1. À propos de la présente Politique
La présente politique de confidentialité (la « Politique ») explique quelles données à caractère personnel AlgoCreed Co L.L.C-FZ (« AlgoCreed », « nous » ou « notre »), une société établie dans la zone franche de Meydan, à Dubaï, aux Émirats arabes unis, traite dans le cadre d'Avyna Catalog (le « Service »), pourquoi, où elles sont hébergées, combien de temps elles sont conservées, qui d'autre y a accès, et quels sont les droits de la personne concernée. Le terme « Organisation » désigne l'entité cliente qui s'abonne au Service ; « vous » désigne la personne qui lit la présente Politique, qu'il s'agisse de l'administrateur de l'Organisation ou de toute autre personne dont le Service traite les données à caractère personnel.
AlgoCreed est établie en dehors de l'Espace économique européen. Le Service étant proposé à des organisations et à des personnes situées dans l'Union européenne, le Règlement général sur la protection des données (UE) 2016/679 (le « RGPD ») s'applique à ce traitement en vertu de son article 3, paragraphe 2, point a), qu'AlgoCreed agisse en qualité de responsable du traitement ou de sous-traitant pour les données concernées.
La présente Politique est fournie à titre d'information. En prendre connaissance ne crée pas, en soi, de contrat entre vous et AlgoCreed. Les contrats qui régissent le Service sont les Conditions générales, acceptées par l'Organisation, et, pour les données de tenant décrites à la Section 2, l'Accord de traitement des données conclu entre AlgoCreed et l'Organisation.
2. Ce que nous lisons dans votre tenant Microsoft, et pourquoi
Pour fournir le Service, AlgoCreed demande à l'administrateur de l'Organisation de lui accorder l'accès au tenant Microsoft propre à l'Organisation, par l'intermédiaire de Microsoft Graph. Chaque autorisation demandée est limitée à ce dont cette partie du Service a besoin :
- Se connecter et lire votre profil — pour ouvrir votre propre session lorsque vous vous connectez.
- Lire les profils complets de tous les utilisateurs — afin que les approbateurs, propriétaires et destinataires puissent être sélectionnés dans le Service.
- Lire et écrire toutes les appartenances aux groupes — pour ajouter un utilisateur approuvé aux groupes Intune qui lui donnent accès à une application.
- Lire tous les appareils — pour indiquer sur quelles machines une application est déployée.
- Lire les applications Microsoft Intune — la source de ce que le Service publie auprès des utilisateurs.
- Lire les appareils Microsoft Intune — pour indiquer l'état d'installation par appareil.
À partir de ces accès, nous conservons, pour chaque utilisateur du tenant de l'Organisation : le nom, l'adresse e-mail, les numéros de téléphone, la fonction et le lieu de travail ; l'identifiant employé, le nom d'utilisateur principal, ainsi que les identifiants Microsoft Entra ID et Intune qui permettent de synchroniser nos données avec votre tenant. Pour toute personne qui se connecte au Service, nous enregistrons également l'adresse IP et l'identifiant du navigateur de cette connexion ; cette valeur est remplacée à chaque nouvelle connexion et effacée automatiquement au bout de 180 jours sans connexion.
Pour ces données, AlgoCreed agit en qualité de sous-traitant, sur instruction de l'Organisation.
3. Les autres données à caractère personnel que nous détenons
Indépendamment des données de tenant décrites ci-dessus, AlgoCreed détient le nom, l'adresse e-mail et la fonction de l'administrateur qui effectue l'intégration (onboarding) pour le compte de l'Organisation, ainsi que de tout contact de facturation désigné par l'Organisation, de même que les informations de facturation traitées pour notre compte par Stripe. Pour ces données, AlgoCreed agit en qualité de responsable du traitement à titre propre.
4. Base juridique
Les données du tenant de l'Organisation sont traitées dans le cadre de notre contrat avec l'Organisation, en vertu de l'article 28 du RGPD, strictement sur les instructions de l'Organisation ; il incombe à l'Organisation, en tant que responsable du traitement de ces données, de disposer d'une base juridique pour nous les communiquer. Nos propres données, en tant que responsable du traitement — les coordonnées de l'administrateur ayant réalisé l'intégration et des contacts de facturation — sont traitées en vertu de l'article 6, paragraphe 1, point b), du RGPD, pour l'exécution du contrat qui nous lie à l'Organisation, et, le cas échéant, en vertu de l'article 6, paragraphe 1, point f), sur le fondement de notre intérêt légitime à assurer la sécurité du Service et l'exactitude de la facturation.
5. Où vos données sont hébergées
Les données à caractère personnel traitées dans le cadre du Service sont hébergées par Microsoft Azure dans sa région Sweden Central (swedencentral), au sein de l'Union européenne.
6. Combien de temps nous les conservons
Nous conservons les données à caractère personnel traitées dans le cadre du Service tant que l'abonnement de l'Organisation est actif. Une fois celui-ci résilié, et pour les données décrites dans la présente Politique, nous appliquons les durées de conservation suivantes :
- Données de tenant décrites à la Section 2 : supprimées dans un délai de 90 jours à compter de la résiliation de l'abonnement de l'Organisation ; le contact de facturation de l'Organisation est prévenu 14 jours avant cette suppression.
- Adresse IP et identifiant du navigateur décrits à la Section 2 : effacés automatiquement au bout de 180 jours sans nouvelle connexion, tant que l'abonnement reste actif.
- Journaux d'audit indiquant qui a fait quoi et quand : 7 ans.
- Demandes commerciales, soumissions de contact marketing et tentatives d'intégration abandonnées : 3 ans.
- Jetons de rafraîchissement, comptes utilisateurs supprimés et événements de webhook Stripe : 90 jours.
- Journaux d'activité : 1 an.
- Documents comptables, y compris les factures et les informations de facturation : 7 ans, conformément aux obligations légales.
7. Qui d'autre les traite
Quatre prestataires traitent des données à caractère personnel pour notre compte :
- Microsoft Azure — héberge le Service et ses données, dans la région Sweden Central.
- Microsoft Graph — lit le tenant de votre Organisation comme décrit à la Section 2, dans le cadre de l'accès accordé par votre administrateur.
- Stripe — traite le paiement, la facturation et la fiscalité de l'abonnement.
- Mailjet — achemine les e-mails transactionnels envoyés par le Service.
Nous n'utilisons pas ces données à des fins publicitaires ou de prospection : chaque message envoyé par le Service est transactionnel — lié à une demande, une approbation, la facturation ou votre compte.
8. Transferts internationaux
AlgoCreed est établie en dehors de l'Espace économique européen, à Dubaï, aux Émirats arabes unis. La communication des données du tenant de l'Organisation à AlgoCreed, en qualité de sous-traitant, constitue donc un transfert de données à caractère personnel hors de l'Espace économique européen. Ce transfert repose sur les clauses contractuelles types adoptées par la Commission européenne en vertu de l'article 46 du RGPD, reproduites dans l'Accord de traitement des données conclu entre AlgoCreed et l'Organisation.
9. Vos droits
En vertu du RGPD, vous pouvez demander l'accès aux données à caractère personnel que nous détenons à votre sujet, leur rectification, leur effacement, la limitation de leur traitement et leur portabilité, et vous pouvez vous opposer à un traitement fondé sur l'intérêt légitime. Écrivez à hello@avyna.io. Nous répondons dans un délai d'un mois ; si une demande est complexe, ce délai peut être prolongé de deux mois supplémentaires, et nous vous en expliquerons les raisons.
Si vous estimez que vos données n'ont pas été traitées correctement, vous pouvez introduire une réclamation auprès de l'autorité de contrôle de l'État membre de l'Union européenne dans lequel vous résidez ou travaillez.
10. Modifications de la présente Politique
La présente Politique peut être mise à jour pour tenir compte de changements apportés au Service ou à la législation. La version présentée dans le Service est celle qui s'applique.