FAQ RGPD AJAX

Base légale

Qu'est-ce que le RGPD ?

Le Règlement général sur la protection des données (également connu sous le nom de Règlement (UE) 2016/679 ou « RGPD », ou « GDPR » en anglais) est un règlement du droit de l'UE sur la protection des données et de la vie privée dans l'UE et l'Espace économique européen (EEE). Bien qu'il ait été rédigé et approuvé par l'Union européenne (UE), il impose des obligations en matière de protection des données aux organisations partout dans le monde, dès lors qu'elles ciblent ou collectent des données relatives à des personnes situées dans l'UE.

Que sont les données personnelles ?

Les données personnelles sont toutes les informations relatives à une personne qui peut être identifiée directement ou indirectement. Des informations multiples, collectées ensemble, peuvent mener à l'identification d'une personne spécifique et constituent donc des données à caractère personnel.

Les données personnelles qui ont été dépersonnalisées, cryptées ou pseudonymisées mais qui peuvent être utilisées pour réidentifier une personne restent des données personnelles et relèvent du champ d'application de la loi.

Voici quelques exemples de données personnelles :

• nom et prénom ;
• adresse ;
• adresse e-mail ;
• numéro de carte d'identité ;
• données de localisation ;
• adresse IP ;
• Cookie ID ;
• identifiant publicitaire du téléphone.

Que signifie traiter des données ?

La définition du traitement des données couvre un large éventail d'opérations effectuées sur des données à caractère personnel, y compris par des moyens manuels ou automatisés. Il comprend la collecte, l'enregistrement, l'organisation, la structuration, le stockage, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la divulgation par transmission, la diffusion ou toute autre forme de mise à disposition, l'alignement ou la combinaison, la restriction, l'effacement ou la destruction de données à caractère personnel. Si vous faites quelque chose avec des données de la manière mentionnée ci-dessus, vous traitez des données.

Quelle est la différence entre un sous-traitant et un responsable du traitement des données ?

Un responsable du traitement des données désigne une organisation, une institution ou une personne physique qui définit les normes et les règles relatives au traitement des données personnelles. En pratique, cela signifie qu'un responsable du traitement est chargé de déterminer comment et pourquoi les données personnelles sont utilisées par une organisation. Le plus souvent, le responsable du traitement des données est la personne ou l'organisation qui recueille les données et décide comment elles seront utilisées.

Cela contraste avec un processeur de données. Selon le RGPD, un sous-traitant est une organisation, une institution ou une personne qui met en œuvre les normes de traitement des données établies par le responsable du traitement. En règle générale, un sous-traitant de données est une entité qui traite des données sous la direction et à la discrétion d'un responsable du traitement des données. Un sous-traitant de données n'est propriétaire d'aucune des données qu'il traite et n'en a pas le contrôle. Cela signifie qu'un processeur de données ne peut pas modifier la signification des données ni dicter la manière dont elles sont utilisées, et qu'il est lié par les instructions.

Voici quelques points clés qui permettent de distinguer les fonctions de contrôleur de données et de sous-traitant de données :

Le contrôleur de données décide des choses suivantes :

• l'organisation qui collecte les données en première instance et qui en a la base légale ;
• à quoi servent les données à caractère personnel ;
• la décision de divulguer ou non les données et, le cas échéant, à qui ;
• l'application du droit d'accès et des autres droits des personnes concernées, ou l'existence d'exemptions ;
• combien de temps conserver les données ou s'il faut modifier les données d'une manière qui n'est pas habituelle.

Le processeur de données décide des éléments suivants :

• les méthodes utilisées pour la collecte et le stockage des données personnelles ;
• comment les données sont sécurisées ;
• les moyens utilisés pour transférer des données personnelles d'une organisation à une autre ;
• comment les données personnelles sont récupérées ;
• la méthode permettant de garantir le respect d'un calendrier de conservation ;
• comment les données personnelles sont supprimées.

Quelles sont les conditions du RGPD pour le traitement des données personnelles ?

L'article 6 du RGPD énumère plusieurs conditions (également connues sous le nom de bases) dans lesquelles il est légal de traiter les données personnelles :

1. Consentement. Le consentement signifie que la personne concernée a donné son consentement explicite à une activité de traitement de données à caractère personnel pour une ou plusieurs finalités spécifiques. La notion de finalité est ici essentielle. Si la personne concernée, également appelée personne physique, donne son consentement au traitement sans être pleinement informée de la ou des finalités spécifiques de manière facilement compréhensible, alors le consentement ne constitue pas une base légale pour le traitement, car il doit être donné librement, spécifique, éclairé et univoque. De plus, le consentement ne peut être regroupé. Ainsi, pour chaque activité de traitement de données au sein d'une opération plus large, la règle générale est qu'un consentement distinct est requis pour chaque activité.
2. Le traitement est nécessaire à l'exécution ou à la préparation de la conclusion d'un contrat auquel la personne concernée est partie. Une organisation peut s'appuyer sur cette base légale si elle doit traiter les données à caractère personnel d'une personne pour lui fournir un service contractuel ou parce qu'elle a demandé à l'organisation de faire quelque chose avant de conclure un contrat (par exemple, fournir un devis).
3. Le traitement des données est nécessaire pour respecter une obligation légale. Si le responsable du traitement a une obligation légale qui nécessite le traitement de certaines données personnelles, alors ce traitement est autorisé. L’obligation légale doit être une obligation à laquelle le responsable du traitement est soumis.
4. Le traitement des données est nécessaire pour sauver la vie de quelqu'un. Cette base est également connue sous le nom de « intérêt vital ». Dans ce cas, la personne physique ne doit pas nécessairement être une personne concernée ; il peut également s'agir d'une autre personne physique. Bien entendu, il n'appartient pas au responsable du traitement de définir ce qu'est un intérêt vital. Cette base concerne davantage les situations de danger de mort où il n'y a pas d'autre base juridique pour le traitement, mais où le fait de ne pas traiter les données à caractère personnel signifierait essentiellement que quelqu'un mourrait si le sous-traitant ne prenait pas de mesures et qu'il avait donc besoin de savoir quelques choses sur la personne physique en danger.
5. Le traitement est nécessaire pour accomplir une tâche dans l'intérêt public ou pour exercer une fonction officielle. Une organisation peut s'appuyer sur cette base légale si elle doit traiter des données à caractère personnel « dans le cadre de l'exercice de l'autorité publique ». Il s'agit des fonctions et pouvoirs publics prévus par la loi, ou de l'exécution d'une tâche spécifique d'intérêt public prévue par la loi.
6. Le contrôleur a un intérêt légitime à traiter les données à caractère personnel d'une personne. Le traitement de données à caractère personnel dans ce contexte n'est pas nécessairement justifié par une obligation légale ou effectué pour remplir les condition d'un contrat avec une personne. Dans ce cas, le traitement des données à caractère personnel peut être justifié par des motifs d'intérêt légitime. Par exemple, un sous-traitant a un intérêt légitime lorsque le traitement a lieu dans le cadre d'une relation avec un client, à des fins de marketing direct, pour prévenir la fraude ou pour assurer la sécurité du réseau et de l'information des systèmes informatiques.

Comment fonctionne le consentement selon le RGPD ?

Il existe des règles strictes concernant le consentement d'une personne concernée au traitement de ses données :

• Le consentement doit être « libre, spécifique, éclairé et univoque ».
• Les demandes de consentement doivent être « clairement distinctes des autres questions » et présentées dans un « langage clair et simple ».
• Les personnes concernées peuvent retirer leur consentement préalablement donné à tout moment, et vous devez respecter leur décision. Il n'est pas possible de changer simplement la base légale du traitement par l'une des autres justifications.
• Une preuve documentaire du consentement doit être conservée.

Quels sont les droits individuels en vertu du RGPD ?

Le RGPD confère les droits suivants aux individus :

1. Le droit d'être informé (les individus ont le droit d'être informés sur la manière dont les entreprises collectent et utilisent leurs données personnelles, sur la durée pendant laquelle elles prévoient de conserver ces données et sur les personnes avec lesquelles elles les partageront) ;
2. Le droit d'accès (les individus ont le droit de savoir exactement quelles informations les entreprises ont collectées, comment elles stockent et traitent ces données, et ce qu'elles vont en faire) ;
3. Le droit de rectification (les personnes ont le droit de faire compléter les données incomplètes et de faire corriger les données inexactes) ;
4. Le droit à l’effacement (les individus ont le droit de faire supprimer définitivement leurs données personnelles, également connu sous le nom de « droit à l’oubli ») ;
5. Le droit de restreindre le traitement (si les individus ne peuvent pas exiger que les responsables du traitement effacent leurs informations personnelles, ils peuvent restreindre la capacité des responsables du traitement à traiter ces données) ;
6. Le droit à la portabilité des données (les individus ont le droit d’obtenir et de réutiliser leurs données personnelles à leurs propres fins sur différents services) ;
7. Le droit d'opposition (les personnes ont le droit de s'opposer au traitement de leurs données personnelles dans certaines circonstances) ;
8. Droits relatifs à la prise de décision automatisée et au profilage (les individus ont le droit d’exiger une intervention humaine plutôt que de voir des décisions importantes prises par des algorithmes).

Quels sont les sept principes du RGPD ?

Le RGPD définit sept principes clés en matière de protection des données et de responsabilité :

1. Licéité, équité et transparence — le traitement doit être licite, équitable et transparent pour la personne concernée.
2. Limitation de la finalité — les données doivent être traitées aux fins légitimes spécifiées explicitement à la personne concernée au moment de leur collecte.
3. Minimisation des données — seules les données strictement nécessaires aux fins spécifiées doivent être collectées et traitées.
4. Exactitude — les données personnelles doivent être exactes et à jour.
5. Limitation de stockage — les données permettant d’identifier personnellement les personnes ne peuvent être stockées que pendant la durée nécessaire à la finalité spécifiée.
6. Intégrité et confidentialité — le traitement doit être effectué de manière à garantir une sécurité, une intégrité et une confidentialité appropriées (par exemple, en utilisant le chiffrement).
7. Responsabilité — le responsable du traitement des données est tenu de pouvoir démontrer sa conformité au RGPD avec tous ces principes.

Le RGPD exige-t-il que les données personnelles des résidents de l'UE restent dans l'UE ?

Le RGPD n'exige pas directement que les données personnelles des résidents de l'UE restent exclusivement au sein de l'UE. Toutefois, la protection des données de l'UE repose sur le principe que « le RGPD reste attaché aux données », ce qui signifie que les règles protégeant les données personnelles continuent de s'appliquer quel que soit l'endroit où se trouvent les données. Ce principe s'applique également lorsque des données personnelles sont transférées vers un pays qui n'est pas membre de l'UE.

Traitement par Ajax

Ajax traite-t-il mes données personnelles ?

Oui, Ajax peut traiter vos données personnelles. Vous trouverez ci-dessous les principales façons dont nous pouvons utiliser vos informations :

1. dans nos systèmes de sécurité (par exemple, via la centrale Ajax et d'autres dispositifs) ;
2. dans nos applications pour les utilisateurs finaux et les utilisateurs PRO : mobile (Ajax Security System et Ajax PRO: Tool for Engineerss), de bureau (Ajax Desktop et PRO Desktop) et outils web Ajax (ci-après dénommés les Produits ou Services) ;
3. lorsque vous visitez notre site web à https://ajax.systems;
4. dans le cadre de la collaboration commerciale entre vous et Ajax (peu importe si vous êtes un partenaire ou sous-traitant direct ou indirect d'Ajax) ;
5. lors de communications personnalisées entre vous et Ajax (par exemple, entretiens, réunions, etc.) ;
6. lors de la fourniture de services liés à la fonctionnalité améliorée des Services Ajax (y compris Ajax SIM, Ajax Cloud Storage, etc.) ;

Quels types de données me concernant peuvent être traités par Ajax ?

Ajax peut traiter différents types de données, en fonction du scénario de l'interaction avec vous.

Grâce à nos dispositifs de sécurité, nous pouvons traiter :

• Informations sur la centrale Ajax (son modèle et le numéro de série, les informations réseau, y compris l'adresse IP, les journaux d'activité du dispositif, l'historique et la configuration actuelle du dispositif, l'emplacement, etc).
• Données de télémétrie et environnementales.

Afin de fournir aux utilisateurs des informations sur le système sous forme de statuts et d'événements, nous traitons les données de télémétrie.

Le terme « données de télémétrie » (ci-après également « télémétrie ») désigne les données et autres indications qui sont automatiquement collectées, transmises et mesurées par les capteurs intégrés à nos dispositifs, afin de déterminer l'état de l'environnement et l'opérabilité, et de détecter d'éventuelles anomalies dans le fonctionnement des dispositifs.

Lorsque vous utilisez nos Produits ou Services, nous pouvons traiter :

• Informations vous concernant (nom, prénom, email, numéro de téléphone et votre photo).
• Les informations que vous partagez avec nous à partir du répertoire de votre dispositif lorsque vous invitez des utilisateurs à utiliser le Produit (comme l'adresse électronique ou le numéro de téléphone d'une personne que vous invitez à utiliser le Produit).
• Identifiants uniques pour nos Services (tels que votre nom d'utilisateur et votre mot de passe).
• Identifiants uniques des utilisateurs que vous avez connectés au Produit, tels que le nom d'utilisateur, le rôle de l'utilisateur dans le Produit et son adresse électronique ; informations sur vos appareils mobiles et de bureau, telles que le type d'appareil, le système d'exploitation et la langue du système.
• Données de géolocalisation pour vous fournir des rappels pour armer/désarmer le système si vous activez la fonction Géorepérage dans notre application.
• Pour les SMS des utilisateurs sous Android avec le code d'autorisation requis lors de l'enregistrement ou des modifications du compte.
• Informations sur votre utilisation de nos Produits et Services (telles que les demandes de l'App à notre serveur).

Lorsque vous contactez notre équipe du service client, nous pouvons traiter les enregistrements audio des appels avec notre équipe du service client.

Lorsque vous visitez notre site web, nous pouvons traiter :

• Les informations que vous fournissez en remplissant les formulaires, qui peuvent contenir vos informations personnelles et vos coordonnées de contact.
• Cookie ID (via un outil conforme au RGPD).
• Votre adresse IP pour déterminer votre pays.

Dans le cadre d'une coopération commerciale, nous pouvons traiter :

• Coordonnées des représentants des entreprises (nom, fonction, adresse électronique et numéro de téléphone).
• Requêtes des partenaires et de leurs représentants autorisés (par exemple, envoyées à l'adresse e-mail du support, via les applications, les messageries, etc.).
• Cartes de visite des partenaires.

Pendant les communications personnalisées, les entretiens ou les réunions :

Si vous décidez de nous contacter ou de postuler à un emploi chez Ajax, en plus des données collectées de la manière décrite ci-dessus, nous pourrions également collecter et traiter des données personnelles supplémentaires que vous partagez lors de la communication et/ou dans les documents que vous fournissez (par exemple, CV, lettre de motivation), incluant, mais sans s'y limiter :

• Informations personnelles (prénom, nom, numéro de téléphone, adresse électronique, photo).
• Identifiants uniques (par exemple, nom d'utilisateur, identifiant de connexion).
• Expérience professionnelle antérieure.
• Informations sur l'éducation et la formation.
• Certificats, diplômes, références.
• Hobbies, centres d'intérêt et autres préférences personnelles.

Pour un tel traitement, la liste (portée) des données personnelles et autres informations peut être modifiée, détaillée ou étendue tout au long du processus. En même temps, la collecte et le traitement des données personnelles nécessaires sont limités aux fins de ce traitement et sont effectués conformément aux exigences de la loi applicable.

De plus, lors du traitement des données dans le cadre de communications commerciales ou personnalisées, de la gestion des demandes de partenaires et des cartes de visite, de la conduite de réunions, d'entretiens, etc., ainsi que pour l'optimisation des opérations et processus internes, Ajax peut utiliser les technologies d'intelligence artificielle (ci-après également dénommée « IA »).

Les données traitées par l'intelligence artificielle peuvent, dans certains cas, inclure des données personnelles permettant d'identifier un individu, dans la mesure où ces données :

1. sont disponibles au public;

2. ont été volontairement fournis par vous.

Ces données peuvent être traitées par nos outils d'IA et nos sous-traitants de données afin de faciliter le traitement de vos demandes. Dans la plupart des cas, cela signifie que l'IA aide à préparer une ébauche de réponse ou à déterminer la catégorie pertinente de votre demande. Dans de rares cas, l'IA peut générer une réponse directement pour vous, et vous pouvez toujours choisir de contacter un employé d'Ajax. Le traitement assisté par l'IA ne donne lieu à aucune décision fondée exclusivement sur un traitement automatisé qui produise des effets juridiques vous concernant ou qui vous affecte de manière significative.

Pour le traitement spécifié impliquant l'intelligence artificielle, nous faisons appel à des prestataires de services qui maintiennent le niveau nécessaire de protection des données personnelles.

Veuillez noter que le traitement de ces données par Ajax est limité et est effectué uniquement dans le but d'améliorer l'efficacité des opérations internes et à des fins connexes.

Quelle est la finalité et la base juridique du traitement ?

• Toutes les données que nous recevonsvia nos dispositifs de sécuritéou pendant que vousutilisez nos produits ou servicessont traitées uniquement pour vous fournir les services de sécurité demandés. Cela signifie que nous traitons toutes ces données pour exécuter un contrat que nous avons avec vous. De plus, cela signifie que nous ne recueillons aucune donnée qui ne nous est pas spécifiquement nécessaire pour vous fournir de tels services.
• Si vous décidez devous abonner à notre newsletter, nous vous enverrons des e-mails contenant des informations sur nous et nos dernières actualités. Nous comptons sur votre consentement que vous accordez en confirmant votre abonnement. De plus, nous personnaliserons ces emails en fonction des renseignements que nous avons à votre sujet, afin qu'ils soient plus pertinents et plus utiles pour vous.
• Si vous avezdes journaux d'opérations partagés de votre application parce que vous avez rencontré un problème, nous les traiterons pour résoudre votre problème technique et améliorer nos produits et services. Nous les traitons en fonction de notre intérêt légitime à rendre nos offres commerciales plus compétitives.
• Nous utilisons les données que vous partagez avec nous à partir de la liste de contacts de votre appareil lorsque vous invitez des utilisateurs au Produit (telles que l'adresse e-mail ou le numéro de téléphone d'une personne que vous invitez au Produit) pour envoyer l'invitation àces personnes uniquement.
• Toutes les données que vous nous fournissez volontairement — que ce soit par email, via des applications ou des messagers, ou en partageant des cartes de visite ou des CV — ainsi que les données disponibles publiquement, sont traitées pour assurer l'efficacité des processus internes, établir une coopération commerciale, et/ou soutenir une communication personnalisée.

Où sont stockées les informations ?

Les données personnelles qu'Ajax peut collecter auprès de vous sont stockées dans un espace de stockage cloud situé en Irlande, en Allemagne et en France (au sein de l'EEE) ; le choix de l'emplacement de stockage des données dans ces pays est soumis à la disponibilité de l'infrastructure AWS.

D'autres données personnelles collectées par Ajax peuvent également être stockées sur des serveurs et/ou un stockage cloud situés dans diverses juridictions. Cela inclut le stockage chez les sociétés affiliées du groupe Ajax, ainsi qu'avec des tiers qui sont des sous-traitants, des fournisseurs ou des vendeurs de services Ajax, dont les serveurs sont situés dans des pays offrant un niveau adéquat de protection et de sécurité des données personnelles.

Bien que les lois sur la protection des données personnelles puissent varier d'un pays à l'autre, Ajax applique les mesures de protection décrites dans ce document et d'autres documents internes, quel que soit l'endroit où ces données sont stockées.

Combien de temps les informations sont-elles stockées ?

Nous conservons les données personnelles pendant toute la durée de notre coopération avec le client, sauf pour certains types d'informations, y compris :

• liste des événements dans les applications mobiles et de bureau Ajax (pour les utilisateurs finaux et les professionnels), incl. Ajax Response :

  • limité à 500 entrées, conservées pendant au maximum 2 ans; 
  • limité à 4 000 entrées pour Ajax Superior MegaHub, stockées pendant 2 ans maximum ;

• Journal des événements du Compte d'Entreprise dans l'application de bureau Ajax PRO : conservé pendant jusqu'à 3,5 ans. Les fichiers multimédias du journal des événements du compte d'entreprise sont conservés pendant des périodes allant de 7 jours à 2 ans, en fonction des paramètres du profil client.

Certains types de données, comme le nom, le poste et les coordonnées des représentants spécifiés dans les contrats, peuvent être conservés au-delà de la période de coopération. Ceci est nécessaire pour remplir nos obligations légales.

• Nous supprimons toujours les données personnelles après qu'un client choisit de fermer son compte et envoie une demande à privacy@ajax.systems. Dans ce cas, nous cessons de fournir des services au client et n'avons plus besoin de stocker ses données.
• Les données peuvent également rester dans des copies de sauvegarde chiffrées pendant une durée maximale de 12 mois, utilisées uniquement à des fins de reprise après sinistre, après quoi elles sont définitivement supprimées.
• Les fichiers journaux sur nos serveurs sont conservés pendant une durée n'excédant pas 7 jours.

Qui a accès au système et aux informations du côté d'Ajax ?

Ajax suit les principes de minimisation de la disponibilité et de minimisation des privilèges lors de l'accès aux données. Ainsi, l'accès aux données ne peut être accordé qu'aux employés d'Ajax chargés de fournir des services et des projets de soutien. Lorsque le personnel d'Ajax accède aux données, son équipement est protégé par un système de cryptage et d'autres outils conformes aux normes techniques les plus élevées du secteur. Tous les employés ont signé un accord de confidentialité et procèdent chaque année à une évaluation de la protection des données. Toutes les actions du personnel sont enregistrées et les enregistrements sont automatiquement vérifiés en temps réel. En cas de suspicion d'accès excessif, nous limitons l'accès et commençons immédiatement à enquêter sur le cas. Néanmoins, nous tenons à souligner qu'Ajax n'accède jamais aux données sans disposer d'une base juridique valable pour un tel accès. Dans certains cas, l'utilisateur peut demander à Ajax (à ses propres risques) d'accorder l'accès aux données de l'utilisateur à des fournisseurs tiers désignés par l'utilisateur (sociétés de sécurité, installateurs) par l'intermédiaire d'applications mobiles ou pour PC. Dans ce cas, les entreprises choisies par l'utilisateur auront également accès aux données que l'utilisateur souhaite voir transférées.

Que fait Ajax pour se conformer aux lois mondiales sur la protection des données ? Comment Ajax démontre-t-il sa conformité avec le RGDP ?

Pour se conformer aux lois internationales sur la protection des données, Ajax applique un nombre important de mesures, de mécanismes et de procédures. Par exemple, Ajax applique les principes de limitation du traitement des données (respect de la vie privée dès la conception et par défaut), de minimisation des données, de contrôle d'accès, de politiques de traitement des données (politiques de stockage, de traitement, de suppression, etc.). Dans le cadre des transferts de données, Ajax utilise diverses mesures, y compris des mesures organisationnelles et techniques et des Clauses contractuelles types. Vous trouverez plus d'informations à ce sujet dans la section Transfert de données.

Comment puis-je exercer mes droits en matière de protection de la vie privée ?

Pour exercer vos droits en matière de protection de la vie privée (supprimer vos données personnelles, vous y opposer ou en être informé, restreindre le traitement, etc.), vous pouvez nous contacter à l'adresse électronique privacy@ajax.systems.

Transfert de données

Avec qui la société Ajax peut-elle partager mes données ? Quels types de données peuvent être partagés et dans quels cas ?

En général, nous ne pouvons partager vos données personnelles que lorsque cela est nécessaire pour vous fournir les services demandés. Ces données peuvent être divulguées à nos fournisseurs et prestataires de services, qui fournissent certains services pour le fonctionnement de nos Produits et Services. Cela comprend l'hébergement des données, l'assistance technique, la communication, etc. Nous veillons à ce que ces fournisseurs protègent les données selon les mêmes normes que nous.

Nous pouvons partager vos coordonnées (telles que le numéro de téléphone portable, le pseudo et l'e-mail) avec des fournisseurs de services de sécurité physique si vous nous le demandez en sélectionnant un tel fournisseur dans notre application. Veuillez noter que ces fournisseurs de services agiront en tant que responsables indépendants de vos données personnelles. Bien que nous sélectionnions des partenaires réputés dont les services sont disponibles dans notre application, nous vous recommandons de consulter leurs politiques de confidentialité avant de nous demander de transférer vos données aux entreprises sélectionnées.

Pour certains besoins, Ajax peut utiliser les services de sous-traitants tiers situés en dehors de l'EEE. Ces besoins peuvent inclure l'hébergement de données, la communication technique pour l'enregistrement, l'installation et d'autres activités organisationnelles via le courrier électronique ou le téléphone.

Ajax fait le nécessaire pour s'assurer que ces transferts sont effectués en conformité avec toutes les lois applicables en matière de protection des données. Par conséquent, Ajax a signé des accords de traitement des données (DPA) avec tous les sous-traitants (y compris des clauses contractuelles types (SCC) dans le cas de transferts de données transfrontaliers), ainsi que des mesures supplémentaires dans le cas de transferts et de traitements de données. Tous les sous-traitants d'Ajax ont leur propre politique de protection de la vie privée et d'autres documents relatifs à la protection de la vie privée, qui sont examinés par les professionnels d'Ajax afin d'en assurer la conformité sur une base régulière.

Liste des sous-traitants approuvés par Ajax:

Qu'est-ce que les Clauses contractuelles types ?

Les clauses contractuelles types (SCC) sont des modèles de clauses de protection des données normalisées et préapprouvées qui permettent aux responsables du traitement et aux sous-traitants de se conformer à leurs obligations en vertu de la législation européenne sur la protection des données. Elles peuvent être intégrées par les responsables du traitement et les sous-traitants dans leurs accords contractuels avec d'autres parties, telles que les partenaires commerciaux. Les clauses peuvent être utilisées sur une base volontaire pour démontrer le respect des exigences en matière de protection des données, ce qui nécessite un engagement contractuel contraignant à les respecter. La Commission européenne a le pouvoir d'adopter des SCC(1) en ce qui concerne la relation entre le responsable du traitement et le sous-traitant et (2) pour le transfert de données à caractère personnel vers des pays situés en dehors de l'EEE.

Qu'est-ce que les Mesures supplémentaires ?

Les Mesures supplémentaires sont des procédures techniques et organisationnelles spécialement mises en œuvre pour atteindre un niveau d'assurance efficace sur les données transférées équivalent au traitement des données au sein de l'EEE.

Ajax a mis en œuvre des mesures organisationnelles incluant, sans s'y limiter, les suivantes :

• des formations de sensibilisation régulières et des examens pour les employés d'Ajax ;
• un système automatisé de surveillance en temps réel des violations et des vulnérabilités ;
• l'enregistrement continu de tous les processus.
• l'inspection et la validation personnalisées régulières du système Ajax concernant les vulnérabilités.

Ajax a mis en œuvre mesures techniques , notamment les suivantes :

• Mesures visant à empêcher les personnes non autorisées d'accéder aux systèmes de traitement des données situés dans les locaux et installations (y compris les bases de données, les serveurs d'applications et le matériel connexe), où des données à caractère personnel sont traitées, y compris la création de zones de sécurité, la restriction des voies d'accès, la création d'autorisations d'accès pour les employés et les tiers, le verrouillage des portes (ouvre-portes électriques, etc.).
• Mesures visant à empêcher l'utilisation des systèmes de traitement des données par des personnes non autorisées, y compris les procédures d'identification et d'authentification des utilisateurs, les procédures de sécurité des identifiants et des mots de passe, le chiffrement des supports de données archivés.
• Mesures visant à garantir que les personnes autorisées à utiliser un système de traitement des données n'ont accès qu'à ces données personnelles conformément à leurs droits d'accès et que les données personnelles ne peuvent être lues, copiées, modifiées ou supprimées sans autorisation, y compris les politiques et procédures internes, les systèmes d'autorisation de contrôle, les droits d'accès différenciés (profils, rôles, transactions et objets), la surveillance et l'enregistrement des accès, les mesures disciplinaires à l'encontre des employés qui accèdent à des données personnelles sans autorisation.
• Mesures visant à garantir que les données à caractère personnel ne peuvent être lues, copiées, modifiées ou supprimées sans autorisation lors de la transmission électronique, du transport ou du stockage sur des supports (manuels ou électroniques) et qu'il est possible de vérifier à quelles sociétés ou autres entités juridiques les données à caractère personnel sont divulguées, y compris le chiffrement, la journalisation et la sécurité du transport. Toutes les données personnelles sont chiffrées avec l'algorithme AES256 au repos et sont soumises à un transfert via HTTPS avec chiffrement AES128 et TLS 1.2.
• Mesures permettant de contrôler si des données ont été saisies, modifiées ou supprimées (effacées) et par qui, dans les systèmes de traitement des données, y compris les systèmes d'enregistrement et de compte rendu, les pistes d'audit et la documentation.
• Mesures visant à garantir la protection des données à caractère personnel contre la destruction accidentelle ou la perte (physique/logique), y compris les procédures de sauvegarde, l'alimentation électrique sans interruption (UPS), le stockage à distance, les systèmes antivirus/pare-feu, le plan de reprise après sinistre, le plan de viabilité de l'entreprise.
• Mesures visant à garantir que les données à caractère personnel collectées à des fins différentes peuvent être traitées séparément, y compris la séparation des bases de données, la limitation de l'utilisation, la séparation des fonctions (production/test).

Qu'est-ce qu'une Analyse d'impact du transfert des données personnelles (TIA) ?

Une Analyse d'impact du transfert (TIA) est une analyse effectuée par un responsable du traitement des données ou par un sous-traitant des données sur les implications en matière de sécurité d'un transfert de données à caractère personnel vers des pays situés en dehors de l'UE/EEE ou bénéficiant d'une décision d'adéquation.