Parties et effet
Cet addendum sur le traitement des données (« DPA ») fait partie des conditions de service ou d'un autre accord (« Accord ») entre Happen Software Limited, numéro d'entreprise 736470, de Ground Floor, 71 Lower Baggot Street, Dublin 2, D02 P593, Ireland (« Kanera »), et l'organisation utilisant Kanera hébergé (« Client »). Elle s'applique automatiquement dans la mesure où Kanera traite les données personnelles dans le contenu de l'espace de travail client au nom du Client.
Le Client agit en tant que responsable du traitement ou en tant que sous-traitant pour un autre responsable du traitement. Kanera agit en tant que sous-traitant ou sous-traitant secondaire du Client. Si ce DPA entre en conflit avec l'accord sur le traitement des données personnelles des clients, ce DPA contrôle. Les conditions de responsabilité de l’accord s’appliquent au présent DPA, sauf lorsque la loi applicable ou les conditions de transfert contraignantes en disposent autrement.
Détails du traitement
| Article | Détails |
|---|
| Objet et objectif | Hébergement et exploitation des fonctionnalités de gestion de projet, de collaboration, de fichiers, d'automatisation, d'intégration, de support, de sécurité, de sauvegarde, d'exportation et de suppression de Kanera au fur et à mesure que le client les utilise et les configure |
|---|
| Durée | Pour la durée du Contrat et les périodes documentées de suppression et de sauvegarde après sa fin |
|---|
| Nature du traitement | Collecte, enregistrement, organisation, stockage, récupération, consultation, transmission, restriction, suppression, sauvegarde, restauration et autres opérations nécessaires à la fourniture de Kanera hébergé |
|---|
| Personnes concernées | Personnel du client, sous-traitants, invités du tableau, invités, clients, fournisseurs et autres personnes dont le client ou ses utilisateurs placent les informations dans Kanera. |
|---|
| Données personnelles | Noms, adresses e-mail, données de profil et d'adhésion, affectations de travail, commentaires, notes, fichiers, activité, valeurs de champs personnalisés, données d'intégration, informations sur l'appareil et l'audit, et toute autre donnée personnelle soumise par le client. |
|---|
| Données sensibles | Pas intentionnellement requis. Le client ne doit pas soumettre de données de catégorie spéciale, d'infraction pénale, de carte de paiement, d'identification gouvernementale, de santé, biométriques ou de données similaires restreintes sans accord écrit préalable et garanties appropriées. |
|---|
| Fréquence | En cours, à l'initiative du Client et de ses utilisateurs autorisés |
|---|
Instructions et responsabilités du client
- Kanera traitera les données personnelles du client uniquement selon les instructions documentées du client, y compris l'accord, le présent DPA, la configuration du client et l'utilisation autorisée, à moins que la loi de l'Union ou d'un État membre n'exige le contraire. Lorsque cela est légal, Kanera informera le client avant le traitement légalement requis.
- Kanera informera rapidement le Client si une instruction semble enfreindre la loi applicable en matière de protection des données et pourra suspendre le traitement concerné jusqu'à ce que les parties résolvent le problème.
- Le Client est responsable de la licéité de ses instructions, des données qu'il soumet, des notifications et bases juridiques qu'il fournit, de ses utilisateurs et autorisations, et de sa réponse aux personnes concernées en tant que responsable du traitement.
Confidentialité et sécurité
Kanera garantit que le personnel autorisé à traiter les données personnelles des clients est lié par des obligations de confidentialité appropriées et ne reçoit un accès que dans la mesure nécessaire à ses responsabilités.
Kanera maintient des mesures techniques et organisationnelles adaptées au risque, y compris l'application des locataires et des autorisations, le cryptage des secrets configurés, les informations d'identification et les jetons hachés lorsque le texte en clair n'est pas requis, les contrôles MFA, les pistes de journalisation et d'audit, les limites de débit, la sécurité du transport, les sauvegardes protégées, la gestion des vulnérabilités, l'examen des accès, la réponse aux incidents et les procédures de continuité des activités. Kanera peut mettre à jour les mesures sans réduire sensiblement la protection globale.
Violations de données personnelles
Kanera informera le client sans délai indu après avoir pris connaissance d'une violation confirmée des données personnelles affectant les données personnelles du client. L'avis décrira, à mesure que les informations deviennent raisonnablement disponibles, la nature de la violation, les données et les personnes concernées, les conséquences probables, les mesures d'atténuation prises ou proposées et un contact pour le suivi.
Kanera coopérera raisonnablement à l’enquête du Client et aux notifications légalement requises. La notification ne constitue pas un aveu de faute ou de responsabilité. Le client reste responsable de décider s'il doit informer son autorité de contrôle, ses personnes concernées ou autres, et comment, à moins que la loi applicable n'attribue cette obligation à Kanera.
Assistance aux personnes concernées et à la conformité
Compte tenu de la nature du traitement, Kanera fournira une assistance raisonnable et techniquement réalisable au Client pour répondre aux demandes d'accès, de correction, de suppression, de restriction, de portabilité, d'opposition et de droits concernant la prise de décision automatisée. Si Kanera reçoit une demande concernant le contenu de l'espace de travail du client, elle dirigera le demandeur vers le client et en informera le client lorsque cela est approprié et légal.
Kanera fournira une assistance raisonnable en matière de sécurité, de notification des violations, d'évaluations d'impact sur la protection des données et d'obligations de consultation préalable, en tenant compte du traitement et des informations dont Kanera dispose. Les travaux matériels en dehors du service hébergé peuvent nécessiter des frais de services professionnels convenus.
Sous-traitants
Le client donne l'autorisation écrite générale à Kanera d'utiliser les sous-traitants ultérieurs répertoriés sur la page Sous-traitants ultérieurs. Kanera impose des obligations écrites de protection des données adaptées aux services de chaque sous-traitant ultérieur et reste responsable de l'exécution de ses obligations de sous-traitant.
Kanera donnera un préavis d'au moins 30 jours avant qu'un nouveau sous-traitant secondaire ne commence à traiter les données personnelles des clients lorsque cela est raisonnablement possible. Le client peut s'y opposer pendant cette période pour des motifs raisonnables liés à la protection des données. Les parties travailleront de bonne foi pour trouver une solution ; si aucun n'est raisonnablement disponible, le Client peut résilier le service hébergé concerné avant le début du nouveau sous-traitant et recevoir un remboursement au prorata des frais prépayés pour la période résiliée non utilisée.
Virements internationaux
Les données des espaces de travail hébergés sont conservées en Irlande et en Allemagne. Kanera ne transférera pas les données personnelles des clients en dehors de l'EEE, sauf conformément à la loi applicable en matière de protection des données et à une décision d'adéquation, aux clauses contractuelles types approuvées ou à un autre mécanisme de transfert légal.
Si un transfert restreint depuis l'EEE nécessite des clauses contractuelles types, le module de contrôleur à processeur ou de processeur à processeur de la Commission européenne alors en vigueur, selon le cas, est intégré dans le présent DPA. La clause facultative d’amarrage s’applique ; L'Irlande est l'État membre dirigeant ; la Commission irlandaise de protection des données est l'autorité de contrôle compétente lorsque les clauses autorisent cette sélection. Pour un transfert restreint au Royaume-Uni, l’Addendum sur le transfert international de données au Royaume-Uni s’applique à ces clauses. Les conditions de transfert contraignantes prévalent sur les conditions contradictoires du transfert concerné.
Retour et suppression
Pendant la durée du service, le Client peut supprimer le contenu et utiliser les exportations disponibles. À la résiliation, le Client doit exporter les données accessibles avant la fin de l'accès. Lorsque cela est techniquement disponible et légal, le client peut demander une exportation dans les 30 jours suivant la résiliation.
Après cette période, Kanera supprimera ou anonymisera les données personnelles des clients conformément au calendrier de conservation de la politique de confidentialité, y compris la suppression des copies de sauvegarde cryptées résiduelles via le cycle de sauvegarde normal dans les 14 jours. Kanera peut conserver les enregistrements concernés uniquement lorsque la loi, une conservation légale, la prévention de la fraude, la sécurité ou l'établissement ou la défense de réclamations l'exigent, et isolera et protégera les données conservées d'autres traitements.
Informations et audits
Kanera mettra à disposition les informations raisonnablement nécessaires pour démontrer la conformité au présent DPA. Le Client ne peut demander un examen de conformité qu'une fois par an au maximum, ou plus souvent lorsque cela est requis par une autorité de contrôle ou à la suite d'une violation substantielle de données personnelles.
Les parties utiliseront d'abord les politiques actuelles, les informations de sécurité et les rapports indépendants si disponibles. Si ceux-ci sont insuffisants et qu’un audit est légalement nécessaire, les parties conviendront d’une portée, d’un calendrier, de protections de confidentialité proportionnés, d’un auditeur indépendant qualifié, d’une répartition des coûts et de contrôles qui évitent d’exposer les données d’autres clients ou de créer un risque de sécurité. Kanera traitera rapidement toute non-conformité matérielle fondée.
Demandes du gouvernement
Sauf interdiction légale, Kanera informera le client d'une demande contraignante d'une autorité publique concernant les données personnelles du client avant leur divulgation. Kanera examinera la demande, la contestera lorsqu'il existe des motifs raisonnables et ne divulguera que les données minimales légalement requises.
Intelligence artificielle
Kanera n'utilisera pas les données personnelles du client pour former, affiner, développer ou améliorer un modèle d'intelligence artificielle ou d'apprentissage automatique à usage général, et interdira contractuellement aux sous-traitants ultérieurs de le faire à leurs propres fins, à moins que le client n'autorise expressément l'utilisation spécifique par écrit.
Kanera n'utilise pas les données personnelles des clients uniquement pour des décisions automatisées produisant des effets juridiques ou d'importance similaire. Si cela change pour une fonctionnalité facultative dirigée par le client, Kanera fournira les informations et l'assistance raisonnablement nécessaires au client pour remplir les obligations applicables avant de l'activer.
Contact et modifications
Les avis et demandes de protection des données dans le cadre du présent DPA peuvent être envoyés à [email protected]. Kanera peut mettre à jour ce DPA pour refléter les changements de loi ou de service, mais ne réduira pas matériellement la protection pendant une période payante sans préavis et sans base légale. Il s'agit de la version 1 de DPA, entrée en vigueur le 20 août 2026.