Accord de traitement des données

1. Parties et champ d’application

Cet accord complète les conditions d’utilisation où MAXKEN, à Bureau 3, 34 place du Général de Gaulle, 59800 Lille, France, traite des données personnelles pour le client identifié par le compte ou son organisation. Le client est le responsable du traitement ou un sous-traitant autorisé agissant pour son propre client ; MAXKEN est son sous-traitant ou sous-traitant ultérieur. Ces dispositions prévalent pour le traitement des données du client.

La gestion des comptes, la facturation, la sécurité et l’analyse du site public sont des activités distinctes de responsable du traitement, décrites dans la politique de confidentialité. Cet accord n’est ni une certification ni une garantie que chaque utilisation par le client est licite.

2. Données traitées et durées de conservation

• Finalité et opérations : recevoir, conserver, organiser, rechercher, afficher et supprimer les messages de projet ; envoyer les réponses, notifications ou résultats d’assistant activés par le client.
• Personnes concernées : visiteurs, correspondants email, clients, prospects, contacts clients et membres autorisés des boîtes.
• Données : noms, coordonnées, objets et contenus des messages, identifiants de conversation, horodatages, statuts de lecture et livraison, et champs fournis par le client.
• Durée : pendant l’utilisation du service, selon la conservation de l’offre, les instructions de suppression et les dispositions de fin de service ci-dessous. Le traitement est continu ou répété à l’arrivée des messages et requêtes.

Le service est destiné aux contacts et à l’assistance courants. Il n’est pas conçu pour les données sensibles, casiers judiciaires, cartes bancaires, mots de passe ou dossiers de santé réglementés. Ne configurez pas volontairement ces usages sans évaluation distincte et accord écrit adapté.

3. Instructions du client

L’accord, les paramètres, demandes et actions de suppression du client constituent des instructions documentées. Nous traitons les données uniquement selon ces instructions, transferts compris, sauf obligation du droit de l’UE ou d’un État membre. Nous en informons le client avant traitement, sauf interdiction légale. Nous signalons rapidement toute instruction jugée illicite.

Nous ne vendons pas les messages clients et ne les utilisons ni pour notre publicité ni pour entraîner des modèles IA.

Le client établit sa base légale, informe ses correspondants, répond à leurs demandes et dispose du droit de fournir les données et de désigner des sous-traitants. Il contrôle formulaires, partages, destinataires et permissions d’assistants. Les instructions supplémentaires peuvent être envoyées à Show email address ; toute modification substantielle du service nécessite un accord distinct.

Activer Slack, Discord, un webhook ou un assistant MCP nous donne instruction de transmettre les données utiles à ce destinataire. Le client doit évaluer le fournisseur, les droits d’accès et tout transfert international. La révocation bloque les accès ou livraisons futurs lorsque c’est techniquement possible ; elle ne rappelle pas les transferts effectués ou réponses déjà en cours d’envoi.

4. Confidentialité et sécurité

Les personnes autorisées à accéder aux données client doivent être tenues à la confidentialité et limitées à leurs missions. Nous appliquons des mesures adaptées au risque selon l’article 32 du RGPD et les réévaluons avec l’évolution du service.

• HTTPS sur les points d’accès publics, hachage des mots de passe et vérification email.
• Accès authentifié à l’espace de travail, contrôles côté serveur de propriété et de rôle, et contrôles des permissions des outils d’assistant.
• Limites de requêtes, contrôles des destinations et journaux d’audit administratifs.
• Accès restreint à l’infrastructure et sauvegardes Postal chiffrées hors site, avec procédures de restauration.

Ces mesures n’assurent ni chiffrement de bout en bout, livraison garantie des emails ou niveau contractuel de disponibilité. Nos obligations de sécurité restent applicables.

5. Sous-traitants ultérieurs et transferts

Le client autorise généralement par écrit ces prestataires à effectuer les traitements décrits, sous des obligations équivalentes de protection. MAXKEN reste responsable de l’exécution de ses sous-traitants au titre de cet accord.

• OVH SAS, France : hébergement de l’application, de la base de données et de l’infrastructure mail. Postal est un logiciel exploité sur cette infrastructure, pas une entreprise destinataire distincte.
• Cloudflare: Proxy HTTPS pour l’application, dont les formulaires et requêtes des boîtes, DNS et CDN pour les fichiers publics ; routage des emails entrants de projet et de leur contenu via Email Routing. Les API et pages privées évitent le cache partagé.
• Scaleway SAS, France : stockage des sauvegardes Postal chiffrées hors site.

Le pays du fournisseur identifie l’entreprise sans garantir que tout accès y a lieu. Les contacts et informations de confidentialité sont liés dans la liste des fournisseurs. Nous fournissons sur demande des informations sur les entités concernées, les lieux de traitement et les garanties. Un transfert hors EEE exige une décision d’adéquation applicable ou des garanties appropriées au titre du chapitre V du RGPD ; cet accord ne constitue pas à lui seul un mécanisme de transfert.

Nous prévenons par écrit au moins 30 jours avant ajout ou remplacement d’un sous-traitant. Le client peut s’y opposer avant le changement pour des motifs raisonnables de protection des données. Nous cherchons une solution ; à défaut, le traitement concerné cesse avant transmission au prestataire, avec remboursement du service prépayé non utilisé concerné.

Les fournisseurs de notifications et d’assistants choisis par le client sont ses destinataires. Stripe et Google fournissent des services de compte ou de facturation distincts ; leur présence ne les autorise pas à recevoir le contenu des messages des projets.

6. Demandes, incidents et assistance

Selon le traitement et les informations disponibles, nous aidons aux demandes de droits, obligations de sécurité, analyses d’impact et consultations préalables. Les demandes sur les contenus client lui sont transmises ; nous ne répondons pas pour lui sans instructions, sauf obligation légale.

Après avoir pris connaissance d’une violation de données personnelles affectant les données du client, nous l’informons sans délai injustifié. Nous fournissons les informations disponibles sur l’incident, les données et personnes concernées, les conséquences probables, les mesures prises et un contact, avec des mises à jour selon l’enquête. Le client décide des notifications aux autorités et aux personnes ; nous l’assistons avec les informations dont nous disposons.

7. Informations et audit

Nous fournissons les informations prouvant le respect de ces obligations et autorisons et contribuons aux audits, y compris les inspections du client ou d’un auditeur mandaté. Contactez Show email address pour convenir de modalités proportionnées protégeant les autres clients, la confidentialité et la sécurité. Elles n’empêchent pas un audit exigé par la loi ou une autorité compétente.

8. Restitution et suppression

À la fin du traitement, le client choisit la restitution ou la suppression de ses données personnelles et la suppression des copies existantes, sauf obligation de conservation du droit de l’UE ou d’un État membre. Demandez la restitution avant de supprimer le compte ou avant l’expiration automatique de l’offre : nous aidons à fournir une copie dans un format électronique exploitable. Cela ne promet pas de fonctionnalité d’export en libre-service.

Les messages Free suivent la conservation de 30 jours et le délai de grâce après passage du payant à Free décrits dans les politique de conservation. Les journaux de transport Postal appliquent des durées distinctes de sept jours pour le contenu et de 30 jours pour les métadonnées. Les éléments de facturation ou de litige conservés sur une base légale distincte sont réservés à cette finalité.

Les sauvegardes peuvent subsister jusqu’à deux ans selon la politique actuelle. Elles doivent rester isolées de l’utilisation courante, réservées aux restaurations autorisées, et expirer au plus tard dans ce délai. En cas de restauration, les instructions de suppression antérieures doivent être réappliquées. Nous examinons les demandes d’effacement anticipé selon le droit applicable ; la politique de sauvegarde ne prévaut pas sur les droits impératifs à l’effacement.

La fin de l’accès ne retire pas les copies déjà transmises aux destinataires choisis par le client. Celui-ci les gère selon ses propres accords.