Privacy Policy

Base légale : Les traitements décrits ci-après sont réalisés par OVHcloud afin de respecter ses obligations légales (Article 6.1.c) du RGPD).

Dans le cadre de ses activités, OVHcloud est soumis à différentes obligations légales dont le respect nécessite des traitements de données à caractère personnel.

Ainsi, dans le cadre du respect de ses obligations comptables et fiscales, OVHcloud traite des données et conserve des preuves relatives aux commandes passées par ses clients et à leur règlement.

Par ailleurs, afin d’assurer la sécurité des services qu’il propose, conformément aux dispositions de l’article 32 du RGPD, ou de respecter les obligations mises à sa charge lorsqu’il agit en qualité de fournisseur de services de communications électroniques tel que prévu par l’article 4 de la Directive « vie privée et communications électroniques » 2002/58 (ePrivacy), OVHcloud conserve des données d’identification (nom, prénom, identifiant utilisateur, identifiant client, justificatif d’identité, justificatif de domicile) ainsi que des données techniques relatives à l’utilisation des services (données de traffic et de localisation, journalisation des connexions et journaux d’événements).

OVHcloud a également l’obligation de répondre aux demandes d’exercice de droits des personnes concernées par les traitements de données à caractère personnel, ou à certaines demandes de juridictions et d’autorités judiciaires ou administratives de communication d’information, ou encore de déclarer certaines violations de données à caractère personnel, ce qui implique des traitements de données à caractère personnel.

Dans le cadre des traitements décrits dans la présente politique, OVHcloud se conforme, en qualité de responsable du traitement, à la réglementation en vigueur, notamment au Règlement (UE) 2016/679 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (le « RGPD »), ainsi que toute décision législative ou réglementaire des États membres de l’Union européenne qui trouverait à s’appliquer auxdits traitements, comme la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés telle que modifiée par l’Ordonnance n°2019-964 du 18 septembre 2019 en France.

À ce titre, OVHcloud s’engage notamment à :

• Ne collecter que des données à caractère personnel nécessaires dans le cadre des finalités suscitées ;
• Mettre en œuvre des processus de nature à s’assurer de l’exactitude et de la mise à jour des données utilisées dans le cadre desdits traitements, ainsi que de leur effacement lorsqu’elles ne sont plus nécessaires aux finalités poursuivies ;
• Ne pas traiter les données à caractère personnel en sa possession pour d’autres finalités que celles mentionnées dans le cadre de la présente politique, sauf à obtenir le consentement des personnes concernées, ou à les en informer concernant les traitements fondés sur d’autres bases légales que le consentement ;
• Documenter les traitements réalisés au sein d’un registre et procéder à toutes les analyses d’impact nécessaires ;
• Mettre un place un processus de gestion des incidents et des violations de données, notifier les autorités de protection compétentes dans les conditions de l’article 33 du RGPD, et informer les personnes concernées, conformément à l’article 34 du RGPD lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés ;
• Mettre en place des mesures techniques et organisationnelles de nature à protéger les données à caractère personnel contre les risques de sécurité, telles que précisées par la Politique de Sécurité des Systèmes d’Information d’OVHCloud.

La protection des données à caractère personnel est pleinement intégrée au système de gestion de sécurité de l’information d’OVHcloud, dans le cadre duquel OVHCloud poursuit différents objectifs tels que :

• Déploiement d’une approche industrielle, à grande échelle, de la sécurité ;
• Positionnement d’OVHCloud comme un acteur de confiance dans l’écosystème ;
• Mise en place de systèmes de management de la sécurité (ISMS) et de la vie privée (PIMS) ;
• Approche de la sécurité par les risques ;
• Démonstration de la sécurité via la certification, le contrôle interne et l’audit externe ;
• Réponse unifiée aux incidents de sécurité et aux violations de données à caractère personnel ;
• Intégration des enjeux de sécurité et de protection de la vie privée dans l’évolution des produits ;
• Evaluation de la sécurité et mise en place d’amélioration continue.

Ces éléments sont précisés dans la politique de sécurité des systèmes d’information d’OVHCloud.

OVHcloud se réserve le droit de procéder à l’anonymisation des données objet de la présente politique, c’est-à-dire de les modifier afin qu’elles ne permettent plus, même de manière indirecte, d’identifier, d’individualiser ou de singulariser la personne concernée, et de les réutiliser seulement sous forme anonyme.

OVHcloud s’efforce d’appliquer les principes suivants en matière d’anonymisation :

1. L’impossibilité d’isoler un individu au sein d’un groupe plus grand sur la base des données ;
2. L’impossibilité de relier deux enregistrements concernant la même personne ; et
3. L’impossibilité d’inférer, avec une forte probabilité, des informations inconnues concernant une personne.

Dans la mesure où les données ainsi anonymisées ne constituent plus des données à caractère personnel, OVHcloud se réserve le droit de les conserver et de les utiliser à d’autres fins que celles prévues dans le cadre de la présente politique, notamment afin de pouvoir produire des statistiques, développer de nouveaux services ou améliorer des services existants, réaliser des analyses marketing ou encore développer des stratégies commerciales.

Les Sociétés Apparentées OVHcloud, à l’exception toutefois des entités étasuniennes d’OVHcloud, peuvent participer aux traitements de données objet de la présente politique, réalisés par OVHcloud en qualité de responsable des traitements.

OVHcloud a également recours à des prestataires tiers tels que des prestataires de services de sécurité, fournisseurs réseaux, fournisseurs d’applications et d’outils internes, prestataires de services de paiement, analystes marketing, analystes web, fournisseurs de solutions d’emailing, enquêtes de satisfactions, sociétés de conseils, auditeurs, etc. intervenant en qualité de sous-traitants sur instruction d’OVHcloud.

OVHcloud s’assure que ses sous-traitants s’engagent à respecter la réglementation en vigueur et mettre en place des mesures techniques et organisationnelles appropriées afin d’assurer la protection des données à caractère personnel qu’ils sont amenés à traiter sur instruction d’OVHcloud. OVHcloud veille notamment à ce que ces sous-traitants n’aient accès qu’aux seules données nécessaires à l’exécution de leur mission.

De plus, lorsqu’il a recours à des solutions logicielles tierces pour le traitement de données relatives à l’utilisation et à la fourniture de ses services (notamment outils de ticketing et de gestion du support, outils utilisés pour le provisionnement et la maintenance, ou encore solution de gestion de la relation commerciale), OVHcloud privilégie l’hébergement des solutions « on premise » sur ses propres infrastructures.

Dans tous les cas, un contrat est établi entre OVHcloud et le sous-traitant, et des mesures techniques et organisationnelles appropriées sont mises en place conformément aux articles 28 et 32 du RGPD.

La présente section 4. ne traite pas des conditions dans lesquelles OVHcloud est autorisée à recourir à des sous-traitants ultérieurs dans le cadre des traitements de données à caractère personnel réalisés par OVHcloud en qualité de sous-traitant sur instruction de ses clients. Lesdits traitements sont soumis aux conditions prévues dans la Partie 1 de l’annexe « Traitement de données à caractère personnel d’OVH ».

OVHcloud s’attache à limiter les transferts de données à caractère personnel en dehors de l’Union européenne.

Hébergement des données

Pour les clients des entités européennes d’OVHcloud, l’hébergement au sein de l’Union européenne des données les concernant est toujours privilégié, y compris en cas de recours à des sous-traitants. Toutefois, lorsque lesdits clients européens choisissent des services hébergés dans des centres données OVHcloud situés en dehors de l’Union européenne, notamment au Canada, en Australie ou à Singapour, les données à caractère personnel nécessaires à l’exécution des services peuvent être hébergées en dehors de l’Union européenne.

Traitements à distance

Du fait l’organisation internationale d’OVHcloud, les activités de traitement de données décrites dans le cadre de la présente politique peuvent être réalisées depuis des localisations hors Union-Européenne par les Sociétés Apparentées et prestataires tiers sous-traitants d’OVHcloud tel que prévu dans la section 2.4. ci-dessus.

Les présentes stipulations ne concernent que les données traitées par OVHcloud en qualité de responsable de traitement conformément à la présente politique, à l’exclusion des données à caractère personnel que les clients d’OVHcloud lui confient et qu‘OVHcloud traite en qualité de sous-traitant. Les conditions de transfert des données à caractère personnel traitées par OVHcloud en qualité de sous-traitant sur instruction de ses clients sont définies dans la Partie 1 de l’annexe « Traitement de données à caractère personnel d’OVH »

Lorsque les données à caractère personnel objet de la présente politique sont transférées (y compris en cas d’accès à distance) vers des pays tiers à l’Union Européenne ne bénéficiant pas de décision d’adéquation de la Commission européenne adoptée conformément à l’article 25 de la directive 95/46/CE ou à l’article 45 du RGPD, OVHcloud s’assure que des garanties appropriées telles que prévues à l’article 46 du RGPD sont mises en place, et ce, que l’importateur de données soit une entité OVHcloud ou une entité tierce.

Quand l’importateur est une Société Apparentée d’OVHcloud les garanties appropriées susvisées sont constituées des clauses contractuelles types 2010/87/UE adoptées par la Commission européenne sur le fondement du paragraphe 4 de l'article 26 de la directive 95/46/CE qui, conformément à l’article 4 de la décision d’exécution (UE) 2021/914 de la Commission européenne du 4 juin 2021, sont réputées offrir des garanties appropriées au sens du paragraphe 1 de l’article 46 du RGPD jusqu’au 27 décembre 2022.

A ce titre, OVHcloud, qui se réserve le droit de substituer auxdites clauses contractuelles types toute autre garantie appropriée prévue au chapitre V du RGPD, travaille à la mise en place des clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers en vertu du règlement (UE) 2016/679 du Parlement européen et du Conseil, adoptées par ladite décision d’exécution (UE) 2021/914 de la Commission.

De plus, OVHcloud s’assure que le droit et les pratiques des pays de destination ne sont pas susceptibles de porter atteinte à l’efficacité desdites clauses contractuelles, et dans le cas contraire, met en place des mesures supplémentaires de nature à assurer l’efficacité des mécanismes de garantie susvisés conformément aux Recommandations 01/2020 du Comité Européen de la Protection des Données.

En tout état de cause, OVHcloud met en place des mesures techniques et organisationnelles (telles que traçabilité, limitation des accès) visant à protéger les données transférées en particulier contre tout accès ou divulgation non autorisés, et veille à respecter les dispositions de la réglementation européenne, notamment l’article 48 du RGPD, en cas de demande d’une autorité d’un pays tiers à l’Union européenne visant à obtenir communication de données à caractère personnel concernant les clients de ses entités européennes.

OVHcloud peut recevoir des demandes d’autorités judiciaires, administratives ou autres, visant à obtenir communication des données à caractère personnel en sa possession relatives à ses clients.

Dans ce cas, OVH s’engage à :

• Vérifier la compétence de l’autorité demanderesse ;
• Ne répondre qu’à des demandes valablement formées ;
• Si cela est autorisé, informer au préalable la personne concernée afin de lui permettre de faire valoir ses droits ;
• Limiter la communication aux seules données requises par l’autorité.

En cas de demande d’une autorité d’un pays tiers à l’Union européenne visant à obtenir communication de données relatives à un client européen d’OVHcloud, OVHcloud s’y oppose sous réserve des cas suivants :

(a) la demande est réalisée conformément à un accord international, tel qu'un traité d'entraide judiciaire, en vigueur entre le pays demandeur et l'Union européenne ou l’État membre dont relève l’entité OVHcloud auprès de laquelle le client ouvert son compte client OVHcloud ;

(b) le client visé par la demande a ouvert un compte client OVHcloud auprès une entité OVHcloud établie dans la même juridiction que l’autorité demanderesse ; ou,

(c) conformément à l’article 49 du RGPD en particulier lorsque la demande poursuit un intérêt public reconnu par le droit de l’Union ou par le droit d’un État membre de l’Union européenne, ou qu’elle est nécessaire à la sauvegarde d’intérêts vitaux.

Conformément au RGPD, vous disposez du droit d’accéder aux données à caractère personnel susvisées vous concernant, ainsi que du droit de les rectifier, d’en demander la suppression et la portabilité, ainsi que du droit de limiter ou de vous opposer à certains traitements. Lorsque le traitement est fondé sur le consentement, vous disposez également du droit de retirer ce consentement à tout moment.

Ces droits peuvent être exercés en utilisant le formulaire prévu à cet effet sur le Site Internet d’OVHcloud, ou par courrier postal à l’adresse : OVH S.A.S., Délégué à la Protection des Données, 2 rue Kellermann, 59100 Roubaix, France.

Conformément à l’article 12 du RGPD, chaque demande doit être impérativement accompagnée des informations pertinentes permettant de démontrer votre identité. Il y sera répondu dans les meilleurs délais et en tout état de cause dans le respect des dispositions de l’article 12 suscité. En cas de doute raisonnable quant à l’identité de la personne physique présentant la demande, il peut être demandé que soient fournies des informations supplémentaires nécessaires pour confirmer l’identité de la personne concernée, notamment une preuve d’identité.

Vous pouvez également adresser une réclamation auprès de l’autorité de protection des données compétente.