Mesures techniques et organisationnelles

1Qui est responsable de quoi

La distinction est essentielle en cas de contrôle :

• La structure cliente est responsable de traitement pour les dossiers qu'elle gère : c'est elle qui décide des pièces demandées, des finalités et des durées.
• GolemTech est sous-traitant au sens de l'article 28 : nous traitons ces données uniquement sur instruction documentée de la structure, sans les exploiter à d'autres fins, jamais pour de la prospection, jamais pour entraîner un système d'intelligence artificielle.
• GolemTech est responsable de traitement pour un périmètre restreint : les comptes professionnels (identifiants, journaux de connexion) et la facturation de l'abonnement.

2Hébergement et localisation

3Protection des échanges

• Chiffrement TLS sur l'intégralité du site et de l'API ; le protocole non chiffré est redirigé.
• Strict-Transport-Security (2 ans) : le navigateur refuse toute connexion non chiffrée.
• Referrer-Policy: no-referrer : l'adresse d'une page — donc le jeton d'un portail — n'est jamais transmise à un site tiers.
• X-Content-Type-Options, X-Frame-Options : protection contre l'interprétation abusive des contenus et l'inclusion dans un cadre tiers.
• X-Robots-Tag: noindex et Cache-Control: no-store sur toute l'application : aucune page de dossier n'est indexable ni mise en cache par un intermédiaire.

4Accès au portail par la personne concernée

Le portail est ouvert par un lien envoyé à la personne. Ce lien seul ne suffit pas à ouvrir un dossier : quatre mesures s'y ajoutent.

5Accès des professionnels

• Authentification par compte nominatif ; mots de passe stockés sous forme de condensat (bcrypt), jamais en clair.
• Double authentification disponible (application d'authentification), verrouillage progressif après échecs répétés, et vérification par code en cas de connexion inhabituelle.
• Rôles distincts — propriétaire, administrateur, membre, lecteur — et permissions par fonction ; un dossier peut être marqué confidentiel.
• Chaque appel à l'API est vérifié côté serveur : un jeton expiré ou révoqué ne donne plus aucun accès.

6Cloisonnement entre structures

Chaque donnée est rattachée à une organisation. Tout accès à un dossier, à un document, à un rendez-vous ou à un message passe par un contrôle unique et centralisé qui vérifie l'appartenance à l'organisation de l'appelant. Une structure ne peut pas atteindre les données d'une autre, même en connaissant un identifiant.

7Journalisation et traçabilité

Un journal inaltérable par l'utilisateur enregistre, pour chaque dossier :

• la consultation du portail (et pas seulement les actions) ;
• l'envoi d'un code d'accès, un code refusé, un accès vérifié ;
• le dépôt d'un document, sa validation ou son refus avec le motif ;
• le choix d'un créneau, la confirmation de présence, l'export du dossier ;
• toute modification du lien d'accès (prolongation, régénération, révocation) et par qui.

Chaque nouveau dépôt crée une version numérotée : l'historique documentaire est reconstituable, ce qui permet de répondre à une contestation.

8Durées de conservation et effacement

La durée de conservation est fixée par la structure responsable de traitement, selon ses propres obligations : il n'existe pas de durée universelle. DocuMeet fournit le mécanisme, la structure décide de la durée et de son déclenchement.

• Archivage automatique des dossiers clôturés après un délai paramétrable (90 jours par défaut). Le dossier sort du flux courant et reçoit sa date d'expiration.
• Purge automatique des dossiers arrivés à échéance, exécutée chaque nuit. Cette purge est désactivée par défaut et doit être activée explicitement par la structure dans ses réglages : une suppression est irréversible, elle ne doit jamais être subie.
• Tant qu'elle n'est pas activée, la structure conserve la main et purge quand elle le décide.
• Les demandes d'effacement sont enregistrées, suivies et traitées dans les délais du RGPD.
• Les journaux d'audit font l'objet d'une purge distincte, afin de ne pas conserver indéfiniment des traces d'accès.
• La personne concernée peut exporter l'intégralité de son dossier depuis le portail, à tout moment.
• En fin de contrat, les données sont restituées à la structure puis supprimées.

9Sauvegardes et continuité

10Sous-traitants ultérieurs

Ils interviennent dans un périmètre limité et sont tous situés dans l'Union européenne, sauf mention contraire assortie des garanties appropriées.

Toute modification de cette liste est communiquée aux structures clientes, qui peuvent s'y opposer dans les conditions prévues par la convention de sous-traitance.

11Exercice des droits

Les personnes concernées exercent leurs droits d'accès, de rectification, d'effacement, de limitation et d'opposition auprès de la structure qui gère leur dossier, laquelle est responsable de traitement. GolemTech, en qualité de sous-traitant, assiste la structure et met à disposition les fonctions nécessaires (export complet, suppression, journal des accès).

Toute personne peut également introduire une réclamation auprès de la CNIL.

12Violation de données

En cas de violation de données affectant les traitements confiés, GolemTech en informe la structure cliente dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, en précisant la nature de l'incident, les catégories et le volume approximatif de données concernées, les conséquences probables et les mesures prises. Il appartient à la structure, responsable de traitement, de procéder le cas échéant à la notification à la CNIL dans le délai de 72 heures prévu à l'article 33 du RGPD.