Politique de confidentialité
L'utilisation et le transfert par Bastion vers toute autre application des informations reçues des API Google seront conformes aux Politique relative aux données des utilisateurs de Google API Services, y compris les exigences relatives à l'utilisation limitée.
Le www.bastion.tech site web (ci-après dénommé « le Site ») et le https://app.bastion.tech Les applications (ci-après « l'Application ») sont exploitées par Bastion, société par actions simplifiée au capital de 12 000,00 euros, dont le siège social est situé au 65 rue de la croix, 92000 Nanterre, et qui est immatriculée au registre du commerce et des sociétés de Nanterre B sous le numéro 921 179 925.
Cette politique de confidentialité explique quelles données sont collectées lorsque l'utilisateur utilise les services et comment elles sont traitées.
La présente Politique de confidentialité peut être modifiée de temps à autre afin de garantir la conformité avec la législation applicable.
La version applicable à l'Utilisateur est celle en vigueur sur le Site et sur l'Application à la date d'utilisation des Services.
DÉFINITIONS
Les termes commençant par une majuscule utilisés au singulier ou au pluriel dans le corps de la présente Politique de confidentialité auront la signification qui leur est donnée dans les Conditions d'utilisation ou définie ci-dessous :
Données ou données personnelles : désigne toute information relative à une personne physique identifiée ou identifiable (ci-après dénommée « personne concernée ») ; une « personne physique identifiable » est une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs facteurs spécifiques à son identité physique, physiologique, génétique, mentale, économique, culturelle ou sociale ;
Traitement : désigne toute opération ou ensemble d'opérations, effectuées ou non par des moyens automatiques, appliquées à des données ou à des ensembles de données personnelles, telles que la collecte, l'enregistrement, l'organisation, la structuration, le stockage, l'adaptation ou la modification, la récupération, la consultation, l'utilisation, la communication par transmission, diffusion ou mise à disposition de toute autre manière, alignement ou combinaison, limitation, effacement ou destruction ;
Responsable du traitement : désigne la personne physique ou morale, l'autorité publique, l'agence ou tout autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du Traitement ;
Sous-traitant : désigne la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui traite les données personnelles pour le compte du responsable du traitement.
TRAITEMENT DES DONNÉES PERSONNELLES DONT BASTION EST LE RESPONSABLE DU TRAITEMENT
Bastion est le responsable du traitement des données que l'Utilisateur lui communique lors de l'utilisation des Services.
ARTICLE I. DONNÉES PERSONNELLES TRAITÉES, FINALITÉS DU TRAITEMENT ET DURÉE DE CONSERVATION
Les données personnelles sont collectées à des fins spécifiques, explicites et légitimes.
Bastion veille à ce que les données personnelles soient traitées de manière adéquate, pertinente et limitée au regard des finalités pour lesquelles elles sont traitées :
Catégorie de données
Finalité
Base légale
Durée de conservation
Gestion des demandes via la section contact
Adresse e-mail
Répondre aux demandes des utilisateurs
La base légale est l'intérêt légitime de Bastion à apporter une réponse aux Utilisateurs
adresse e-mail, mot de passe, adresse IP, nom de famille, prénom
Gestion de la newsletter
Adresse e-mail, nom, prénom
Gestion des abonnementsGestion des courriers électroniques
La base légale est le consentement de l'Utilisateur recueilli lors de la collecte de son adresse e-mail
3 ans à compter du dernier contact de l'Utilisateur ou jusqu'au retrait du consentement
Gestion des abonnements Vulnerability Scan
Adresse e-mail, nom, prénom, adresse postale
Autoriser l'accès à l'espace personnel de l'Utilisateur
La base légale est le consentement de l'utilisateur obtenu au moment de l'inscription en acceptant les conditions d'utilisation et la présente politique de confidentialité.
3 ans à compter de la dernière activité de l'Utilisateur
Adresse e-mail, numéro de téléphone, nom complet, adresse postale du représentant de la Société
Suivi de la facturationSuivi de la relation clientGestion du service après-vente, des réclamations
5 ans à compter de la fin de la relation contractuelle
Cookies et traceurs
Adresse IP
Assurer le fonctionnement du site
Maintenez l'utilisateur connecté
Mesurer l'audience
La base légale est l'intérêt légitime pour les cookies strictement nécessaires et le consentement pour les autres
ARTICLE II. DESTINATAIRES DES DONNÉES PERSONNELLES
Aucune des Données personnelles concernant l'Utilisateur n'est transmise à des tiers, à l'exception des membres du personnel de Bastion ou des partenaires et sous-traitants, aux seules fins de réaliser les finalités susmentionnées et dans la limite des informations strictement nécessaires à cette fin.
Les données personnelles de l'utilisateur sont stockées soit dans les bases de données de Bastion, soit dans celles de ses prestataires de services, situés dans l'Union européenne.
Les données personnelles de l'utilisateur ne sont pas transférées en dehors de l'Union européenne.
ARTICLE III. DÉLÉGUÉ À LA PROTECTION DES DONNÉES
Le délégué à la protection des données désigné par Bastion peut être contacté à l'adresse suivante : dataprivacy@bastion.tech
ARTICLE IV. DROITS DES UTILISATEURS
Conformément à la réglementation concernant le traitement des données personnelles, l'utilisateur dispose des droits suivants :
1. Droit d'accès, de rectification et de suppression
Lorsque vous visitez notre site Web, l'utilisateur peut consulter, mettre à jour, modifier ou demander la suppression de ses données personnelles.
S'il en possède un, l'Utilisateur a le droit de demander la suppression de son Espace personnel.
2. Droit à la portabilité des données
L'Utilisateur a le droit de demander la portabilité de ses données personnelles, détenues par Bastion, vers un autre opérateur.
3. Droit de limiter et de s'opposer au traitement des données personnelles
L'Utilisateur a le droit de demander la limitation du traitement de ses données personnelles par Bastion ou de s'y opposer, sans que Bastion ne puisse s'y opposer, à moins qu'elle ne puisse démontrer l'existence de raisons légitimes et impérieuses susceptibles de l'emporter sur les intérêts et les droits et libertés de l'Utilisateur.
4. Exercice des droits
L'Utilisateur peut, sous réserve de la production d'une preuve d'identité valide, exercer ses droits en contactant le délégué à la protection des données de Bastion par e-mail à dataprivacy@bastion.tech.
Afin que Bastion puisse répondre à la demande, l'Utilisateur est tenu de fournir les informations suivantes : ses nom et prénom ainsi que l'adresse e-mail utilisée sur le Site ou l'Application.
Bastion est tenue de répondre à l'Utilisateur dans un délai de 30 jours.
Si l'Utilisateur estime, après avoir contacté Bastion, que ses droits n'ont pas été respectés, il peut déposer une plainte auprès d'une autorité de surveillance.
L'autorité de contrôle en charge des Traitements effectués par Bastion est la Commission Nationale de l'Informatique et des Libertés (CNIL).
TRAITEMENT DES DONNÉES PERSONNELLES DONT BASTION EST LE SOUS-TRAITANT
Lors de l'exécution du service d'analyse des vulnérabilités, Bastion agit en tant que sous-traitant au sens de la réglementation en vigueur applicable au traitement des données personnelles, et uniquement sur instructions de la société agissant par l'intermédiaire de l'utilisateur, qui agit en tant que responsable du traitement des données.
ARTICLE I. DESCRIPTION DU TRAITEMENT EFFECTUÉ PAR BASTION
Bastion est autorisée à traiter pour le compte de la Société les données personnelles nécessaires à la fourniture du service suivant : analyse des vulnérabilités externe pour identifier toutes les vulnérabilités des données technologiques de la Société
Catégorie de données
Catégories de personnes concernées
Finalité
Analyse de vulnérabilité externe
Employés, collaborateurs, clients
Adresse e-mail, mot de passe, adresse IP, nom, prénom
Identification, analyse et présentation à l'Utilisateur de toutes les vulnérabilités des données technologiques de la Société
Analyse automatique des vulnérabilités persistantes
Adresse e-mail, mot de passe, adresse IP, nom, prénom
Employés, collaborateurs, clients
Ajustement des prix en fonction des vulnérabilités persistantes identifiées
Traitement
ARTICLE II. DURÉE DU CONTRAT
La présente Politique de confidentialité entre en vigueur dès son acceptation par l'Utilisateur, ainsi que l'acceptation des Conditions d'utilisation, pour une durée indéterminée.
ARTICLE III. OBLIGATIONS DU BASTION ENVERS L'ENTREPRISE
Bastion s'engage à :
1. Traiter les Données uniquement aux fins décrites au point I. I., à savoir l'identification, l'analyse et la présentation à l'Utilisateur des vulnérabilités des données technologiques de la Société, révélées par le scan des vulnérabilités, et l'ajustement des prix en fonction des vulnérabilités persistantes identifiées.
2. Traiter les données conformément aux instructions documentées de la Société, telles que décrites dans les Conditions d'utilisation. Si Bastion considère qu'une instruction constitue une violation du règlement de l'UE sur la protection des données ou de toute autre disposition du droit de l'Union ou des États membres relative à la protection des données, elle en informera immédiatement la Société. En outre, si le Bastion est tenu de transférer des données vers un pays tiers ou à une organisation internationale en vertu du droit de l'Union ou du droit de l'État membre auquel il est soumis, il doit informer la Société de cette obligation légale avant le traitement, à moins que la loi applicable n'interdise de telles informations pour des motifs importants d'intérêt public.
3. Garantir la confidentialité des données personnelles traitées dans le cadre du scan de vulnérabilité
4. Assurez-vous que les personnes autorisées à traiter les données personnelles dans le cadre du présent accord :
sont attachés à la confidentialité ou sont soumis à une obligation légale appropriée de confidentialité ; reçoivent la formation nécessaire en matière de protection des données personnelles
5. Prendre en compte les principes de protection des données dès la conception et de protection des données par défaut pour ses outils, produits, applications ou services.
ARTICLE IV. TRAITEMENT ULTÉRIEUR
Bastion est autorisée à faire appel aux entités suivantes pour mener les activités de traitement décrites ci-dessous (ci-après, les « Sous-traitants ultérieurs ») :
• Amazon Web Services : hébergement de données personnelles ;
• Google Cloud Platform : hébergement de données personnelles ;
• Stripe : services de paiement ;
• HelloSign : services de signature.
Les sous-traitants ultérieurs sont tenus de respecter les obligations du présent contrat au nom et selon les instructions de la Société. Il est de la responsabilité de Bastion de s'assurer que les sous-traitants ultérieurs présentent les mêmes garanties suffisantes concernant la mise en œuvre de mesures techniques et organisationnelles appropriées afin que le traitement réponde aux exigences du règlement européen sur la protection des données. Si les sous-traitants ultérieurs ne respectent pas leurs obligations en matière de protection des données, Bastion reste entièrement responsable envers la société de l'exécution de leurs obligations par les sous-traitants ultérieurs.
ARTICLE V. DROIT À L'INFORMATION DE LA PERSONNE CONCERNÉE
Il appartient à la Société de fournir des informations aux personnes concernées par les opérations de traitement.
Il appartient à la Société, en sa qualité de responsable du traitement, d'obtenir tout consentement nécessaire des personnes physiques concernées, en corrélation avec les finalités du Traitement poursuivi.
ARTICLE VI. EXERCICE DES DROITS DES PERSONNES CONCERNÉES
Les personnes dont les Données ont été collectées doivent faire valoir leurs droits directement auprès de la Société qui, après avoir étudié la recevabilité de la demande, s'engage à y donner suite dans les délais réglementaires.
Dans la mesure du possible, Bastion aidera la Société à remplir son obligation de répondre aux demandes d'exercice des droits des personnes concernées.
Lorsque les personnes concernées adressent des demandes à Bastion pour exercer leurs droits, Bastion doit envoyer ces demandes dès leur réception par e-mail à l'adresse de contact indiquée sur l'Espace personnel de l'Utilisateur.
ARTICLE VII. NOTIFICATION DES VIOLATIONS DE DONNÉES PERSONNELLES
Bastion informera la Société de toute violation de données personnelles dans un délai maximum de 24 heures après en avoir pris connaissance, via l'adresse de contact fournie sur l'Espace personnel de l'Utilisateur.
Cette notification doit être accompagnée de toute documentation utile permettant à la Société, le cas échéant, de notifier l'infraction à l'autorité de contrôle compétente.
Il est de la responsabilité de la Société d'alerter, si nécessaire, l'autorité de contrôle compétente et/ou les personnes concernées, et de respecter ses obligations en vertu du RGPD.
ARTICLE VIII. ASSISTANCE DE BASTION DANS LE CADRE DU RESPECT PAR L'ENTREPRISE DE SES OBLIGATIONS
Bastion aide la société à réaliser des analyses d'impact sur la protection des données.
Bastion aide la Société à mener à bien la consultation préalable avec l'autorité de surveillance.
ARTICLE IX. MESURES DE SÉCURITÉ
Bastion s'engage à mettre en place tous les moyens nécessaires pour garantir la confidentialité et la sécurité des Données, afin d'empêcher leur endommagement, leur suppression ou leur accès par des tiers non autorisés.
Les mesures techniques et organisationnelles de Bastion sont les suivantes :
1. Engagement en faveur de la confidentialité de ses employés
Par le biais du contrat de travail, le salarié de Bastion s'engage à respecter les règles et procédures en vigueur dans l'entreprise, notamment en ce qui concerne :
• Le secret professionnel ;
• Comportement professionnel et loyal envers l'entreprise.
2. Activités de sensibilisation et de formation sur la sécurité des données personnelles
Tous les employés de Bastion qui arrivent sur le projet sont sensibilisés à la sécurité. Une présentation des objectifs, des rôles et responsabilités individuels et des procédures de sécurité liées au projet est faite.
3. Gestion des comptes d'accès et des autorisations
La sécurité des informations et des accès est gérée par les administrateurs du système. Ils créent un accès nominatif avec des mots de passe forts pour tous les outils utilisés par Bastion.
La politique de sécurité des mots de passe appliqués aux comptes est conforme aux recommandations de la CNIL.
4. Sécurité des locaux de Bastion
L'accès aux locaux de Bastion est réservé aux personnes autorisées uniquement.
Les locaux de Bastion sont protégés par un système de badges.
Les locaux sont également équipés d'un système de vidéosurveillance. Les données de vidéosurveillance sont conservées pendant 1 mois.
5. Allocation et maintenance des ordinateurs
Chaque employé de Bastion dispose de son propre poste de travail.
Les postes de travail sont principalement protégés par une authentification utilisateur/mot de passe générée par les administrateurs système.
Les employés de Bastion sont informés des règles de sécurité par les administrateurs système lorsqu'ils reçoivent leur ordinateur. Chaque collaborateur dispose de droits d'administrateur sur son ordinateur afin de pouvoir configurer ou installer les logiciels supplémentaires nécessaires à l'exécution de ses missions.
Les mots de passe sont des données personnelles et confidentielles, ils doivent être suffisamment sécurisés et ne doivent pas être divulgués ou laissés sans protection.
Tout ordinateur remis à un employé de Bastion doit avoir été formaté au préalable en cas de transfert, et également si l'équipement est neuf et que le système d'exploitation installé ne correspond pas à ce qui a été défini par les administrateurs système.
La maintenance de tout ordinateur est effectuée dans les locaux de Bastion dans la mesure du possible. Dans le cas où des agents de maintenance sont accueillis et supervisés dans les locaux de Bastion pour effectuer des réparations ou des modifications.
6. Confidentialité des données traitées
Bastion s'engage à :
• Ne faire aucune copie des documents et supports de données qui lui sont confiés, à l'exception de ceux nécessaires à l'exécution de la prestation ;
• Ne pas utiliser les documents et informations traités à des fins autres que celles définies par la Société ;
• Ne pas divulguer ces informations à d'autres personnes, qu'elles soient privées ou publiques, physiques ou morales, pendant la durée du service.
ARTICLE X. DISPOSITION DES DONNÉES
À la fin des services fournis dans le cadre du traitement de ces données, Bastion s'engage à détruire toutes les données personnelles relatives à la Société et à l'Utilisateur, à l'exception de celles dont la conservation au-delà de la relation contractuelle est autorisée par la loi, par les intérêts légitimes de Bastion ou par la Société et l'Utilisateur.
Une fois les données détruites, Bastion doit justifier la destruction par écrit.
ARTICLE XI. DÉLÉGUÉ À LA PROTECTION DES DONNÉES
Le responsable de la protection des données de Bastion peut être contacté à l'adresse suivante : dataprivacy@bastion.tech
ARTICLE XII. ENREGISTREMENTS DES ACTIVITÉS DE TRAITEMENT
Bastion déclare conserver une trace écrite de toutes les activités de traitement effectuées pour le compte de la Société, y compris :
• Le nom et les coordonnées de la société pour le compte de laquelle elle agit, les données d'identification de l'utilisateur, des éventuels sous-traitants et du délégué à la protection des données ;
• Les catégories de traitements effectués pour le compte de la Société ;
• Dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles.
ARTICLE XIII. DOCUMENTATION
Bastion mettra à la disposition de la Société la documentation nécessaire pour démontrer le respect de toutes ses obligations et pour permettre la réalisation d'audits, y compris des inspections, par la Société ou un autre auditeur qu'elle a mandaté, et pour contribuer à ces audits.
ARTICLE XIV. OBLIGATIONS DE L'ENTREPRISE ENVERS BASTION
La Société s'engage à :
• Documenter par écrit les instructions concernant le traitement des données par Bastion, notamment en conservant une copie des Conditions d'utilisation ;
• S'assurer, préalablement et pendant toute la durée du Traitement, que Bastion respecte les obligations énoncées dans le Règlement européen sur la protection des données ;
• Superviser le traitement, y compris effectuer des audits et des inspections chez Bastion.
