La version allemande fait foi juridiquement.

Accord de sous-traitance (art. 28 RGPD)

Version 2026-10, état au 13 octobre 2026.

Le présent accord (ci-après l'« ADV », Auftragsverarbeitungsvertrag) s'applique entre le Client et le prestataire de todo.monster désigné dans les mentions légales (Impressum). Le Client est responsable du traitement (art. 4 n° 7 RGPD) : il décide quelles données arrivent dans todo.monster et dans quel but. Le Prestataire est sous-traitant (art. 4 n° 8 RGPD) : il stocke et traite ces données uniquement pour le Client. L'identité des parties et de leurs représentants résulte du contrat d'utilisation de todo.monster (ci-après le « contrat principal » : les conditions générales de vente avec la formule souscrite, ou une convention pilote).

Champ d'application et ordre de priorité

(1) todo.monster s'adresse uniquement aux entrepreneurs (§ 14 BGB, Unternehmer). Le présent ADV est conclu lors de l'inscription, en même temps que les conditions générales de vente. Il s'applique dès que des données d'autres personnes se trouvent dans les projets, espaces d'entreprise, boîtes de messagerie ou calendriers du Client, par exemple le nom d'un prospect dans une tâche, une fournisseuse en tant qu'expéditrice d'un e-mail ou les participants à un rendez-vous. Si le Client n'y traite que ses propres données, le présent ADV ne crée aucune obligation.

(2) Pour certaines choses, le Prestataire est lui-même responsable du traitement et non sous-traitant : pour le compte utilisateur de chaque personne, la connexion, la facturation, les journaux des acceptations, la sécurité et la lutte contre les abus du Service, le programme pilote et d'intégration (onboarding) et les e-mails système adressés aux titulaires de compte. Ces traitements ne relèvent pas de la sous-traitance ; ils sont décrits dans la déclaration de protection des données.

(3) En cas de contradiction entre le présent ADV et le contrat principal, le présent ADV prévaut pour les questions de protection des données. Une convention pilote peut compléter le présent ADV, mais ne peut atténuer aucune obligation qui en découle.

(4) Seule la version allemande fait foi. Les traductions aident à la compréhension ; en cas de divergence, le texte allemand s'applique.

(5) Le Client conclut le présent ADV par voie électronique (art. 28 al. 9 RGPD) en le confirmant lors de l'inscription. S'il souscrit ultérieurement une formule d'entreprise ou une convention pilote, il confirme à nouveau la version alors en vigueur. Pour chaque confirmation, le Prestataire enregistre la version, l'horodatage et une somme de contrôle du texte confirmé.

§ 1 Objet et durée

(1) Le Prestataire met todo.monster à la disposition du Client en tant que logiciel accessible via Internet. En font partie : les tâches et projets, la saisie des temps, les commentaires et pièces jointes, les boîtes de messagerie d'entreprise ainsi que les boîtes de messagerie et calendriers que le Client ou ses utilisateurs connectent, les notifications, la conversion IA d'un e-mail en tâche (uniquement lorsqu'un utilisateur la déclenche) et les signalements d'erreur avec capture d'écran. Traiter signifie ici : stocker, afficher, transmettre aux destinataires choisis par le Client (par exemple envoyer une réponse via la boîte de messagerie connectée), sauvegarder, placer dans la corbeille et aider dans le cadre de l'assistance. Ce qui est fait précisément avec quelles données figure à l'annexe A.

(2) Le présent ADV dure aussi longtemps que le contrat principal. Il ne prend fin qu'une fois les données restituées ou supprimées conformément au § 11.

§ 2 Nature et finalité du traitement, types de données, personnes concernées

Ce que le Prestataire fait avec quelles données, dans quel but, de quels types de données il s'agit et quelles personnes sont concernées figure à l'annexe A, classé selon les fonctions du Service.

§ 3 Instructions

(1) Le Prestataire ne traite les données du Client que pour fournir le Service conformément au contrat, et uniquement de la manière que le Client ordonne par le présent accord, les CGV et l'utilisation du Service. Chaque saisie, chaque paramétrage et chaque déclenchement de fonction dans le Service vaut instruction. Ce n'est que si une loi de l'UE ou de l'Allemagne oblige le Prestataire à un autre traitement, par exemple à une communication à une autorité ou à la conservation de données de facturation, qu'il peut s'en écarter. Dans ce cas, il en informe préalablement le Client, à moins que la loi ne l'interdise.

(2) Sont par exemple des instructions : créer, modifier ou supprimer une tâche ; inviter un membre ou un invité ; connecter une boîte de messagerie ou un calendrier d'un fournisseur tiers ; lancer la fonction IA pour un e-mail individuel ; envoyer un signalement d'erreur avec capture d'écran ; lancer un export de données. Le Prestataire fait alors exactement ce que la fonction promet, et rien de plus.

(3) Si le Client souhaite quelque chose qu'aucune fonction du Service ne couvre, par exemple la restauration d'un projet qu'il ne retrouve plus dans la corbeille, il envoie l'instruction sous forme textuelle (Textform) à support@todo.monster. Les instructions sont données par le Client lui-même ; pour une entreprise dans todo.monster, par son propriétaire et par les administrateurs désignés dans la gestion de l'entreprise. Le Prestataire confirme la réception et consigne ce qu'il a exécuté et quand.

(4) Restauration : les projets, modules, tâches, boîtes de messagerie et calendriers supprimés restent dans la corbeille pendant le délai indiqué à l'annexe B, point 3. Le Client et ses utilisateurs autorisés les y récupèrent eux-mêmes. Si le Client demande au Prestataire une restauration, il s'agit d'une instruction au sens de l'alinéa 3. Le Prestataire l'exécute si les données existent encore techniquement ; il ne peut promettre ni délai ni résultat. Les données que le Prestataire voit à cette occasion figurent à l'annexe B, point 5.

(5) Si le Prestataire estime qu'une instruction enfreint le RGPD ou une autre loi sur la protection des données, il le signale immédiatement au Client. Jusqu'à ce que le Client confirme ou modifie l'instruction, le Prestataire peut la laisser inexécutée.

§ 4 Obligations du Client

(1) Le Client est responsable de la licéité du traitement des données : il lui faut une base juridique, il informe les personnes concernées et répond à leurs demandes. Exemple : si un collaborateur du Client crée une tâche contenant le nom et le numéro de téléphone d'un prospect, c'est le Client qui doit pouvoir le justifier vis-à-vis du prospect, et non le Prestataire.

(2) Si le Client exploite une entreprise dans todo.monster, il attribue lui-même les rôles (propriétaire, administrateur, membre, invité) et les retire lorsqu'une personne quitte l'entreprise. Il informe ses utilisateurs que leurs contenus dans les espaces d'entreprise appartiennent à l'entreprise.

(3) Si le Client ou l'un de ses utilisateurs connecte une boîte de messagerie ou un calendrier d'un fournisseur tiers, par exemple un compte Microsoft, c'est le Client qui a choisi ce destinataire. Il est responsable de ce que les données puissent y être transmises, même si le fournisseur tiers les traite en dehors de l'Espace économique européen (§ 13 al. 3).

(4) La fonction IA ne convertit un e-mail en tâche que lorsqu'un utilisateur le déclenche pour cet e-mail précis ; chaque utilisateur peut désactiver la fonction pour lui-même. Le Client décide si ses utilisateurs peuvent l'utiliser et répond de la base juridique vis-à-vis de ses utilisateurs et des expéditeurs des e-mails. Le Prestataire décrit son propre rôle à cet égard dans la déclaration de protection des données.

(5) Ne sont pas destinées à todo.monster les catégories particulières de données (art. 9 RGPD, par exemple les données de santé), les données relatives aux infractions (art. 10 RGPD) et les données couvertes par le secret professionnel (§ 203 StGB, par exemple les dossiers clients d'un cabinet d'avocats). Si le Client souhaite néanmoins faire traiter de telles données, il en convient préalablement avec le Prestataire sous forme textuelle.

(6) Le Client tient à jour l'adresse e-mail de son compte, et pour une entreprise celle du propriétaire de l'entreprise. C'est à cette adresse que sont envoyées les communications prévues aux § 7 et § 10.

§ 5 Confidentialité

Toutes les personnes qui, chez le Prestataire, peuvent manipuler les données du Client sont tenues par écrit à la confidentialité ou soumises à une obligation légale de secret (art. 28 al. 3 let. b RGPD). Cette obligation subsiste après la fin de leur activité. Elles n'accèdent de toute façon aux contenus du Client que dans les cas énumérés limitativement à l'annexe B, point 5.

§ 6 Mesures techniques et organisationnelles

(1) Le Prestataire protège les données au moyen des mesures décrites à l'annexe B (art. 32 RGPD), par exemple par le stockage chiffré des textes des tâches et par un modèle de rôles qui vérifie chaque requête côté serveur. Ces mesures constituent le standard minimal sur lequel les parties s'accordent lors de la conclusion du contrat.

(2) Le Prestataire peut faire évoluer les mesures, tant que la protection n'en est pas amoindrie. Il consigne les modifications essentielles ; la version actuelle de l'annexe B figure sur cette page.

§ 7 Sous-traitants ultérieurs

(1) Le Prestataire peut recourir aux entreprises mentionnées à l'annexe C, section 1, par exemple l'hébergeur chez qui fonctionne la base de données. Par l'inscription, le Client approuve cette liste (autorisation générale, art. 28 al. 2 RGPD).

(2) Si le Prestataire souhaite ajouter une autre entreprise ou en remplacer une, il envoie préalablement au Client un e-mail système à l'adresse visée au § 4 al. 6 et met à jour l'annexe C. Le Client dispose de 30 jours à compter de la réception pour s'y opposer sous forme textuelle pour des motifs de protection des données. Le changement ne prend pas effet à son égard avant ce terme.

(3) Si le Client s'oppose, il peut résilier le contrat principal à la date à laquelle le changement prend effet. La restitution et la suppression sont régies par le § 11.

(4) Un changement du service qui fournit le modèle de langage pour la fonction IA est également un changement au sens de l'alinéa 2, même si le Prestataire ne modifie pour cela qu'un paramètre.

(5) Le Prestataire impose par contrat à chaque sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles qui lui incombent en vertu du présent ADV, en particulier des mesures de protection suffisantes (art. 28 al. 4 RGPD). Si un sous-traitant ultérieur manque à ses obligations, le Prestataire en répond envers le Client comme d'un manquement propre.

(6) Ne sont pas des sous-traitants ultérieurs les destinataires mentionnés à l'annexe C, section 2, qui ne reçoivent aucune donnée issue de la sous-traitance, ni les services mentionnés à l'annexe C, section 3, que le Client ou ses utilisateurs connectent eux-mêmes.

§ 8 Assistance pour les droits des personnes concernées

(1) Si une personne demande au Client l'accès à ses données, leur rectification, leur effacement, la limitation de leur traitement ou leur portabilité, ou si elle s'oppose au traitement (chapitre III du RGPD), le Prestataire aide le Client à répondre à la demande (art. 28 al. 3 let. e RGPD). Les premiers moyens sont les fonctions du Service : recherche et affichage, modification et suppression de contenus, retrait de membres et d'invités et export de données (§ 11 al. 3). Exemple : si un ancien partenaire commercial demande l'accès à ses données, le Client recherche lui-même son nom dans ses projets et ses boîtes de messagerie. Si cela ne suffit pas, le Prestataire aide sur demande sous forme textuelle ; il peut exiger à ce titre une rémunération raisonnable en fonction du temps passé, sauf si la demande résulte d'une erreur du Prestataire.

(2) Si une personne s'adresse directement au Prestataire et qu'il s'agit de données que le Prestataire traite pour le Client, le Prestataire transmet immédiatement la demande au Client et n'y répond pas lui-même. Il informe la personne de la transmission.

§ 9 Assistance pour les obligations visées aux art. 32 à 36 RGPD

Le Prestataire aide le Client à remplir ses obligations découlant des art. 32 à 36 RGPD (art. 28 al. 3 let. f RGPD) : pour la sécurité du traitement par les mesures de l'annexe B, en cas de violation de données par la notification prévue au § 10, et par des renseignements sur le traitement lorsque le Client réalise une analyse d'impact relative à la protection des données ou doit consulter préalablement son autorité de contrôle. Il tient compte à cet effet de ce qu'il sait du traitement et de son déroulement. Les demandes sont adressées sous forme textuelle à support@todo.monster.

§ 10 Notification des violations de données à caractère personnel

(1) Si le Prestataire a connaissance d'une violation de données à caractère personnel concernant des données du Client, par exemple un accès non autorisé à la base de données ou une fuite dans une sauvegarde, il la notifie sans délai au Client à l'adresse visée au § 4 al. 6 (art. 33 al. 2 RGPD). Il notifie suffisamment vite pour que le Client puisse respecter son propre délai de 72 heures vis-à-vis de l'autorité de contrôle (art. 33 al. 1 RGPD).

(2) La notification contient, dans la mesure où le Prestataire le sait déjà : ce qui s'est passé, quels types de données et approximativement combien de personnes et d'enregistrements sont concernés, quelles conséquences sont probables, ce que le Prestataire a fait et propose, et qui est l'interlocuteur chez le Prestataire (art. 33 al. 3 RGPD). Ce qu'il ne sait pas encore, il le communique dès qu'il en a connaissance.

(3) Le Prestataire sécurise immédiatement les données, limite le dommage et convient des étapes suivantes avec le Client.

§ 11 Fin de la sous-traitance, restitution et suppression

(1) Pour une entreprise, la sous-traitance prend fin lorsque la formule d'entreprise ou la convention pilote est résiliée ou prend fin d'une autre manière sans qu'une autre formule d'entreprise lui succède directement, ou lorsque l'entreprise est dissoute (ci-après la « fin du contrat »). Un passage d'une formule d'entreprise à une autre ou de la convention pilote à une formule d'entreprise ne met pas fin à la sous-traitance. Pour un Client sans entreprise, la sous-traitance prend fin lorsqu'il supprime son compte ; la déclaration de protection des données décrit la procédure.

(2) Après la fin du contrat, le propriétaire de l'entreprise peut encore lire et exporter les données de l'entreprise pendant 30 jours. Pendant cette période, il récupère lui-même les données via l'export d'entreprise. Si le Client souhaite au contraire que les données soient supprimées immédiatement, il l'écrit au Prestataire sous forme textuelle ; le Prestataire supprime alors sans délai. Le Client a ainsi le choix entre restitution et suppression (art. 28 al. 3 let. g RGPD).

(3) L'export d'entreprise est la voie de restitution : le propriétaire de l'entreprise télécharge une archive dans des formats courants et lisibles par machine (JSON, CSV) contenant les projets, modules, tâches, commentaires, entrées de temps, attributions, tags, règles de récurrence, historique des modifications et pièces jointes. N'en font pas partie les contenus des boîtes de messagerie d'entreprise et des boîtes de messagerie connectées, les calendriers et rendez-vous, les factures et justificatifs ainsi que les profils d'autres personnes. Si le Client a besoin des contenus de messagerie ou de calendrier, il les demande sous forme textuelle dans le délai de 30 jours prévu à l'alinéa 2 ; le Prestataire les met à disposition dans les 30 jours suivant la réception, pour autant qu'ils existent encore. Les clients sans entreprise utilisent l'export de données personnel, de même étendue, pour leurs propres projets.

(4) Les factures et justificatifs que le Prestataire a établis au Client en qualité de responsable du traitement restent consultables à tout moment dans le compte ; ils ne relèvent pas de la sous-traitance.

(5) 60 jours après la fin du contrat, un nettoyage automatique supprime les données de l'entreprise, corbeille comprise, sauf si une loi impose une conservation plus longue. Dans les sauvegardes de l'hébergeur, les données sont écrasées dans un délai supplémentaire de 30 jours. Une sauvegarde contenant des données supprimées n'est restaurée qu'après une panne ; le Prestataire réexécute ensuite les suppressions déjà effectuées.

(6) Les comptes personnels des membres et invités ne sont pas affectés par la fin du contrat ; leurs propres données en dehors de l'entreprise restent dans leurs comptes. Ne sont pas supprimées les données que le Prestataire doit conserver en qualité de responsable du traitement : factures et justificatifs (§ 147 AO, § 257 HGB), journaux des acceptations et journaux d'audit sans données de contenu. Pour ces données, ce n'est plus le présent ADV qui s'applique après la fin du contrat, mais la déclaration de protection des données.

(7) Sur demande, le Prestataire confirme la suppression sous forme textuelle. Jusqu'à l'achèvement de la restitution et de la suppression, le présent ADV continue de s'appliquer.

§ 12 Preuves et contribution aux audits

(1) Le Client peut vérifier si le Prestataire respecte le présent ADV (art. 28 al. 3 let. h RGPD). Le Prestataire lui fournit à cet effet toutes les informations nécessaires et contribue aux audits que le Client réalise lui-même ou fait réaliser par un auditeur mandaté par lui et tenu à la confidentialité.

(2) L'audit s'effectue sur pièces : sur demande, le Prestataire fournit la version actuelle des annexes B et C, une auto-déclaration relative aux mesures de l'annexe B, les preuves, rapports et certificats de son hébergeur et de ses autres sous-traitants ultérieurs ainsi que des réponses sous forme textuelle aux questions du Client. Un audit sur place chez le Prestataire ou chez ses sous-traitants ultérieurs n'est pas prévu. Le Prestataire contribue sans restriction aux contrôles d'une autorité de contrôle.

(3) Le Prestataire peut protéger ses secrets d'affaires et les données d'autres clients et limiter les renseignements aux systèmes et documents qui concernent le Client.

§ 13 Lieu du traitement et pays tiers

(1) Le Prestataire et ses sous-traitants ultérieurs mentionnés à l'annexe C, section 1, traitent les données du Client exclusivement en Allemagne.

(2) Le Prestataire ne transfère rien de sa propre initiative vers un pays situé en dehors de l'UE et de l'Espace économique européen. S'il souhaitait un jour le faire, il s'agirait d'un changement au sens du § 7 al. 2, et les conditions des art. 44 et suivants du RGPD devraient être remplies.

(3) Il en va autrement des services que le Client ou ses utilisateurs connectent eux-mêmes à todo.monster (annexe C, section 3) : boîtes de messagerie via IMAP et SMTP, calendriers via CalDAV ainsi que calendriers Google et Microsoft. Le Prestataire n'y transmet que ce dont la fonction a besoin, par exemple un rendez-vous créé dans le Service vers le calendrier connecté. Qu'un tel service traite des données en dehors de l'Espace économique européen dépend du service choisi ; chez Google et Microsoft, il faut s'attendre à un traitement aux États-Unis. Le Client répond de la licéité de ce transfert et de l'existence des garanties nécessaires (§ 4 al. 3).

§ 14 Responsabilité et dispositions finales

(1) La responsabilité des parties est régie par la clause de responsabilité des conditions générales de vente. La responsabilité légale envers les personnes concernées au titre de l'art. 82 RGPD n'en est pas affectée.

(2) Les modifications du présent ADV requièrent la forme textuelle. Le Prestataire peut le modifier lorsque le traitement, les sous-traitants ultérieurs ou la situation juridique changent ; il en informe le Client par e-mail système au moins 30 jours à l'avance. Pour l'annexe C, le § 7 al. 2 s'applique.

(3) Le droit allemand s'applique. Le tribunal compétent est celui de Berlin si le Client est commerçant (Kaufmann), personne morale de droit public ou patrimoine spécial de droit public.

(4) Si une disposition du présent ADV est nulle, les autres restent valables ; la disposition légale s'y substitue.

Annexe A : Objet du traitement

1. Fonctions et finalités

Le Prestataire traite les données du Client pour fournir les fonctions suivantes au Client et à son entreprise. Une fonction ne traite des données que si le Client ou ses utilisateurs l'utilisent.

2. Catégories de personnes concernées

• Le Client lui-même ainsi que le propriétaire, les administrateurs et les membres de son entreprise (salariés, prestataires, mandataires).
• Invités de projet et personnes externes invitées : personnes sans place propre dans l'entreprise, que le Client ou ses utilisateurs invitent dans des projets, y compris celles dont l'invitation est encore en attente. Leurs contenus dans les projets du Client sont des données du Client. Pour leur propre compte utilisateur chez todo.monster, elles sont des utilisateurs du Prestataire ; la déclaration de protection des données s'y applique.
• Expéditeurs et destinataires d'e-mails dans les boîtes de messagerie d'entreprise et les boîtes de messagerie connectées, ainsi que les personnes mentionnées dans les messages.
• Participants à des rendez-vous de calendrier.
• Clients, partenaires commerciaux, fournisseurs et autres tiers dont les utilisateurs du Client saisissent les données dans des tâches, commentaires, pièces jointes, entrées de temps, notes d'application ou captures d'écran.

3. Durée

Le traitement dure aussi longtemps que le contrat principal, jusqu'à la restitution ou la suppression conformément au § 11. Pendant la durée du contrat, les délais indiqués à l'annexe B, point 3, s'appliquent à la corbeille et aux journaux.

Annexe B : Mesures techniques et organisationnelles (art. 32 RGPD)

Les mesures sont décrites selon leur lieu : dans le Service (développé et exploité par le Prestataire), chez l'hébergeur (par le sous-traitant ultérieur mentionné à l'annexe C, section 1) ou sur le plan organisationnel chez le Prestataire. Le Prestataire ne s'engage que sur des mesures effectivement mises en place.

1. Confidentialité

• Accès physique et accès aux systèmes chez l'hébergeur : Les serveurs se trouvent dans des centres de données de l'hébergeur en Allemagne, avec protection de l'accès physique et contrôle d'accès selon son concept de sécurité ; le Prestataire le fournit sur demande à titre de preuve (§ 12). Le Prestataire lui-même n'a aucun accès physique.
• Accès au Service : Connexion avec adresse e-mail et mot de passe ou par lien de connexion envoyé à l'adresse e-mail enregistrée. Les mots de passe ne sont stockés que sous forme de hachage ; les nouveaux mots de passe doivent satisfaire à des exigences minimales et sont vérifiés par rapport aux fuites de données connues sans que le mot de passe ne quitte le Service. Les tentatives de connexion sont limitées par adresse d'origine et par compte. Les sessions expirent après deux heures d'inactivité ; les cookies de session ne sont valables que via HTTPS et sont inaccessibles aux scripts. Les jetons d'accès de l'application mobile et de l'interface de programmation expirent après 30 jours et peuvent être révoqués à tout moment.
• Accès au sein du Service : Modèle de rôles par entreprise (propriétaire, administrateur, membre, invité) et par projet ; le serveur vérifie chaque accès en lecture et en écriture aux tâches, projets et entreprises par rapport à des règles d'autorisation centrales. Un compte d'administration du Prestataire ne peut lire ni les descriptions, ni les commentaires, ni les pièces jointes, ni les contenus de messagerie et de calendrier ; ce qu'il voit est énuméré limitativement au point 5.
• Séparation : Les données de tous les clients se trouvent dans une base de données commune et sont séparées logiquement par leur rattachement à une entreprise et à un projet ; ce rattachement est défini par le serveur et n'est jamais repris d'une requête. Le développement, les tests et la production sont des systèmes distincts ; l'environnement de développement est en outre protégé par un verrouillage d'accès et ne contient aucune donnée de production.
• Chiffrement des données stockées : Les titres et descriptions des projets et des tâches, les commentaires, l'objet et le texte des e-mails, les contenus des rendez-vous ainsi que les identifiants des boîtes de messagerie et calendriers connectés sont stockés chiffrés côté serveur (AES-256) ; les mots de passe ne sont stockés que sous forme de hachage Argon2id. Il s'agit d'un chiffrement côté serveur, non d'un chiffrement de bout en bout : le Prestataire peut techniquement accéder aux données ; les cas où il le fait sont indiqués au point 5.
• Chiffrement de la transmission : Le Service n'est accessible que via HTTPS (redirection et HSTS) ; les connexions vers les boîtes de messagerie, les calendriers, le modèle de langage, le serveur de signalement et le service de paiement sont chiffrées pendant le transport.
• Confidentialité des personnes : Toutes les personnes ayant accès aux systèmes de production chez le Prestataire sont tenues par écrit à la confidentialité.

2. Intégrité

• Contrôle des saisies : Les modifications apportées aux tâches sont consignées dans un historique avec auteur, horodatage, ancienne et nouvelle valeur. Les actes de gestion dans l'entreprise (rôles, invitations, boîtes de messagerie, dissolution) figurent dans le journal d'audit de l'entreprise. Les connexions sont consignées avec horodatage, adresse d'origine et client. Les accès du Prestataire selon le point 5 sont journalisés.
• Protection de l'application : Protection contre les requêtes forgées (CSRF) par jeton de session ; nettoyage côté serveur des saisies formatées ; échappement systématique des sorties ; en-têtes de sécurité contre l'intégration dans des pages tierces et contre la détection de type, ainsi que pour le contrôle du référent. Les pièces jointes ne sont acceptées que si l'extension du fichier et le type de contenu détecté concordent ; elles sont stockées sous des noms aléatoires en dehors de la racine web et sont délivrées avec une politique de sécurité isolante. Les photos de profil sont réencodées sans métadonnées.
• Contrôle de la transmission : Les données ne quittent le Service qu'à destination des entités mentionnées à l'annexe C et uniquement dans l'étendue qui y est décrite ; aucune pièce jointe n'est transmise au modèle de langage, aucune donnée de contenu au service de paiement ; les données comptables et bancaires du Prestataire ne quittent pas le système. Les accès d'administration et aux bases de données du Prestataire passent par l'interface d'administration de l'hébergeur et par des connexions chiffrées.
• Processus de développement : Chaque modification du Service passe, avant sa mise en production, par des tests automatisés, dont des tests contractuels pour les règles d'autorisation, le chiffrement et les limites entre modules, et est intégrée de manière traçable. La mise en production s'effectue de manière reproductible sous forme d'image de conteneur ; les messages d'erreur ne sont jamais affichés dans le navigateur en production.

3. Disponibilité, résilience et suppression

• Sauvegarde des données : La base de données et le stockage de fichiers sont sauvegardés par l'hébergeur ; les sauvegardes sont conservées jusqu'à 30 jours puis écrasées.
• Restauration : L'application fonctionne sous forme de pile de conteneurs avec des processus distincts pour le web, la planification et les travaux en arrière-plan ; un mode maintenance arrête le Service de manière contrôlée pendant une restauration. Un point de contrôle d'état permet la surveillance.
• Résilience : Limitation des requêtes par adresse d'origine et par compte pour la connexion, l'inscription, les invitations, les accès en écriture via l'interface de programmation et les fonctions d'administration ; limites de taille, de nombre et de stockage pour les pièces jointes ; contingents mensuels pour la fonction IA.
• Corbeille : Les projets, modules, tâches, boîtes de messagerie et calendriers supprimés sont d'abord seulement marqués comme supprimés et ne sont définitivement retirés qu'après un délai configuré (30 jours par défaut, un jour au minimum) ; les e-mails supprimés restent 45 jours dans la corbeille de la boîte de messagerie. Jusque-là, les utilisateurs autorisés les récupèrent eux-mêmes. Les fichiers joints orphelins sont retirés quotidiennement.
• Délais de journalisation et de suppression : Notifications 30 jours ; journaux de la synchronisation des boîtes de messagerie et des calendriers trois jours, sept jours en cas d'erreur ; archives d'export 24 heures ; journaux de connexion 90 jours ; journal d'utilisation de la fonction IA 90 jours ; journaux d'audit de l'entreprise et de la restauration trois ans, journal d'audit de la facturation dix ans (conservation fiscale) ; adresse IP des acceptations jusqu'à la fin du contrat plus trois ans ; captures d'écran des signalements d'erreur 90 jours ; journaux applicatifs 30 jours.
• Engagement de disponibilité : La disponibilité du Service est régie par les conditions générales de vente, et non par le présent ADV.

4. Procédure de vérification régulière

• Vérification automatique régulière que les données devant être stockées chiffrées le sont effectivement, et rapprochement régulier du stockage des pièces jointes avec la base de données.
• Tests automatisés à chaque modification ; procédures documentées pour la mise en production, la rotation des clés, le mode maintenance et les incidents.
• Les modifications des mesures de la présente annexe sont documentées (§ 6 al. 2).
• Protection des données par défaut : la fonction IA ne s'exécute que lorsqu'un utilisateur la déclenche pour un e-mail et peut être désactivée par utilisateur ; les signalements d'erreur avec capture d'écran ne partent que sur déclenchement de l'utilisateur ; les boîtes de messagerie et calendriers ne sont connectés que si un utilisateur les connecte ; les photos de profil ne sont visibles que par les personnes partageant un projet ou une entreprise.

5. Accès du Prestataire aux données du Client (règle d'accès)

Les collaborateurs du Prestataire ne consultent pas les contenus du Client de manière routinière. Un être humain n'y accède que s'il existe un motif (une instruction du Client ou un incident de sécurité ou d'exploitation), uniquement dans la mesure nécessaire, et chaque accès est journalisé. Le traitement automatique par le Service selon l'annexe A n'en est pas affecté. Il n'existe pas d'autres accès que les suivants :

• Restauration (§ 3 al. 4) : À la demande du Client, un compte d'administration du Prestataire doté du droit de restauration voit le nom d'utilisateur, l'adresse e-mail, le statut et l'horodatage de suppression de l'utilisateur concerné ainsi que les noms de ses projets et modules, les titres de ses tâches et les horodatages de suppression des enregistrements supprimés. Ne sont pas visibles les descriptions, commentaires, pièces jointes, entrées de temps ainsi que les contenus de messagerie et de calendrier. Chaque restauration est journalisée avec la personne exécutante et l'horodatage.
• Diagnostic d'assistance : À la demande du Client, un compte d'administration du Prestataire voit les adhésions, invitations et connexions de messagerie de l'entreprise (noms d'hôte, statut, horodatage de la dernière relève), mais pas les contenus des messages. Chaque diagnostic est consigné dans le journal d'audit de l'entreprise avant l'affichage.
• Signalements d'erreur : Le Prestataire voit les captures d'écran et descriptions qu'un utilisateur envoie via la fonction de signalement d'erreur, afin de corriger l'erreur signalée ; elles sont supprimées à l'expiration du délai indiqué au point 3.
• Exploitation et sécurité : Accès à la base de données, au stockage de fichiers et aux journaux pour résoudre un incident, enquêter sur un incident de sécurité ou exécuter une instruction. Le motif est documenté ; le Prestataire ne voit alors les contenus du Client que dans la mesure requise par le motif.

Annexe C : Sous-traitants ultérieurs et autres destinataires

1. Sous-traitants ultérieurs (§ 7 al. 1)

2. Destinataires en dehors de la sous-traitance

Les entités suivantes ne reçoivent aucune donnée issue de la sous-traitance du Client. Le Prestataire y recourt en qualité de responsable du traitement pour ses propres finalités ; elles ne figurent ici qu'à des fins de délimitation, les détails figurent dans la déclaration de protection des données. Les données comptables et bancaires du Prestataire sont traitées au sein du Service et ne sont transmises à aucun autre destinataire.

• Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Pays-Bas : traitement des paiements des formules payantes. Mollie reçoit le nom et l'adresse e-mail du compte de facturation ainsi que les données de paiement, aucune donnée de contenu ; Mollie agit en qualité de responsable du traitement autonome pour le traitement des paiements.
• EU-Captcha (Myra Security GmbH, Munich) : protection anti-robots lors de l'inscription et dans le formulaire de contact ; sont transmis l'adresse IP, l'identifiant du navigateur et le jeton captcha de la personne qui s'inscrit ou qui écrit. La vérification est un traitement effectué par le Prestataire en qualité de responsable du traitement.
• Have I Been Pwned (api.pwnedpasswords.com, exploité par Troy Hunt, Australie) : lors de la définition d'un mot de passe, un court fragment d'une valeur de hachage est transmis, jamais le mot de passe ni aucun identifiant de la personne ; une attribution à une personne n'est pas possible.

3. Services tiers mandatés par le Client

Si le Client ou un utilisateur du Client connecte l'un des services suivants à todo.monster, c'est le Client qui a choisi ce service lui-même et il est lié à lui par une relation contractuelle propre. Le service n'est pas un sous-traitant ultérieur du Prestataire ; le Prestataire n'y transmet que ce dont la fonction a besoin et n'en récupère que ce que l'utilisateur a autorisé (§ 13 al. 3).

• Boîtes de messagerie via IMAP et SMTP chez le fournisseur de messagerie du Client ou de l'utilisateur : relève et envoi de messages avec les identifiants enregistrés par l'utilisateur.
• Calendriers via CalDAV (par exemple Nextcloud ou Fastmail) : synchronisation des rendez-vous avec les identifiants enregistrés par l'utilisateur.
• Google Agenda (Google LLC ou Google Ireland Limited) : l'utilisateur se connecte directement chez Google et y accorde l'autorisation ; le Prestataire lit les rendez-vous des calendriers sélectionnés et transmet à Google les rendez-vous créés ou modifiés dans le Service. Traitement régulièrement aussi aux États-Unis. Disponible uniquement dans la mesure où le Prestataire a activé la fonction.
• Calendrier Microsoft (Microsoft Corporation ou Microsoft Ireland Operations Limited) pour les comptes Microsoft privés : l'utilisateur se connecte directement chez Microsoft et y accorde l'autorisation ; le Prestataire lit les rendez-vous des calendriers sélectionnés et transmet à Microsoft les rendez-vous créés ou modifiés dans le Service avec leurs participants, Microsoft pouvant envoyer des invitations. Traitement régulièrement aussi aux États-Unis.

Pour Google et Microsoft : les garanties qui encadrent le transfert vers les États-Unis dépendent de la relation contractuelle que le Client ou son utilisateur entretient lui-même avec le service concerné (§ 4 al. 3).

Si l'utilisateur coupe la connexion, le Prestataire supprime les identifiants et jetons d'accès ; les messages et rendez-vous déjà récupérés restent dans le Service jusqu'à ce que l'utilisateur les supprime ou que le compte ou l'entreprise soit retiré.