Contrat de traitement des données (DPA)

01Avertissement important

Ce document est un projet de travail et un résumé-modèle. Un DPA complet et juridiquement contraignant doit être préparé et validé par un professionnel du droit qualifié avant toute signature avec un client. Ce modèle ne constitue pas un avis juridique.

02Rôles

Le Client est le responsable de traitement : il détermine les finalités et les moyens du traitement des données personnelles présentes dans son annuaire (Microsoft Entra ID ou Google Workspace).

RingSync est le sous-traitant : il ne traite les données personnelles que sur les instructions documentées du Client, telles que définies dans les Conditions d'utilisation et le présent DPA.

03Objet et nature du traitement

Objet : la fourniture du service de synchronisation d'annuaire décrit dans les Conditions d'utilisation.

Nature du traitement : lecture des données d'annuaire depuis le fournisseur d'annuaire du Client via API ; proxysage (streaming) des données de contact vers les appareils des collaborateurs inscrits ; stockage des métadonnées de synchronisation (enregistrements de jobs, journaux d'action par contact identifié par son Entra Object ID).

Point clé — absence de stockage des contacts : RingSync ne stocke pas les valeurs de champs de contact de l'annuaire (noms, adresses e-mail, numéros de téléphone, photos, intitulés de poste) sur ses serveurs. Ces données n'existent que dans l'annuaire du Client et sur les appareils des collaborateurs.

Durée du traitement : pendant la durée de l'abonnement du Client, augmentée du délai de grâce applicable après la résiliation (voir Conditions d'utilisation §Facturation).

04Catégories de personnes concernées et de données

Personnes concernées : collaborateurs, prestataires et autres individus dont les comptes sont présents dans l'annuaire du Client et dans le périmètre de synchronisation configuré.

Catégories de données personnelles proxysées (non stockées par RingSync) : prénom, nom, adresse e-mail professionnelle, numéro(s) de téléphone professionnel(s), numéro de téléphone mobile, intitulé de poste, département, nom de l'entreprise, photo de profil.

Catégories de données personnelles stockées par RingSync : Entra Object IDs (identifiants internes Microsoft non directement visibles par les utilisateurs finaux) dans les journaux de synchronisation ; adresse e-mail et nom affiché de l'utilisateur mobile ; jetons de notification push.

Données de catégories spéciales (art. 9 RGPD) : le service de synchronisation standard ne traite pas de données de catégories spéciales. Si l'annuaire du Client contient de telles données, il lui appartient de s'assurer qu'elles sont exclues du périmètre de synchronisation ou qu'il existe une base légale valide au titre de l'art. 9.

05Instructions du Client

RingSync ne traite les données personnelles que sur les instructions documentées du Client. Ces instructions sont : (a) synchroniser les données d'annuaire dans le périmètre configuré vers les appareils des collaborateurs inscrits ; (b) appliquer les filtres de groupes et les exclusions configurés ; (c) effectuer un wipe sélectif lors d'événements de déprovisionnement.

Si RingSync est contraint par une obligation légale applicable de traiter des données au-delà de ces instructions, il en informera le Client dans la mesure permise par la loi.

06Sous-traitants ultérieurs

RingSync fait appel aux sous-traitants ultérieurs listés dans la Politique de confidentialité à /legal/privacy. La liste à jour est également disponible sur demande via /contact.

RingSync informera le Client de toute modification envisagée de la liste des sous-traitants ultérieurs avec un préavis d'au moins {{À VALIDER : durée — 30 jours recommandé}}, laissant au Client la possibilité de s'y opposer.

{{À VALIDER : mécanisme contractuel avec les sous-traitants — CCT, clauses de traitement de données}}.

07Mesures de sécurité

RingSync met en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles contre la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès accidentel ou illicite, telles que décrites à la page Sécurité accessible à /legal/security.

{{À VALIDER : art. 32 RGPD — liste précise des mesures techniques et organisationnelles à annexer}}.

08Assistance à l'exercice des droits des personnes concernées

RingSync prête assistance au Client pour lui permettre de s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées, compte tenu de la nature du traitement.

Note : RingSync ne stockant pas les données de contact de l'annuaire, les demandes d'effacement et d'accès portant sur ces données doivent être traitées par le Client auprès de son fournisseur d'annuaire (Microsoft Entra ID ou Google Workspace) et directement sur l'appareil du collaborateur concerné. RingSync peut apporter son assistance pour les données qu'il stocke (métadonnées de synchronisation, données utilisateur mobile) sur demande.

09Notification des violations de données

RingSync notifie le Client dans les meilleurs délais et dans un délai de {{À VALIDER : durée — 72 heures recommandé}} à compter de la prise de connaissance d'une violation de données personnelles affectant les données du Client. La notification comprend les informations disponibles prévues à l'art. 33(3) RGPD.

10Sort des données en fin de contrat

À l'issue de l'abonnement, RingSync supprimera ou restituera l'ensemble des données personnelles traitées pour le compte du Client, conformément au calendrier de conservation défini dans les Conditions d'utilisation.

{{À VALIDER : modalités de restitution — format, délai, procédure de certification de suppression}}.

11Audits et inspections

RingSync met à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations de l'art. 28 RGPD, et contribue aux audits effectués par le Client ou par un auditeur mandaté par ce dernier.

{{À VALIDER : modalités pratiques d'audit — préavis, périmètre, fréquence, coût}}.