Accord de Traitement des Donnees

Aux fins du présent Accord de Traitement des Données (ci-après, « ATD » ou « DPA »), les définitions suivantes s'appliquent, conformément au Règlement général sur la protection des données (UE) 2016/679 (« RGPD ») :

1.1. Responsable du Traitement : Atbion OÜ, qui exploite la plateforme Viuzi et détermine les finalités et les moyens du traitement des données personnelles.

1.2. Sous-traitant (Processeur) : Toute personne physique ou morale, autorité publique, agence ou autre organisme qui traite des données personnelles pour le compte du Responsable du Traitement.

1.3. Sous-sous-traitant : Tout sous-traitant engagé par un autre sous-traitant pour effectuer des activités de traitement spécifiques pour le compte du Responsable du Traitement.

1.4. Données personnelles : Toute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Est réputée identifiable une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.

1.5. Traitement : Toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données personnelles ou des ensembles de données personnelles, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction.

1.6. Personne concernée (Titulaire des données) : La personne physique dont les données personnelles font l'objet d'un traitement. Dans le contexte de Viuzi, cela inclut les personnes physiques agissant au nom des Prestataires de Services, des Demandeurs de Services et des autres utilisateurs de la plateforme.

1.7. Violation de la sécurité des données personnelles : Toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données.

2.1. Champ d'application

Le présent ATD s'applique à tout traitement de données personnelles effectué dans le cadre de l'exploitation de la plateforme Viuzi, un marché de services qui met en relation des Prestataires de Services avec des Demandeurs de Services.

2.1bis. Nature du document

Le présent document constitue la politique publique de transparence d'Atbion OÜ sur le traitement des données personnelles par les sous-traitants. Les instruments juridiques contraignants sont les DPA bilatéraux conclus avec chaque sous-traitant, disponibles pour consultation sur demande préalable à privacy@viuzi.com. Ce document fait partie intégrante des Conditions Générales d'Utilisation et de la Politique de Confidentialité de Viuzi. Nonobstant sa nature de document public de transparence, le présent Accord, en faisant partie intégrante des Conditions Générales d'Utilisation et de la Politique de Confidentialité acceptées par l'Utilisateur, a un caractère contractuel contraignant conformément à l'Art. 28(3) du RGPD.

2.2. Catégories de données personnelles traitées

• Données d'identification : nom complet, adresse e-mail, numéro de téléphone, photo de profil.
• Données d'authentification : jetons d'authentification Google OAuth 2.0, identifiants de session.
• Données professionnelles : descriptions de services, portfolio, zones de service, notes, avis.
• Données de transactions : historique des travaux, factures, montants de paiement, méthodes de paiement (traitées par Stripe).
• Données de communication : messages entre utilisateurs via la plateforme.
• Données techniques : adresses IP, type de dispositif, données d'utilisation de la plateforme, journaux d'activité.
• Données de géolocalisation : coordonnées GeoJSON (longitude, latitude), adresses postales, localisations des zones de service avec rayon de couverture, localisations des installations (facilities), adresse du travail à réaliser.

2.3. Catégories de personnes concernées

• Prestataires de Services (SERVICE_PROVIDER_ADMIN et membres de leurs organisations).
• Demandeurs de Services (SERVICE_REQUESTER_ADMIN et membres de leurs organisations).
• Administrateurs de la plateforme.

2.4. Finalités du traitement

Les données personnelles sont traitées exclusivement pour les finalités suivantes :

• Inscription et authentification des utilisateurs sur la plateforme.
• Gestion des profils d'utilisateur et d'organisation.
• Publication et gestion des travaux de service.
• Facilitation de la communication entre Prestataires et Demandeurs.
• Traitement des paiements et des règlements.
• Envoi de notifications liées au service (e-mail et notifications push).
• Modération du contenu et prévention de la fraude.
• Génération de statistiques agrégées et anonymisées pour l'amélioration du service.
• Respect des obligations légales et réglementaires.

2.5. Tableau des finalités et bases juridiques

2.6. Double rôle de Viuzi en tant que responsable et sous-traitant

Viuzi peut agir en tant que (a) responsable du traitement pour les données qu'elle gère directement (comptes, transactions), et (b) sous-traitant lorsque les entreprises utilisatrices transfèrent des données de tiers via la Plateforme. Pour le scénario (b), les entreprises utilisatrices seront responsables du traitement et devront s'assurer de disposer de la base juridique adéquate.

2.6bis. Viuzi en tant que Sous-traitant

Lorsque les Utilisateurs professionnels agissent en tant que responsables du traitement et que Viuzi traite des données personnelles pour leur compte (scénario (b) du paragraphe précédent), les dispositions supplémentaires suivantes s'appliqueront conformément à l'Art. 28 RGPD : (a) Viuzi traitera les données personnelles uniquement conformément aux instructions documentées du responsable, y compris celles relatives aux transferts internationaux ; (b) Viuzi garantira que les personnes autorisées à traiter des données personnelles se sont engagées à respecter la confidentialité ; (c) Viuzi adoptera toutes les mesures de sécurité requises conformément à l'Art. 32 RGPD telles que décrites à la Section 6 ; (d) Viuzi ne recourra pas à un autre sous-traitant sans l'autorisation générale préalable du responsable, conformément à la procédure de la Section 4.4 ; (e) Viuzi assistera le responsable dans le respect des demandes d'exercice des droits des personnes concernées ; (f) Viuzi assistera le responsable dans le respect des obligations des articles 32 à 36 RGPD ; (g) Au choix du responsable, Viuzi supprimera ou restituera les données personnelles à l'issue de la prestation du service, conformément à la Section 12 ; (h) Droit d'audit du responsable : Viuzi mettra à la disposition du responsable toutes les informations nécessaires pour démontrer le respect des obligations de l'Art. 28, et permettra et contribuera à la réalisation d'audits, y compris d'inspections, par le responsable ou par un auditeur mandaté par ce dernier. Les audits seront réalisés avec un préavis minimum de trente (30) jours, pendant les heures ouvrables, et sans interférer avec les opérations normales de la Plateforme. Les frais d'audit seront supportés par le responsable demandeur.

2.7. Plateforme exclusivement B2B et protection des mineurs

Viuzi est une plateforme exclusivement B2B pour les personnes morales. Les données de personnes de moins de 18 ans ne sont pas collectées intentionnellement. En cas de détection de données de mineurs, elles feront l'objet d'une suppression immédiate conformément à l'article 8 du RGPD.

3.1. Licéité du traitement

Atbion OÜ garantit que le traitement des données personnelles est effectué conformément à au moins l'une des bases juridiques établies à l'Article 6 du RGPD :

• Consentement de la personne concernée (Art. 6.1.a).
• Exécution d'un contrat auquel la personne concernée est partie (Art. 6.1.b).
• Intérêt légitime du Responsable du Traitement (Art. 6.1.f).
• Respect d'une obligation légale (Art. 6.1.c).

3.2. Transparence et information

Atbion OÜ s'engage à :

• Fournir aux personnes concernées des informations claires et accessibles sur le traitement de leurs données personnelles, conformément aux Articles 13 et 14 du RGPD.
• Maintenir à jour la Politique de Confidentialité de la plateforme.
• Informer les personnes concernées de tout changement substantiel dans les pratiques de traitement des données.

3.3. Protection des données dès la conception et par défaut

Atbion OÜ met en œuvre des mesures de protection des données dès la conception et par défaut (Art. 25 RGPD), notamment :

• Minimisation des données : seules les données strictement nécessaires à chaque finalité sont collectées.
• Limitation de la conservation : les données ne sont conservées que pendant le temps nécessaire.
• Limitation de l'accès : seul le personnel autorisé a accès aux données personnelles.

3.4. Registre des activités de traitement

Atbion OÜ maintient un registre des activités de traitement relevant de sa responsabilité, conformément à l'Article 30 du RGPD, qui comprend la description des catégories de personnes concernées, des données personnelles, des finalités, des destinataires et des transferts internationaux.

3.5. Évaluation d'impact

Atbion OÜ réalisera des Évaluations d'Impact relatives à la Protection des Données (EIPD) conformément à l'Article 35 du RGPD lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques.

3.6. Délégué à la Protection des Données

Atbion OÜ a évalué ses activités de traitement conformément à l'article 37 du RGPD et a déterminé que, compte tenu du volume actuel de traitement, la désignation obligatoire d'un DPO n'est pas requise. En particulier, il a été évalué que : (a) l'activité principale d'Atbion est l'intermédiation technologique, non le traitement de données à grande échelle ; (b) les données de géolocalisation se limitent aux zones de service déclarées volontairement ; (c) des catégories spéciales de données ne sont pas traitées de manière systématique. Le point de contact externe spécialisé désigné pour la protection des données est : privacy@viuzi.com. Cette évaluation est révisée annuellement ou lorsque des changements significatifs surviennent dans les activités de traitement. Atbion OÜ s'engage à désigner un DPO formel lorsque le volume ou la nature du traitement l'exigera.

L'évaluation considère spécifiquement que le traitement des données de géolocalisation (coordonnées GeoJSON, zones de service) se limite aux zones déclarées par les Prestataires eux-mêmes et ne constitue pas un suivi régulier et systématique de personnes à grande échelle au sens de l'article 37(1)(b). Toutefois, si le volume d'utilisateurs ou la précision du suivi de géolocalisation augmentent significativement, Atbion OÜ désignera un DPO.

Il est reconnu que l'utilisation d'Amazon Rekognition pour la modération des images pourrait impliquer un traitement de données biométriques (Art. 9 RGPD) si des visages sont analysés. Atbion OÜ évaluera périodiquement la nécessité de désigner un DPO formel, notamment en ce qui concerne l'échelle d'utilisation des systèmes d'IA pour la modération.

Configuration d'Amazon Rekognition. Amazon Rekognition est utilisé exclusivement pour la détection de contenu inapproprié (catégories de modération : nudité, violence, contenu suggestif, drogues, tabac, alcool, jeux de hasard), et N'est PAS configuré pour effectuer de la reconnaissance faciale, de l'identification biométrique ni de l'analyse de caractéristiques faciales. Aucune donnée biométrique au sens de l'Art. 9(1) RGPD n'est traitée via cet outil. Cette configuration sera révisée périodiquement et tout changement impliquant un traitement de données biométriques nécessitera une évaluation d'impact (EIPD) préalable et, le cas échéant, un consentement explicite.

4.1. Autorisation générale

Le Responsable du Traitement autorise les sous-traitants suivants pour le traitement de données personnelles en relation avec l'exploitation de la plateforme Viuzi. Le Responsable du Traitement s'engage à informer les personnes concernées de tout ajout ou remplacement de sous-traitants.

4.2. Liste des sous-traitants autorisés

4.2.1. Amazon Web Services (AWS)

• Entité légale : Amazon Web Services EMEA SARL
• Adresse : 38 Avenue John F. Kennedy, L-1855 Luxembourg
• Services fournis :
  • Hébergement cloud (EC2, ECS, Fargate)
  • Service d'e-mail (Amazon SES)
  • Stockage d'objets (Amazon S3)
  • Service de cache (Amazon ElastiCache / Redis)
  • Réseau privé virtuel (Amazon VPC)
  • Gestion des conteneurs et déploiement (AWS CDK, ECR)
• Localisation du traitement : EU-West-1 (Irlande), Union européenne
• Base juridique pour le transfert : Traitement au sein de l'EEE ; aucun mécanisme de transfert supplémentaire n'est requis.
• Mesures de sécurité : Certifications ISO 27001, SOC 1/2/3, chiffrement en transit et au repos, isolation VPC.

4.2.2. MongoDB Inc.

• Entité légale : MongoDB, Inc.
• Adresse : 1633 Broadway, 38th Floor, New York, NY 10019, États-Unis
• Services fournis :
  • Hébergement de base de données (MongoDB Atlas)
  • Recherche en texte intégral (Atlas Search)
  • Sauvegardes automatiques
• Localisation du traitement : EU-West-1 (Irlande), Union européenne (cluster MongoDB Atlas configuré dans la région UE)
• Base juridique pour le transfert : Traitement au sein de l'EEE via un cluster configuré dans l'UE. Pour tout accès d'assistance depuis hors de l'EEE : Clauses Contractuelles Types (CCT) de la Commission européenne.
• Mesures de sécurité : Chiffrement TLS en transit, chiffrement au repos (AES-256), authentification SCRAM, accès basé sur les rôles, audits d'accès.

4.2.3. Stripe, Inc.

• Entité légale : Stripe, Inc.
• Adresse : 354 Oyster Point Blvd, South San Francisco, CA 94080, États-Unis
• Services fournis :
  • Traitement des paiements
  • Vérification des méthodes de paiement (SetupIntents)
  • Règlement des paiements post-finalisation des travaux
  • Gestion des comptes connectés (Stripe Connect)
  • Gestion des abonnements et des plans
• Localisation du traitement : UE (traitement principal) + États-Unis (infrastructure de sauvegarde)
• Base juridique pour le transfert : Cadre de Confidentialité des Données UE-États-Unis (EU-US Data Privacy Framework, DPF), complété par des Clauses Contractuelles Types (CCT) de la Commission européenne conformément à la Décision d'Exécution (UE) 2021/914.
• Mesures de sécurité : Certification PCI DSS Niveau 1, chiffrement AES-256, tokenisation des données de cartes, surveillance de la fraude en temps réel.

4.2.4. Google LLC

• Entité légale : Google LLC
• Adresse : 1600 Amphitheatre Parkway, Mountain View, CA 94043, États-Unis
• Services fournis :
  • Authentification des utilisateurs (Google OAuth 2.0 / Google Sign-In)
  • Vérification d'identité via des jetons Google ID
• Localisation du traitement : UE (traitement principal, centres de données européens) + États-Unis
• Base juridique pour le transfert : Cadre de Confidentialité des Données UE-États-Unis (EU-US Data Privacy Framework, DPF), complété par des Clauses Contractuelles Types (CCT) de la Commission européenne.
• Mesures de sécurité : Certifications ISO 27001, SOC 2/3, chiffrement en transit et au repos, programme de vulnérabilités (Project Zero).

4.2.5. Google Firebase Cloud Messaging (FCM)

• Entité légale : Google Ireland Limited
• Services fournis :
  • Livraison de notifications push aux appareils Android et web
• Localisation du traitement : Irlande (UE) + États-Unis
• Base juridique pour le transfert : Cadre de Confidentialité des Données UE-États-Unis + Clauses Contractuelles Types (CCT).
• Mesures de sécurité : Certifications ISO 27001, SOC 2/3, chiffrement en transit et au repos.

4.2.6. Apple Push Notification Service (APNS)

• Entité légale : Apple Distribution International Ltd. (Irlande, UE) et Apple Inc. (Cupertino, Californie, États-Unis)
• Services fournis :
  • Livraison de notifications push aux appareils iOS
• Localisation du traitement : Irlande (UE) + États-Unis
• Note : Les données des notifications push peuvent être traitées tant par Apple Distribution International Ltd. (Irlande, UE) que par Apple Inc. (Cupertino, Californie, États-Unis) pour le routage des notifications. Apple Inc. est certifié dans le cadre du Cadre de Confidentialité des Données UE-États-Unis (DPF). En outre, des Clauses Contractuelles Types (CCT) s'appliquent comme mécanisme de transfert complémentaire pour toute donnée atteignant l'infrastructure américaine d'Apple.
• Base juridique pour le transfert : Cadre de Confidentialité des Données UE-États-Unis (DPF) + Clauses Contractuelles Types (CCT).
• Mesures de sécurité : Chiffrement en transit, politiques de confidentialité différentielle, certifications SOC 2.

4.2.7. Amazon Rekognition

• Entité légale : Amazon Web Services EMEA SARL
• Services fournis :
  • Modération automatisée des images
• Localisation du traitement : EU-West-1 (Irlande)
• Base juridique pour le transfert : Traitement au sein de l'EEE ; CCT (Décision 2021/914) comme mécanisme complémentaire.
• Mesures de sécurité : Certifications ISO 27001, SOC 1/2/3, chiffrement en transit et au repos, isolation VPC.

4.2.8. Amazon Comprehend

• Entité légale : Amazon Web Services EMEA SARL
• Services fournis :
  • Analyse de toxicité des textes
• Localisation du traitement : EU-West-1 (Irlande)
• Base juridique pour le transfert : Traitement au sein de l'EEE ; CCT (Décision 2021/914) comme mécanisme complémentaire.
• Mesures de sécurité : Certifications ISO 27001, SOC 1/2/3, chiffrement en transit et au repos, isolation VPC.

4.3. Obligations des sous-traitants

Chaque sous-traitant est contractuellement tenu de :

• Traiter les données personnelles uniquement conformément aux instructions documentées du Responsable du Traitement.
• Garantir que les personnes autorisées à traiter des données personnelles se sont engagées à respecter la confidentialité. Les obligations de confidentialité sont à la fois contractuelles (via des clauses spécifiques dans les contrats de travail et les NDA) et légales. Des vérifications périodiques sont effectuées et un programme de formation obligatoire annuel en confidentialité et protection des données existe pour tout le personnel ayant accès aux données de production.
• Mettre en œuvre les mesures techniques et organisationnelles appropriées conformément à l'Article 32 du RGPD.
• Ne pas recourir à un autre sous-traitant sans l'autorisation préalable du Responsable du Traitement. Les mêmes obligations de protection des données établies dans le présent Accord seront imposées contractuellement à tout sous-sous-traitant supplémentaire, conformément à l'article 28(4) du RGPD.
• Assister le Responsable du Traitement dans le respect des obligations relatives aux droits des personnes concernées.
• Supprimer ou restituer toutes les données personnelles à l'issue de la prestation des services.
• Assister le Responsable du Traitement dans la réalisation des Évaluations d'Impact relatives à la Protection des Données (EIPD) et des consultations préalables avec l'autorité de contrôle conformément aux articles 35 et 36 du RGPD.
• En cas de réception d'une demande d'une autorité publique en conflit avec les instructions du responsable, le sous-traitant devra : (a) notifier Atbion OÜ avant de s'y conformer, sauf interdiction légale expresse, et (b) contester les demandes qu'il considère disproportionnées ou incompatibles avec le RGPD.

4.4. Notification des modifications des sous-traitants

Atbion OÜ notifiera les utilisateurs de la plateforme avec un minimum de 30 jours de préavis avant d'intégrer de nouveaux sous-traitants ou de remplacer les existants, en fournissant des informations sur l'identité du nouveau sous-traitant, les services qu'il fournira et la localisation du traitement. Les utilisateurs auront la possibilité de s'opposer au changement dans ce délai.

Si l'Utilisateur s'oppose à un changement de sous-traitant, il pourra : (a) demander que ses données personnelles ne soient pas traitées par le nouveau sous-traitant, dans la mesure où cela est techniquement réalisable ; ou (b) résilier sa relation contractuelle avec Atbion OÜ avec effet immédiat, incluant l'exportation de ses données conformément à l'article 20 du RGPD, sans pénalité. Atbion OÜ ne procédera pas au changement de sous-traitant concernant les données de l'Utilisateur opposant jusqu'à ce que l'opposition soit résolue ou que la résiliation soit exécutée.

5.1. Principe général

Atbion OÜ garantit que tout transfert de données personnelles vers un pays tiers ou une organisation internationale est effectué conformément aux dispositions du Chapitre V du RGPD, en s'assurant que le niveau de protection des personnes physiques garanti par le RGPD n'est pas compromis.

5.2. Mécanismes de transfert utilisés

5.2.1. Décisions d'adéquation (Art. 45 RGPD)

• États-Unis : Le Cadre de Confidentialité des Données UE-États-Unis (EU-US Data Privacy Framework), adopté par la Décision d'Adéquation de la Commission européenne du 10 juillet 2023, constitue la base principale pour les transferts de données vers des entités américaines certifiées dans ce cadre (Stripe, Inc. et Google LLC).

5.2.2. Clauses Contractuelles Types (Art. 46.2.c RGPD)

• Les Clauses Contractuelles Types (CCT) adoptées par la Décision d'Exécution (UE) 2021/914 de la Commission européenne sont utilisées comme mécanisme de transfert complémentaire lorsque les données sont transférées vers des sous-traitants hors de l'EEE.
• Les modules pertinents des CCT s'appliquent :
  • Module 2 : Responsable du Traitement vers Sous-traitant (applicable à Stripe et Google).
  • Module 3 : Sous-traitant vers Sous-sous-traitant (applicable lorsque les sous-traitants recourent à leurs propres sous-processeurs).

Les Clauses Contractuelles Types sont incorporées par référence au présent Accord en tant qu'Annexe II. Le texte intégral des CCT applicables (Module 2 : Responsable vers Sous-traitant ; Module 3 : Sous-traitant vers Sous-sous-traitant) est disponible dans la Décision d'Exécution (UE) 2021/914 de la Commission et dans les accords bilatéraux avec chaque sous-traitant, disponibles sur demande.

5.2.3. Clause de contingence DPF

En cas d'invalidation du Cadre de Confidentialité des Données UE-États-Unis par la Cour de Justice de l'Union européenne, les Clauses Contractuelles Types (CCT) deviendront le mécanisme principal de transfert sans qu'il soit nécessaire de renégocier le présent accord.

5.2.4. Mesures complémentaires

Conformément aux recommandations du Comité Européen de la Protection des Données (CEPD), Atbion OÜ met en œuvre les mesures complémentaires suivantes :

• Mesures techniques : Chiffrement des données en transit (TLS 1.2+) et au repos (AES-256), pseudonymisation lorsque possible, et contrôles d'accès stricts.
• Mesures organisationnelles : Évaluations périodiques de la législation du pays de destination, clauses contractuelles empêchant l'accès massif aux données, et politiques de notification des demandes gouvernementales.
• Mesures contractuelles : Engagement des sous-traitants à contester les demandes d'accès gouvernementales disproportionnées et à notifier le Responsable du Traitement de ces demandes.

5.3. Traitement au sein de l'EEE

La majeure partie du traitement des données personnelles est effectuée au sein de l'Espace Économique Européen (EEE) :

• Les serveurs d'application (AWS), la base de données (MongoDB Atlas) et le cache (ElastiCache/Redis) sont situés dans la région EU-West-1 (Irlande).
• Atbion OÜ priorise la sélection de sous-traitants offrant des options de traitement au sein de l'EEE.

5.4. Évaluation de l'impact des transferts

Atbion OÜ réalise des évaluations de l'impact des transferts (Transfer Impact Assessments, TIA) pour chaque transfert de données vers un pays tiers, en documentant :

• La nature des données transférées.
• La législation applicable dans le pays de destination.
• Les garanties fournies par le mécanisme de transfert.
• Les mesures complémentaires mises en œuvre.

Atbion OÜ met en œuvre les mesures techniques et organisationnelles suivantes pour garantir un niveau de sécurité approprié au risque du traitement :

6.1. Chiffrement

• Chiffrement en transit : Toutes les communications entre les clients (applications mobiles et web) et les serveurs de la plateforme sont effectuées via TLS 1.2 ou supérieur. Les connexions non chiffrées sont rejetées automatiquement.
• Chiffrement au repos : Les données stockées dans MongoDB Atlas sont chiffrées via AES-256. Les objets stockés dans Amazon S3 sont chiffrés via un chiffrement côté serveur (SSE-S3 ou SSE-KMS). Les données dans Amazon ElastiCache (Redis) sont chiffrées au repos et en transit.

6.2. Authentification et contrôle d'accès

• Hachage des mots de passe : Les mots de passe des utilisateurs sont stockés en utilisant des algorithmes de hachage robustes avec sel (salting) conformément aux normes actuelles de l'industrie, garantissant que les mots de passe originaux ne peuvent pas être récupérés.
• Authentification basée sur des jetons JWT :
  • Les jetons d'accès ont une validité de 30 minutes.
  • Les jetons de rafraîchissement (refresh tokens) ont une validité de 7 jours.
  • Les jetons sont invalidés après le changement de mot de passe via une comparaison des horodatages.
• Authentification Google OAuth 2.0 : Les utilisateurs s'authentifient via des jetons Google ID vérifiés côté serveur.
• Contrôle d'accès basé sur les rôles (RBAC) : La plateforme met en œuvre des rôles différenciés (SERVICE_PROVIDER_ADMIN, SERVICE_REQUESTER_ADMIN, PLATFORM_ADMIN) avec des autorisations spécifiques pour chaque rôle. Le rôle est attribué une seule fois et est immuable.
• Authentification multifacteur (MFA) : Tout accès administratif aux systèmes de production (console AWS, panneau MongoDB Atlas, tableau de bord Stripe, référentiels de code) requiert une authentification multifacteur (MFA) via TOTP (Time-based One-Time Password). L'accès sans MFA aux environnements de production est interdit.

6.3. Limitation de l'accès et du débit

• Limitation du débit (Rate Limiting) : L'API met en œuvre une limite de 30 requêtes par 5 minutes par utilisateur pour prévenir les abus et les attaques par force brute.
• Verrouillage distribué (Distributed Locking) : Redis est utilisé pour implémenter des verrous distribués qui empêchent les conditions de course dans les opérations critiques (paiements, assignation des travaux).

6.4. Sécurité de l'infrastructure

• Isolation du réseau (AWS VPC) : Les services de la plateforme fonctionnent au sein d'un Virtual Private Cloud (VPC) AWS, avec des sous-réseaux privés pour les services de base de données et de cache, et un accès public limité aux équilibreurs de charge.
• Chiffrement MongoDB TLS : Toutes les connexions à MongoDB Atlas sont effectuées via TLS, garantissant que les données en transit entre l'application et la base de données sont chiffrées.
• Séparation des environnements : Les environnements de développement et de production sont complètement séparés, avec des clés Redis et des configurations isolées pour chaque environnement.

6.5. Revues de sécurité

• Revues périodiques de sécurité : Atbion OÜ effectue des revues périodiques de la configuration de sécurité de l'infrastructure, y compris la revue des règles de pare-feu, des autorisations d'accès et des configurations de chiffrement, incluant des analyses de vulnérabilités, des tests de pénétration et des audits formels de sécurité avec une fréquence au moins annuelle, conformément à l'article 32(1)(d) du RGPD.
• Mises à jour des dépendances : Les dépendances logicielles sont régulièrement mises à jour pour appliquer les correctifs de sécurité.
• Surveillance des journaux : Des journaux d'accès et d'activité sont maintenus permettant la détection d'activités anormales.

6.6. Gestion des accès du personnel

• L'accès aux systèmes de production est limité au personnel strictement nécessaire.
• Le principe de moindre privilège s'applique à tous les accès.
• Tout le personnel ayant accès aux données personnelles est soumis à des obligations de confidentialité.

6.7. Résilience et continuité

Atbion OÜ met en œuvre des mesures pour garantir la capacité de rétablir la disponibilité et l'accès aux données personnelles en temps opportun en cas d'incident physique ou technique (Art. 32(1)(c) RGPD), notamment : sauvegardes automatisées avec chiffrement (rétention maximale 90 jours), procédures de reprise après sinistre (DR), et objectifs de point de récupération (RPO) et de temps de récupération (RTO) définis en interne. La pseudonymisation est appliquée aux données analytiques et d'utilisation agrégées conformément à l'Art. 32(1)(a).

7.1. Notification à l'autorité de contrôle

En cas de violation de la sécurité des données personnelles, Atbion OÜ notifiera l'Autorité de Protection des Données d'Estonie (Andmekaitse Inspektsioon) sans délai indu et, au plus tard, dans les 72 heures suivant le moment où elle en a eu connaissance, conformément à l'Article 33 du RGPD.

La notification comprendra au minimum :

• La nature de la violation, y compris les catégories et le nombre approximatif de personnes concernées et d'enregistrements affectés.
• Le nom et les coordonnées du Délégué à la Protection des Données ou du point de contact en matière de confidentialité.
• Les conséquences probables de la violation.
• Les mesures adoptées ou proposées pour remédier à la violation et en atténuer les effets.

7.2. Communication aux personnes concernées

Lorsque la violation de sécurité est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, Atbion OÜ communiquera la violation à la personne concernée sans délai indu, conformément à l'Article 34 du RGPD, en fournissant :

• Une description claire et compréhensible de la nature de la violation.
• Des recommandations sur les mesures que la personne concernée peut adopter pour se protéger.
• Les mesures adoptées par Atbion OÜ pour atténuer les effets de la violation.

7.3. Obligations des sous-traitants

Les sous-traitants sont contractuellement tenus de notifier à Atbion OÜ toute violation de sécurité sans délai indu et, en tout état de cause, dans les 24 heures suivant sa détection, en fournissant toutes les informations nécessaires pour qu'Atbion OÜ puisse remplir ses obligations de notification.

7.4. Registre des violations

Atbion OÜ maintient un registre de toutes les violations de la sécurité des données personnelles, incluant les faits liés à la violation, ses effets et les mesures correctives adoptées, qu'elles aient ou non nécessité une notification à l'autorité de contrôle.

8.1. Droits reconnus

Atbion OÜ assiste les personnes concernées dans l'exercice des droits suivants conformément au RGPD :

• Droit d'accès (Art. 15) : Obtenir confirmation que des données personnelles les concernant sont traitées et, le cas échéant, y accéder.
• Droit de rectification (Art. 16) : Demander la correction des données personnelles inexactes.
• Droit à l'effacement (Art. 17) : Demander la suppression des données personnelles (« droit à l'oubli »).
• Droit à la limitation du traitement (Art. 18) : Demander la restriction du traitement dans certaines circonstances.
• Droit à la portabilité des données (Art. 20) : Recevoir les données personnelles dans un format structuré, couramment utilisé et lisible par machine. L'exercice du droit à la portabilité pendant la durée du contrat sera effectué au format JSON ou CSV, avec un délai de livraison maximum de 30 jours à compter de la demande.
• Droit d'opposition (Art. 21) : S'opposer au traitement basé sur des intérêts légitimes.

8.2. Procédure d'exercice

Les personnes concernées peuvent exercer leurs droits via :

• E-mail à : privacy@viuzi.com
• Via les paramètres du compte sur la plateforme Viuzi.

Atbion OÜ répondra aux demandes sans délai indu et, en tout état de cause, dans un délai d'un mois à compter de la réception de la demande, conformément à l'Article 12.3 du RGPD. Ce délai peut être prorogé de deux mois supplémentaires en cas de demandes complexes ou nombreuses, l'intéressé en étant informé.

8.3. Obligation d'assistance des sous-traitants

Les sous-traitants sont contractuellement tenus d'assister Atbion OÜ dans le traitement des demandes d'exercice des droits des personnes concernées, en fournissant les informations et les capacités techniques nécessaires.

8.4. Décisions automatisées et droits des personnes concernées

Les systèmes de modération automatisée (Amazon Rekognition, Amazon Comprehend) peuvent produire des décisions affectant l'accès de l'utilisateur à la Plateforme. Conformément à l'article 22 du RGPD, les utilisateurs ont le droit à : (a) l'intervention humaine, (b) l'expression de leur point de vue, et (c) la contestation de la décision. En outre, Atbion OÜ respecte les obligations du Règlement (UE) 2024/1689 (AI Act) en tant que déployeur de systèmes d'IA.

9.1. Périodes de conservation

Atbion OÜ applique les périodes de conservation suivantes pour les données personnelles :

9.2. Suppression des données

À l'expiration de la période de conservation, ou suite à une demande valide de suppression de la personne concernée, Atbion OÜ procédera à :

• La suppression sécurisée des données personnelles des systèmes de production.
• La demande aux sous-traitants de supprimer les données personnelles dans leurs systèmes.
• L'anonymisation des données devant être conservées par obligation légale, de manière à ne pas permettre l'identification de la personne concernée.

9.3. Sauvegardes

Les données seront supprimées des systèmes actifs dans un délai de 30 jours à compter de la demande. Les données dans les sauvegardes seront supprimées lors du prochain cycle de rotation (maximum 90 jours supplémentaires). Pendant cette période, les données dans les sauvegardes sont techniquement ségrégées, ne sont pas accessibles pour les opérations actives, et ne seront pas restaurées. Atbion OÜ garantit que les sauvegardes sont chiffrées et que les données supprimées ne sont pas restaurées à partir des sauvegardes après leur suppression du système de production.

10.1. Audit par le Responsable du Traitement

Atbion OÜ a le droit de réaliser des audits, y compris des inspections, auprès des sous-traitants pour vérifier le respect des obligations établies dans le présent ATD et dans le RGPD.

10.2. Collaboration des sous-traitants

Les sous-traitants sont tenus de :

• Mettre à la disposition d'Atbion OÜ toutes les informations nécessaires pour démontrer le respect des obligations établies à l'Article 28 du RGPD.
• Permettre et contribuer à la réalisation d'audits, y compris d'inspections, par Atbion OÜ ou par un auditeur mandaté.
• Informer immédiatement Atbion OÜ si, à leur avis, une instruction de traitement enfreint le RGPD ou d'autres dispositions de protection des données.

10.3. Certifications et audits de tiers

Atbion OÜ accepte les rapports d'audit et certifications de tiers reconnus (ISO 27001, SOC 2, PCI DSS) présentés par les sous-traitants comme preuve du respect des mesures techniques et organisationnelles, sans préjudice de son droit à réaliser des audits supplémentaires lorsqu'elle le juge nécessaire.

Les mécanismes de certification approuvés conformément à l'article 42 du RGPD ou l'adhésion à des codes de conduite approuvés conformément à l'article 40 du RGPD seront également acceptés comme preuve de conformité.

11.1. Responsabilité du Responsable du Traitement

Atbion OÜ est responsable de garantir que le traitement des données personnelles est effectué conformément au RGPD et au présent ATD. Atbion OÜ répondra des dommages causés par un traitement qui enfreint le RGPD, conformément à l'Article 82 du RGPD.

11.2. Responsabilité des sous-traitants

Chaque sous-traitant sera responsable des dommages causés par le traitement uniquement s'il n'a pas respecté les obligations du RGPD dirigées spécifiquement vers les sous-traitants, ou s'il a agi en dehors ou en violation des instructions licites du Responsable du Traitement.

11.3. Indemnisation

• Chaque partie indemnisera l'autre pour tout dommage, coût, réclamation ou sanction résultant du non-respect des obligations établies dans le présent ATD par la partie défaillante.
• Les réclamations d'indemnisation seront effectuées de manière proportionnelle à la responsabilité de chaque partie dans le non-respect.

11.4. Limitation de responsabilité

La responsabilité totale cumulée de chaque partie dans le cadre du présent ATD ne dépassera pas le montant total payé ou payable pour les services au cours des 12 mois précédant l'événement ayant donné lieu à la réclamation, sauf dans les cas suivants :

• Cas de dol ou de négligence grave.
• Réclamations d'indemnisation formulées par les personnes concernées conformément à l'Article 82 du RGPD, pour lesquelles la responsabilité sera régie exclusivement par les dispositions dudit article sans limitation quantitative contractuelle.
• Amendes ou sanctions imposées par les autorités de contrôle conformément à l'Article 83 du RGPD.
• Lorsque la loi applicable interdit cette limitation.

12.1. Entrée en vigueur

Le présent ATD entre en vigueur à la date indiquée au début du document et restera en vigueur tant qu'Atbion OÜ traitera des données personnelles dans le cadre de l'exploitation de la plateforme Viuzi.

12.2. Résiliation

Le présent ATD prendra fin automatiquement lorsque :

• Le traitement des données personnelles par Atbion OÜ cessera.
• La relation contractuelle avec tous les sous-traitants sera résolue.

12.3. Obligations post-résiliation

Après la résiliation du présent ATD, Atbion OÜ et les sous-traitants :

• Cesseront tout traitement de données personnelles, sauf si la loi applicable en exige la conservation.
• Les données seront supprimées des systèmes actifs dans un délai de 30 jours à compter de la demande. Les données dans les sauvegardes seront supprimées lors du prochain cycle de rotation (maximum 90 jours supplémentaires). Pendant cette période, les données dans les sauvegardes sont techniquement ségrégées, ne sont pas accessibles pour les opérations actives, et ne seront pas restaurées.
• Certifieront par écrit la suppression des données personnelles.

Les données seront restituées dans un format structuré et lisible par machine (JSON ou CSV, au choix de l'Utilisateur). La suppression des données sera effectuée conformément aux normes reconnues (NIST SP 800-88 pour les supports physiques, destruction des clés cryptographiques pour les données chiffrées). Une certification écrite de la suppression sera fournie dans les trente (30) jours suivant la demande.

12.4. Survivance

Les obligations de confidentialité, de responsabilité et d'indemnisation, ainsi que celles relatives à la conservation et à la suppression des données, survivront à la résiliation du présent ATD.

13.1. Cadre réglementaire

Le présent ATD est régi par :

• Règlement général sur la protection des données (UE) 2016/679 (RGPD) : En tant que réglementation principale de protection des données applicable dans toute l'Union européenne et l'Espace Économique Européen.
• Loi estonienne sur la protection des données personnelles (Isikuandmete kaitse seadus) : En tant que législation nationale de mise en œuvre du RGPD en Estonie, pays d'enregistrement d'Atbion OÜ.
• Règlement sur les Services Numériques (UE) 2022/2065 (DSA) : En ce qui concerne les obligations de transparence et de modération du contenu.
• Règlement sur l'Intelligence Artificielle (UE) 2024/1689 (AI Act) : En ce qui concerne l'utilisation de systèmes d'IA pour la modération automatisée du contenu.

13.2. Autorité de contrôle compétente

L'autorité de contrôle compétente pour superviser le respect des obligations de protection des données d'Atbion OÜ est l'Autorité de Protection des Données d'Estonie (Andmekaitse Inspektsioon), sise à Tatari 39, 10134 Tallinn, Estonie.

13.3. Juridiction

Tout litige découlant du présent ATD qui ne peut être résolu amiablement sera soumis à la juridiction des tribunaux de Tallinn, Estonie.

13.4. Forme de l'Accord

Le présent Accord est formalisé par écrit, y compris en format électronique, conformément à l'article 28(9) du RGPD.

Pour toute question relative au présent Accord de Traitement des Données, les personnes concernées peuvent contacter :

Atbion OÜ Ahtri tn 12, Tallinn 15551, Estonie E-mail : privacy@viuzi.com Registre du commerce : 16890390 Numéro de TVA intracommunautaire : EE102728154