Accord de traitement des données

1. Les rôles

Le client est responsable du traitement des données personnelles de ses contacts et de ses membres qu’il met dans le service. Lekalao est son sous-traitant. Chaque partie respecte les obligations que lui impose la loi sur la protection des données.

Il appartient au client de disposer d’une base légale pour les données qu’il met dans le service et les e-mails qu’il envoie, en particulier du consentement des personnes à qui il écrit lorsque la loi l’exige.

2. Le traitement

3. Les instructions

Lekalao ne traite les données que sur les instructions documentées du client : ces conditions, les réglages et actions des membres du client dans le service, et les appels du client à l’API. Lekalao informe le client si, selon lui, une instruction enfreint la loi sur la protection des données, et ne traite les données pour aucune fin qui lui soit propre.

Si une loi oblige Lekalao à traiter les données autrement, Lekalao en informe le client avant de le faire, sauf si cette loi l’interdit.

4. Confidentialité

Les personnes que Lekalao autorise à traiter les données sont tenues à la confidentialité et n’ont accès qu’à ce que leur tâche exige.

5. Sécurité

Lekalao prend les mesures techniques et organisationnelles adaptées au risque, comme l’exige l’article 32 du RGPD. Elles sont décrites sur la page sécurité, qui fait partie de cet accord, et comprennent notamment : le chiffrement des connexions ; le chiffrement au repos des identifiants des fournisseurs d’envoi, des secrets de signature et des clés DKIM ; des mots de passe gardés seulement sous forme d’empreintes ; la double authentification et les passkeys ; des rôles qui séparent écrire, envoyer et exporter ; un journal d’activité ; des sauvegardes nocturnes gardées hors du serveur de production, et une répétition mensuelle de leur restauration.

Lekalao peut améliorer ces mesures ; il n’en abaisse pas le niveau d’ensemble pendant le service.

6. Sous-traitants ultérieurs

Le client autorise Lekalao à recourir aux sous-traitants listés sur la page des sous-traitants. Lekalao impose à chacun, par contrat, des obligations de protection des données équivalentes à celles de cet accord, et en demeure responsable envers le client.

Lekalao annonce un nouveau sous-traitant, ou le remplacement d’un sous-traitant, par e-mail aux propriétaires de chaque équipe et sur cette page au moins 30 jours avant d’y recourir. Le client peut s’y opposer pour un motif raisonnable dans ce délai ; si aucune solution n’est trouvée, il peut mettre fin au service, et Lekalao rembourse la part non utilisée de toute période déjà payée.

Le fournisseur d’envoi que choisit le client n’est pas un sous-traitant de Lekalao : le client contracte avec lui, et Lekalao lui remet les e-mails sur les instructions du client. Il en va de même des adresses de webhooks et des connecteurs que le client met en place.

7. Demandes des personnes concernées

Le service donne au client les moyens de répondre aux personnes dont il détient les données : le dossier de tout ce qui est détenu sur une personne, sa rectification, son effacement, le blocage d’une adresse, le registre des consentements, et une page où chaque abonné gère ses inscriptions.

Si Lekalao reçoit une demande destinée au client, il la lui transmet sans délai et n’y répond pas lui-même, sauf si le client le lui demande. Lekalao aide aussi le client, dans la mesure où il le peut raisonnablement, pour ses analyses d’impact et ses consultations d’une autorité.

8. Violations de données personnelles

Lekalao notifie le client dans les meilleurs délais après avoir pris connaissance d’une violation touchant ses données personnelles, par e-mail aux propriétaires de l’équipe. La notification dit ce qui est connu : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, ses conséquences probables, et les mesures prises ou proposées. Elle est complétée à mesure que l’on en sait davantage.

Lekalao tient un registre des violations, et aide le client à les notifier à l’autorité et aux personnes concernées lorsque le client y est tenu.

9. Où sont les données, et transferts

Lekalao ne transfère des données personnelles vers un pays qui n’offre pas un niveau de protection adéquat qu’avec les garanties qu’exige la loi sur la protection des données : pour les données soumises au RGPD, les clauses contractuelles types adoptées par la Commission européenne (décision 2021/914) ; pour les données soumises au droit camerounais, les conditions qu’il fixe pour les transferts.

10. Restitution et effacement

Le client peut exporter ses contacts et sa liste noire à tout moment. À la fin du service, les données restent disponibles à l’export pendant 30 jours, puis sont effacées dans les 30 jours suivants, sauf si une loi oblige Lekalao à en garder une partie. Les copies dans les sauvegardes disparaissent à mesure que ces sauvegardes sont remplacées, et ne sont restaurées que pour rétablir le service.

11. Information et audits

Lekalao met à la disposition du client les informations nécessaires pour démontrer qu’il respecte ses obligations : cet accord, la page sécurité, et ses réponses aux questions écrites du client.

Si cela ne suffit pas, le client peut faire réaliser un audit, par lui-même ou par un auditeur tenu à la confidentialité, une fois par an, avec un préavis de 30 jours, à ses frais, aux heures ouvrables, et sans accès aux données d’autres clients ni aux informations dont la divulgation affaiblirait la sécurité du service.

12. Dispositions générales

Cet accord dure aussi longtemps que Lekalao traite des données personnelles pour le client. En matière de protection des données, il prévaut sur les conditions d’utilisation ; lorsque des clauses contractuelles types s’appliquent, elles prévalent sur lui. La responsabilité au titre de cet accord est régie par les conditions d’utilisation, dans les limites que permet la loi sur la protection des données.

Questions sur cet accord : hello@lekalao.com.