Accord de traitement des données

Ce document régit le traitement des données à caractère personnel qu'Animiyo effectue pour le compte d'un locataire. Par locataire, on entend une clinique vétérinaire, une boutique ou un service pour animaux, ou un éleveur qui opère dans un espace de travail distinct de la plateforme, avec son propre personnel et ses propres clients. Dans ce périmètre, le locataire détermine les finalités et les moyens du traitement et il est le responsable du traitement ; Animiyo fournit l'infrastructure, exécute les instructions reçues et il est le sous-traitant au sens de l'article 4 point 8 du Regulation (EU) 2016/679.

L'accord est conclu sans signature distincte. Il devient contraignant dès l'activation de l'espace de travail du locataire et l'acceptation des conditions publiées sur /termini : à partir de ce moment, ce texte, dans la version en vigueur à la date indiquée en haut de la page, est l'acte juridique exigé par l'article 28 paragraphe 3. Un locataire ayant besoin d'une copie signée pour sa propre documentation peut en faire la demande depuis la page /contatti et reçoit le même texte dans un document daté et signé.

L'accord ne couvre pas le traitement dans lequel Animiyo détermine elle-même les finalités et les moyens, c'est-à-dire les comptes des propriétaires d'animaux qui utilisent la plateforme à des fins personnelles : pour ceux-ci, Animiyo est le responsable du traitement et le document applicable est la politique publiée sur /privacy. Il ne couvre pas non plus les fournisseurs que le locataire choisit de son côté, qui restent sous sa responsabilité comme décrit sur /sub-responsabili. La distinction importe car elle détermine à qui une personne concernée doit adresser une demande et qui répond devant l'autorité de contrôle.

Animiyo est une plateforme multilocataire, si bien que son rôle change selon les données concernées, et non selon le moment. Deux traitements distincts peuvent coexister autour du même animal : le dossier qu'un propriétaire tient pour lui-même, où Animiyo est le responsable du traitement, et la documentation clinique qu'une clinique rédige dans son propre espace de travail, où la clinique est le responsable du traitement. Le tableau montre où passe la frontière, fonctionnalité par fonctionnalité, et doit être lu conjointement avec le tableau correspondant de la politique publiée sur /privacy, avec lequel il coïncide.

Les deux rôles ne se chevauchent pas et ne sont pas interchangés par commodité. Lorsque Animiyo agit en tant que sous-traitant, elle ne décide pas quelles données collecter ni combien de temps les conserver : elle exécute les instructions documentées du locataire et, si elle va au-delà, pour ce traitement elle est considérée comme responsable du traitement au sens de l'article 28 paragraphe 10, avec toutes les conséquences qui en découlent. Lorsqu'elle agit en tant que responsable du traitement, en revanche, elle répond directement de ses propres choix et ne peut invoquer l'instruction de quiconque.

En aval d'Animiyo, la chaîne se poursuit. Les fournisseurs énumérés sur /sub-responsabili traitent des données pour le compte d'Animiyo et, dans la relation avec le locataire, sont des sous-traitants ultérieurs autorisés au titre de l'article 28 paragraphes 2 et 4. La chaîne est donc linéaire et vérifiable : le locataire est le responsable du traitement, Animiyo est le sous-traitant, Google Ireland Limited avec Google LLC est le sous-traitant ultérieur pour les services d'infrastructure. Aucun autre maillon n'existe à la date du présent accord.

L'article 28 paragraphe 3 exige que l'acte juridique énonce certains éléments avec précision, et dans la pratique ceux-ci sont souvent relégués dans une annexe générique. Ici, ils sont inscrits dans le corps du document et rattachés à des fonctionnalités réellement présentes dans la plateforme, car une liste abstraite ne permet au responsable du traitement de vérifier quoi que ce soit.

Les finalités ne sont pas génériques. Chacune correspond à une partie du produit que le locataire active ou laisse désactivée, et aucune n'implique un usage des données autre que celui demandé par le responsable du traitement. En particulier, aucune donnée traitée pour le compte d'un locataire n'est utilisée pour les finalités propres d'Animiyo, pour des statistiques commerciales, pour du profilage ou pour entraîner des modèles d'intelligence artificielle.

• Gestion des fiches clients et des animaux soignés, y compris les partages autorisés par le propriétaire.
• Rédaction et conservation de la documentation clinique : notes SOAP, résultats de laboratoire, affections chroniques, hospitalisations.
• Enregistrement des vaccinations, des traitements médicamenteux, des vermifugations et des mesures de poids.
• Agenda des rendez-vous, types de rendez-vous configurés par le locataire et rappels associés.
• Formulaires de consentement, capture de la signature et conservation des consentements signés.
• Devis, factures, commandes, abonnements et programmes de fidélité gérés par le locataire.
• Conversations entre le personnel du locataire et les clients au sein de la plateforme.
• Sécurité de la plateforme, journal d'audit et prévention des abus automatisés.
• Export des données à la demande du responsable du traitement ou d'une personne concernée qui s'adresse au responsable du traitement.

Une précision sur la durée évite un malentendu fréquent. Le traitement ne prend pas fin le jour où le locataire cesse d'utiliser la plateforme, mais le jour où la procédure de restitution ou de suppression décrite plus loin est achevée. Dans l'intervalle, Animiyo continue de détenir les données, en limitant le traitement à la conservation et aux opérations nécessaires pour les remettre ou les effacer. Cet intervalle n'est pas illimité : il est soumis aux délais énoncés dans la section sur la fin de la relation.

Le tableau énumère les catégories de données qu'Animiyo traite pour le compte d'un locataire, avec des exemples concrets et avec les collections Firestore dans lesquelles elles résident. Nommer les collections n'est pas un détail technique superflu : cela permet au responsable du traitement de vérifier que ce qui est déclaré ici correspond à ce qui existe réellement dans le système, et de décrire le traitement dans son propre registre avec la même précision.

Quatre catégories de personnes concernées sont en jeu et il vaut la peine de les distinguer, car elles ont des attentes et des droits différents et parce que le responsable du traitement doit toutes les informer, et pas seulement ses clients payants.

• Les clients du locataire, c'est-à-dire les propriétaires des animaux soignés par la clinique, la boutique ou l'éleveur.
• Les personnes désignées comme contact pour un animal : membres de la famille, membres du foyer, délégués, vétérinaire référent.
• Les membres du personnel du locataire qui accèdent à la plateforme avec leur propre compte et dont les actions figurent dans le journal d'audit.
• Les tiers occasionnellement mentionnés dans le texte libre d'une note, d'un résultat, d'un devis ou d'une conversation.

La dernière catégorie pose le plus de difficultés et est aussi la moins maîtrisable par le sous-traitant. Un champ de texte libre accepte tout ce qui y est saisi, y compris des données sur des personnes qui n'ont aucun lien avec la plateforme. Animiyo ne filtre pas le contenu des notes professionnelles, car le filtrer signifierait le lire et l'évaluer, c'est-à-dire dépasser les instructions reçues. Il appartient au responsable du traitement d'instruire son propre personnel de n'inscrire dans les champs de texte libre que ce qui est nécessaire et pertinent, en vertu du principe de minimisation de l'article 5 paragraphe 1 point c.

Les données figurant dans le dossier de santé d'un animal ne sont pas des données concernant la santé au sens de l'article 9 du Règlement. La raison est simple et n'admet aucun raccourci : l'article 9 protège les catégories particulières de données à caractère personnel relatives à une personne concernée, et une personne concernée est par définition une personne physique. Un animal n'en est pas une, si bien que son dossier clinique ne déclenche ni l'interdiction de l'article 9 paragraphe 1 ni la recherche d'une dérogation parmi celles du paragraphe 2.

Cela ne rend pas ces données anonymes, ce qui serait l'erreur inverse et tout aussi courante. Une vaccination, une thérapie, une hospitalisation ou un résultat de laboratoire est attribuable au propriétaire identifié par le compte auquel l'animal est lié : cela décrit ses dépenses, ses habitudes, ses visites à un cabinet et, dans bien des cas, sa situation familiale. Cela reste donc une donnée à caractère personnel ordinaire du propriétaire et doit être traité comme tel, avec une base juridique, une information, des durées de conservation et des droits pleinement applicables.

La distinction a des conséquences pratiques dans les deux sens. Vers le bas, elle empêche le responsable du traitement de rechercher un consentement explicite là où un contrat suffit, ce qui compliquerait inutilement la collecte des données et rendrait révocable un traitement qui ne l'est pas. Vers le haut, elle empêche de traiter un dossier clinique animal comme dénué d'importance : si le locataire sert un grand nombre de clients, le volume et la sensibilité perçue de ces informations pèsent dans l'analyse des risques même en l'absence de l'article 9.

Techniquement, Animiyo applique à ces informations les mêmes garanties que celles utilisées pour les catégories particulières, indépendamment de leur qualification juridique, car le préjudice potentiel d'un accès non autorisé est comparable.

• Accès limité au propriétaire et à ceux qu'il a explicitement autorisés au moyen d'un partage.
• Règles de sécurité Firestore et Cloud Storage qui vérifient la propriété du document à chaque lecture et à chaque écriture.
• Séparation entre locataires, de sorte qu'une clinique ne voie que les animaux qui lui sont partagés.
• Enregistrement des opérations significatives sur la documentation clinique dans le journal d'audit applicatif.
• Chiffrement en transit avec TLS et au repos avec AES à 256 bits.
• Aucun usage secondaire d'aucune sorte : pas de statistiques commerciales, pas de profilage, pas d'entraînement de modèles.

Un point reste à la charge du seul responsable du traitement. Les champs de texte libre de la documentation clinique peuvent capturer des données sur la santé de personnes physiques, et dans ce cas l'article 9 s'applique pleinement. Animiyo ne peut s'en apercevoir, car elle ne lit pas le contenu des notes. Le responsable du traitement doit donc instruire son personnel de ne pas saisir d'informations sur la santé du propriétaire ou de tiers lorsque ce n'est pas nécessaire pour les soins de l'animal, et de recueillir un consentement explicite lorsque cela l'est.

Animiyo ne traite les données du locataire que sur instructions documentées du responsable du traitement, au titre de l'article 28 paragraphe 3 point a. Documenté ne signifie pas nécessairement écrit sur papier : cela signifie reconstituable, attribuable à celui qui a donné l'instruction et vérifiable par la suite. Sur une plateforme logicielle, la plupart des instructions sont données en utilisant le produit, et le présent accord le reconnaît explicitement au lieu de prétendre que tout passe par un échange de courriers.

L'article 28 paragraphe 3 se termine par une obligation qui va dans le sens inverse de toutes les autres : le sous-traitant doit informer immédiatement le responsable du traitement si, à son avis, une instruction constitue une violation du Règlement ou d'autres dispositions du droit de l'Union ou du droit d'un État membre relatives à la protection des données. Ce n'est pas une courtoisie et c'est le seul cas où le sous-traitant est tenu de contredire le responsable du traitement. Animiyo le fait par écrit, depuis la page /contatti vers l'adresse e-mail de l'administrateur du locataire, dans les cinq jours ouvrables suivant la réception de l'instruction, et suspend l'exécution de la seule partie contestée jusqu'à recevoir une réponse.

Les instructions suivantes, à titre d'exemple et de manière non exhaustive, seraient signalées et non exécutées. Ce sont des exemples réalistes, tirés de fonctionnalités qui existent réellement dans la plateforme, et non des hypothèses d'école.

• Désactiver le journal d'audit du locataire ou altérer des entrées déjà inscrites.
• Conserver la documentation clinique d'un client au-delà de la période fixée par le responsable du traitement lui-même, sans autre base juridique.
• Communiquer les données d'un client à un tiers non autorisé par le responsable du traitement ou par la loi.
• Accéder aux données d'un locataire autre que celui qui donne l'instruction, même à des fins de comparaison ou de vérification.
• Utiliser les coordonnées des clients du locataire pour des messages commerciaux de masse sans consentement valable.
• Reconstituer des données effacées à la demande d'une personne concernée en puisant dans les copies de sauvegarde.
• Transférer des données à un fournisseur choisi par le locataire qui n'offre pas les garanties exigées par l'article 28 paragraphe 1.
• Supprimer la séparation entre locataires pour permettre une recherche croisée sur les animaux d'autres professionnels.

Si, après le signalement, le responsable du traitement confirme l'instruction par écrit et que la confirmation ne lève pas l'illicéité constatée, Animiyo ne l'exécute pas et peut résilier la relation avec le préavis prévu par les conditions sur /termini. Le signalement, la confirmation et l'issue sont conservés et mis à la disposition du responsable du traitement sur demande, car ils constituent la preuve du comportement de chaque partie.

L'article 28 paragraphe 3 point b exige que les personnes autorisées à traiter les données s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité. Sur Animiyo, le nombre de personnes ayant accès aux données de production est très réduit et coïncide avec celles qui assurent la maintenance technique de la plateforme. Le dire est plus utile que de décrire un organigramme qui n'existe pas : dans un service de cette taille, la principale mesure de sécurité est précisément que les accès possibles sont peu nombreux et tous tracés.

• Un engagement de confidentialité écrit pour quiconque accède aux données de production, valable également après la fin de la relation.
• Accès administratif accordé selon le principe du moindre privilège et retiré dès que le motif qui le justifiait cesse.
• Accès aux données de production autorisé uniquement pour la maintenance, la correction de défauts, la gestion d'un incident de sécurité ou une demande écrite du responsable du traitement.
• Authentification multifacteur obligatoire sur les comptes de la console Google Cloud du projet petdiary-10327.
• Enregistrement des opérations administratives significatives dans le journal d'audit applicatif et dans les journaux du fournisseur d'infrastructure.
• Aucun service tiers d'assistance client ayant accès aux données, comme déjà déclaré sur /sub-responsabili.
• Aucune utilisation des données de production dans les environnements de test : les tests utilisent des données synthétiques ou l'émulateur local.

Le responsable du traitement peut demander à tout moment, depuis la page /contatti, la liste actuelle des rôles administratifs actifs sur le projet et la confirmation que les engagements de confidentialité sont signés. Il ne reçoit pas les noms des personnes, qui sont elles-mêmes des données à caractère personnel de tiers, mais il reçoit le nombre d'accès actifs, le type de privilège rattaché à chacun et la date de la dernière révision. Ce sont les informations nécessaires pour évaluer la mesure sans créer un nouveau traitement.

Les mesures énumérées ici sont celles réellement mises en œuvre dans la plateforme. La troisième colonne est ce qui rend le tableau utile : elle indique comment le responsable du traitement peut vérifier la mesure de façon autonome, sans avoir à se fier à la déclaration. Une mesure de sécurité qui ne peut être vérifiée est une affirmation, pas une garantie.

L'article 32 paragraphe 1 énumère quatre catégories de mesures. La correspondance avec le tableau ci-dessus est exposée intégralement ci-dessous, afin que le responsable du traitement puisse la reporter dans son propre registre sans avoir à la reconstituer.

• Pseudonymisation et chiffrement, point a : chiffrement en transit avec TLS et au repos avec AES à 256 bits ; identifiants techniques pseudonymes dans les journaux de sécurité et dans la mesure du site public.
• Confidentialité, intégrité, disponibilité et résilience, point b : règles de sécurité par collection, séparation entre locataires, contrôle par rôle, App Check, services gérés avec la redondance du fournisseur d'infrastructure.
• Rétablissement dans les meilleurs délais, point c : sauvegarde et réplication gérées par Google Cloud pour Cloud Firestore et Cloud Storage, avec une procédure de restauration documentée par le fournisseur.
• Tests réguliers de l'efficacité, point d : révision des mesures à chaque version touchant l'authentification, les règles d'accès ou la structure des données, avec des tests automatisés sur les règles de sécurité.

Deux choses ne sont pas déclarées, et leur absence fait partie de l'information. Animiyo ne détient aucune certification propre : les rapports de conformité disponibles sont ceux que Google publie pour les services Google Cloud et Firebase, et ils concernent l'infrastructure, non l'application. Et aucune mesure ne promet une sécurité absolue, qu'aucun système connecté à un réseau ne peut offrir. Le responsable du traitement doit en tenir compte dans sa propre analyse des risques, au lieu de considérer la question comme réglée parce que le sous-traitant l'a énumérée.

Par le présent accord, le responsable du traitement accorde à Animiyo une autorisation générale de recourir à des sous-traitants ultérieurs, au titre de l'article 28 paragraphe 4 du Regulation (EU) 2016/679. Une autorisation générale est la seule option praticable dans un service SaaS, car l'infrastructure est partagée par tous les locataires et une autorisation spécifique pour chacun rendrait toute maintenance impossible. Ce n'est cependant pas un chèque en blanc : le responsable du traitement conserve le droit de savoir à l'avance ce qui change, de s'y opposer et de résilier.

La liste faisant foi et continuellement mise à jour des sous-traitants ultérieurs est publiée sur /sub-responsabili, qui indique pour chaque fournisseur le service, les catégories de données, le lieu de traitement et la base du transfert. À la date de prise d'effet du présent accord, la chaîne se compose comme suit.

• Google Ireland Limited, avec Google LLC comme sous-traitant ultérieur supplémentaire, pour Firebase Authentication, Cloud Firestore, Cloud Storage for Firebase, Cloud Functions, Cloud Run, Firebase Cloud Messaging, Firebase App Check avec reCAPTCHA Enterprise et Google Analytics 4.
• Stripe Payments Europe Limited pour le traitement des paiements : l'intégration existe dans le code mais la passerelle est désactivée par un flag de configuration, de sorte qu'à la date du présent accord elle ne reçoit aucune donnée.

Les sources de données externes interrogées directement par le navigateur de l'utilisateur ne sont pas des sous-traitants ultérieurs : openFDA, Open Pet Food Facts, dog.ceo, Wikipedia, iNaturalist, frankfurter.app et tile.openstreetmap.org. Ces appels ne font que lire des données, ils ne transportent ni identifiants de compte ni contenu du journal et ne sont pas effectués sur les instructions d'Animiyo quant à l'utilisation des données collectées. À l'égard des données de connexion qu'ils reçoivent, en particulier l'adresse IP du navigateur, ces services sont des responsables du traitement indépendants. Le responsable du traitement doit en tenir compte dans sa propre politique de confidentialité s'il active les fonctionnalités qui les utilisent.

1. 1

   Publication de l'avis

   Au moins trente jours avant l'ajout ou le remplacement d'un sous-traitant ultérieur, le changement est publié sur /sub-responsabili en indiquant le fournisseur, le service, les données concernées et la date d'activation prévue.

2. 2

   Message au responsable du traitement

   En même temps que la publication, l'avis est envoyé à l'adresse e-mail que le locataire a saisie dans son profil. Maintenir cette adresse à jour et surveillée est un devoir du responsable du traitement, car c'est là que l'avis prend effet.

3. 3

   Opposition motivée

   Le responsable du traitement peut s'opposer dans les quinze jours suivant l'avis, en écrivant depuis la page /contatti. L'opposition doit être motivée, c'est-à-dire indiquer quel risque concret ou quelle contrainte juridique rend le fournisseur proposé inacceptable.

4. 4

   Recherche d'une mesure alternative

   Avant la date d'activation, les parties vérifient si l'opposition peut être résolue par une configuration différente, une région de traitement différente, une réduction des données transmises ou un fournisseur différent pour cette fonction.

5. 5

   Résiliation sans pénalité

   Si l'opposition ne peut être résolue, le responsable du traitement peut résilier sans pénalité la partie du service touchée par le changement, avec le droit d'obtenir la restitution des données selon la procédure décrite dans la section sur la fin de la relation.

À chaque sous-traitant ultérieur, Animiyo impose par contrat des obligations en matière de protection des données non moins strictes que celles assumées au titre du présent accord, comme l'exige l'article 28 paragraphe 4. La même disposition prévoit que, lorsque le sous-traitant ultérieur ne les remplit pas, le sous-traitant demeure pleinement responsable devant le responsable du traitement de l'exécution de ces obligations. Cela signifie que le responsable du traitement n'a pas à poursuivre Google Ireland Limited pour une défaillance d'infrastructure : il s'adresse à Animiyo, qui répond puis se retourne en aval. Les critères selon lesquels un fournisseur est admis ou exclu sont décrits sur /sub-responsabili et comprennent une interdiction absolue des clauses permettant au fournisseur d'utiliser les données à ses propres fins.

Le sous-traitant doit assister le responsable du traitement dans un ensemble de tâches qui restent les siennes mais qui, en pratique, nécessitent des informations ou des outils que seul le sous-traitant possède. Le tableau indique chaque obligation, la disposition qui l'énonce, la manière concrète dont elle est satisfaite et le délai dans lequel le responsable du traitement reçoit une réponse.

Sur les droits des personnes concernées, la règle est nette : Animiyo ne répond pas sur le fond au nom du responsable du traitement. Si le client d'une clinique demande à Animiyo l'accès à ses données cliniques ou leur effacement, la demande est transmise au responsable du traitement compétent dans les cinq jours ouvrables et la personne concernée est informée de cette transmission, avec le nom de la partie à laquelle s'adresser. La procédure complète, avec les délais de réponse, les vérifications d'identité et les outils disponibles directement dans l'application, est décrite sur /diritti-privacy. Le responsable du traitement reste libre de traiter la demande avec ses propres outils ; Animiyo fournit les extractions techniques dont il a besoin.

Sur l'analyse d'impact relative à la protection des données, la répartition est tout aussi claire. Décider si une AIPD est nécessaire et la mener à bien est un devoir du responsable du traitement, qui connaît le contexte, le volume de ses clients et les finalités réelles. Animiyo fournit la matière technique brute et signale les fonctionnalités qui, par expérience, méritent une attention dans l'analyse. La liste ci-dessous ne remplace pas l'analyse propre du responsable du traitement, mais elle montre où le risque se concentre.

• Données de localisation issues des promenades, des itinéraires partagés et des promenades de groupe, qui peuvent révéler des habitudes et des lieux fréquentés.
• La page publique de médaille en cas de perte, accessible à quiconque détient le lien même sans compte.
• Le partage d'un animal entre le propriétaire et le locataire, qui ouvre l'accès aux sous-collections de santé sélectionnées.
• Le triage des symptômes, qui produit une suggestion indicative et non un diagnostic, décrit sur /privacy dans la section sur les décisions automatisées.
• Le traitement à grande échelle de la documentation clinique, lorsque le locataire sert un grand nombre de clients.
• Le transfert des données vers la région us-central1, décrit dans la section sur les transferts.
• Le traitement de données relatives à des mineurs, lorsqu'un client du locataire est mineur ou lorsque des données sur des mineurs figurent dans les champs de texte libre.

Si, à la suite de l'analyse, le responsable du traitement doit consulter préalablement l'autorité de contrôle au titre de l'article 36, Animiyo fournit la documentation technique nécessaire et répond aux éventuelles questions que l'autorité pose par l'intermédiaire du responsable du traitement. L'assistance est fournie sans coût supplémentaire dans les limites indiquées dans le tableau ; les demandes qui excèdent manifestement ces limites, en fréquence ou en ampleur, sont soumises au remboursement des coûts justifiés, notifiés à l'avance et acceptés par écrit avant le début des travaux.

Une violation de données à caractère personnel désigne ce que définit l'article 4 point 12 du Règlement : une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel traitées, ou l'accès non autorisé à de telles données. Elle couvre donc aussi les cas où personne n'a rien volé, par exemple une perte de données due à une panne technique ou une indisponibilité prolongée d'un service. Le sous-traitant ne décide pas si la violation doit être notifiée à l'autorité : cette appréciation appartient au responsable du traitement, et ce qui importe est que tout ce qui est nécessaire pour la faire parvienne rapidement au responsable du traitement.

1. 1

   Détection et qualification

   Chaque signalement interne, chaque anomalie repérée dans le journal d'audit et chaque communication reçue du fournisseur d'infrastructure est qualifiée immédiatement : on établit s'il s'agit d'une violation au sens de l'article 4 point 12 et quels locataires sont touchés.

2. 2

   Première alerte dans les vingt-quatre heures

   Dans les vingt-quatre heures suivant la prise de connaissance de la violation par Animiyo, le responsable du traitement touché reçoit une première alerte à l'adresse e-mail de son profil, avec ce qui est déjà connu et une indication explicite de ce qui reste à établir.

3. 3

   Mise à jour dans les soixante-douze heures

   Dans les soixante-douze heures, le responsable du traitement reçoit la communication avec le contenu minimal prévu dans le tableau ci-dessous, c'est-à-dire les éléments dont il a besoin pour décider s'il notifie l'autorité de contrôle et s'il communique la violation aux personnes concernées.

4. 4

   Rapport final dans les quinze jours

   Dans les quinze jours suivant la prise de connaissance, le responsable du traitement reçoit le rapport de clôture : reconstitution de ce qui s'est produit, causes, données réellement touchées, mesures correctives prises et mesures préventives introduites pour empêcher que cela se reproduise.

5. 5

   Appui à la notification et à la communication

   À la demande du responsable du traitement, Animiyo fournit les éléments techniques à joindre à la notification à l'autorité au titre de l'article 33 et à la communication aux personnes concernées au titre de l'article 34, et répond aux questions complémentaires de l'autorité par l'intermédiaire du responsable du traitement.

La notification à l'autorité de contrôle dans les soixante-douze heures au titre de l'article 33 est une obligation du responsable du traitement et Animiyo ne l'effectue pas à sa place, sauf mandat écrit spécifique pour l'événement en question. La raison n'est pas formelle : notifier pour le compte du responsable du traitement signifierait qualifier le risque à l'aide d'informations que seul le responsable du traitement détient, comme le nombre réel de ses clients, leur vulnérabilité et le contexte dans lequel les données ont été collectées. Le délai de vingt-quatre heures pour la première alerte est calibré précisément pour laisser au responsable du traitement le temps d'agir dans ses propres soixante-douze heures.

Lorsque la violation concerne des données pour lesquelles Animiyo est le responsable du traitement, par exemple les comptes des propriétaires ou le journal d'audit de la plateforme, la notification à l'autorité et la communication aux personnes concernées incombent à Animiyo comme décrit sur /privacy. Un incident touchant l'infrastructure partagée produit normalement les deux effets : Animiyo notifie pour la partie où elle est responsable du traitement et informe les locataires pour la partie où elle est sous-traitant, en gardant les deux communications séparées afin d'éviter toute confusion sur les rôles.

À la fin de la relation, le responsable du traitement choisit entre la restitution et la suppression des données, au titre de l'article 28 paragraphe 3 point g. Le choix appartient au responsable du traitement et non au sous-traitant, et doit être communiqué par écrit depuis la page /contatti. En l'absence de choix exprès dans les délais indiqués ci-dessous, les données sont supprimées : c'est l'issue par défaut car conserver des données sans instruction et sans base juridique serait l'option la plus risquée pour les personnes concernées.

1. 1

   Fin de la relation

   La relation prend fin par la résiliation de l'une ou l'autre partie, par l'expiration ou le retrait de la licence professionnelle, par la fermeture de l'espace de travail ou par l'exercice du droit de résilier après une opposition à un sous-traitant ultérieur.

2. 2

   Fenêtre d'export de trente jours

   Trente jours courent à compter de la fin de la relation, durant lesquels l'espace de travail reste accessible en lecture seule et tous les outils d'export demeurent actifs. Dans cette fenêtre, le responsable du traitement peut télécharger tout ce dont il a besoin sans rien demander à personne.

3. 3

   Choix entre restitution et suppression

   Dans la même fenêtre de trente jours, le responsable du traitement indique s'il souhaite une remise assistée des données ou si la suppression peut avoir lieu. La remise assistée couvre également le contenu que les outils de l'application n'exportent pas.

4. 4

   Suppression des systèmes actifs

   À la fin de la fenêtre, ou plus tôt si le responsable du traitement le demande, les données sont supprimées des systèmes actifs dans les trente jours. La suppression couvre Cloud Firestore et Cloud Storage et comprend les photographies, les documents téléversés et les signatures de consentement.

5. 5

   Confirmation écrite

   Une fois la suppression achevée, le responsable du traitement reçoit une confirmation écrite indiquant la date de l'opération, les collections concernées et toute donnée conservée en vertu d'une obligation légale, avec la base juridique correspondante.

Les copies de sauvegarde nécessitent une précision que de nombreux accords omettent. Les copies de sauvegarde et les répliques gérées par Google Cloud ne permettent pas la suppression sélective d'un document unique : elles subsistent jusqu'à ce que le cycle de rotation configuré sur le projet les remplace, et elles ne sont jamais utilisées pour restaurer des données supprimées sur demande. La fenêtre de rotation actuellement configurée est communiquée au responsable du traitement sur demande depuis la page /contatti, ainsi que la date prévue à laquelle les copies contenant ses données seront remplacées. Déclarer une suppression instantanée des sauvegardes aussi serait plus rassurant et moins vrai.

Les données que le sous-traitant est tenu de conserver en vertu du droit de l'Union ou du droit d'un État membre sont exclues de la suppression, cas expressément réservé par l'article 28 paragraphe 3 point g. À la date du présent accord, le cas principal concerne les documents fiscaux, qui deviendront pertinents une fois les paiements actifs et que le droit civil et fiscal impose de conserver pendant dix ans. Dans ces cas, le traitement est limité à la seule conservation, sans consultation ni usage ultérieur, et la confirmation de suppression le précise explicitement.

L'article 28 paragraphe 3 point h donne au responsable du traitement le droit de contribuer aux audits, y compris aux inspections. La clause a été rédigée en pensant à un sous-traitant disposant d'une salle des machines à visiter, et sur un service SaaS multilocataire cette image ne fonctionne pas : Animiyo ne possède aucun centre de données, l'infrastructure est partagée par tous les locataires, et tout accès accordé à un responsable du traitement risquerait d'exposer les données des autres. Le droit d'audit reste intact, mais il s'exerce au moyen d'outils autres qu'une visite sur site, énumérés ici afin que le responsable du traitement sache à l'avance ce qu'il peut obtenir.

Certaines choses ne peuvent être obtenues par le responsable du traitement, et il vaut la peine de les consigner avant qu'elles ne soient demandées dans un moment de tension. Ce ne sont pas des limites fixées pour la commodité du sous-traitant : chacune protège un intérêt que le responsable du traitement partage lui-même, puisque les autres locataires ont, à l'égard de leurs propres données, les mêmes attentes que celles qu'il a à l'égard des siennes.

• L'accès aux données, documents ou journaux d'un locataire autre que le sien, pas même sous forme partielle ou agrégée.
• L'accès direct à la console d'administration du projet Google Cloud petdiary-10327.
• Une copie complète du code source ou des règles de sécurité intégrales, qui décrivent aussi les autres locataires.
• Des tests destructifs, des tests de charge ou des attaques par déni de service, qui dégraderaient le service pour tout le monde.
• Des inspections physiques dans les centres de données, qui appartiennent au fournisseur d'infrastructure et non au sous-traitant.
• L'extraction en masse de données de production à des fins de vérification, qui augmenterait le risque au lieu de le réduire.
• L'accès aux journaux de sécurité dans la partie concernant les opérateurs ou les clients d'autres locataires.

Si le responsable du traitement estime les outils énumérés ci-dessus insuffisants pour un cas précis, il peut proposer une approche alternative depuis la page /contatti, en indiquant quel aspect particulier il entend vérifier. Les parties recherchent alors une solution qui atteint l'objectif sans exposer les données de tiers, par exemple une démonstration guidée sur un environnement de test ou une attestation technique sur un point précis. Une demande n'est pas refusée parce qu'elle est inhabituelle, mais seulement s'il n'existe aucun moyen de la satisfaire sans porter atteinte aux droits d'autres personnes concernées.

Les principales ressources de la plateforme se trouvent dans la région us-central1, aux États-Unis. Les données que le locataire traite au sujet de ses propres clients sont donc traitées hors de l'Espace économique européen, et le responsable du traitement doit le savoir avant de signer l'accord plutôt qu'après. Le transfert repose sur une base juridique valable et sur des mesures techniques adéquates, décrites ici et plus complètement sur /sub-responsabili.

Les clauses contractuelles types applicables sont celles adoptées par la Commission européenne par la décision d'exécution (UE) 2021/914. Dans la relation entre Animiyo et Google Ireland Limited s'applique le module trois, de sous-traitant à sous-traitant ultérieur, qui est le module correct lorsque l'exportateur agit lui-même pour le compte d'un responsable du traitement. Le locataire responsable du traitement demeure le responsable initial de la chaîne et conserve les droits que les clauses accordent à la partie pour le compte de laquelle le transfert a lieu, y compris le droit d'obtenir une copie des clauses applicables.

• Google Ireland Limited comme contrepartie contractante, au titre des Google Cloud Data Processing Terms.
• Clauses contractuelles types adoptées par la décision d'exécution (UE) 2021/914, module trois.
• Certification de Google LLC au titre de l'EU United States Data Privacy Framework.
• Chiffrement des données en transit avec TLS et au repos avec AES à 256 bits.
• Une analyse d'impact du transfert documentée par le propriétaire du projet et mise à la disposition du locataire sur demande.
• La politique de Google sur le traitement des demandes des autorités publiques, ainsi que les rapports de transparence associés.
• Un engagement à informer le responsable du traitement de toute demande d'accès reçue d'une autorité d'un pays tiers, sauf interdiction légale, et à la contester lorsqu'elle est manifestement illicite.

L'analyse d'impact du transfert prend en compte la nature des données concernées, qui dans la grande majorité des cas n'est pas une catégorie particulière relative à des personnes physiques, l'efficacité du chiffrement en transit et au repos, la pratique documentée du fournisseur dans le traitement des demandes des autorités publiques, les recours dont disposent les personnes concernées et la probabilité concrète que des données vétérinaires relatives à des clients européens fassent l'objet d'une demande d'accès. Le responsable du traitement peut en obtenir une copie depuis la page /contatti et doit la compléter par une évaluation de son propre contexte, que lui seul connaît.

La migration des ressources vers une région européenne, dans la zone europe-west, est à l'étude mais n'est pas une décision arrêtée, car elle implique de reconstruire une partie de l'infrastructure et d'accepter une fenêtre d'indisponibilité du service. Si elle a lieu, elle sera annoncée sur /sub-responsabili avec le même préavis de trente jours prévu pour les changements de sous-traitants ultérieurs, afin que les responsables du traitement puissent mettre à jour leur propre documentation avant que le changement ne prenne effet.

L'article 82 du Règlement prévoit qu'un sous-traitant n'est responsable du dommage causé par le traitement que lorsqu'il n'a pas respecté les obligations spécifiquement destinées aux sous-traitants ou lorsqu'il a agi en dehors des instructions licites du responsable du traitement ou contrairement à celles-ci. En dehors de ces deux cas, la responsabilité reste au responsable du traitement, qui a décidé des finalités et des moyens. Le tableau traduit le principe dans les situations qui se présentent réellement sur cette plateforme.

Les limitations de responsabilité énoncées dans les conditions publiées sur /termini s'appliquent également au présent accord, avec deux exceptions auxquelles il ne peut être renoncé : le dommage causé par une faute intentionnelle ou une négligence grave, et la responsabilité envers la personne concernée au titre de l'article 82, que le Règlement ne permet pas de limiter par contrat. Lorsqu'une partie verse la réparation intégrale du dommage subi par une personne concernée, elle est en droit de réclamer à l'autre la part correspondant à la responsabilité de cette partie, au titre de l'article 82 paragraphe 5.

En cas de conflit entre les documents régissant la relation, l'ordre de préséance énoncé sur /termini s'applique, rappelé ici pour la partie concernant le traitement des données.

1. Toute condition particulière convenue par écrit avec un locataire, qui prévaut dans la relation avec ce seul locataire.
2. Le présent accord et la liste des sous-traitants ultérieurs sur /sub-responsabili, pour tout ce qui concerne le traitement effectué pour le compte du responsable du traitement.
3. Les conditions publiées sur /termini, qui régissent l'utilisation de la plateforme par chaque utilisateur.
4. La politique sur /privacy et la politique cookies sur /cookie, qui décrivent le traitement où Animiyo est le responsable du traitement et prévalent sur ce point.

L'accord est régi par le droit italien et par Regulation (EU) 2016/679, complété par le décret législatif 196/2003 tel que modifié par le décret législatif 101/2018. Comme le locataire agit dans le cadre de son activité professionnelle, les litiges relatifs au présent accord relèvent de la compétence exclusive du tribunal du siège social du prestataire indiqué sur la page /contatti, conformément à ce que /termini prévoit pour les utilisateurs professionnels. Cela n'affecte pas le droit d'une personne concernée d'agir devant le tribunal de sa résidence habituelle au titre de l'article 79 du Règlement, ni le droit d'introduire une réclamation auprès d'une autorité de contrôle. Les versions italienne et anglaise ont le même contenu ; en cas de divergence d'interprétation, le texte italien prévaut.

Le présent accord peut changer, car les fonctionnalités de la plateforme, les fournisseurs et le cadre juridique évoluent. Les modifications substantielles ne prennent pas effet par surprise : elles suivent le même mécanisme d'avis, d'opposition et de résiliation prévu pour les sous-traitants ultérieurs, car une modification de l'accord affecte la relation autant, voire plus, qu'un changement de fournisseur.

Face à une modification substantielle, le responsable du traitement peut s'opposer dans les quinze jours suivant l'avis, en écrivant depuis la page /contatti. Si l'opposition ne peut être résolue par des mesures alternatives, il peut résilier sans pénalité avec le droit d'obtenir la restitution des données selon la procédure décrite ci-dessus. Le silence au-delà de quinze jours vaut acceptation, et cet effet est indiqué ici explicitement afin que le responsable du traitement en ait connaissance avant que le délai ne commence à courir.

Les révisions ultérieures sont ajoutées à ce tableau et sont suivies dans l'historique de gestion de versions du code, qui conserve le texte exact de chaque version ainsi que la date de la modification. Un responsable du traitement qui a besoin de reconstituer quel accord était en vigueur à un moment donné, par exemple en réponse à une demande d'une autorité de contrôle, peut obtenir cette version depuis la page /contatti.