Politique de confidentialité

Kendis Oy est une société immatriculée en Finlande sous le numéro d’entreprise 2874062-5, dont le siège social est situé Lapinlahdenkatu 16, 00180 Helsinki, Finlande. Kendis Oy est le responsable du traitement décrit dans la présente Politique de confidentialité, sauf disposition contraire de la Section 2.

Demandes relatives à la confidentialité : privacy@kendis.io. Signalements de sécurité : security@kendis.io.

Kendis traite les données personnelles en deux qualités distinctes. Celle qui s’applique dépend des données concernées.

Si vous utilisez le Service via un compte exploité par votre employeur ou une autre organisation, cette organisation est le responsable de traitement des Données du Licencié et décide de leur utilisation. Les questions et demandes d’exercice de droits portant sur les Données du Licencié doivent lui être adressées ; nous l’assistons comme le prévoit le DPA.

Fonctionnalités d’IA optionnelles. Le Service comprend des fonctionnalités d’IA optionnelles, désactivées par défaut et activables uniquement par un administrateur du client. Leur utilisation est régie par les Kendis AI Terms of Use. Lorsque ces fonctionnalités sont activées, Kendis traite les Données du Licencié concernées en qualité de sous-traitant, sur instruction du client, et tout Sous-traitant ultérieur d’IA mobilisé est identifié dans l’Annexe.

Nous ne collectons pas intentionnellement de catégories particulières de données personnelles (par exemple des données de santé ou révélant des opinions politiques) et vous demandons de ne pas nous transmettre de telles données.

Lorsque nous nous fondons sur l’intérêt légitime, nous avons vérifié que nos intérêts ne prévalent pas sur vos droits et libertés. Vous pouvez vous opposer à tout moment au traitement fondé sur l’intérêt légitime (Section 11).

Les clients choisissent une Région d’hébergement lors de la commande du Service. Les Données du Licencié sont stockées et traitées uniquement dans la Région d’hébergement choisie, sauvegardes comprises. La Région d’hébergement ne peut pas être modifiée après la création du compte.

Lorsque la Région d’hébergement Allemagne est sélectionnée, l’accès aux Données du Licencié est réservé au personnel autorisé de Kendis et de ses Sous-traitants ultérieurs situés dans l’Espace économique européen, au Royaume-Uni ou en Suisse, comme indiqué à la Section 6 de l’Annexe.

Les Données de Compte sont traitées dans les systèmes de gestion de Kendis (gestion de la relation client, support, facturation, messagerie et outils de productivité), quelle que soit la Région d’hébergement. Certains de ces systèmes sont exploités par des fournisseurs situés hors de l’EEE ; ils sont identifiés à la Section 5 de l’Annexe, avec le mécanisme de transfert appliqué.

Nous ne partageons des données personnelles que lorsque cela est nécessaire aux finalités de la Section 4, avec :

• Sous-traitants ultérieurs et prestataires de services. Infrastructure d’hébergement et de base de données pour chaque Région d’hébergement, diffusion de contenu et sécurité en périphérie, envoi d’e-mails transactionnels, gestion de la relation client, support et messagerie client, traitement des paiements, productivité et stockage documentaire, mesure d’audience du site et du produit, e-mailing marketing, publication de newsletters et notre portail de formation client. La liste en vigueur, précisant l’entité juridique de chaque prestataire, sa localisation, les données qu’il reçoit et le mécanisme de transfert appliqué, est tenue à jour dans l’Annexe, à l’adresse trust.kendis.io/subprocessors. Les clients sont informés des ajouts ou remplacements conformément au DPA.
• Partenaires d’intégration, à votre initiative. Lorsqu’un client connecte le Service à Jira, Azure DevOps ou un autre outil, les données circulent entre le Service et cet outil selon la configuration retenue par le client. Le contrat du client avec le fournisseur de l’intégration régit le traitement effectué par ce dernier.
• Conseils professionnels et organismes de certification. Auditeurs, experts-comptables, conseils juridiques et notre organisme de certification ISO/IEC 27001, tenus à la confidentialité.
• Autorités. Juridictions, régulateurs et autorités répressives lorsque la divulgation est exigée par la loi applicable. Lorsqu’une demande porte sur des Données du Licencié, sauf interdiction légale, nous renvoyons l’autorité requérante vers le client et informons ce dernier conformément au DPA.
• Opérations sur l’entreprise. Un acquéreur ou acquéreur potentiel de tout ou partie de notre activité, sous réserve de la présente Politique de confidentialité et de garanties de confidentialité appropriées.

Nous ne vendons pas de données personnelles et ne les partageons pas avec des tiers à des fins de marketing propres à ces derniers.

Le Site web et le Service utilisent des cookies et technologies similaires. Avant tout dépôt de cookies non essentiels, votre consentement est recueilli via notre bandeau cookies, conformément à la directive vie privée et communications électroniques (2002/58/CE) telle que transposée en Finlande par la loi sur les services de communications électroniques (917/2014). Vous pouvez modifier ou retirer vos choix à tout moment via le bandeau ou les réglages de votre navigateur. Bloquer les cookies strictement nécessaires peut empêcher certaines parties du Service de fonctionner.

Les cookies actuellement utilisés sont listés dans l’Annexe Cookies, à la fin de la présente Politique de confidentialité.

Kendis est établie en Finlande. Le fait que des données personnelles quittent ou non l’Espace économique européen dépend des données concernées :

• Données du Licencié, Région d’hébergement Allemagne : aucun transfert hors de l’EEE.
• Données du Licencié, Région d’hébergement États-Unis : traitées aux États-Unis par Amazon Web Services, Inc. et MongoDB, Inc. sur le fondement des Clauses contractuelles types de l’UE (décision d’exécution (UE) 2021/914 de la Commission). Amazon Web Services est en outre certifiée au titre du cadre de protection des données UE-États-Unis.
• Données de Compte, toutes Régions d’hébergement : certains des prestataires listés à la Section 5 de l’Annexe sont situés aux États-Unis ou dans d’autres pays hors de l’EEE, ou y traitent des données.

Pour tout transfert hors de l’EEE, nous nous fondons sur l’une des garanties suivantes prévues au chapitre V du RGPD : (i) une décision d’adéquation de la Commission européenne, y compris le cadre de protection des données UE-États-Unis pour les destinataires qui y sont certifiés ; ou (ii) les Clauses contractuelles types de l’UE, accompagnées d’une analyse d’impact du transfert et de mesures supplémentaires telles que le chiffrement en transit et au repos et des restrictions d’accès. Les transferts vers le Royaume-Uni et la Suisse sont couverts par des décisions d’adéquation. Le mécanisme de transfert retenu pour chaque prestataire est indiqué dans l’Annexe, et une copie des Clauses contractuelles types applicables est disponible sur demande.

Les données peuvent subsister dans des sauvegardes chiffrées pendant une période limitée après leur suppression des systèmes en production, puis sont écrasées lors du cycle de sauvegarde ordinaire.

Kendis exploite un système de management de la sécurité de l’information certifié ISO/IEC 27001. Les mesures comprennent le chiffrement des données en transit (TLS) et au repos, l’authentification unique et l’authentification multifacteur, le contrôle d’accès fondé sur les rôles, des comptes individuels nominatifs sans identifiants partagés, la journalisation des accès d’administration, la gestion des vulnérabilités, des sauvegardes régulières et un processus de réponse aux incidents éprouvé. Nos Sous-traitants ultérieurs sont liés par des contrats écrits leur imposant des obligations équivalentes.

En cas de violation de données personnelles, nous informons les clients concernés comme l’exige le DPA et l’autorité de contrôle dans un délai de 72 heures lorsque le RGPD l’impose. Si vous pensez que vos données ont été compromises, écrivez à security@kendis.io.

Sous réserve des conditions prévues par le RGPD, vous avez le droit :

• d’accéder aux données personnelles que nous détenons à votre sujet et d’en recevoir une copie ;
• de faire rectifier des données inexactes ou incomplètes ;
• de faire effacer vos données ;
• de limiter notre traitement de vos données ;
• de recevoir les données que vous nous avez fournies dans un format structuré et lisible par machine et de les faire transmettre à un autre responsable de traitement ;
• de vous opposer au traitement fondé sur l’intérêt légitime, y compris la prospection directe ; et
• de retirer votre consentement à tout moment lorsque le traitement repose sur celui-ci, sans que cela affecte le traitement effectué avant le retrait.

Nous ne prenons pas de décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou vous affectant de manière significative de façon similaire.

Pour exercer l’un de ces droits, écrivez à privacy@kendis.io. Nous pourrons avoir besoin de vérifier votre identité. Nous répondons dans un délai d’un mois, prorogeable de deux mois pour les demandes complexes, et ne facturons aucun frais sauf si la demande est manifestement infondée ou excessive. Lorsqu’une demande porte sur des Données du Licencié, nous la transmettons au client qui contrôle ces données et l’assistons comme l’exige le DPA.

Si vous n’êtes pas satisfait de la manière dont nous traitons vos données, vous pouvez introduire une réclamation auprès du Bureau du médiateur finlandais à la protection des données (Tietosuojavaltuutetun toimisto, tietosuoja.fi) ou auprès de l’autorité de contrôle de l’État membre de l’EEE où vous résidez ou travaillez.

Nous envoyons des e-mails marketing, des newsletters et des invitations à des événements à des contacts professionnels qui y ont consenti ou, lorsque la loi le permet, dont l’organisation entretient avec nous une relation de client ou de client potentiel. Chaque e-mail marketing contient un lien de désinscription, et vous pouvez également vous désinscrire en écrivant à privacy@kendis.io. Se désinscrire du marketing n’interrompt pas les communications liées au Service nécessaires au fonctionnement de votre compte, telles que les avis de sécurité et les notifications de changement de Sous-traitants ultérieurs.

Le Site web et le Service s’adressent aux entreprises et ne sont pas destinés aux enfants de moins de 16 ans. Nous ne collectons pas sciemment de données personnelles auprès d’enfants. Si vous pensez qu’un enfant nous a communiqué des données personnelles, contactez-nous et nous les supprimerons.

Le Site web et le Service contiennent des liens vers des sites web et services de tiers, y compris des partenaires d’intégration. Nous ne sommes pas responsables de leurs pratiques en matière de confidentialité et la présente Politique de confidentialité ne s’y applique pas.

Nous pouvons mettre à jour la présente Politique de confidentialité de temps à autre. Chaque version porte un numéro de version et une date d’entrée en vigueur. Les modifications substantielles sont notifiées aux administrateurs des comptes clients par e-mail ou dans le Service avant leur prise d’effet, et la version en vigueur est toujours publiée à l’adresse kendis.io/privacy-policy.

Kendis Oy, Lapinlahdenkatu 16, 00180 Helsinki, Finlande. Numéro d’entreprise 2874062-5.

Confidentialité : privacy@kendis.io. Sécurité : security@kendis.io.

La présente Politique de confidentialité est régie par le droit finlandais.

Les cookies actuellement déposés par le Site web et le Service. Si vous estimez que cette liste est incomplète, signalez-le-nous à privacy@kendis.io.