Politique de confidentialité
Le présent avis est en vigueur depuis le 16 novembre 2021 · Version : 1.0
La société SOOMA.COM – WEB SERVICES, LDA. traite vos données personnelles avec respect et transparence, conformément au Règlement général sur la protection des données (RGPD). Vos données sont traitées et stockées sur des serveurs situés au Portugal, et les sauvegardes sont conservées à Berlin, en Allemagne, toujours au sein de l’Union européenne.
1. Responsable du traitement
SOOMA.COM – WEB SERVICES, LDA.
Rua Dom João I, 99
4450-143 Matosinhos
Portugal (UE)
Numéro d’entreprise (NIPC) : 515 060 445
Téléphone : 210 205 164 ou 220 280 335
Email: hello@sooma.com
Website: sooma.com
Contact : Fernando Costa
Délégué à la protection des données : dpo@sooma.com
Un délégué à la protection des données a été formellement désigné.
2. Données à caractère personnel que nous collectons
2.1. Données que vous nous fournissez directement
- Données d’identification : nom, fonction, entreprise
- Données de contact : adresse e-mail, numéro de téléphone
- Données de compte : identifiants d’accès au service et au panneau d’administration
- Données de facturation : adresse de facturation, numéro d’identification fiscale (NIF/NIPC), informations de paiement
- Communications : messages envoyés via les formulaires de contact et l’assistance
2.2. Données traitées dans le cadre du service d’e-mail
En tant que fournisseur de service d’e-mail, Sooma stocke et transmet, pour le compte du client, le contenu des messages, les pièces jointes, les contacts et les agendas des boîtes mail. Ces données :
- sont traitées exclusivement pour fournir le service souscrit ;
- ne sont pas analysées à des fins commerciales, publicitaires ou de profilage ;
- sont soumises au secret des communications prévu par la loi.
Dans ses relations avec les clients professionnels, Sooma agit en qualité de sous-traitant (art. 28 du RGPD) pour les données à caractère personnel contenues dans les boîtes mail, le client étant le responsable du traitement. Un accord de traitement des données (DPA) est disponible, annexé au contrat de service et fourni sur demande.
2.3. Données collectées automatiquement
- Données d’utilisation du site web : pages visitées, durée de la session
- Données techniques et journaux : adresse IP, type de navigateur, journaux de connexion et de remise du courrier (métadonnées), nécessaires au fonctionnement, à la sécurité et à la lutte contre les abus
- Cookies et technologies similaires : comme indiqué dans notre Politique en matière de cookies
3. Finalités et bases juridiques du traitement
| Finalité | Base juridique |
|---|---|
| Fourniture des services d’e-mail, d’agenda et de contacts | Exécution d’un contrat (art. 6, paragraphe 1, point b) du RGPD) |
| Émission et conservation des preuves de l’E-mail recommandé (service d’envoi recommandé électronique, article 43 du règlement eIDAS) | Exécution d’un contrat (art. 6, paragraphe 1, point b), du RGPD) ; intérêt légitime à conserver les preuves (art. 6, paragraphe 1, point f), du RGPD) |
| Facturation et gestion financière | Obligation légale (art. 6, paragraphe 1, point c) du RGPD) |
| Assistance technique et service client | Exécution d’un contrat / intérêt légitime |
| Sécurité des réseaux et de l’information, prévention des abus et de la fraude | Intérêt légitime (art. 6, paragraphe 1, point f) du RGPD ; considérant 49) ; respect des obligations en matière de cybersécurité (directive (UE) 2022/2555, NIS2) |
| Communications marketing (newsletter) | Consentement (art. 6, paragraphe 1, point a) du RGPD) |
| Respect des obligations légales et des injonctions des autorités | Obligation légale (art. 6, paragraphe 1, point c) du RGPD) |
4. Conservation des données
Nous conservons chaque catégorie de données uniquement pendant la durée nécessaire à la finalité qui justifie son traitement, ou pendant la durée exigée par la loi.
4.1. Données de compte, de contrat et de facturation
| Données | Finalité | Conservation | Accès |
|---|---|---|---|
| Nom, adresse e-mail, coordonnées et informations de compte | Exécution du contrat et assistance client | Pendant la durée du contrat et jusqu’à 10 ans après sa fin | Administration des systèmes, assistance client, direction |
| Données de facturation et de paiement | Respect des obligations fiscales | 10 ans | Comptabilité, direction |
| Communications avec l’assistance client | Preuve et suivi de la demande | 2 ans après la clôture de la demande | Assistance client, administration des systèmes |
4.2. Contenu du Service
| Données | Finalité | Conservation | Accès |
|---|---|---|---|
| Contenu des boîtes mail, des agendas et des contacts | Fourniture du Service | Durée du service ; suppression 60 jours après la résiliation | Aucun accès, sauf si strictement nécessaire à la fourniture du Service ou à la demande du Client |
| Preuves de l’E-mail recommandé (certificats d’envoi et de remise, avec horodatage qualifié) | Preuve d’envoi, de remise et du contenu (service d’envoi recommandé électronique, article 43 du règlement eIDAS) | 7 ans à compter de l’émission, conformément aux Conditions générales ; mises à la disposition du Client dans un dossier dédié de sa boîte mail | Administration des systèmes |
4.3. Journaux techniques
Nous ne conservons pas de données de trafic à des fins d’enquête pénale. Les journaux ci-dessous servent exclusivement à assurer le fonctionnement du Service, à prévenir les utilisations abusives et à répondre aux incidents de sécurité.
| Système | Données journalisées | Finalité | Conservation | Accès |
|---|---|---|---|---|
| Webmail et panneau d’administration | Date, heure et adresse IP de l’accès | Détection des accès non autorisés | 14 jours | Administration des systèmes, assistance client |
| Serveurs SMTP et filtres anti-spam | Expéditeur, destinataire, identifiant et taille du message. Ni le contenu ni l’objet ne sont journalisés | Prouver la remise ou la réception en cas de réclamation ; prévenir les abus | 14 jours | Administration des systèmes, assistance client |
| Serveurs IMAP et POP3 | Compte, date, heure et adresse IP de la connexion | Vérification des accès non autorisés | 14 jours | Administration des systèmes, assistance client |
| Site web sooma.com | Données d’accès au serveur web | Sécurité et fonctionnement du site web | 14 jours | Administration des systèmes |
Une fois ces délais écoulés, les journaux sont supprimés ou anonymisés, sauf s’ils doivent être conservés pour l’investigation d’un incident de sécurité précis ou pour se conformer à une injonction légale d’une autorité compétente portant sur des données précises.
4.4. Autres
| Données | Conservation |
|---|---|
| Communications marketing | Jusqu’au retrait du consentement |
| Candidatures | Voir la section 9 |
5. Partage des données avec des tiers
Sooma ne vend, ne loue ni n’échange de données à caractère personnel. Les données peuvent être partagées avec :
- Autorités de certification qualifiées (Asseco, Multicert) : pour l’émission des certificats eIDAS, uniquement les données strictement nécessaires
- Établissements de paiement : les données strictement nécessaires au traitement des paiements sont partagées avec des établissements bancaires et parabancaires partenaires établis dans l’Union européenne
- Autorités publiques : lorsque la loi l’exige ou en vertu d’une décision de justice valide émise par une autorité compétente au titre du droit portugais ou européen
Les serveurs de Sooma sont installés dans des centres de données situés au Portugal, dans le cadre d’un contrat d’hébergement physique (colocation). Le fournisseur de l’installation ne fournit que l’espace, l’alimentation électrique, le refroidissement et la sécurité physique ; il n’a aucun accès aux équipements ni aux données qui y sont stockées. Les sauvegardes sont conservées, chiffrées, dans un centre de données situé à Berlin, en Allemagne, au sein de l’Union européenne.
5.1. Ce que nous ne faisons pas
Pour éviter toute ambiguïté, nous déclarons expressément que Sooma :
- ne vend, ne loue ni ne transfère de données à caractère personnel à des tiers ;
- n’analyse pas le contenu des communications à des fins commerciales ou publicitaires ;
- ne crée pas de profils d’utilisateurs (profilage) à partir des données traitées ;
- ne prend pas de décisions automatisées produisant des effets juridiques ou des effets similaires significatifs à l’égard des personnes concernées ;
- n’utilise pas les données à des fins de publicité comportementale, que ce soit pour son propre compte ou pour celui de tiers.
6. Transferts internationaux
Les données personnelles sont traitées et stockées exclusivement sur des serveurs situés dans l’Union européenne : au Portugal et, pour les sauvegardes, à Berlin, en Allemagne. Nous ne transférons pas de données personnelles vers des pays tiers. Sooma n’est pas soumise à la législation extraterritoriale d’accès aux données de pays tiers (comme le CLOUD Act américain).
7. Vos droits
Au titre du RGPD : accès (art. 15), rectification (art. 16), effacement (art. 17), limitation (art. 18), portabilité (art. 20), opposition (art. 21) et retrait du consentement à tout moment.
La portabilité en pratique : le contenu des boîtes mail, des agendas et des contacts peut être exporté à tout moment par le Client lui-même, au moyen des protocoles ouverts IMAP, CalDAV et CardDAV, dans des formats couramment utilisés et lisibles par machine, sans aucune demande préalable. Pour toutes les autres données, il suffit d’adresser une demande au délégué à la protection des données.
Pour exercer vos droits : dpo@sooma.com. Nous répondons dans un délai maximal de 30 jours. Vous avez également le droit d’introduire une réclamation auprès de l’autorité portugaise de protection des données, la CNPD (Comissão Nacional de Proteção de Dados,cnpd.pt).
8. Sécurité des données
Sooma a mis en œuvre des mesures techniques et organisationnelles appropriées (art. 32 du RGPD), notamment :
- Chiffrement TLS 1.3 en transit et chiffrement AES-256 au repos
- Modules de sécurité matériels (HSM) certifiés FIPS 140-2 niveau 3 pour le scellement des preuves de l’E-mail recommandé
- Contrôle d’accès basé sur les rôles et journalisation des accès
- Sauvegardes régulières et infrastructure redondante
- Surveillance continue de la sécurité
Sooma met actuellement en place et fait certifier un SMSI conformément à la norme ISO/IEC 27001, et s’aligne sur les exigences de la directive (UE) 2022/2555 (NIS2).
En cas de violation de données à caractère personnel susceptible d’engendrer un risque pour les personnes concernées, Sooma en informera la CNPD dans un délai de 72 heures (art. 33 du RGPD) et les personnes concernées lorsque la loi l’exige (art. 34).
9. Candidatures
- Les données à caractère personnel transmises par les candidats, de manière spontanée ou en réponse à une offre d’emploi, sont traitées exclusivement aux fins du processus de recrutement, sur la base de mesures précontractuelles prises à la demande de la personne concernée.
- Si un contrat de travail est conclu, les données sont conservées conformément à la législation du travail applicable.
- Si aucun contrat n’est conclu, les données sont supprimées dans les 6 mois suivant la communication de la décision, sauf si le candidat consent expressément à leur conservation en vue d’opportunités futures.
10. Documents connexes
La présente Politique doit être lue conjointement avec les Conditions générales d’utilisation, la Politique anti-spam et la Politique en matière de cookies, disponibles sur sooma.com. Dans les relations avec les clients professionnels et les organismes publics, l’accord de traitement des données (DPA) annexé au contrat de service s’applique également.
11. Modifications de la présente Politique
La présente politique peut être mise à jour. La version en vigueur est toujours disponible sur sooma.com, avec indication de la date de la dernière mise à jour. Les modifications importantes seront communiquées aux clients.