Politique de conformité au RGPD
Introduction
Livappy OÜ (Lõkke 12, 10122 Tallinn, Estonia) s’engage à respecter pleinement le règlement général sur la protection des données (RGPD) de l’Union européenne dans l’ensemble de ses activités. La présente politique de conformité au RGPD constitue à la fois une ligne directrice interne et une déclaration publique de la manière dont Livappy assure la protection des données et de la vie privée conformément au RGPD.
Pour toute question ou préoccupation concernant la présente politique ou la protection des données chez Livappy, veuillez nous contacter à l’adresse info@livappy.com.
Champ d’application
La présente politique s’applique à toutes les activités de traitement de données à caractère personnel menées par Livappy OÜ dans le cadre de l’offre de services à des personnes situées dans l’Union européenne. En tant que société établie dans l’UE, Livappy relève de la compétence du RGPD pour tout traitement de données à caractère personnel de personnes se trouvant dans l’UE1. En pratique, cela signifie que toute information personnelle collectée, utilisée, conservée ou autrement traitée par Livappy – qu’elle provienne de clients, d’utilisateurs, de salariés ou de partenaires dans toute l’UE – est traitée conformément aux exigences du RGPD.
Livappy veille à ce que les principes et règles du RGPD régissent tous les traitements de données concernés, quel que soit le pays de l’UE dans lequel réside la personne concernée. Nous reconnaissons que le RGPD protège les droits fondamentaux à la vie privée des personnes se trouvant dans l’UE et nous impose des obligations chaque fois que nous traitons des données à caractère personnel de l’UE2.
Dans le cadre de la présente politique, les activités de Livappy couvertes par le RGPD comprennent (sans s’y limiter) : la collecte de données à caractère personnel auprès des utilisateurs et des clients, le stockage ou l’hébergement de ces données (par exemple sur nos serveurs cloud), l’analyse de données à caractère personnel à des fins commerciales et le partage de données avec des prestataires de services autorisés. Toutes ces activités sont réalisées conformément au RGPD et au sein de l’Espace économique européen (EEE) ou selon des mécanismes de transfert approuvés lorsque des données sortent de l’EEE. En résumé, si Livappy traite des données à caractère personnel d’une personne de l’UE, ce traitement entre dans le champ d’application de la présente politique et de la conformité au RGPD.
Transparence
Livappy respecte le principe de transparence en informant clairement les personnes concernées de la manière dont nous collectons, utilisons et partageons leurs informations personnelles. Le RGPD exige des organisations qu’elles soient ouvertes et honnêtes quant aux données à caractère personnel qu’elles recueillent et aux finalités pour lesquelles elles sont utilisées3. À cet égard, Livappy fournit aux personnes concernées des informations complètes sur la protection de la vie privée chaque fois que nous collectons des données à caractère personnel. Ces informations (telles que notre politique de confidentialité) détaillent l’ensemble des informations obligatoires, notamment :
Identité du responsable du traitement :
Nous identifions Livappy OÜ comme responsable du traitement et fournissons nos coordonnées (adresse et adresse électronique) dans toutes les communications relatives à la protection de la vie privée.
Collecte et utilisation des données :
Nous expliquons quelles données à caractère personnel nous collectons, ainsi que comment et pourquoi nous les collectons. Cela inclut les catégories de données (par exemple nom, coordonnées, documents d’identité, etc.) et les finalités pour lesquelles elles sont traitées (telles que la fourniture de nos services, la vérification d’identité, l’assistance à la clientèle, le marketing, etc.).
Bases juridiques :
Pour chaque activité de traitement, nous précisons la base juridique au titre du RGPD qui la justifie – par exemple, si nous nous fondons sur le consentement de l’utilisateur, la nécessité contractuelle, une obligation légale ou des intérêts légitimes. Nous veillons à ce qu’aucune donnée à caractère personnel ne soit traitée sans base juridique valable au titre des articles 6 et 9 du RGPD.
Conservation des données :
Nous informons les personnes de la durée pendant laquelle nous conservons les données à caractère personnel. Livappy s’engage à respecter la limitation de la conservation, ce qui signifie que nous ne conservons les données à caractère personnel que le temps nécessaire à la réalisation des finalités énoncées ou tel que requis par la loi, après quoi les données sont supprimées ou anonymisées de manière sécurisée.
Destinataires des données :
Nous indiquons les tiers ou partenaires susceptibles de recevoir des données à caractère personnel. Cela consiste notamment à signaler si des données à caractère personnel sont partagées avec nos prestataires de services ou sous-traitants (par exemple, fournisseurs d’hébergement cloud, services de vérification d’identité, outils d’analyse) et à faire en sorte que les personnes connaissent les catégories de destinataires.
Droits et contact :
Nous informons les personnes de leurs droits en tant que personnes concernées au titre du RGPD (détaillés dans la section suivante) et fournissons des instructions claires sur la manière d’exercer ces droits, notamment en nous contactant à info@livappy.com. Nous mentionnons également le droit d’introduire une réclamation auprès d’une autorité de contrôle ainsi que les autres informations requises dans nos informations sur la protection de la vie privée.
Toutes les informations relatives à la protection de la vie privée sont présentées sous une forme concise, transparente et aisément accessible, dans un langage clair, comme l’exige le RGPD. Livappy communique ces informations au moment de la collecte des données (ou, si elles proviennent de tiers, dans les meilleurs délais conformément aux articles 13 et 14 du RGPD). Nous nous engageons à mettre à jour nos informations sur la protection de la vie privée chaque fois que nos pratiques en matière de données changent, et nous communiquerons rapidement tout changement important afin d’assurer une transparence continue. En substance, Livappy s’efforce de faire en sorte que les personnes ne soient jamais dans l’ignorance quant à la manière dont leurs données sont traitées, renforçant ainsi la confiance et répondant aux exigences élevées du RGPD en matière de transparence3.
Droits des personnes concernées
En vertu du RGPD, les personnes physiques (personnes concernées) bénéficient de droits étendus concernant leurs données à caractère personnel, et Livappy s’engage pleinement à permettre l’exercice de ces droits et à les respecter. Les droits accordés aux personnes concernées comprennent : le droit d’être informé, le droit d’accès, le droit de rectification, le droit à l’effacement (« droit à l’oubli »), le droit à la limitation du traitement, le droit à la portabilité des données, le droit d’opposition au traitement et le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé (y compris le profilage)4. Nous reconnaissons tous ces droits et avons mis en place des processus pour en faciliter l’exercice.
Exercice des droits
Livappy dispose de procédures conviviales permettant aux personnes d’exercer leurs droits au titre du RGPD. Les personnes concernées peuvent soumettre des demandes à tout moment en nous contactant à info@livappy.com. Nous proposons également des formulaires en ligne ou des paramètres dans l’application (le cas échéant) afin de simplifier la soumission des demandes d’accès, de correction, de suppression, etc.
Lorsqu’une demande est reçue, Livappy :
Vérifie la demande :
Pour des raisons de sécurité, nous pouvons avoir besoin de vérifier l’identité du demandeur afin de garantir que les données à caractère personnel ne soient pas divulguées à une personne non autorisée. Cela peut impliquer de demander des informations supplémentaires ou une authentification si la demande émane d’une adresse électronique ou d’un compte que nous ne connaissons pas déjà.
Répond dans les délais :
Nous répondons à toutes les demandes des personnes concernées sans retard injustifié et dans un délai d’un mois à compter de leur réception, comme l’exige le RGPD6. Si une demande est complexe ou si les demandes sont nombreuses, nous pouvons prolonger ce délai de deux mois supplémentaires, mais nous informerons le demandeur de cette prolongation et de ses motifs dans le délai initial d’un mois. En tout état de cause, l’état d’avancement et l’issue de la demande seront communiqués clairement.
Donne suite à la demande lorsque cela est possible :
Si la demande est valable et qu’aucune exemption légale ne s’applique, Livappy y donnera suite. Par exemple, nous fournirons une copie des données à caractère personnel de la personne que nous traitons (droit d’accès), corrigerons toute inexactitude (rectification), supprimerons les données si cela est demandé et si aucun motif légal impérieux ne s’y oppose (effacement), ou cesserons certains traitements à la suite de demandes d’opposition ou de limitation, le tout conformément aux conditions du RGPD. Lorsque la portabilité des données est demandée, nous fournirons les données à caractère personnel dans un format structuré, couramment utilisé et lisible par machine.
Explique tout refus ou toute limitation :
Dans les rares cas où nous ne pouvons pas donner suite à une demande (par exemple, si une exemption s’applique ou si la demande est manifestement infondée ou excessive), nous informerons la personne du motif précis pour lequel nous ne pouvons pas y donner suite et l’informerons de son droit d’introduire une réclamation auprès d’une autorité de contrôle. Nous ne facturons aucuns frais pour répondre aux demandes d’exercice des droits, sauf si une demande est répétitive ou excessive (auquel cas tous frais ou refus seront strictement conformes à ce que permet le RGPD).
Facilite et documente :
Les procédures internes de Livappy garantissent que le personnel est formé pour reconnaître et traiter correctement les demandes des personnes concernées7. Nous conservons des enregistrements des demandes et des réponses afin de démontrer notre conformité. Nous informons également, si nécessaire, tout sous-traitant ou destinataire tiers concerné (par exemple, si des données ont été partagées et doivent être effacées ou rectifiées, nous communiquerons la demande à ces parties comme requis).
Livappy respecte profondément le contrôle des personnes sur leurs données à caractère personnel. En faisant respecter ces droits et en rendant la procédure simple, nous démontrons notre responsabilité et notre engagement envers l’autonomisation des personnes concernées voulue par le RGPD. Notre équipe se tient prête à tout moment à aider les personnes à comprendre et à exercer leurs droits.
Protection des données dès la conception et par défaut
Livappy adopte la protection des données dès la conception et la protection des données par défaut comme principes fondamentaux dans l’ensemble de ses produits, services et processus opérationnels. Cela signifie que, dès la conception de tout projet ou système, nous intégrons les considérations de protection des données et veillons à ce que les garanties de confidentialité soient intégrées par défaut, et non ajoutées après coup8. Notre approche comprend les pratiques suivantes :
Intégration dès la phase de conception :
Chaque fois que nous développons ou mettons à jour des logiciels, des applications ou des processus opérationnels impliquant des données à caractère personnel, nous évaluons de manière proactive les risques pour la vie privée et intégrons des mesures de protection dès la phase de conception. Par exemple, nous limitons la collecte de données à ce qui est nécessaire à la finalité déterminée (minimisation des données) et choisissons des architectures de systèmes qui protègent les données à caractère personnel (par exemple en recourant à des techniques de pseudonymisation ou d’agrégation lorsque cela est approprié).
Paramètres de confidentialité par défaut :
Les services de Livappy sont configurés avec des paramètres par défaut respectueux de la vie privée. Cela signifie que, sauf si un utilisateur en décide activement autrement, seul le minimum nécessaire de données à caractère personnel est collecté et utilisé. Toutes les fonctionnalités susceptibles d’avoir une incidence sur la vie privée sont réglées par défaut sur les paramètres les plus protecteurs9. Les utilisateurs ne sont pas tenus de consentir à une collecte de données supplémentaire pour que le service fonctionne – la protection de la vie privée est le paramètre standard.
Analyses d’impact relatives à la protection des données (AIPD) :
Nous réalisons des analyses d’impact relatives à la protection des données pour toute activité de traitement nouvelle ou substantiellement modifiée susceptible d’engendrer des risques élevés pour la vie privée des personnes. Grâce aux AIPD, nous identifions rapidement les problèmes potentiels de confidentialité et y remédions en adaptant notre conception ou en mettant en œuvre des garanties supplémentaires. Ce processus garantit la conformité à l’article 35 du RGPD et démontre notre examen approfondi des risques pour la vie privée en amont.
Formation et sensibilisation :
Nos équipes d’ingénierie et de produit sont formées aux principes de protection des données dès la conception. Nous cultivons une culture interne dans laquelle les salariés et les prestataires sont conscients des obligations en matière de protection de la vie privée et appliquent systématiquement une réflexion centrée sur la confidentialité lorsqu’ils traitent des données à caractère personnel. Avant le lancement de nouvelles fonctionnalités, nous réalisons des revues ou des listes de contrôle en matière de confidentialité afin de nous assurer que les contrôles de conformité sont en place.
Revues et améliorations continues :
La protection des données dès la conception n’est pas un effort ponctuel. Livappy surveille et examine en permanence ses systèmes afin de garantir qu’ils respectent les normes de confidentialité dans la durée. Nous procédons à des audits et des mises à jour périodiques des contrôles de sécurité et de confidentialité, nous nous adaptons aux nouvelles orientations réglementaires et intégrons les retours des utilisateurs pour améliorer la protection des données. En cas d’évolution des technologies ou de l’utilisation des données, nous réexaminons nos conceptions afin de maintenir le plus haut niveau de protection des données par défaut.
En intégrant la protection de la vie privée au cœur de nos activités, Livappy ne se contente pas de respecter l’exigence du RGPD en matière de protection des données dès la conception et par défaut : elle instaure également la confiance avec les utilisateurs. Notre objectif est de faire en sorte que la protection de la vie privée fasse partie intégrante de l’innovation et des services de notre entreprise – en protégeant les données à caractère personnel dès la base et par défaut dans chaque cas.
Mesures techniques et organisationnelles
Livappy a mis en œuvre un ensemble complet de mesures de sécurité techniques et organisationnelles afin de protéger les données à caractère personnel et de garantir un niveau de sécurité adapté au risque, comme l’exige l’article 32 du RGPD11. Nous savons que la sauvegarde des données à caractère personnel est primordiale et nous appliquons les meilleures pratiques du secteur pour empêcher tout accès, divulgation, altération ou perte de données non autorisés. Les principales mesures comprennent :
Chiffrement :
Toutes les données à caractère personnel traitées par Livappy sont protégées par un chiffrement robuste, tant en transit qu’au repos. Nous utilisons des protocoles de chiffrement à jour (tels que TLS) pour les données en transit sur les réseaux, ainsi que des algorithmes de chiffrement robustes pour chiffrer les données stockées dans nos bases de données et nos sauvegardes. Cela garantit que, même si des données étaient interceptées ou consultées sans autorisation, elles resteraient inintelligibles et sécurisées12. Lorsque cela est possible, nous proposons des mécanismes de gestion sécurisée des clés de chiffrement afin d’éviter tout point unique de compromission.
Contrôles d’accès :
Livappy applique des mécanismes stricts de contrôle d’accès afin de garantir que les données à caractère personnel ne soient accessibles qu’au personnel autorisé, selon le principe du besoin d’en connaître. Nous avons mis en place des contrôles d’accès fondés sur les rôles et des systèmes d’authentification des utilisateurs (y compris l’authentification multifacteur pour les systèmes sensibles) afin de limiter les personnes pouvant accéder aux données. L’accès du personnel aux données à caractère personnel est accordé en fonction de la fonction occupée et est révoqué ou ajusté sans délai en cas de changement de rôle. Chaque salarié ou prestataire ayant accès à des données à caractère personnel est tenu à des obligations de confidentialité et reçoit une formation à la sécurité des données.
Journalisation et surveillance :
Nous tenons une journalisation détaillée des accès aux systèmes et des activités de traitement des données. Tous les accès aux référentiels de données à caractère personnel, ainsi que les actions importantes effectuées sur des données à caractère personnel, sont consignés dans des pistes d’audit sécurisées. Livappy utilise des outils de surveillance pour examiner les journaux et détecter toute activité irrégulière ou non autorisée. Cela nous aide non seulement à prévenir et à identifier d’éventuels incidents de sécurité, mais fournit également un enregistrement d’audit permettant de démontrer notre responsabilité quant aux accès et modifications de données.
Infrastructure sécurisée (cloud AWS) :
Nos services sont hébergés sur Amazon Web Services (AWS), un fournisseur cloud réputé appliquant des normes de sécurité élevées et des pratiques conformes au RGPD. Nous tirons parti des fonctionnalités de sécurité et des certifications de conformité d’AWS. Par exemple, nous choisissons des régions de centres de données en Europe pour stocker les données à caractère personnel de l’UE, nous exploitons les pare-feux et la sécurité réseau intégrés d’AWS et nous appliquons régulièrement les correctifs et mises à jour logiciels. AWS offre de solides garanties et options de protection des données (y compris le contrôle par le client de la localisation des données, du chiffrement et de la gestion des accès)12, que nous utilisons pour renforcer notre posture de sécurité globale.
Sécurité des réseaux et des systèmes :
Livappy protège ses systèmes informatiques par des mesures telles que des pare-feux, des systèmes de détection et de prévention des intrusions (IDS/IPS), une protection anti-programmes malveillants et une architecture réseau sécurisée. Nous séparons les environnements (par exemple développement, test, production) afin de réduire les risques et appliquons des pratiques de gestion des vulnérabilités comprenant des analyses de vulnérabilité et des tests d’intrusion réguliers. Tout problème de sécurité identifié est traité sans délai.
Politiques organisationnelles et formation :
Nous avons établi des politiques internes de sécurité et de protection des données que tous les salariés et prestataires doivent respecter. Ces politiques couvrent le traitement approprié des données à caractère personnel, l’utilisation des appareils, les protocoles de signalement des incidents et d’autres aspects. Nous organisons régulièrement des programmes de formation et de sensibilisation afin que notre équipe reste vigilante et informée des meilleures pratiques en matière de cybersécurité et de protection de la vie privée. L’accès aux données à caractère personnel exige le respect de ces politiques, et toute violation peut donner lieu à des sanctions disciplinaires.
Audits et évaluations réguliers :
Livappy audite périodiquement ses mesures de protection des données et réalise des évaluations des risques afin d’en garantir l’efficacité continue. Nous réexaminons régulièrement les droits d’accès des utilisateurs, testons nos plans de réponse aux incidents et pouvons faire appel à des auditeurs indépendants pour évaluer nos contrôles de sécurité. Toute faiblesse ou possibilité d’amélioration identifiée est corrigée sans délai. Ces audits nous aident à maintenir la conformité et à nous aligner en permanence sur l’évolution des normes de sécurité et des orientations réglementaires.
Continuité d’activité et sauvegardes :
Afin de nous prémunir contre la perte ou la destruction de données, nous maintenons des routines de sauvegarde sécurisées et disposons de plans de reprise après sinistre. Les sauvegardes des données à caractère personnel critiques sont chiffrées et stockées de manière sécurisée (y compris des sauvegardes hors site ou dans le cloud), et nous testons périodiquement la restauration des données. En cas de défaillance d’un système ou de sinistre, Livappy peut récupérer les données à caractère personnel afin d’éviter toute perte définitive, conformément aux exigences d’intégrité et de disponibilité.
Pseudonymisation et minimisation des données :
Lorsque cela est approprié, Livappy applique la pseudonymisation aux données à caractère personnel – en remplaçant les champs identifiants par des identifiants artificiels – afin de réduire les risques en cas d’accès non autorisé. Nous adhérons également fermement au principe de minimisation des données, en ne collectant et ne conservant que les données à caractère personnel nécessaires à nos finalités déterminées10. En limitant les données que nous détenons et en séparant ou anonymisant les données lorsque cela est possible, nous réduisons l’impact de tout problème de sécurité éventuel.
Grâce à ces mesures et à d’autres, Livappy garantit que les données à caractère personnel sont protégées dès la conception et par défaut à tout moment13. Nous évaluons en permanence les nouvelles technologies et pratiques de sécurité afin de renforcer nos protections. Notre engagement est de maintenir un cadre de sécurité à la pointe qui respecte, voire dépasse, les exigences du RGPD en matière de sécurité des données, protégeant ainsi la confiance que nos utilisateurs et clients placent en nous.
Délégué à la protection des données (DPO)
Le RGPD impose à certaines organisations de désigner un délégué à la protection des données lorsque des critères précis sont remplis, par exemple si les activités de base consistent en un traitement à grande échelle de données sensibles ou en un suivi régulier et systématique à grande échelle des personnes19. Livappy OÜ n’a pas encore désigné de délégué à la protection des données, car l’échelle et la nature actuelles de nos traitements de données n’en font pas une obligation au titre de l’article 37 du RGPD. Plus précisément, les activités de base de Livappy n’impliquent pas actuellement de traitement à grande échelle de catégories particulières de données ni de suivi régulier à grande échelle des personnes qui obligerait légalement à désigner un DPO19. Nous avons évalué nos obligations et déterminé que, pour l’instant, un DPO formel n’est pas requis.
Livappy reste toutefois vigilante quant à cette exigence. Nous nous engageons à désigner à l’avenir un DPO qualifié si nos activités ou nos obligations légales évoluent de telle sorte qu’un DPO devienne nécessaire. Par exemple, si l’activité de Livappy s’étend au traitement à grande échelle de données à caractère personnel très sensibles, ou si nous entamons des activités importantes de profilage ou de suivi, nous réexaminerons la nécessité d’un DPO et procéderons rapidement à une désignation conformément aux dispositions du RGPD.
Mesures actuelles de protection des données
Même en l’absence d’un DPO formellement désigné, Livappy veille à ce que les responsabilités en matière de protection des données soient clairement attribuées au sein de l’organisation :
- Nous disposons d’une équipe (ou d’un responsable) dédiée à la protection de la vie privée et à la conformité, qui supervise le respect du RGPD et conseille sur les questions de protection des données. Cette équipe surveille nos performances en matière de protection des données, fournit des orientations sur les obligations du RGPD et agit comme défenseur interne de la vie privée des utilisateurs.
- Nous fournissons des coordonnées (info@livappy.com) pour toutes les demandes ou questions relatives à la protection des données, et nous traitons ces communications avec le même soin et la même attention que si un DPO était en place. Toute demande ou réclamation reçue est traitée avec diligence et, si nécessaire, transmise à la direction ou à un conseil juridique spécialisé en matière de vie privée.
- Nous maintenons des canaux de communication ouverts avec les autorités de contrôle en tant que de besoin et nous tenons informés des orientations réglementaires afin d’assurer une conformité continue.
Livappy comprend la valeur qu’un DPO peut apporter, même lorsqu’il n’est pas strictement obligatoire – notamment une supervision indépendante et une expertise en matière de protection de la vie privée. Nous continuerons à surveiller nos obligations et n’hésiterons pas à désigner un DPO lorsque les conditions ou notre croissance le rendront approprié. Dans l’intervalle, nous nous engageons à ce que toutes les fonctions essentielles d’un DPO (contrôle de la conformité, conseil sur les AIPD, formation du personnel, etc.) soient assurées par nos structures de gouvernance internes.
Notification des violations de données à caractère personnel
Malgré des protections solides, Livappy reconnaît que des incidents de sécurité peuvent survenir. En cas de violation de données à caractère personnel (incident de sécurité entraînant la destruction, la perte ou l’altération accidentelle ou illicite de données à caractère personnel, ou la divulgation non autorisée de ces données ou l’accès non autorisé à celles-ci), nous disposons d’une procédure claire pour gérer la violation et satisfaire aux obligations de notification du RGPD. Notre plan de réponse aux violations de données comprend les étapes suivantes, conformément aux articles 33 et 34 du RGPD :
Détection immédiate et alerte interne :
Nous disposons de systèmes et de processus permettant de détecter et de nous signaler d’éventuelles violations de données. Nos salariés sont formés pour reconnaître et faire remonter les incidents de sécurité. Dès qu’une violation est suspectée ou identifiée, notre équipe interne de réponse (qui comprend du personnel informatique, de sécurité et de direction) en est informée. Nous désignons un responsable d’incident spécifique pour superviser l’enquête.
Confinement et évaluation :
Livappy contiendra rapidement la violation afin d’empêcher toute fuite supplémentaire de données (par exemple, en isolant les systèmes affectés, en révoquant les identifiants compromis ou en désactivant certaines fonctions). Nous enquêtons ensuite sur l’incident afin de déterminer la nature et l’ampleur de la violation, quelles données et quelles personnes sont touchées, ainsi que les risques potentiels pour les personnes concernées. Dans le cadre de cette évaluation, nous apprécions la probabilité et la gravité de tout préjudice susceptible d’en résulter.
Notification aux autorités (72 heures) :
Si la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes physiques, Livappy notifiera l’autorité de contrôle compétente sans retard injustifié et, si possible, dans les 72 heures après en avoir pris connaissance14. Livappy étant établie en Estonie, notre autorité de contrôle chef de file est probablement l’Inspection estonienne de la protection des données (Andmekaitse Inspektsioon), sauf si la violation concerne des personnes dans plusieurs pays de l’UE (auquel cas nous nous coordonnerons avec l’autorité chef de file dans le cadre du mécanisme du guichet unique).
Notre notification de violation aux autorités comprendra toutes les informations requises (nature de la violation, catégories et nombre approximatif de personnes concernées et d’enregistrements concernés, conséquences probables, mesures prises ou proposées pour remédier à la violation, etc.). Si nous ne sommes pas en mesure de fournir tous les détails dans les 72 heures, nous fournirons les informations de manière échelonnée, comme cela est permis, en expliquant les raisons du retard15,16.
Communication aux personnes concernées :
Si la violation est susceptible d’engendrer un risque élevé pour les données à caractère personnel ou la vie privée des personnes, nous communiquerons également la violation aux personnes concernées sans retard injustifié17. Cette communication sera effectuée en des termes clairs et simples, décrivant la nature de la violation et fournissant des recommandations aux personnes pour atténuer les effets négatifs potentiels (par exemple, nous pourrions conseiller de réinitialiser les mots de passe ou de rester vigilant face à l’hameçonnage si des identifiants ont été exposés). Nous n’informerons pas les personnes si, en raison de mesures techniques efficaces (comme le chiffrement des données) ou d’autres facteurs, les données concernées sont inintelligibles ou le risque est faible, sauf instruction contraire des autorités.
Remédiation et prévention future :
Livappy prendra immédiatement des mesures pour remédier à la cause de la violation. Cela peut impliquer de corriger des vulnérabilités logicielles, de renforcer les contrôles d’accès, d’améliorer le chiffrement ou d’autres actions correctives afin d’éviter qu’un incident similaire ne se reproduise. Nous documenterons également les enseignements tirés et mettrons à jour nos politiques de sécurité et nos formations en conséquence. La direction générale est informée de toutes les violations et de l’avancement des mesures correctives, garantissant ainsi la responsabilité et le soutien nécessaires aux améliorations requises.
Documentation :
Conformément à l’article 33, paragraphe 5, du RGPD, Livappy documente toutes les violations de données, qu’elles nécessitent ou non une notification. Ce registre interne des violations consigne les faits relatifs à la violation, ses effets et les mesures correctives prises. Cette documentation permet aux autorités de contrôle de vérifier notre conformité et nous aide à affiner en permanence notre réponse aux incidents de sécurité. Même pour les incidents mineurs, nous conservons un enregistrement dans le cadre de nos obligations de responsabilité18.
En suivant cette approche structurée, Livappy veille à ce que toute violation de données soit traitée rapidement et de manière transparente, dans le but ultime de protéger les données et les droits de nos utilisateurs. Notre préparation à la réponse aux incidents 24 h/24 et 7 j/7 et notre engagement à respecter le délai de notification de 72 heures reflètent le sérieux avec lequel nous traitons la sécurité des données à caractère personnel et nos obligations au titre du RGPD.
Accords de sous-traitance
Livappy fait appel à certains prestataires de services tiers de confiance (sous-traitants) pour soutenir ses services – par exemple des fournisseurs d’infrastructure cloud, des services de vérification d’identité et des plateformes d’analyse. Conformément aux exigences du RGPD, Livappy signe des accords de sous-traitance (DPA) avec tous les sous-traitants externes qui traitent des données à caractère personnel pour son compte20. Ces DPA sont des contrats formels garantissant que chaque sous-traitant s’engage à respecter le RGPD et protège les données à caractère personnel selon les mêmes normes élevées que les nôtres. Les aspects clés de notre approche des DPA comprennent :
DPA obligatoires avec tous les sous-traitants :
Nous appliquons une politique selon laquelle aucune donnée à caractère personnel ne sera partagée avec un sous-traitant tiers ni confiée à celui-ci sans qu’un DPA conforme au RGPD ne soit en place. Cela inclut des partenaires majeurs tels qu’Amazon Web Services (AWS) pour l’hébergement cloud, Veriff pour les services de vérification d’identité, Google pour les outils cloud ou d’analyse, ainsi que tout autre fournisseur ou prestataire traitant des données. Chacun de ces sous-traitants s’est contractuellement engagé à respecter les exigences du RGPD, à ne traiter les données que sur instructions documentées de Livappy et à mettre en œuvre des mesures de sécurité appropriées.
Assurances et garanties suffisantes :
Conformément à l’article 28 et au considérant 81 du RGPD, Livappy ne fait appel qu’à des sous-traitants qui présentent des garanties suffisantes quant à leur capacité à protéger les données à caractère personnel21. Nos accords de sous-traitance prévoient que les sous-traitants doivent mettre en œuvre toutes les mesures techniques et organisationnelles appropriées pour protéger les données (par exemple chiffrement, contrôles d’accès, obligations de confidentialité) et aider Livappy à répondre aux demandes des personnes concernées et aux notifications de violation en tant que de besoin22. Nous examinons soigneusement les nouveaux fournisseurs quant à leurs pratiques de protection des données et à leur réputation avant de les intégrer comme sous-traitants.
Principales clauses des DPA :
Chaque DPA signé par Livappy contient toutes les clauses requises par l’article 28, paragraphe 3, du RGPD. Il s’agit notamment des suivantes : le sous-traitant ne traitera les données à caractère personnel que sur instructions de Livappy ; le personnel traitant les données est tenu à la confidentialité ; le sous-traitant contribuera à garantir le respect des exigences de sécurité et aidera à répondre aux droits des personnes concernées et aux AIPD ; aucun sous-traitant ultérieur ne peut être engagé sans notre autorisation et doit être soumis aux mêmes obligations ; le sous-traitant restituera ou supprimera les données à caractère personnel à la fin de la prestation ; et le sous-traitant doit se soumettre à des audits et fournir des preuves de sa conformité22. Ces clauses contractuelles donnent à Livappy et à nos utilisateurs l’assurance que les données à caractère personnel restent protégées même lorsqu’elles sont traitées par des tiers.
Suivi et mise en œuvre :
Livappy tient un inventaire de tous ses sous-traitants actuels et de l’état de nos accords avec eux. Nous contrôlons la conformité de nos sous-traitants – par exemple en examinant leurs certifications de sécurité, leurs rapports d’audit ou leur adhésion à des codes de conduite. Si un sous-traitant ne respecte pas ses obligations en matière de protection des données, nous prenons des mesures rapides pouvant inclure l’exigence de mesures correctives, la suspension du traitement des données, voire la résiliation du contrat. En outre, nos DPA rendent les sous-traitants responsables de la protection des données, ce qui signifie qu’ils doivent indemniser Livappy (et, en dernier ressort, nos utilisateurs) pour tout dommage causé par un traitement de leur part non conforme aux normes du RGPD.
Sous-traitants ultérieurs :
Lorsque nos sous-traitants sous-traitent à leur tour une partie du traitement (par exemple, si AWS fait appel à des sous-traitants pour la maintenance de centres de données), nos DPA exigent que ces sous-traitants ultérieurs soient soumis aux mêmes normes. Les contrats de Livappy garantissent l’existence d’une chaîne d’obligations conformes au RGPD à tous les niveaux du traitement des données.
Remarque : Livappy a conclu un accord de sous-traitance (DPA) avec Google Ireland Limited pour la fourniture des services Google Workspace (messagerie, agenda, cloud). Google agit en tant que sous-traitant pour le compte de Livappy, et tous les traitements sont conformes au RGPD, y compris les clauses contractuelles types (CCT) lorsque des données peuvent être transférées en dehors de l’UE.
En maintenant des accords de sous-traitance rigoureux, Livappy remplit son obligation de responsable du traitement de ne travailler qu’avec des sous-traitants capables de garantir la protection des données à caractère personnel23. Cette diligence contractuelle est un élément fondamental de notre programme de conformité au RGPD et donne à nos clients et utilisateurs l’assurance que leurs données seront traitées en toute sécurité, non seulement par Livappy, mais aussi par tout partenaire ou fournisseur intervenant dans la fourniture de nos services. Nous réexaminons et mettons à jour régulièrement nos DPA en fonction des évolutions juridiques et veillons à ce que tout nouveau partenariat débute par un contrat de protection des données solide.
Coordonnées
Adresse électronique de contact : info@livappy.com
Date d’entrée en vigueur : 10 septembre 2025
Exploitant : Livappy OÜ (registrikood 17298558)
Harju maakond, Tallinn, Kesklinna linnaosa, Sakala tn 7-2, 10141, Estonia
Immatriculée auprès du département du registre du tribunal de comté de Tartu, fiche du registre du commerce no 1
Date d’entrée en vigueur et révision
La présente politique de conformité au RGPD entre en vigueur à la date de sa publication et est approuvée par la direction de Livappy. Nous réexaminerons la politique au moins une fois par an et, en outre, chaque fois que nécessaire pour tenir compte de tout changement dans nos pratiques ou dans la loi. Les mises à jour seront publiées afin que les salariés, les clients et les partenaires restent informés de la manière dont Livappy respecte son engagement en matière de conformité au RGPD.
Références
1,12 GDPR - Amazon Web Services (AWS) - https://aws.amazon.com/compliance/gdpr-center/
2,3 EU General Data Protection Regulation Compliance Policy | Policy Library - https://www.policylibrary.gatech.edu/legal/eu-general-data-protection-regulation-compliance-policy
4,5,6,7 Respect individuals' rights | European Data Protection Board - https://www.edpb.europa.eu/sme-data-protection-guide/respect-individuals-rights_en
8,9,10 Privacy by Design & by Default: What You Need To Know - https://www.datagrail.io/blog/data-privacy/privacy-by-design-privacy-by-default/
11,20,21,22 What is a GDPR data processing agreement? - GDPR.eu - https://gdpr.eu/what-is-data-processing-agreement/
13 Data protection by design and by default | ICO - https://ico.org.uk/for-organisations/law-enforcement/guide-to-le-processing/accountability-and-governance/data-protection-by-design-and-by-default/
14,15,16,17,18 Personal data breaches: a guide | ICO - https://ico.org.uk/for-organisations/report-a-breach/personal-data-breach/personal-data-breaches-a-guide/
19 Does my company/organisation need to have a Data Protection Officer (DPO)? - European Commission - https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/data-protection-officers/does-my-companyorganisation-need-have-data-protection-officer-dpo_en
23 GDPR Compliance Statement - Free Privacy Policy - https://www.freeprivacypolicy.com/blog/gdpr-compliance-statement/
© 2026 livappy.com. Tous droits réservés.