Accord de traitement des données

Le Client est responsable du traitement et EasyHaus sous-traitant des données personnelles décrites à l’annexe 1. EasyHaus les traite uniquement selon les instructions documentées du Client, constituées par les conditions de service, ce DPA et l’utilisation du service. EasyHaus informe le Client s’il estime qu’une instruction enfreint le droit de la protection des données.

EasyHaus veille à ce que les personnes autorisées à traiter les données soient soumises à confidentialité. Le personnel accède à l’organisation du Client pour assistance uniquement après activation par son propriétaire ; l’accès est limité, motivé et consigné dans la piste d’audit du Client.

EasyHaus applique les mesures techniques et organisationnelles de l’annexe 2 et peut les actualiser à condition de ne pas diminuer le niveau global de protection.

Le Client autorise de manière générale les sous-traitants de l’annexe 3. EasyHaus annonce les ajouts ou remplacements au propriétaire par e-mail au moins 30 jours à l’avance. Le Client peut s’y opposer pour des motifs raisonnables de protection des données ; sans résolution, il peut résilier le service concerné. EasyHaus impose à chaque sous-traitant des obligations équivalentes à ce DPA et en reste responsable.

• Demandes des personnes concernées : le service permet au Client d’exporter, corriger et effacer les données d’un client investisseur. EasyHaus transmet les demandes reçues directement au Client sans y répondre lui-même.
• EasyHaus aide aux analyses d’impact sur la protection des données et aux consultations des autorités lorsque les informations lui sont disponibles.

EasyHaus informe le Client sans retard injustifié, et au plus tard sous 48 heures, après avoir pris connaissance d’une violation affectant ses données. La notification décrit la nature de la violation, les données et personnes concernées dans la mesure connue, ses conséquences probables et les mesures prises, et est actualisée à mesure que de nouvelles informations deviennent disponibles.

Pendant l’abonnement et 90 jours après sa fin, le Client peut exporter toutes ses données. Après ce délai, ou 30 jours après la suppression de son organisation, EasyHaus supprime les données de la base et du stockage de fichiers. Les sauvegardes chiffrées expirent selon leur rotation habituelle sous 30 jours. Les données ne sont conservées plus longtemps que si la loi l’exige.

EasyHaus fournit les informations nécessaires pour démontrer le respect de l’article 28 du RGPD, dont un résumé de son dernier examen de sécurité. Le Client peut auditer la conformité ou mandater un auditeur indépendant, avec préavis de 30 jours, au maximum une fois par an sauf violation ou exigence d’une autorité, à ses frais et sous confidentialité.

La base contenant les Données du Client est hébergée dans l’Union européenne. Les sous-traitants de l’annexe 3 établis aux États-Unis ou y traitant des données sont certifiés au titre du cadre de protection des données UE–États-Unis, et les clauses contractuelles types de leurs accords s’appliquent aussi. EasyHaus est exploité depuis la République d’Azerbaïdjan ; l’accès aux Données du Client depuis l’Azerbaïdjan est couvert par les clauses contractuelles types. EasyHaus transfère les données personnelles hors de l’EEE uniquement avec ces garanties au titre du chapitre V du RGPD.

La responsabilité au titre de ce DPA suit les conditions de service. En cas de conflit, le DPA prévaut pour le traitement des données personnelles. Il prend fin lorsqu’EasyHaus ne traite plus de données personnelles du Client.

• Chiffrement en transit avec TLS et HSTS.
• Chiffrement au repos des identifiants fiscaux, numéros de pièce d’identité, numéros de compte bancaire, identifiants des bénéficiaires effectifs, secrets du second facteur et codes de récupération avec AES-256-GCM ; clés conservées hors de la base, avec identifiants permettant leur renouvellement.
• Séparation logique des organisations : chaque requête limitée à une organisation, avec contrôle automatique et suite de tests d’isolation.
• Accès par rôle dans chaque organisation (propriétaire, administrateur, gestionnaire, lecteur) ; champs sensibles affichés intégralement uniquement aux propriétaires et administrateurs.
• Mots de passe hachés avec argon2id, longueur minimale et vérification des mots de passe compromis ; authentification à deux facteurs facultative ou obligatoire ; blocage après codes incorrects répétés.
• Jetons de session aléatoires conservés sous forme d’empreinte, avec expiration d’inactivité et absolue, et révocation.
• Limitation de fréquence des connexions, réinitialisations, liens par e-mail, importations et formulaire de contact.
• Stockage privé avec liens d’importation courts et à usage unique ; liste de types autorisés et contrôle du contenu ; réencodage des images.
• Piste d’audit de chaque modification avec champs personnels masqués, non supprimable par les clients ; téléchargements de documents journalisés.
• Accès de l’assistance uniquement avec l’accord du propriétaire, de portée limitée et journalisé.
• Processus serveur renforcés, analyse des vulnérabilités des dépendances et en-têtes de sécurité incluant une Content Security Policy.
• Base de données hébergée dans l’Union européenne ; fichiers chiffrés au repos dans le stockage.
• Sauvegardes nocturnes chiffrées avec AES-256 sur notre serveur avant leur départ, conservées 30 jours, avec contrôle d’intégrité hebdomadaire et procédure de restauration documentée.