Conformité RGPD

Aperçu général

Le Règlement général sur la protection des données (RGPD) s'applique à tout traitement de données personnelles de personnes situées dans l'Espace économique européen (EEE), quel que soit le lieu d'établissement du responsable du traitement. OctoHex traite les données personnelles des utilisateurs professionnels basés dans l'UE et s'engage pleinement à respecter le RGPD.

Notre approche suit les principes fondamentaux du RGPD :

• Licéité, loyauté et transparence — nous traitons les données uniquement sur une base juridique valide et sommes transparents sur leur utilisation
• Limitation des finalités — les données sont collectées pour des finalités déterminées, explicites et légitimes, et ne sont pas traitées ultérieurement d'une manière incompatible avec ces finalités
• Minimisation des données — nous collectons uniquement ce qui est strictement nécessaire pour le service
• Exactitude — nous prenons des mesures raisonnables pour garantir que les données sont exactes et tenues à jour
• Limitation de la conservation — les données ne sont conservées que le temps nécessaire (voir notre calendrier de conservation)
• Intégrité et confidentialité — des mesures techniques et organisationnelles appropriées protègent les données contre le traitement non autorisé, la perte et la destruction
• Responsabilité — nous tenons des registres de nos activités de traitement et sommes en mesure de démontrer notre conformité

Responsable du traitement

Aux fins du RGPD, le responsable du traitement est :

Lorsque nous agissons en tant que sous-traitant pour votre compte (par exemple, lors du traitement des données du véhicule que vous téléchargez), nous nous engageons à traiter ces données uniquement selon vos instructions documentées et conformément à l'Art. 28 du RGPD.

Base juridique du traitement

Nous ne nous appuyons pas sur le consentement comme base juridique pour nos activités de traitement principales. Si un consentement est obtenu (par exemple pour des communications marketing facultatives, si elles sont introduites à l'avenir), il sera documenté séparément, donné librement, spécifique, éclairé et univoque — et pourra être retiré à tout moment sans affecter l'accès au service.

Droits des personnes concernées

Vous pouvez exercer l'un des droits suivants en nous contactant à l'adresse privacy@octohex.com. Nous accuserons réception de votre demande sous 72 heures et y répondrons dans un délai de 30 jours calendaires. Les demandes complexes ou multiples peuvent faire l'objet d'une prolongation de deux mois supplémentaires, avec notification préalable.

Comment soumettre une demande

1. Envoyez un e-mail à privacy@octohex.com avec pour objet : "Demande RGPD — [Votre adresse e-mail enregistrée]"
2. Indiquez clairement le droit que vous exercez
3. Nous pouvons vous demander de vérifier votre identité avant de traiter la demande
4. Les demandes sont gratuites, sauf si elles sont manifestement infondées ou excessives

Droit de déposer une plainte

Si vous estimez que nous n'avons pas traité vos données conformément au RGPD, vous avez le droit de déposer une plainte auprès de votre autorité de contrôle nationale. En France, il s'agit de la CNIL (cnil.fr). En Allemagne, contactez votre Datenschutzbeauftragter compétent. Une liste complète des autorités de contrôle de l'UE est disponible sur edpb.europa.eu.

Transferts internationaux de données

Notre objectif est de stocker et de traiter toutes les données personnelles au sein de l'Espace économique européen (EEE). Lorsque nous utilisons des infrastructures ou des sous-traitants en dehors de l'EEE (par exemple des services cloud basés aux États-Unis), nous garantissons une protection adéquate par le biais d'un ou de plusieurs des mécanismes suivants :

• Des Clauses contractuelles types (CCT) approuvées par la Commission européenne (Décision 2021/914)
• La certification au Cadre de protection des données UE-États-Unis le cas échéant
• Des décisions d'adéquation émises par la Commission européenne

Vous pouvez demander une copie des garanties de transfert applicables en contactant privacy@octohex.com.

Sous-traitants

Nous faisons appel aux sous-traitants suivants qui peuvent traiter des données personnelles pour notre compte :

Nous effectuons une vérification préalable de tous les sous-traitants avant leur engagement et maintenons des accords écrits de traitement des données (DPA) avec chacun d'eux. Nous vous informerons de tout ajout de nouveau sous-traitant susceptible d'affecter matériellement vos données.

Politique de violation de données

En cas de violation de données personnelles, nous suivons les procédures requises par les Art. 33 et 34 du RGPD :

• Détection : Nous maintenons une surveillance et des alertes pour détecter rapidement les violations potentielles
• Évaluation : Les violations sont évaluées en termes de gravité, d'étendue et de probabilité de préjudice dans les 24 heures suivant leur découverte
• Notification à l'autorité de contrôle : Le cas échéant, nous notifions l'autorité de contrôle compétente dans les 72 heures après avoir pris connaissance de la violation, à moins que celle-ci ne soit pas susceptible de présenter un risque pour les droits et libertés des personnes physiques
• Notification aux personnes concernées : Lorsqu'une violation est susceptible d'entraîner un risque élevé pour vos droits et libertés, nous vous en informerons directement et dans les meilleurs délais, en décrivant la nature de la violation, ses conséquences probables et les mesures prises
• Documentation : Toutes les violations, y compris celles ne nécessitant pas de notification, sont documentées en interne

Pour signaler un incident de sécurité suspecté, contactez security@octohex.com immédiatement.

Analyse d'impact relative à la protection des données (AIPD)

Nous avons réalisé une analyse d'impact relative à la protection des données pour nos activités de traitement de base, en particulier concernant le traitement des fichiers binaires d'ECU, qui peuvent être considérés comme des données techniques sensibles relatives aux systèmes de sécurité des véhicules.

Principales conclusions et mesures d'atténuation de notre AIPD :

• Risque : Les fichiers ECU pourraient théoriquement être utilisés pour identifier un véhicule spécifique
  Atténuation : Les fichiers sont supprimés immédiatement après le traitement ; seul un hachage SHA-256 est conservé à des fins d'audit
• Risque : Les registres d'audit contenant des adresses IP et des détails sur les véhicules
  Atténuation : Accès strictement limité au personnel autorisé ; registres conservés uniquement pendant la période minimale requise par la loi
• Risque : Interception des données de paiement
  Atténuation : Aucune donnée de carte n'est stockée sur nos serveurs ; toute la gestion des paiements est déléguée à des processeurs certifiés conformes PCI-DSS

Délégué à la protection des données (DPO)

Bien que cela ne soit pas légalement obligatoire pour toutes les organisations, OctoHex a désigné un contact pour la protection des données pour toutes les demandes relatives au RGPD :

Pour les questions générales de confidentialité, consultez notre Politique de confidentialité. Pour les questions relatives à vos droits, consultez la section Droits des personnes concernées ci-dessus.