Politique de confidentialité

Le présent texte français est une traduction de courtoisie de l'original espagnol, fournie afin que le document puisse être lu en français. En cas de divergence entre les deux versions, la version espagnole prévaut et elle est la seule à produire des effets juridiques. L'original espagnol est publié à l'adresse blastack.com/es/privacidad.

Dans une plateforme de communication interne, une même entreprise traite des données personnelles dans deux positions que le Règlement (UE) 2016/679 (RGPD) distingue clairement, et auxquelles il attache des obligations différentes. Les séparer est la première chose à comprendre dans ce document.

Blastack en qualité de responsable du traitement

Pour les données de qui visite blastack.com, écrit à l'adresse de contact, crée un compte d'essai ou souscrit au service. Ici, c'est nous qui décidons pourquoi et comment ces données sont traitées, et nous en répondons. C'est ce que détaillent les sections 3, 8 et 9.

Blastack en qualité de sous-traitant

Pour les données que l'entreprise cliente introduit dans la plateforme au sujet de son propre personnel. Ici, la responsable du traitement est l'entreprise cliente : elle décide quelles données elle intègre, à quelles fins, qui y accède et combien de temps elles sont conservées. Nous ne les traitons qu'en suivant ses instructions, au titre de l'accord de sous-traitance de l'article 28 du RGPD. C'est ce que détaillent les sections 4 et 5.

La conséquence pratique est simple : si vous êtes salarié d'une entreprise qui utilise Blastack, la responsable de vos données est votre entreprise, et non nous. La section consacrée aux droits explique à qui vous adresser et ce que nous faisons si vous nous écrivez.

Responsable du traitement

APRENDIZAJES DEL FUTURO, S.L.

Numéro d'identification fiscale (NIF)

B23853310

Siège social

Passatge Domènech 3, 08470 Sant Celoni (Barcelone), Espagne

Adresse e-mail

info@blastack.com

Délégué à la protection des données

Aucun délégué à la protection des données n'a été désigné, aucun des cas prévus à l'article 37 du RGPD n'étant applicable.

Toute question relative à la protection des données, y compris l'exercice de vos droits, peut être adressée à info@blastack.com ou par écrit au siège social indiqué ci-dessus.

Voici les traitements que nous décidons nous-mêmes, avec leur finalité, leur base juridique et leur durée de conservation.

Nous n'établissons pas de profils et nous ne prenons pas de décisions automatisées produisant des effets juridiques à l'égard des personnes ou les affectant de manière significative de façon similaire.

Lorsqu'une entreprise souscrit à Blastack, elle intègre à la plateforme des données relatives à son propre personnel. Ces données restent celles de l'entreprise cliente, qui est la responsable du traitement. Nous les hébergeons et les traitons pour son compte. Selon les fonctions que l'entreprise décide d'utiliser, elles peuvent comprendre :

• Identification et coordonnées : nom et prénom, adresse e-mail et téléphone.
• Données d'organisation : poste, service, site et rôle au sein de la plateforme.
• Photo de profil, si la personne en ajoute une.
• Date d'anniversaire et date d'arrivée, si l'entreprise active les fonctions d'anniversaires et d'années d'ancienneté.
• Contenu produit : publications, commentaires, réactions, messages internes, documents déposés et reconnaissances entre collègues.
• Journaux d'activité nécessaires au service : lectures des publications, accusés de réception des documents, confirmations de participation aux événements et réponses aux sondages.
• Données techniques d'accès : adresse IP, navigateur et dates de connexion, ainsi que le journal d'audit des actions administratives significatives.

Nous n'utilisons aucune de ces données à des fins qui nous seraient propres : ni pour de la publicité, ni pour établir des profils, ni pour entraîner des systèmes automatiques, et nous ne les communiquons à personne. Elles ne sont consultées que lorsque cela est indispensable pour fournir l'assistance ou résoudre un incident, et ces accès sont journalisés.

Lorsque l'entreprise cliente marque un sondage comme anonyme, la réponse est enregistrée sans lien avec la personne qui l'a envoyée. Ce n'est pas une promesse de l'écran : la donnée indiquant qui a répondu quoi n'existe pas dans la base de données, de sorte que ni un administrateur de l'entreprise ni nous-mêmes ne pouvons la reconstituer.

Il appartient à l'entreprise cliente de décider quelles données elle intègre, de disposer d'une base juridique pour les traiter, d'informer son personnel dans les termes des articles 13 et 14 du RGPD et de respecter la législation du travail applicable, y compris la consultation des représentants légaux du personnel lorsqu'il y a lieu.

La relation entre l'entreprise cliente, en qualité de responsable du traitement, et Blastack, en qualité de sous-traitant, est documentée dans un accord de sous-traitance conforme à l'article 28 du RGPD, qui fait partie des Conditions générales de service et qui est accepté au moment de la souscription. Il peut être fourni signé séparément à la demande du client. En vertu de cet accord, nous nous engageons à :

• Traiter les données uniquement selon les instructions documentées du responsable du traitement, et l'avertir si nous estimons qu'une instruction enfreint la réglementation en matière de protection des données.
• Maintenir la confidentialité, y compris après la fin de la relation, et exiger le même engagement de toute personne susceptible d'accéder aux données.
• Appliquer les mesures techniques et organisationnelles de l'article 32 du RGPD résumées dans la section consacrée à la sécurité.
• Ne pas recourir à un autre sous-traitant sans l'autorisation du responsable du traitement. Les sous-traitants ultérieurs actuels figurent dans la section consacrée aux destinataires, et tout changement est communiqué suffisamment à l'avance pour que le client puisse s'y opposer.
• Aider le responsable du traitement à donner suite aux demandes d'exercice de droits qu'il reçoit de son personnel.
• L'aider à respecter ses obligations au titre des articles 32 à 36 du RGPD, y compris les analyses d'impact lorsqu'il y a lieu.
• Lui notifier sans retard injustifié toute violation de la sécurité touchant ses données, avec les informations nécessaires pour qu'il puisse respecter ses propres obligations de notification.
• Restituer ou supprimer les données à la fin de la prestation, au choix du responsable du traitement, dans les termes de la section consacrée à la conservation.
• Mettre à sa disposition les informations nécessaires pour démontrer le respect de ces obligations et permettre des audits, y compris des inspections, moyennant un préavis raisonnable.

Le service est fourni depuis nos propres serveurs situés dans l'Union européenne, dans un centre de données situé en France et exploité par Hostinger International Limited. Les sauvegardes demeurent dans la même juridiction.

Aucun transfert international de données hors de l'Espace économique européen n'est réalisé. Ni l'hébergement, ni les sauvegardes, ni l'assistance, ni les tâches d'administration ne sont assurés depuis l'extérieur de l'EEE, de sorte qu'il n'est pas nécessaire de recourir à des clauses contractuelles types ni à d'autres garanties du chapitre V du RGPD.

Les fichiers déposés sur la plateforme sont enregistrés sur le disque du serveur lui-même, dans un dossier par entreprise, et ne sont pas accessibles par adresse directe : chaque téléchargement vérifie à nouveau la session et l'appartenance à l'entreprise. La base de données n'est accessible que depuis le serveur lui-même et n'est pas exposée à internet.

Les polices de caractères et les autres ressources du site sont servies depuis notre serveur. Au chargement d'une page de blastack.com, le navigateur n'effectue aucune requête vers des tiers, de sorte qu'aucun tiers ne reçoit votre adresse IP du seul fait de votre visite.

Nous ne communiquons pas de données personnelles à des tiers. Elles ne sont transmises que lorsqu'il existe une obligation légale — à l'administration fiscale, aux forces de l'ordre ou aux juridictions — ou lorsque cela est nécessaire pour formuler ou défendre des réclamations.

• Hostinger International Limited, en tant que fournisseur de l'infrastructure sur laquelle les serveurs sont hébergés. Il agit en qualité de sous-traitant, l'accord correspondant est signé et il n'accède pas au contenu.
• Les conseils externes qui fournissent des prestations de comptabilité, de fiscalité ou de conseil juridique, limitées aux données de facturation et soumises au secret professionnel.

Nous n'utilisons ni services de mesure d'audience, ni régies publicitaires, ni outils de gestion de campagnes, ni modules de réseaux sociaux, de sorte qu'aucune de ces entreprises ne reçoit de données sur qui visite le site ou utilise la plateforme.

Le site commercial, blastack.com, n'utilise pas de cookies. Il n'y a ni mesure d'audience, ni mesure de campagnes, ni publicité, ni boutons de réseaux sociaux. C'est la raison pour laquelle vous ne verrez pas de bandeau vous demandant votre consentement : il n'y a rien à consentir.

La plateforme, app.blastack.com, utilise un seul cookie interne, strictement nécessaire au maintien de la session ouverte :

Il s'agit d'un cookie dispensé de l'obligation de consentement en application de l'article 22.2 de la LSSI-CE, car il est indispensable à la fourniture d'un service expressément demandé. Il peut être bloqué depuis le navigateur, mais il n'est alors pas possible d'ouvrir une session sur la plateforme.

En qualité de responsable du traitement, nous conservons chaque catégorie de données pendant la durée indiquée dans sa fiche de la section 3. Une fois cette durée écoulée, les données sont bloquées — conservées mais non utilisées — tant que des responsabilités légales peuvent subsister, puis elles sont supprimées.

En qualité de sous-traitant, nous conservons les données de la plateforme tant que le contrat avec l'entreprise cliente est en vigueur. À son terme, l'entreprise dispose de 30 jours calendaires pour exporter ses informations. Passé ce délai, les données et les fichiers sont supprimés définitivement dans un délai maximal de 30 jours supplémentaires, sauvegardes comprises, à l'exception de ce que nous devons conserver en vertu d'une obligation légale, qui se limite aux données de facturation.

Les comptes d'essai qui ne débouchent pas sur une souscription sont fermés au terme des 15 jours et leurs données sont supprimées selon le même critère.

Nous appliquons les mesures techniques et organisationnelles appropriées au risque, conformément à l'article 32 du RGPD. Entre autres :

• Les mots de passe ne sont pas stockés : ce qui est conservé est un dérivé obtenu avec scrypt et un sel différent pour chaque utilisateur.
• L'identifiant de session est stocké chiffré, de sorte qu'un export de la table ne permet d'usurper l'identité de personne.
• L'isolement entre entreprises est vérifié à chaque requête en base de données, et pas seulement dans l'interface.
• La base de données n'est pas exposée à internet et n'est accessible que depuis le serveur lui-même.
• Les communications circulent chiffrées et les fichiers sont servis en vérifiant la session et l'appartenance à l'entreprise à chaque téléchargement.
• Blocage temporaire de l'accès après plusieurs tentatives infructueuses, et fermeture des sessions ouvertes lors d'un changement de mot de passe.
• Journal d'audit des créations, des suppressions, des changements de rôle et des validations de contenu.
• Sauvegardes régulières au sein de la même juridiction.

Le détail de la façon dont tout cela est construit, y compris ce que nous n'offrons pas encore, figure sur la page consacrée à la sécurité.

Le RGPD reconnaît aux personnes les droits suivants sur leurs données :

Accès

Savoir si nous traitons vos données et en obtenir une copie.

Rectification

Corriger les données inexactes ou compléter celles qui sont incomplètes.

Effacement

Demander leur suppression lorsqu'elles ne sont plus nécessaires ou que le traitement n'est pas justifié.

Opposition

Vous opposer au traitement fondé sur l'intérêt légitime pour des motifs tenant à votre situation particulière.

Limitation

Demander que les données soient conservées mais non utilisées pendant l'examen d'une contestation.

Portabilité

Recevoir dans un format structuré et d'usage courant les données que vous nous avez fournies.

Retrait du consentement

Lorsque le traitement repose sur votre consentement, le retirer à tout moment sans que cela porte atteinte à la licéité du traitement effectué auparavant.

Pour les exercer, il suffit d'écrire à info@blastack.com ou à l'adresse indiquée à la section 2, en précisant quel droit vous exercez et en joignant la copie d'un document justifiant de votre identité. Nous répondrons dans un délai d'un mois, prorogeable de deux mois supplémentaires si la demande est particulièrement complexe, auquel cas nous vous en informerons. L'exercice de ces droits est gratuit.

Si vous êtes salarié d'une entreprise qui utilise Blastack et que votre demande porte sur les données présentes dans la plateforme, celle qui doit y donner suite est votre entreprise, car elle est la responsable du traitement. Si vous nous écrivez, nous vous l'indiquerons et nous transmettrons la demande à votre entreprise sans délai, pour qu'elle ne se perde pas en chemin.

Si vous estimez que nous n'avons pas traité votre demande correctement, vous pouvez introduire une réclamation auprès de l'Agence espagnole de protection des données (Agencia Española de Protección de Datos, C/ Jorge Juan, 6, 28001 Madrid, www.aepd.es). Il n'est pas nécessaire de nous réclamer au préalable, même si nous apprécions d'avoir la possibilité de régler la question en premier lieu.

Le service s'adresse aux entreprises et aux personnes qui y travaillent. Il n'est pas conçu pour les personnes de moins de 16 ans et nous ne collectons pas délibérément leurs données. Si une entreprise cliente intègre des données de personnes de moins de cet âge, c'est à elle de disposer de la base juridique correspondante.

La présente politique peut être mise à jour en raison d'évolutions réglementaires, de recommandations des autorités de contrôle ou de l'évolution du service. La version en vigueur est toujours celle publiée sur cette page, avec la date de mise à jour indiquée en tête.

Lorsque la modification est substantielle, les clients en sont avertis par e-mail ou au sein de la plateforme, dans un délai raisonnable avant son entrée en vigueur.