Données de workflows et sous-traitance

Déterminer les rôles

Le client qui choisit pourquoi et comment utiliser des données dans un workflow est responsable de traitement, ou peut lui-même agir comme sous-traitant d’un donneur d’ordre. Seapalm est sous-traitant, ou sous-traitant ultérieur, uniquement pour les opérations effectuées pour son compte.

La vente d’une licence pour une instance exploitée uniquement par le client ne fait pas automatiquement de Seapalm le sous-traitant de toutes les données de cette instance. Un accès d’assistance, un hébergement ou une opération de maintenance avec accès aux données doit être qualifié séparément.

Accord et description de la prestation

Avant de confier des données personnelles à Seapalm pour un hébergement ou une assistance impliquant leur accès, un accord écrit conforme à l’article 28 doit encadrer la prestation. Cette page en décrit le cadre ; elle ne remplace pas un accord et des annexes propres au service commandé.

Les annexes précisent l’objet, la durée, la nature des opérations, les finalités, les catégories de personnes et de données, les droits et obligations du client, les lieux de traitement, les destinataires, les mesures de sécurité et les procédures de restitution. Les données peuvent comprendre les entrées et sorties, les fichiers, les secrets, les historiques et les diagnostics strictement nécessaires.

Instructions et confidentialité

Seapalm traite les données confiées sur les instructions documentées du client, y compris pour leurs transferts. Une obligation légale imposant une autre opération est portée à sa connaissance lorsque la loi le permet. Une instruction paraissant contraire aux règles de protection des données lui est signalée.

Les personnes autorisées à accéder aux données doivent être soumises à une obligation de confidentialité. L’accès est limité aux missions nécessaires à la prestation. Les données confiées ne sont pas réutilisées pour une finalité autonome, notamment l’entraînement d’un modèle ou une prospection, sans cadre juridique distinct approprié.

Sécurité de la prestation

Les mesures techniques et organisationnelles sont adaptées aux risques et documentées dans les annexes de sécurité. Elles doivent couvrir les accès, les secrets et permissions, les communications, les sauvegardes, la disponibilité, la restauration et l’évaluation des mesures.

Le client configure les accès de son organisation, les connecteurs, les données enregistrées dans les historiques et la vérification des actions automatiques. Il vérifie qu’une prestation convient aux données sensibles ou réglementées qu’il souhaite traiter. Aucune certification ou garantie sectorielle ne découle de cette page.

Sous-traitants ultérieurs et connecteurs

Les prestataires auxquels Seapalm confie une partie du traitement doivent être identifiés, avec leurs opérations, lieux et garanties, dans une liste à jour remise au client. Leur intervention exige l’autorisation écrite spécifique ou générale prévue par l’accord. En cas d’autorisation générale, les changements sont annoncés pour permettre au client de formuler une objection selon les modalités convenues.

Des obligations de protection équivalentes sont imposées aux sous-traitants ultérieurs ; Seapalm reste responsable envers son client de leur respect. Les outils de paiement du portail et les fournisseurs choisis directement par le client ne constituent pas automatiquement cette liste de sous-traitants de workflows.

Le client évalue séparément ses API, bases, outils d’IA et assistants MCP : données envoyées, finalités, accès, pays, conservation, entraînement éventuel et possibilité de révocation. Une infrastructure européenne ne rend pas européen chaque destinataire d’un workflow.

Assistance, droits et analyses de risques

Compte tenu de la nature du traitement et des informations disponibles, Seapalm aide le client à répondre aux demandes des personnes et à respecter ses obligations de sécurité, de notification et, si nécessaire, d’analyse d’impact et de consultation préalable.

Le client reste responsable de la licéité, de l’information des personnes, de la minimisation, de sa base légale et des conditions propres aux données sensibles. Une analyse d’impact doit être envisagée lorsqu’un traitement est susceptible d’engendrer un risque élevé, notamment pour certains usages de profilage ou de décisions automatisées.

Violations et coopération

Seapalm signale au client une violation de données confiées sans délai indu après en avoir pris connaissance. Les informations disponibles portent sur la nature de l’incident, les données et personnes concernées, les conséquences possibles, les mesures prises ou proposées et le contact de suivi ; elles peuvent être complétées progressivement.

La notification à l’autorité et, lorsque nécessaire, aux personnes relève du responsable de traitement. Les modalités de contact et d’escalade sont précisées dans l’accord.

Transferts et lieux de traitement

L’infrastructure de Seapalm se situe en Europe. L’accord précise les pays et les éventuels accès à distance. Un transfert hors de l’EEE ne peut être effectué que sur instruction et avec les garanties prévues par le chapitre V du RGPD, y compris les mesures complémentaires nécessaires.

Le client doit aussi encadrer les transferts qu’il déclenche lui-même au moyen des connecteurs et outils tiers. Les informations sur les garanties communicables peuvent être demandées au contact Seapalm.

Rétention, restitution et fin de prestation

Pour les services exploités par Seapalm, les journaux et historiques courants sont conservés au maximum 30 jours et les sauvegardes suivent un cycle de 30 jours. Une instruction prévoyant une conservation plus courte est prise en compte dans les limites et modalités prévues par l’accord.

À la fin de la prestation, le client choisit la restitution ou la suppression des données confiées. Les données et copies sont supprimées dans les 30 jours, y compris par l’expiration du cycle des sauvegardes, sauf obligation légale contraire. L’export, son format et son mode de remise sont convenus avant la clôture. Une restauration ne doit pas réintroduire durablement des données précédemment supprimées.

En auto-hébergement, le client applique lui-même ses règles de conservation, de purge et de sauvegarde. La désactivation d’une licence ne supprime pas à elle seule les données de son infrastructure.

Documentation et audits

Seapalm met à disposition les informations nécessaires pour démontrer le respect de ses obligations de sous-traitant et contribuer aux audits, y compris aux inspections, dans les conditions de l’accord. L’organisation pratique protège les secrets, la sécurité et les données des autres clients sans neutraliser ce droit.

Pour préparer une prestation, demandez l’accord de sous-traitance, ses annexes de sécurité, la liste des sous-traitants ultérieurs et les lieux de traitement au contact en bas de page.