RGPD et délégué à la protection des données

Sous-traitant : lorsqu’une organisation nous confie la surveillance de son périmètre (domaines, adresses professionnelles, marques, plages d’adresses, fournisseurs), ses analyses, ses alertes, ses exports et ses rapports, elle reste responsable du traitement. VesperID agit sur ses instructions documentées : le catalogue des services, les réglages de l’espace client et les conditions générales, complétés par un accord de traitement des données (article 28 du RGPD). Nous ne réutilisons jamais les données d’une organisation pour une autre.

Responsable du traitement : VesperID détermine les finalités et les moyens du traitement des données de ses prospects, des comptes de ses utilisateurs, de sa facturation, de son assistance, de la sécurité de sa plateforme, du site vesperid.com, et de l’espace personnel d’une personne protégée.

La personne protégée décide : dans le service Protection des dirigeants, la personne accepte elle-même l’invitation, fixe le périmètre suivi, voit seule le détail de sa fiche, accorde et retire les accès membre par membre et met fin au suivi quand elle le veut ; l’organisation qui paie ne voit qu’un état agrégé.

Cette répartition détermine à qui adresser une demande : si vos données sont traitées parce qu’une organisation nous a demandé de surveiller son périmètre, la demande relève de cette organisation, à laquelle nous la transmettons en vous en informant ; si elles relèvent de nos propres traitements ou de votre espace personnel, nous y répondons directement.

Adresse : dpo@vesperid.com. Toute demande reçue est enregistrée, horodatée et suivie jusqu’à sa clôture. La désignation nominative du délégué est en cours ; elle sera publiée dans les mentions légales et déclarée à la CNIL.

Vous pouvez écrire en français ou en anglais. Aucune justification n’est nécessaire pour exercer un droit ; une pièce d’identité peut être demandée uniquement en cas de doute raisonnable sur votre identité, et elle est supprimée dès la vérification effectuée.

Le délai de réponse est d’un mois, prorogeable de deux mois pour les demandes complexes, avec information motivée.

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation du traitement, de portabilité pour les données que vous nous avez fournies, et d’opposition, pour des raisons tenant à votre situation particulière, à un traitement fondé sur l’intérêt légitime (article 21 du RGPD). Vous pouvez définir des directives sur le sort de vos données après votre décès.

Membre d’un espace client ou titulaire d’un espace personnel : depuis votre espace, vous exportez vos données dans un format lisible par machine et demandez l’effacement de votre compte ; pour tout autre droit, écrivez à dpo@vesperid.com.

Collaborateur d’une organisation cliente dont les comptes professionnels sont surveillés : vos droits s’exercent auprès de votre employeur, responsable du traitement, au contact indiqué dans la note d’information qu’il vous a remise ; VesperID lui transmet toute demande reçue directement et vous en informe. Vous pouvez contester toute détection, tout score ou toute action recommandée qui vous paraît inexact, par le même canal.

Personne mentionnée dans une détection sans être membre ni collaborateur (auteur d’une publication, titulaire d’un domaine, victime d’un appareil infecté) : écrivez à dpo@vesperid.com ; nous masquons ou retirons sur signalement un contenu de tiers reproduit dans une détection.

Vous pouvez introduire une réclamation auprès de la CNIL à tout moment, y compris sans nous avoir contactés au préalable.

Une personne n’est suivie nominativement qu’après avoir accepté elle-même l’invitation ; l’organisation ne surveille sans cette acceptation que les comptes professionnels qu’elle contrôle, après en avoir informé ses collaborateurs.

La personne suivie voit seule le détail de sa fiche ; elle fixe elle-même le périmètre suivi, accorde et retire l’accès membre par membre, et met fin au suivi à tout moment, sans justification ni préavis : le profil est alors fermé et la surveillance associée cesse. L’organisation ne voit qu’un état agrégé : statut du profil, nombre de détections ouvertes, niveau et date de mise à jour.

La personne concernée peut demander à tout moment la liste des accès accordés et des consultations de sa fiche par notre personnel, ainsi qu’un export complet de son contenu.

Une organisation cliente qui finance un profil de protection n’a pas accès à son contenu tant que la personne ne lui a pas elle-même accordé un accès. Cette séparation est appliquée dans la base de données elle-même et journalisée.

Une organisation qui active la surveillance des comptes professionnels de ses collaborateurs doit les en informer individuellement avant la mise en service (article L. 1222-4 du code du travail, articles 13 et 14 du RGPD) et consulter son comité social et économique lorsque la loi l’exige (article L. 2312-38). VesperID fournit le modèle de note d’information, avec le mode d’emploi de l’employeur, sa liste de contrôle et la note pour le comité ; l’organisation enregistre l’attestation correspondante dans son espace client avant l’activation.

La note dit ce que le dispositif fait et ne fait pas, la base légale, les destinataires et les transferts, les durées, les droits, et l’absence de tout usage en matière de gestion du personnel.

Toute personne disposant d’un compte peut demander l’export de ses données depuis son espace personnel, dans un format lisible par machine. L’export est mis à disposition en téléchargement authentifié et supprimé au bout de sept jours.

Une demande d’effacement est validée par un administrateur distinct de la personne qui la traite, puis exécutée. Les données du compte sont supprimées ou pseudonymisées ; les factures et le journal d’audit sont conservés au titre des obligations légales et probatoires.

L’effacement d’un compte utilisateur n’entraîne pas la suppression des données de surveillance de l’organisation cliente, qui relèvent de la responsabilité de celle-ci.

En cas de violation de données à caractère personnel, VesperID notifie l’autorité de contrôle compétente dans les soixante-douze heures lorsque la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes.

Lorsque VesperID agit en qualité de sous-traitant, le client responsable de traitement est informé dans les meilleurs délais, avec les éléments nécessaires à sa propre notification.

Les personnes concernées sont informées lorsque le risque est élevé, dans un langage clair, avec la nature de la violation, ses conséquences probables et les mesures prises.

L’autorité compétente est la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr.

Vous pouvez la saisir à tout moment, y compris sans nous avoir contactés au préalable.