AfterToMe — Procédure relative aux droits, à la conservation et aux incidents

1. Réception et identité

1. Les demandes d'exercice des droits en matière de protection des données sont reçues à /legal/privacy-rights, à legal@aftertome.com et par courrier à Carrer Agricultura, 16, 1º, 9ª, 08320 El Masnou (Barcelona), Spain. L'assistance et les réclamations de consommation sont reçues à support@aftertome.com. Chaque demande reçoit une référence de dossier dans un délai de 2 jours ouvrables.

2. L'identité est vérifiée de manière proportionnée : par la session connectée pour un titulaire de compte ; par l'étape d'identité du parcours de demande pour un destinataire ; par la copie d'un document d'identité uniquement lorsque la demande concerne le contenu du coffre, une remise ou un compte auquel le demandeur ne peut pas se connecter. Les documents utilisés pour la vérification sont supprimés dans un délai de 30 jours après la décision.

3. Une demande présentée par un représentant n'est traitée que sur preuve du mandat.

2. Décision et délais

1. L'Opérateur répond dans un délai d'un mois à compter de la réception. Pour les demandes complexes ou nombreuses, le délai est prolongé de deux mois au plus et le demandeur est informé du motif au cours du premier mois.

2. Un refus ou une limitation indique le motif, la portée et le droit de réclamer auprès de l'AEPD et des tribunaux.

3. L'effacement du contenu du coffre est exécuté à la demande du titulaire tant que le titulaire a la capacité. Lorsqu'une conservation juridique ou une décision de justice s'applique, la suppression est suspendue pendant sa durée et le demandeur en est informé.

4. L'effacement ne modifie jamais les registres d'acceptation, de consentement ou de remise ; ces registres sont conservés comme preuve au titre de C16.1 et ne contiennent aucun contenu du coffre.

3. Calendrier de conservation

1. Les données de compte sont conservées pendant la durée de vie du compte et supprimées ou anonymisées dans un délai de 90 jours après la clôture, sauf lorsqu'une durée plus longue est exigée par la loi (documents fiscaux et comptables : 6 ans ; registres d'acceptation et de consentement : 5 ans après la fin de la relation, comme preuve de conformité ; registres soumis à une conservation juridique : jusqu'à la fin de celle-ci).

2. Les journaux de conversation, les enregistrements et les téléversements qui ne sont pas liés à un contrat en cours sont supprimés au plus tard 12 mois après la dernière interaction, et plus tôt sur votre demande, sauf conservation juridique.

3. Les sauvegardes sont renouvelées selon un cycle n'excédant pas 35 jours ; les données supprimées de la production sont retirées des sauvegardes à la fin du cycle.

4. Lorsqu'un prestataire est responsable du traitement indépendant, ses propres règles de conservation s'appliquent à ses registres.

5. Calendrier de la plateforme. Les durées de conservation par catégorie de données sont celles indiquées au PUB-02 §3. Une tâche de conservation s'exécute sur l'ordonnanceur existant au plus tard à chaque plafond et écrit un événement de suppression ; le journal de la tâche constitue la preuve de l'exécution.

6. Conservations juridiques. Une conservation juridique enregistre son responsable, son motif, sa portée, sa date de réexamen et sa date de fin ; les conservations sont réexaminées tous les 90 jours et levées lorsque le motif prend fin.

4. Mesures de sécurité

L'Opérateur maintient : un cloisonnement des clients appliqué au niveau de la base de données ; le chiffrement en transit (TLS) et au repos ; un accès selon le moindre privilège, avec authentification multifacteur, pour le personnel et les contractants au titre d'INT-01 ; un accès privilégié et une prise d'identité, audités et limités dans le temps ; une gestion des secrets sans identifiants dans le code ni dans les journaux ; une gestion des vulnérabilités et des correctifs ; des sauvegardes dont la restauration est testée au moins chaque trimestre ; des empreintes d'intégrité des éléments du coffre revérifiées au moins tous les 12 mois (SEC-01 §3.3) ; et la procédure d'incident prévue au §5.

5. Procédure en cas de violation de données à caractère personnel

1. Le personnel signale immédiatement un incident suspecté au responsable d'incident par le canal interne. Le responsable d'incident circonscrit l'incident, préserve les preuves et évalue dans un délai de 24 heures les données, les personnes et les clients concernés ainsi que le risque probable.

2. Lorsque la violation est susceptible d'engendrer un risque pour les droits et libertés des personnes physiques, l'Opérateur notifie l'AEPD dans un délai de 72 heures après en avoir pris connaissance, par étapes lorsque les faits ne sont pas encore complets, et consigne les motifs de tout retard.

3. Lorsque la violation est susceptible d'engendrer un risque élevé, l'Opérateur informe les personnes concernées dans les meilleurs délais, en langage clair, en indiquant la nature de la violation, les conséquences probables, les mesures prises et le point de contact, sauf si une exception au titre de l'article 34, paragraphe 3, du RGPD s'applique et est consignée.

4. Lorsque l'Opérateur agit comme sous-traitant pour un client (futur DAT-01), il notifie ce client dans les meilleurs délais après en avoir pris connaissance.

5. Une revue post-incident consigne la cause, l'impact et les mesures correctives dans un délai de 30 jours.

6. Réexamen

Une décision prise au titre de la présente procédure peut, sur demande, être réexaminée par une personne autre que celle qui l'a prise. Le demandeur peut à tout moment réclamer auprès de l'AEPD (www.aepd.es) ou introduire une action devant les tribunaux de son domicile (C14 [B2C-ES]).