En plus des mesures et configurations fonctionnelles et techniques intégrées aux solutions (voir les articles précédents), Piano prend les engagements contractuels suivants :
Limitation des finalités et propriété des données
Le RGPD précise qu'un traitement de données personnelles n'est licite que si les données sont « collectées pour des finalités déterminées, explicites et légitimes, et ne sont pas traitées ultérieurement d'une manière incompatible avec ces finalités » (art. 5.1.b).
|
Solution |
Finalité |
Propriété des données |
|---|---|---|
|
Piano Analytics |
La finalité principale est la mesure d'audience, qui produit des données et analyses statistiques d'audience (art. 6.2 du DPA Analytics). En tant que responsable du traitement, le client peut poursuivre d'autres finalités liées à ses besoins métier, dans les limites définies à l'article 8 du DPA. |
Les données collectées, traitées et stockées pour le compte du client restent son entière propriété, jusqu'à leur suppression à la fin du contrat. |
|
Piano Subscriptions, Piano Audience |
Les finalités sont déterminées par le client et découlent des fonctionnalités du logiciel : expériences d'audience (performance des abonnements, tendances utilisateurs, préférences, segmentation), facturation et comptabilité, ainsi que toute autre finalité prévue par les fonctionnalités du logiciel (DPA standard Piano Subscriptions et Audience). |
Le client détient et conserve l'ensemble des droits sur les données client (DPA standard Piano Subscriptions et Audience). |
Accord de traitement des données (DPA)
Comme l'exige le RGPD (art. 28), la fourniture des solutions Piano à un client doit être encadrée par un contrat de sous-traitance.
|
Solution |
Couverture du DPA |
|---|---|
|
Piano Analytics |
Le DPA standard couvre la description et la licéité du traitement, la limitation des finalités et de la conservation, la confidentialité et la sécurité des données, ainsi qu'un point de contact. Opérations de traitement applicables par défaut : collecte ; enregistrement, organisation, structuration et conservation ; consultation et utilisation ; limitation, effacement ou destruction. |
|
Piano Subscriptions, Piano Audience |
Encadré par le DPA standard Piano Subscriptions et Audience, qui couvre la nature et la finalité du traitement, les types de données personnelles et les catégories de personnes concernées, la confidentialité, ainsi qu'un ensemble complet de mesures de sécurité techniques et organisationnelles (contrôle des accès, chiffrement, réponse aux incidents, notification des violations sous 24 heures, tests et audits de sécurité réguliers). Opérations de traitement applicables par défaut : collecte ; enregistrement, organisation, structuration et conservation ; consultation et utilisation ; limitation, effacement ou destruction. |
Sous-traitants ultérieurs
Pour fournir ses solutions, Piano fait appel à des sous-traitants ultérieurs (de rang 2 par rapport au client, responsable du traitement), pour l'ensemble de ses produits.
La liste des sous-traitants ultérieurs est disponible et tenue à jour à l'adresse suivante : https://www.piano.io/legal/privacy-policy#piano-sub-processors.
Piano conclut un accord de traitement des données avec chacun de ses sous-traitants ultérieurs, garantissant le même niveau de protection que celui exigé par le DPA signé.
Transferts
Le RGPD définit un transfert de données comme un traitement effectué dans un pays tiers ou par une organisation internationale située en dehors de l'Union européenne (art. 44). Dans ce cas, le RGPD impose la transparence sur la destination des données transférées (art. 14.f) ainsi que des garanties appropriées pour assurer le maintien de la conformité (chapitre 5).
Les principes généraux applicables aux transferts internationaux de données sont définis dans la politique de confidentialité de la plateforme SaaS, disponible à l'adresse https://www.piano.io/legal/privacy-policy#international-data-transfers. Ils reposent notamment sur des règles d'entreprise contraignantes (BCR) validées par le CEPD, qui s'appliquent à toutes les filiales de Piano.
Spécificités par produit :
|
Solution |
Garanties |
|---|---|
|
Piano Analytics |
Par défaut, toutes les données de mesure d'audience des clients sont traitées et stockées au sein de l'Union européenne, ce qui garantit l'absence de tout transfert physique ou actif de données hors de l'UE. Des mesures techniques appropriées (minimisation et anonymisation des données, chiffrement) sont appliquées. Des garanties appropriées sont mises en place en cas d'éventuels transferts résiduels liés à des accès. La certification GDPR-Europrivacy atteste de la mise en place de garanties appropriées. |
|
Piano Subscriptions, Piano Audience |
Une option de traitement et de stockage des données dans l'UE est disponible. Des mesures techniques appropriées (minimisation et anonymisation des données, chiffrement) sont appliquées. Des garanties appropriées sont mises en place en cas d'éventuels transferts résiduels liés à des accès. |