Accord de sous-traitance

Quand vous utilisez Orlio, certaines données de personnes passent par nos serveurs pour votre compte : vos clients qui valident vos contenus, les personnes qui figurent dans ces contenus, les membres de votre équipe. Pour ces données, vous êtes responsable du traitement, et Pi-Box Mélissa Piermaria, qui édite Orlio, est votre sous-traitant.

Cet accord fixe nos engagements, comme l’exigent le règlement général sur la protection des données (art. 28) et la loi suisse sur la protection des données (art. 9). Il fait partie des conditions d’utilisation et s’applique dès que vous les acceptez. Ce que nous traitons pour nous-mêmes est décrit dans la politique de confidentialité.

Orlio est une application installée sur votre ordinateur. Vos marques, vos contenus, vos photos, vos statistiques, vos accès aux réseaux et ce que le moteur d’acquisition note des comptes avec lesquels il interagit y restent : nous n’y avons pas accès, et nous ne sommes pas votre sous-traitant pour ces données. Il en va de même de ce que vous envoyez à votre propre abonnement Claude ou ChatGPT, qui ne passe pas par nos serveurs.

Nous traitons ces données seulement pour faire fonctionner les fonctions que vous utilisez, selon vos réglages : ce sont vos instructions. Nous vous prévenons si l’une d’elles nous paraît contraire à la loi.

Nous ne les utilisons à aucune autre fin : ni publicité, ni revente, ni entraînement d’un modèle d’intelligence artificielle.

Seules les personnes chargées de faire fonctionner le service y accèdent, et seulement quand leur tâche l’exige. Elles sont tenues à la confidentialité.

Voici ce qui protège ces données sur nos serveurs :

• Les échanges avec le site, le service et l’instance de publication sont chiffrés (HTTPS).
• Les mots de passe ne sont gardés que sous une empreinte scrypt, irréversible ; les jetons de session, sous leur empreinte SHA-256.
• Les bases de données ne sont joignables que depuis le réseau interne du serveur ; le site et le service ont chacun la leur.
• Le site et le service se reconnaissent par un jeton que personne d’autre ne connaît, comparé en temps constant.
• Les formulaires et les connexions limitent le nombre de tentatives par poste.
• Les secrets vivent dans la configuration du serveur, jamais dans le code, et aucun journal n’en contient.
• Les données temporaires s’effacent seules : l’autorisation Instagram en dix minutes, l’image à publier en deux heures, l’image de validation qui n’est plus citée le lendemain.
• La console d’administration exige un mot de passe, gardé sous empreinte, et une session signée de sept jours au plus.
• Sur l’instance de publication, chaque client a sa propre organisation ; la clef d’API de chacune est chiffrée (AES-256-GCM) sur le service, et l’ordinateur du client ne la voit jamais.

Vous nous autorisez à faire appel aux sous-traitants listés en annexe. Nous leur imposons, par contrat, des obligations de protection au moins équivalentes à celles de cet accord, et nous répondons d’eux envers vous.

Avant d’en ajouter un ou d’en remplacer un, nous vous prévenons par e-mail, au moins trente jours à l’avance. Vous pouvez vous y opposer en nous écrivant ; si nous ne trouvons pas de solution ensemble, vous pouvez fermer votre espace.

Nos serveurs sont en France. Pour créer un contenu avec vos crédits, votre demande part chez Anthropic ou OpenAI, avec qui nous contractons par leurs sociétés irlandaises ; elles peuvent la traiter aux États-Unis, sous les clauses contractuelles types de la Commission européenne que prévoient leurs conditions. Aucune autre donnée traitée pour votre compte ne quitte la Suisse ou l’Union européenne de notre fait.

• Quand une personne exerce ses droits auprès de vous, nous rassemblons ou effaçons ce que nous gardons pour votre compte, dans les trente jours de votre demande.
• Si une violation de sécurité touche ces données, nous vous en informons dans les meilleurs délais après en avoir eu connaissance, avec ce que nous savons de sa nature, de ses conséquences et des mesures prises, pour que vous puissiez prévenir l’autorité et les personnes quand la loi le demande.
• Nous vous donnons les informations dont vous avez besoin pour une analyse d’impact ou une consultation de l’autorité de protection des données.

Sur demande, nous vous donnons les informations qui montrent que nous respectons cet accord. Vous pouvez aussi faire vérifier sur place, par vous-même ou par un auditeur tenu à la confidentialité, avec un préavis de trente jours et à vos frais, une fois par an au plus, sauf après une violation de sécurité.

À la fermeture de votre espace, nous effaçons dans les trente jours les données traitées pour votre compte, sauf celles que la loi nous oblige à garder, comme les pièces comptables. Il n’y a rien à vous restituer : vos contenus et vos données sont sur votre ordinateur.