Comment nous gérons vos données, par écrit.

Vous (le client) êtes le responsable de traitement pour les données personnelles à l'intérieur de votre tenant KiwiStack : les boîtes mail, fichiers, agendas, salons de chat, enregistrements de réunions, registres projets de votre équipe, et le reste. Vous décidez ce qui rentre et pourquoi.

Nous (KiwiStack, exploité par Corentin Dekimpe depuis le Luxembourg) sommes le sous-traitant. Nous exploitons l'infrastructure et la pile logicielle open source documentée sur /architecture. Nous agissons sur vos instructions, plus ce qui est nécessaire pour faire tourner le service et nous conformer au droit de l'UE.

Les sous-traitants listés ci-dessous sont des sous-traitants ultérieurs au sens de l'article 28, 2 du RGPD. Tous les autres composants de la pile (Nextcloud, OX, Synapse, Jitsi, OpenProject, XWiki, Vaultwarden, CryptPad, Onyx, Keycloak, et le reste) sont des logiciels open source que nous exploitons à l'intérieur de votre tenant ; les projets amont ne voient pas vos données et ne sont pas des sous-traitants.

Si nous prenons connaissance d'une violation de données personnelles affectant votre tenant, nous vous notifions sans retard injustifié et au plus tard sous 72 heures à compter de la prise de connaissance (article 33, 2 du RGPD).

La notification inclut : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements affectés, les conséquences probables, et les mesures prises ou proposées pour y remédier. Nous vous aidons à préparer votre propre notification à l'autorité de contrôle (article 33) et, le cas échéant, aux personnes concernées (article 34).

Les notifications vont à l'email admin que vous fournissez à l'onboarding (la même adresse qui reçoit la revue d'accès trimestrielle).

Vous pouvez demander, une fois par période de douze mois : notre questionnaire de sécurité (forme CAIQ-Lite), la dernière liste des sous-traitants, nos registres des activités de traitement au titre de l'article 30, et tous les rapports d'audit interne dont nous disposons sur nos propres contrôles.

Un audit sur site est disponible avec un préavis d'au moins 30 jours, cadré conjointement pour ne pas perturber les autres clients, à vos frais raisonnables. Nous conservons les documents pertinents pour ce DPA pendant trois ans après la fin du contrat.

Vous pouvez demander un export complet des données à tout moment pendant le contrat : boîtes mail en EML et maildir, fichiers dans leurs formats d'origine, agendas en iCal, contacts en vCard, lignes de base de données en SQL standard. Les exports sont chiffrés au repos pendant la préparation et fournis via un canal authentifié de votre choix.

À la résiliation, vous avez 60 jours pour récupérer un export final. Après cela, les données personnelles client sont supprimées du stockage primaire. Les sauvegardes sont purgées sur leur rotation normale (rétention des snapshots Restic, contrôlée par le client). Une confirmation écrite de suppression est émise sur demande.

Lorsque nous sommes légalement tenus de conserver quelque chose au-delà de cette fenêtre (par exemple, registres de facturation au titre de la loi fiscale luxembourgeoise), nous ne conservons que ce qui est strictement requis, séparé des données opérationnelles, et non utilisé à d'autres fins.

Nous vous aidons à remplir vos propres obligations RGPD : répondre aux demandes de personnes concernées (articles 15 à 22), conduire des analyses d'impact relatives à la protection des données (article 35), consulter au préalable l'autorité de contrôle (article 36), et démontrer la conformité (article 5, 2).

Demandes acheminées via votre admin à hello@kiwistack.io. Les cibles de réponse par offre s'appliquent (voir /security).

Aucun. Tout le traitement et tous les sous-traitants sont à l'intérieur de l'Union européenne. Nous n'invoquons pas de Clauses contractuelles types, de Décisions d'adéquation, ni le Cadre de protection des données UE-US, parce que nous ne transférons pas vos données hors de l'UE.

Si une relation contractuelle en aval de votre côté exige que nous signions des CCT malgré tout (Module 3, sous-traitant à sous-traitant ultérieur), nous le ferons, sans modifier notre lieu de traitement réel.

Durée. Ce DPA court parallèlement au contrat de service. Les obligations de suppression, audit et confidentialité survivent à la résiliation aussi longtemps que nous détenons une partie de vos données.

Responsabilité. Plafonnée à la limite fixée dans les Conditions de service (actuellement douze mois de frais payés), conformément à l'article 82 du RGPD. Le plafond ne s'applique pas à la négligence grave, au manquement délibéré ou à la violation de confidentialité.

Loi applicable et juridiction. Droit luxembourgeois. Juridiction exclusive : tribunaux du Luxembourg. Autorité de contrôle : Commission nationale pour la protection des données (CNPD), Luxembourg. Vous conservez le droit de déposer une plainte auprès de votre autorité de contrôle locale au titre de l'article 77 du RGPD.

Modifications. Si nous modifions ce DPA d'une manière qui augmente vos obligations ou réduit les nôtres, nous vous notifions au moins 30 jours à l'avance par email et sur cette page. Un désaccord substantiel vous permet de résilier le service concerné avec un remboursement au prorata.