Protection des données et sous-traitance : une mise à disposition conforme au RGPD

À première vue, une notice d’instructions numérique ne traite guère de données personnelles. Mais dès que des utilisateurs demandent une version papier ou que votre équipe travaille dans l’application, des noms, adresses postales, adresses e-mail et données de connexion apparaissent. Cette page explique comment ManualPass les traite. Les mesures de protection techniques comme le chiffrement et la séparation des clients sont décrites sur la page Sécurité.

Quelles données personnelles sont traitées ?

Qui est responsable du traitement, qui est sous-traitant ?

Au sens du RGPD, le responsable du traitement est celui qui détermine les finalités et les moyens d’un traitement. Le sous-traitant est celui qui traite des données personnelles pour le compte et sur instruction du responsable du traitement.

Conclure le contrat de sous-traitance en ligne dans l’application

Un contrat de sous-traitance régit, selon l’article 28 du RGPD, la manière dont un prestataire traite des données personnelles pour le compte d’un client. Chez ManualPass, vous le concluez directement dans l’application :

1. Ouvrez dans l’application la rubrique « Protection des données & contrat de sous-traitance ».
2. Vérifiez le texte du contrat avec les mesures techniques et organisationnelles figurant à l’annexe 2.
3. Concluez le contrat par voie électronique.
4. Enregistrez le contrat conclu en PDF pour vos dossiers.

La forme électronique suffit : l’article 28, paragraphe 9, du RGPD admet expressément, outre la forme écrite, un format électronique. Le journal des modifications consigne la conclusion du contrat de sous-traitance avec la date et la personne.

Où les données sont-elles traitées ?

Toutes les données sont stockées sur des serveurs en Allemagne : documents, journal, données de l’équipe et du compte ainsi que les informations issues des demandes de version papier. Le seul sous-traitant ultérieur est l’hébergeur lima-city (TrafficPlex GmbH, Brême).

Une page de scan sans cookies et sans suivi

La page de scan est la page web publique que les utilisateurs voient après avoir scanné le code QR. Elle ne dépose aucun cookie et n’utilise aucun suivi. Vos clients ne sont donc pas suivis lorsqu’ils lisent la notice.

Demandes de version papier : minimisation des données par anonymisation

Lorsqu’un utilisateur demande une version papier, le fabricant a besoin du nom et de l’adresse pour l’envoi. Ensuite, ces informations ne sont plus nécessaires. ManualPass anonymise donc automatiquement les demandes de version papier après l’envoi :

• Délai au choix : 6, 12, 24 ou 36 mois après l’envoi.
• Est conservé : la date, la machine et le statut de la demande.
• Est supprimé : les données personnelles du demandeur.

Vous pouvez ainsi continuer à prouver que les demandes ont été traitées dans les délais, sans conserver les adresses plus longtemps que nécessaire. La page Demande de version papier décrit le déroulement d’une demande.

Données de sécurité supprimées après 24 heures

ManualPass ne conserve que brièvement les tentatives de connexion échouées et les liens expirés de réinitialisation du mot de passe, afin de prévenir les abus. Ces données sont supprimées après 24 heures. Seules les entrées du journal des modifications, par exemple les connexions réussies, sont conservées plus longtemps, car elles servent à prouver qui a effectué quelle action et quand.

Texte type pour votre politique de confidentialité

Comme vous devez, en tant que responsable du traitement, informer les utilisateurs du traitement, ManualPass met à votre disposition un texte type dans l’application. Vous le reprenez dans votre propre politique de confidentialité et l’adaptez à votre entreprise. Le texte indique que vous faites appel à un prestataire pour la mise à disposition des documents et le traitement des demandes de version papier. Faites vérifier le texte adapté par votre délégué à la protection des données.

Check-list protection des données

• Conclure le contrat de sous-traitance dans l’application sous « Protection des données & contrat de sous-traitance » et l’archiver en PDF
• Fixer le délai d’anonymisation des demandes de version papier
• Reprendre le texte type dans votre propre politique de confidentialité
• Inscrire ManualPass et son sous-traitant ultérieur dans le registre des activités de traitement