Accord de sous-traitance des données personnelles

Parties et rôles

Client : l’organisation titulaire d’un compte entreprise LeanOS, représentée par les personnes qui acceptent les conditions en son nom. Il est responsable du traitement des Données du Client.

LeanOS : Centre Educatiu del CAD CAM, SL, société à responsabilité limitée de droit espagnol, CIF B62582945, dont le siège social est situé Avinguda Antoni Gaudí 15, Local 2, 08840 Viladecans (Barcelone), Espagne. Il est sous-traitant pour les Données du Client.

Données du Client : les données personnelles contenues dans ce que le Client et ses utilisateurs saisissent dans leur espace LeanOS (projets, charters, KPIs, jalons, actions, idées, fichiers, commentaires et conversations avec l’IA au sein d’un projet), ainsi que l’appartenance et les rôles des personnes de cet espace.

LeanOS est responsable du traitement, et non sous-traitant, pour les données qu’il traite pour ses propres finalités : comptes utilisateurs et connexion, facturation, tickets de support, journaux de sécurité et limitation du nombre de requêtes, le site et ses formulaires, et le marketing. Ces traitements sont décrits dans la politique de confidentialité, https://leanos-app.com/fr/privacy, et sortent du champ du présent accord.

Objet, durée, nature et finalité

Objet : héberger et traiter les Données du Client pour que le Client puisse utiliser LeanOS.

Durée : tant que LeanOS traite des Données du Client en application des conditions générales, et jusqu’à leur suppression selon la rubrique « Suppression ou restitution en fin de contrat ».

Nature : stockage, organisation, affichage, consultation, envoi par e-mail (par exemple les invitations à un projet), traitement par les fonctionnalités d’IA à la demande d’un utilisateur, sauvegarde et suppression.

Finalité : fournir LeanOS au Client tel que le décrivent les conditions générales, à l’exclusion de toute autre finalité.

Types de données personnelles

Données d’identification et de contact des personnes de l’espace : nom, e-mail professionnel, fonction ou rôle.

Informations professionnelles saisies dans les projets : responsabilités, actions attribuées et échéances, responsables et résultats des KPIs, commentaires, descriptions de processus, et traces de qui a créé ou modifié chaque élément.

Les fichiers déposés par les utilisateurs et les données personnelles qu’ils contiennent.

Le texte que les utilisateurs envoient aux fonctionnalités d’IA, et les réponses.

LeanOS n’est pas conçu pour les catégories particulières de données personnelles (article 9 du RGPD) ni pour les données relatives aux condamnations pénales (article 10). Le Client ne doit pas en saisir.

Catégories de personnes concernées

Les utilisateurs du Client : salariés, managers et prestataires disposant d’un compte LeanOS dans l’entreprise du Client.

Les collaborateurs externes que le Client invite dans un projet.

Les personnes citées dans le contenu : membres d’équipe, parties prenantes, responsables de processus, contacts chez les fournisseurs et les clients.

Traitement sur instructions documentées

LeanOS ne traite les Données du Client que sur instructions documentées du Client. Ces instructions sont les conditions générales, le présent accord et la manière dont le Client utilise et paramètre LeanOS, y compris pour les transferts hors de l’EEE, qui n’ont lieu que dans les conditions décrites à la rubrique « Sous-traitants ultérieurs ». Si le droit de l’Union ou d’un État membre impose à LeanOS de traiter les Données du Client autrement, LeanOS en informe le Client au préalable, sauf si ce droit l’interdit. LeanOS informe immédiatement le Client si, selon lui, une instruction constitue une violation du RGPD ou d’une autre règle de protection des données.

LeanOS ne vend pas les Données du Client et ne les utilise pas pour entraîner des modèles d’IA.

Confidentialité

Seules les personnes de LeanOS qui en ont besoin pour exploiter, assister ou sécuriser le service peuvent accéder aux Données du Client, et uniquement à cette fin. Chacune d’elles est tenue à une obligation de confidentialité, contractuelle ou légale.

Sécurité

LeanOS met en œuvre les mesures techniques et organisationnelles énumérées dans l’annexe « Mesures de sécurité », à la fin du présent accord, adaptées au risque comme l’exige l’article 32 du RGPD. LeanOS peut les faire évoluer, à condition que le niveau global de sécurité ne diminue pas.

Sous-traitants ultérieurs

Le Client donne à LeanOS une autorisation écrite générale de recourir à des sous-traitants ultérieurs. Voici les sous-traitants actuels, chacun ne traitant les Données du Client que pour la tâche indiquée :

Supabase — base de données, connexion et stockage des fichiers. Les données sont hébergées dans l'UE (Francfort). Supabase Inc. est une société américaine : CCT.

Railway — exécution de l'application, dans sa région UE (Amsterdam). Railway Corp. est une société américaine : CCT.

Arsys Internet S.L.U. (Espagne) — envoi des e-mails que LeanOS adresse aux utilisateurs, comme les invitations à un projet, et hébergement de la boîte de support.

Resend — envoi d'e-mails de secours, uniquement lorsque ce service est activé. Société américaine : CCT.

OpenAI — fonctionnalités d'IA, uniquement lorsqu’un utilisateur les utilise. Société américaine : CCT. Les données transmises via son API ne servent pas à entraîner ses modèles ; OpenAI peut les conserver jusqu’à 30 jours pour détecter les abus.

Cloudflare — stockage des sauvegardes de la base de données. Société américaine : CCT / Data Privacy Framework UE–États-Unis.

GitHub — exécution de la tâche de sauvegarde horaire ; la sauvegarde transite par les serveurs de GitHub aux États-Unis : CCT / Data Privacy Framework UE–États-Unis.

CCT désigne les clauses contractuelles types de la Commission européenne. Stripe et Holded, également cités dans la politique de confidentialité, ne reçoivent que des données de facturation, dont LeanOS est responsable du traitement ; ils ne sont pas sous-traitants ultérieurs au sens du présent accord.

LeanOS impose à chaque sous-traitant ultérieur des obligations de protection des données offrant au moins la protection du présent accord, et reste responsable envers le Client de leur exécution par ses sous-traitants ultérieurs.

Modifications : LeanOS informe le Client de tout ajout ou remplacement envisagé d’un sous-traitant ultérieur dans un délai raisonnable avant son application, par e-mail aux administrateurs du Client et par la mise à jour de cette page. Avant l’application de la modification, le Client peut s’y opposer pour des motifs raisonnables liés à la protection des données en écrivant à support@leanos-app.com. Si les parties ne trouvent pas de solution, le Client peut fermer son compte avant que la modification ne s’applique.

Droits des personnes concernées

LeanOS aide le Client, par des mesures techniques et organisationnelles appropriées et dans toute la mesure du possible, à répondre aux demandes des personnes concernées (articles 12 à 23 du RGPD). Dans LeanOS, chaque utilisateur peut télécharger ses propres données (« Télécharger mes données », dans le profil) et supprimer son compte. Une demande portant sur des Données du Client qui parvient directement à LeanOS est transmise au Client dans les meilleurs délais ; LeanOS n’y répond pas au nom du Client sauf instruction de celui-ci.

Analyses d’impact et autre assistance

Compte tenu de la nature du traitement et des informations dont il dispose, LeanOS aide le Client à respecter ses obligations au titre des articles 32 à 36 du RGPD : sécurité, notification des violations, analyses d’impact relatives à la protection des données et consultation préalable de l’autorité de contrôle. Il le fait au moyen des informations du présent accord et de toute autre information sur le traitement que le Client demande raisonnablement.

Violations de données personnelles

LeanOS notifie au Client toute violation de données personnelles affectant les Données du Client dans les meilleurs délais après en avoir pris connaissance, par e-mail aux administrateurs du Client. La notification décrit, dans la mesure de ce qui est alors connu, la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements touchés, les conséquences probables et les mesures prises ou envisagées ; les éléments encore inconnus sont communiqués dès qu’ils le sont. LeanOS prend des mesures raisonnables pour contenir la violation et en limiter les effets. La notification à l’autorité de contrôle et aux personnes concernées reste la décision du Client, en tant que responsable du traitement.

Suppression ou restitution en fin de contrat

Restitution : jusqu’à la fin, les utilisateurs du Client peuvent exporter leurs projets, et chaque utilisateur ses propres données, depuis LeanOS.

La résiliation d’un abonnement ne supprime rien : l’entreprise passe à l’offre gratuite, comme l’expliquent les conditions générales. Lorsque le Client demande la suppression de son entreprise et de son contenu (support@leanos-app.com), ou lorsque le dernier membre d’une entreprise supprime son compte, LeanOS supprime l’entreprise et les Données du Client de la base de données de production dans un délai de 30 jours. Le droit de l’Union ou d’un État membre peut imposer de conserver certaines données plus longtemps.

Sauvegardes : les sauvegardes de la base de données expirent d’elles-mêmes (la sauvegarde quotidienne du fournisseur de base de données après 7 jours ; les copies propres de LeanOS, horaires après 7 jours et quotidiennes après 30 jours), de sorte que les données supprimées en disparaissent dans les 30 jours suivant leur suppression. Les copies des fichiers déposés conservées dans la sauvegarde externe des fichiers de LeanOS suivent la même règle : un fichier supprimé de LeanOS est mis de côté dans cette sauvegarde puis retiré sous 30 jours ; lorsque LeanOS supprime l’entreprise, il en retire aussi les fichiers du Client.

Toute copie qui subsiste jusque-là reste couverte par le présent accord.

Audits et informations

LeanOS met à la disposition du Client les informations nécessaires pour démontrer le respect de l’article 28 du RGPD. Si ces informations ne suffisent pas, le Client, ou un auditeur indépendant qu’il mandate et qui est tenu à la confidentialité, peut auditer le traitement : moyennant un préavis écrit d’au moins 30 jours, pendant les heures ouvrables, sans perturber le service ni accéder aux données d’autres clients, et aux frais du Client. Les audits sont limités à un par an, sauf exigence d’une autorité de contrôle ou survenance d’une violation de données personnelles.

Responsabilité

La responsabilité de chaque partie au titre du présent accord est soumise à la limitation de responsabilité prévue par les conditions générales, dans la mesure permise par le RGPD et le droit applicable. Rien dans le présent accord ne limite la responsabilité de l’une ou l’autre partie envers les personnes concernées au titre de l’article 82 du RGPD.

Droit applicable

Le présent accord est régi par le droit espagnol. Les litiges seront portés devant les tribunaux espagnols, comme pour les conditions générales.

Modifications du présent accord

LeanOS peut mettre à jour le présent accord pour tenir compte d’évolutions de la loi ou du service. Une modification substantielle est annoncée de la même manière qu’une modification des conditions générales, et la date de « Dernière mise à jour » ci-dessus change avec elle.

Annexe — Mesures de sécurité

Hébergement dans l’UE : la base de données, la connexion et le stockage des fichiers sont chez Supabase, à Francfort ; l’application s’exécute chez Railway, dans sa région UE (Amsterdam).

Chiffrement en transit : toutes les connexions à LeanOS passent par HTTPS, et les navigateurs reçoivent l’instruction de n’utiliser que HTTPS (HSTS).

Contrôle d’accès dans la base de données : la sécurité au niveau des lignes est activée sur chaque table, de sorte que chaque utilisateur n’accède qu’aux données des entreprises et des projets dont il fait partie. Au sein d’une entreprise, les administrateurs du Client décident qui a accès et avec quel rôle.

Connexion : les mots de passe ne sont conservés que sous forme de hash. Une session prend fin après 30 jours d’inactivité et au plus tard après 90 jours, et la réutilisation d’un jeton de renouvellement volé est détectée et la session révoquée.

Protections de l’application : une politique de sécurité du contenu (CSP) est appliquée, les autres sites ne peuvent pas intégrer LeanOS dans un cadre, et les requêtes qui modifient des données sont soumises à une limitation du nombre de requêtes.

Clés : la clé d’administration de la base de données n’est utilisée que sur le serveur, jamais dans le navigateur.

Sauvegardes : le fournisseur de base de données conserve une sauvegarde quotidienne pendant 7 jours. LeanOS conserve en outre ses propres copies chez un autre fournisseur (Cloudflare R2), dans un espace de stockage privé accessible avec des identifiants distincts : une copie programmée toutes les heures, conservée 7 jours, et une par jour, conservée 30 jours. Les copies plus anciennes sont supprimées automatiquement.

Suppression automatique : les règles de conservation s’exécutent chaque nuit et suppriment les données dont la durée est écoulée.

IA : le texte n’est transmis au fournisseur d’IA que lorsqu’un utilisateur utilise une fonctionnalité d’IA, via son API, qui ne l’utilise pas pour entraîner ses modèles.

Environnements séparés : le développement et les tests disposent de leurs propres bases de données, distinctes de celle de production.

Contact

Questions, demandes ou exercice de vos droits — écrivez à support@leanos-app.com.