Accord de traitement des données

Le présent accord de traitement des données (l'« Accord ») régit, conformément à l'article 28 du RGPD, la manière dont Nubbo traite les données personnelles que vous gérez avec le service lorsque vous l'utilisez en tant qu'entreprise ou professionnel. Il fait partie des Conditions générales, qui y renvoient et que vous acceptez lors de votre inscription. Vous l'acceptez en utilisant Nubbo.

1. Parties et rôles

Responsable du traitement : vous, en tant que titulaire du compte Nubbo, ci-après « l'utilisateur ».
Sous-traitant : Gonzalo Vasco López, NIF ES34884272B, domicilié à Rúa Farillon 10, 1ºE, 27890 San Ciprián, Lugo, Espagne, titulaire de Nubbo, ci-après « Nubbo ».

Le présent Accord ne s'applique pas aux données dont Nubbo est responsable : celles de votre propre compte, celles qu'il traite pour sa propre sécurité et la prévention des abus, celles de sa mesure d'audience agrégée sans cookies, les registres de remise et la liste de suppression des e-mails qu'il envoie en votre nom et l'identification des utilisateurs de Nubbo qui consultent vos ressources avec leur session ouverte, décrites dans la Politique de confidentialité.

2. Objet et durée

L'objet de l'Accord est le traitement des données personnelles nécessaire pour vous fournir le service Nubbo décrit dans les Conditions générales. Il dure tant que vous conservez votre compte et, ensuite, jusqu'à ce que les données soient supprimées comme indiqué à la section 11.

3. Nature et finalité du traitement

Nubbo traite les données uniquement pour vous fournir le service. Le traitement consiste à : conserver l'index de vos fichiers (noms, chemins, tailles et types) ; générer les URL présignées grâce auxquelles les fichiers circulent directement entre le navigateur et votre stockage ; publier et servir vos liens partagés, galeries, demandes de fichiers et widgets intégrés ; enregistrer les visites, téléchargements, mentions j'aime, commentaires et envois de leurs visiteurs et vous en montrer les statistiques ; envoyer en votre nom des invitations, livraisons, rappels et mots de passe par e-mail ; lire de manière éphémère le contenu des fichiers pour générer des miniatures, des tailles de galerie et des filigranes et exécuter vos automatisations ; et, uniquement si vous donnez votre consentement, envoyer à Nubbo AI le contenu nécessaire pour ce que vous lui demandez.

4. Personnes concernées et catégories de données

Personnes concernées : les visiteurs de vos liens, galeries, demandes de fichiers et widgets intégrés ; les personnes que vous invitez ou à qui vous envoyez quelque chose ; les personnes dont les données figurent dans vos fichiers, dans leurs noms ou dans vos conversations avec Nubbo AI ; et toute autre personne dont vous décidez de traiter les données avec Nubbo.

Catégories de données : données d'identification et de contact (nom et e-mail) ; données d'utilisation de vos ressources (visites, téléchargements, mentions j'aime, commentaires, recherches et envois) ; un identifiant de visiteur qui change chaque jour, dérivé de l'adresse IP et du navigateur, le pays et le type d'appareil ; métadonnées de fichiers (noms, chemins, tailles et types) ; le contenu des fichiers, traité de manière éphémère ; et les données que vous incluez dans vos fichiers et vos textes.

Catégories particulières : Nubbo n'est pas conçu pour traiter des catégories particulières de données (article 9 du RGPD). Si vous en conservez dans Nubbo, vous devez vous assurer qu'il existe une base juridique qui le permet. Pour les protéger, nous vous recommandons le chiffrement zero-knowledge, avec lequel Nubbo ne peut lire ni le contenu ni les noms de vos fichiers. Gardez à l'esprit que, si vous envoyez l'un de ces fichiers à Nubbo AI, son contenu est bien traité pour vous répondre (section 9 de la Politique de confidentialité).

5. Instructions documentées

Nubbo traite les données uniquement sur vos instructions documentées. L'usage que vous faites du service et sa configuration (ce que vous importez, partagez, publiez, envoyez, automatisez ou demandez à Nubbo AI) constituent ces instructions. Nubbo ne traite pas les données pour ses propres finalités. Si une règle de l'Union européenne ou d'un État membre l'obligeait à les traiter autrement, il vous en informerait au préalable, sauf si cette règle l'interdit. Si Nubbo estime qu'une instruction enfreint la réglementation sur la protection des données, il vous en informera immédiatement.

6. Confidentialité

Les personnes autorisées par Nubbo à traiter les données sont tenues d'en préserver la confidentialité, par engagement exprès ou en vertu d'une obligation légale.

7. Sécurité

Nubbo applique les mesures techniques et organisationnelles de l'article 32 du RGPD décrites à l'Annexe I, et peut les améliorer à condition de ne pas réduire le niveau de protection.

8. Sous-traitants ultérieurs

Vous donnez à Nubbo une autorisation générale de recourir aux sous-traitants ultérieurs de la liste des sous-traitants. Cette liste comprend aussi des fournisseurs qui ne traitent que des données dont Nubbo est responsable, comme Creem.
Nubbo conclut avec chaque sous-traitant ultérieur un contrat qui lui impose les mêmes obligations de protection des données que le présent Accord, avec des garanties suffisantes, conformément à l'article 28.4 du RGPD, et demeure responsable envers vous de leur respect.
Avant d'ajouter ou de remplacer un sous-traitant ultérieur, Nubbo mettra à jour la liste et vous en informera par e-mail ou dans l'application sans délai et au moins 10 jours à l'avance.
Vous pouvez vous opposer au changement pour des motifs raisonnables liés à la protection des données en écrivant à [email protected]. Si nous ne trouvons pas de solution, vous pouvez mettre fin au service en supprimant votre compte avant que le changement ne s'applique, et nous vous rembourserons la part proportionnelle de ce que vous avez payé d'avance et dont vous n'avez pas profité.

9. Assistance

Droits des personnes concernées : Nubbo vous aide à y répondre grâce aux fonctions du service (consulter, exporter, désactiver et supprimer vos ressources ; la suppression d'une ressource supprime les données de ses visiteurs) et, si elles ne suffisent pas, en répondant à vos demandes par e-mail. Si une personne concernée s'adresse à Nubbo, Nubbo vous transmettra la demande sans délai.
Sécurité, violations, analyses d'impact et consultations préalables : Nubbo vous aidera à respecter les articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations dont il dispose : avec les mesures de l'Annexe I, avec la notification des violations de la section 10 et en vous fournissant les informations dont vous avez besoin pour une analyse d'impact ou une consultation préalable de l'autorité de contrôle.

10. Violations de données

Si Nubbo subit une violation de données affectant les données qu'il traite pour votre compte, il vous la notifiera dans les meilleurs délais et, en tout état de cause, dans un délai maximal de 48 heures après en avoir pris connaissance, par e-mail à l'adresse de votre compte. La notification comprendra les informations de l'article 33.3 du RGPD dont il dispose à ce moment-là et Nubbo complétera le reste dès qu'il l'aura.

11. Fin du traitement

Avant de supprimer votre compte, vous pouvez télécharger vos données depuis Paramètres › Profil. Lorsque vous supprimez le compte, les données sont conservées pendant la période de grâce de 30 jours, sauf si vous choisissez la suppression immédiate, puis elles sont effacées. Elles peuvent subsister jusqu'à 14 jours dans les sauvegardes avant d'être effacées. Les fichiers de votre stockage vous appartiennent et Nubbo ne les supprime pas, à l'exception des miniatures et des versions qu'il y a générées. Tout cela, sauf si une règle impose de conserver certaines données.

Par minimisation, l'export fournit pseudonymisées les données des visiteurs et des destinataires (e-mails masqués, noms réduits à l'initiale et alias à la place des identifiants de session). En tant que responsable de ces données, vous pouvez les consulter dans l'application ou nous demander la version complète à [email protected] et nous vous la fournirons dans un délai maximal d'un mois.

12. Audit

Nubbo met à votre disposition les informations nécessaires pour démontrer le respect du présent Accord : ce document, la Politique de confidentialité, la liste des sous-traitants et les réponses écrites à vos questions raisonnables. Si une autorité de contrôle l'exige ou si ces informations ne suffisent pas à démontrer la conformité, nous conviendrons avec vous d'un audit raisonnable, réalisé par vous ou par un auditeur que vous désignez, à vos frais, avec un préavis suffisant, sous obligation de confidentialité et sans accès aux données d'autres utilisateurs.

13. Transferts internationaux

Nubbo ne transfère des données hors de l'Espace économique européen qu'aux sous-traitants ultérieurs de la liste et avec les garanties du chapitre V du RGPD qui y sont indiquées : clauses contractuelles types approuvées par la Commission européenne et, le cas échéant, l'EU-U.S. Data Privacy Framework.

14. Responsabilité

La responsabilité de chaque partie est régie par la section relative à la limitation de responsabilité des Conditions générales, sans préjudice de la responsabilité envers les personnes concernées prévue à l'article 82 du RGPD.

15. Ordre de priorité et droit applicable

En matière de protection des données, le présent Accord prévaut sur les Conditions générales. Pour le reste, les Conditions générales s'appliquent, y compris leur droit applicable et leur juridiction.

Annexe I. Mesures de sécurité

Chiffrement AES-256-GCM des identifiants de vos buckets, des secrets de double authentification et des conversations avec Nubbo AI, avec la clé conservée en dehors de la base de données.
Chiffrement zero-knowledge facultatif dans votre navigateur, avec lequel Nubbo ne peut lire ni le contenu ni les noms des fichiers chiffrés, sauf si vous envoyez vous-même un fichier précis à Nubbo AI (section 9 de la Politique de confidentialité).
Mots de passe conservés avec un hachage bcrypt.
Authentification à deux facteurs (TOTP) facultative, avec codes de récupération.
Les fichiers circulent directement entre le navigateur et votre stockage au moyen d'URL présignées ; le serveur ne lit le contenu que de manière éphémère, sans le conserver.
Communications chiffrées en HTTPS (TLS 1.2 ou supérieur) et serveurs web accessibles uniquement via le réseau de protection de Cloudflare.
Sessions à expiration automatique, gestion des sessions actives et alerte de connexion depuis un nouvel appareil.
Journal d'activité du compte et des accès à ce qui est partagé avec des personnes.
Limitation des requêtes par adresse IP et captcha dans les formulaires.
Sauvegardes de la base de données (continue, quotidienne et nocturne), chiffrées avant de quitter le serveur et conservées dans l'Union européenne pendant 14 jours. La restauration est testée chaque semaine.
Serveurs et base de données dans l'Union européenne, accessibles uniquement par réseau privé ; accès à la production limité au titulaire et aux personnes autorisées, avec le moindre privilège nécessaire.

Annexe II. Sous-traitants ultérieurs

La liste à jour des sous-traitants ultérieurs, avec leur finalité, les données qu'ils traitent, leur localisation et leurs garanties, figure sur la page des sous-traitants.

Contact

Pour toute question sur le présent Accord, écrivez à [email protected].