courriels transactionnels), Upstash (limitation de débit) et Groq Inc. (traitement d’IA). Les transferts vers des sous-traitants ultérieurs basés aux États‑Unis sont régis par les conditions contractuelles et les accords de traitement des données de chaque fournisseur et sont formalisés conformément à la Loi fédérale par décret n° 45 de 2021 des EAU (PDPL). Le Sous-traitant s’assure que chaque sous-traitant ultérieur est lié par des obligations de protection des données au moins équivalentes à celles du présent Accord. La liste actuelle des sous-traitants ultérieurs figure à la Section 5.

À la résiliation de l’abonnement, Haviqo fournit une fenêtre d’exportation distincte de 30 jours. Les données du locataire suivent ensuite un cycle de suppression de 90 jours. Le contenu des Modèles de documents est soumis à toute conservation légale active au périmètre du locataire ; V6.1B n’active pas de planificateur d’effacement automatisé et l’exécution reste contrôlée par le service.

Le Responsable du traitement peut, moyennant un préavis écrit de 30 jours et à ses propres frais, réaliser un audit des activités de traitement de Haviqo couvertes par le présent DPA, ou mandater un auditeur tiers qualifié pour le faire. Haviqo coopérera pleinement à de tels audits et fournira l’accès à la documentation pertinente.

Le présent DPA est régi par les lois des EAU. Les litiges seront résolus conformément à la clause de résolution des litiges figurant dans les Conditions d'utilisation.