Avenant relatif au traitement des données

Le Client est le responsable du traitement et Meshwire est le sous-traitant pour les données personnelles contenues dans les abonnés du bot, le contenu des conversations et les registres de livraison. Lorsque le Client est lui-même un sous-traitant, Meshwire agit en tant que sous-sous-traitant.

Le traitement dure pendant la durée de l'abonnement plus la fenêtre d'export de trente jours et couvre la fourniture de la plateforme Meshwire telle que décrite dans l'accord.

Les utilisateurs de Telegram qui interagissent avec les bots du Client, et le personnel du Client qui administre l'espace de travail.

Identifiants utilisateur Telegram, noms d'utilisateur, noms d'affichage, codes de langue, contenu des messages soumis aux flux, réponses de formulaires collectées, attributs de segment, et métadonnées de livraison et d'erreur.

Meshwire traite les données personnelles uniquement sur instructions documentées, veille à ce que le personnel soit lié par la confidentialité, met en œuvre les mesures de sécurité de l'Annexe II, et assiste le Client dans les demandes des personnes concernées et les évaluations d'impact.

Le Client autorise les sous-traitants ultérieurs répertoriés sur notre page des sous-traitants. Nous donnons un préavis de trente jours pour tout ajout et le Client peut s'y opposer pour des motifs raisonnables de protection des données.

TLS 1.2+ en transit avec HSTS ; chiffrement AES-256-GCM au repos pour les jetons de bot Telegram et les secrets de double authentification, déchiffrés uniquement au moment de l'utilisation et jamais journalisés ; hachage des mots de passe avec scrypt ; cookies de session httpOnly avec protection CSRF ; authentification à deux facteurs TOTP optionnelle ; contrôle d'accès basé sur les rôles appliqué côté serveur ; limitation de débit sur les points d'accès d'authentification ; journalisation d'audit en ajout seul des actions de compte, de bot, de facturation et du personnel, y compris toute usurpation d'identité par le personnel ; sauvegardes de base de données nocturnes chiffrées avec une procédure de restauration documentée ; et un processus documenté de réponse aux incidents. Une description complète est publiée à l'adresse /security, y compris les contrôles que nous n'avons pas encore mis en œuvre.

Meshwire informe le Client sans délai excessif et dans les 72 heures suivant la prise de connaissance d'une violation de données personnelles, avec les informations disponibles à ce moment et des mises à jour au fur et à mesure de l'avancement de l'enquête.

Les clauses contractuelles types (Module deux et, le cas échéant, Module trois) sont incorporées, avec l'avenant britannique et les amendements suisses selon le cas.

Meshwire n'est actuellement certifié ni SOC 2 ni ISO 27001. Nous mettons à disposition un questionnaire de sécurité rempli sur demande et répondons aux demandes raisonnables de diligence raisonnable. Les clients Enterprise peuvent demander un audit une fois par an avec un préavis raisonnable. Lorsque la certification est une exigence d'achat, veuillez le signaler avant l'achat.

À la résiliation, le Client peut exporter les données pendant trente jours, après quoi Meshwire les supprime des systèmes de production dans un délai de trente jours. Les sauvegardes chiffrées sont conservées selon un calendrier glissant et supprimées à l'expiration de ce calendrier, actuellement de trente-cinq jours.

Le service fonctionne dans une seule région. Il n'existe pas de basculement automatisé inter-régions ; la récupération après une panne totale de l'infrastructure s'effectue en restaurant la sauvegarde chiffrée la plus récente, ce qui peut entraîner une perte de données pouvant aller jusqu'à vingt-quatre heures.