Avis de confidentialité d'Impediment Ledger for Jira

1. Champ d'application

Le présent avis décrit la manière dont l'application Atlassian Forge Impediment Ledger for Jira (l'« Application ») traite les données. Il ne couvre ni le site web prflow.app ni l'application de bureau PR Flow, qui sont décrits dans la politique de confidentialité de PR Flow.

L'Application est éditée par PR Flow, nom commercial d'Árpád Kozma, entrepreneur individuel (egyéni vállalkozó), dont l'adresse enregistrée est Szabadság tér 6., 2337 Délegyháza, Hungary, numéro d'immatriculation d'entrepreneur individuel 62570660, numéro d'identification TVA intracommunautaire HU92217287, adresse électronique [email protected] (l'« Éditeur », « nous »).

Les termes « données à caractère personnel », « responsable du traitement », « sous-traitant » et « traitement » ont le sens qui leur est donné par le règlement (UE) 2016/679 (le « RGPD »).

2. Lieu de stockage des données et personnes qui y ont accès

L'Application fonctionne sur Atlassian Forge et est hébergée par Atlassian. Les enregistrements de l'Application sont conservés dans le stockage hébergé Forge du site Atlassian du client, sur l'infrastructure d'Atlassian ; les quelques valeurs décrites à la section 5 sont conservées dans Jira même. Le stockage hébergé Forge suit le lieu de résidence des données du site Jira du client et est migré avec celui-ci. Atlassian s'efforce, sans le garantir, d'exécuter les traitements de l'Application dans le même lieu.

L'Application n'envoie aucune donnée en dehors d'Atlassian. Elle n'effectue aucun appel réseau en dehors d'Atlassian et n'utilise aucun service externe d'analyse, aucun grand modèle de langage qui lui soit propre ni aucun service externe de journalisation. L'Application est conçue et contrôlée de manière à ne comporter aucun flux sortant externe, comme l'exige le programme Runs on Atlassian d'Atlassian.

L'Éditeur n'accède pas aux données que l'Application stocke et ne peut ni les lire, ni les exporter, ni les rectifier, ni les supprimer pour le compte du client. La seule action que l'Éditeur peut accomplir à leur égard est celle décrite à la section 8 : à la demande du client, demander à Atlassian de rattacher à nouveau les données après une réinstallation.

Les actions qu'un utilisateur effectue dans l'Application s'exécutent avec les autorisations Jira de cet utilisateur. Les traitements en arrière-plan lisent Jira en tant qu'Application, et chaque résultat présenté à un utilisateur, y compris les rapports, les exports CSV et les réponses de l'agent Rovo de l'Application, est filtré en fonction des tickets que cet utilisateur est autorisé à parcourir.

3. Rôles

Le client (le titulaire du site Jira sur lequel l'Application est installée) est le responsable du traitement des données à caractère personnel que l'Application stocke. L'Éditeur traite ces données pour le compte du client en qualité de sous-traitant, conformément aux conditions de traitement des données figurant à la section 7 du Contrat de licence utilisateur final. L'Éditeur est responsable de ce traitement ; Atlassian ne l'est pas.

Le code de l'Application s'exécute, et ses données sont stockées, sur la plateforme Forge d'Atlassian. Atlassian héberge ces données en qualité de sous-traitant ultérieur de l'Éditeur, en vertu des Forge Terms et du Forge Data Processing Addendum convenus entre Atlassian et l'Éditeur, qui incluent les clauses contractuelles types de l'UE. Les propres sous-traitants ultérieurs d'Atlassian sont répertoriés à l'adresse atlassian.com/legal/sub-processors. L'Éditeur ne recourt à aucun autre sous-traitant ultérieur pour ces données.

L'Application est conçue de sorte que les données restent sur le site du client et que l'Éditeur ne les voie pas : l'Éditeur ne dispose d'aucun moyen, ni dans l'Application ni dans les outils Forge qu'il utilise, de lire, d'exporter, de rectifier ou de supprimer ces données, et ne le fait pas.

L'Éditeur n'agit en qualité de responsable du traitement que pour les données décrites à la section 9.

4. Données que l'Application stocke

5. Données que l'Application ne stocke pas, et limites de ce qu'elle reprend de Jira

• L'Application ne stocke ni noms, ni adresses électroniques, ni avatars, ni résumés ou descriptions de tickets.
• Les notes et les résolutions sont des champs de texte libre. Les utilisateurs ne doivent pas y saisir de données à caractère personnel. Le client est responsable de leur contenu.
• Du commentaire rédigé dans la boîte de dialogue de signalement de Jira, l'Application ne reprend que les commentaires sans restriction de visibilité (non restreints à un groupe ou à un rôle, et non internes). Une mention est conservée sous la forme « @… », sans le nom.
• Les données que l'Application écrit dans l'index de recherche de Jira (propriétés d'entité JQL) ne contiennent aucune donnée à caractère personnel.
• Le projet qu'un utilisateur a sélectionné en dernier sur la page de l'Application est conservé dans une propriété du propre compte Jira de cet utilisateur (propriété utilisateur impediment-ledger.page), et non dans le stockage de l'Application. Il est supprimé en même temps que le compte.

6. Rovo

Si Rovo est activé sur le site du client, l'agent Rovo de l'Application répond à la question d'un utilisateur avec des données filtrées en fonction des tickets que cet utilisateur est autorisé à parcourir, et transmet à Rovo des données structurées également visibles dans l'interface de l'Application : clé et résumé du ticket, motif, durée, date prévue et ID de compte du responsable. Il ne transmet pas les notes, les résolutions ni les brouillons de résolution.

Rovo est un service d'Atlassian régi par les conditions convenues entre le client et Atlassian. L'Application elle-même ne fait appel à aucun grand modèle de langage et ne stocke rien de la conversation.

7. Journaux

L'Application écrit des journaux techniques dans la console développeur d'Atlassian Forge. Ils contiennent le nom de l'opération, son résultat, un code d'erreur, un identifiant de corrélation aléatoire, les identifiants numériques Jira des tickets et des projets, la version de l'Application et des mesures de durée. Ils ne contiennent aucune note, aucun contenu de ticket ni aucun ID de compte Atlassian. Atlassian y ajoute un contexte technique, tel que le site, l'installation et l'invocation.

L'Éditeur peut consulter ces journaux, sauf si un administrateur du site a désactivé le partage des journaux pour l'Application, et ne les utilise que pour exploiter et sécuriser l'Application et en assurer le support. Atlassian les conserve pendant sa durée standard de conservation des journaux (actuellement de 30 à 60 jours selon la documentation d'Atlassian) ; l'Éditeur ne les copie pas ailleurs.

8. Conservation et suppression

• Les blocages clos et leur historique sont supprimés automatiquement dès qu'ils sont plus anciens que la durée de conservation du projet (365 jours au maximum ; 365 jours, sauf si un projet fixe une durée inférieure). Le blocage ouvert d'un ticket que l'Application n'a pas pu lire pendant une durée supérieure à la durée de conservation (par exemple un ticket supprimé ou déplacé, ou masqué par une règle d'accès) est également supprimé.
• Environ une fois par semaine, l'Application déclare les ID de compte Atlassian qu'elle stocke à l'API de déclaration des données à caractère personnel d'Atlassian. Lorsqu'Atlassian signale qu'un compte a été fermé, l'Application supprime ou remplace toute référence stockée à cet ID de compte, normalement lors des cycles de traitement suivants. Les notes et les résolutions sont conservées, mais ne sont plus rattachées à l'ID de compte ; les données à caractère personnel que des utilisateurs ont saisies dans leur texte ne sont pas supprimées automatiquement et peuvent être modifiées dans l'Application ou supprimées à l'expiration de la durée de conservation.
• Lorsque l'Application est désinstallée, Atlassian conserve les données de l'Application pendant la durée fixée par le cycle de vie des données Forge (actuellement 28 jours), puis les supprime. Une réinstallation ne restaure pas automatiquement les données. Si le client en fait la demande dans les 21 jours suivant la désinstallation, l'Éditeur demandera à Atlassian de rattacher à nouveau les données à l'Application réinstallée ; les données écrites par l'Application réinstallée avant ce rattachement peuvent être écrasées.
• La désinstallation de l'Application ne retire aucun signalement des tickets Jira.

9. Données que l'Éditeur traite en qualité de responsable du traitement

Support et autres contacts

Lorsque vous contactez l'Éditeur (par exemple à l'adresse [email protected]), nous traitons votre nom, votre adresse électronique et le contenu de votre message afin de vous répondre et de traiter votre demande, sur la base de notre intérêt légitime à fournir une assistance (article 6, paragraphe 1, point f), du RGPD) ou, lorsque vous nous contactez en tant que client, pour l'exécution de notre contrat (article 6, paragraphe 1, point b), du RGPD). Nous conservons cette correspondance pendant deux (2) ans après la clôture de la demande, ou plus longtemps lorsque cela est nécessaire à la constatation, à l'exercice ou à la défense de droits en justice, au plus tard jusqu'à l'expiration du délai de prescription général de cinq ans prévu par le droit hongrois.

Données de partenaire Marketplace

Atlassian met à la disposition de l'Éditeur, en tant que partenaire Marketplace, des informations de licence et de vente : le nom, le pays et le site de l'organisation du client, les détails de la licence (identifiant, palier, dates de début et de fin), les détails des transactions (montants et dates) et, le cas échéant, le nom et l'adresse électronique des contacts technique et de facturation. La console développeur Forge indique également à l'Éditeur les sites sur lesquels l'Application est installée.

L'Éditeur utilise ces données pour gérer les licences, fournir une assistance et envoyer les notifications décrites dans le Contrat de licence utilisateur final, sur la base de son intérêt légitime à exploiter l'Application et à en assurer le support (article 6, paragraphe 1, point f), du RGPD), et afin de tenir sa comptabilité (article 6, paragraphe 1, point c), du RGPD, et loi C de 2000 sur la comptabilité (Hongrie)). Elles ne sont pas utilisées à des fins de prospection commerciale sans consentement. L'Éditeur les conserve pendant la durée de la licence et pendant cinq (5) ans après son expiration (le délai de prescription général prévu par le droit hongrois) ; les données qui font partie des documents comptables de l'Éditeur sont conservées pendant huit (8) ans, comme l'exige l'article 169 de la loi C de 2000 sur la comptabilité (Hongrie).

Destinataires et transferts

L'Éditeur ne communique ces données qu'aux prestataires de services qui en ont besoin : son fournisseur de messagerie électronique, Google Cloud EMEA Limited (Irlande), qui fournit Google Workspace, et Atlassian lorsqu'une demande de support l'exige. Google LLC et ses sociétés affiliées traitent les données en qualité de sous-traitants ultérieurs de Google ; les transferts vers les États-Unis sont couverts par le cadre de protection des données UE–États-Unis (EU–U.S. Data Privacy Framework) et par les clauses contractuelles types de la Commission européenne. L'Éditeur ne vend pas de données à caractère personnel et ne prend aucune décision fondée exclusivement sur un traitement automatisé.

10. Vos droits

Pour les données que l'Application stocke, le client est le responsable du traitement ; les demandes d'accès, de rectification, d'effacement ou de limitation du traitement de ces données doivent donc être adressées au client (en général votre employeur ou l'administrateur de votre site Jira). L'Application permet de répondre à ces demandes de la manière suivante :

• Un administrateur Jira peut exporter, au format JSON Lines, tous les enregistrements que l'Application stocke, depuis l'onglet Données de l'Application.
• Les motifs, notes, responsables, dates et résolutions peuvent être rectifiés dans l'interface de l'Application.
• Les données sont supprimées à l'expiration de la durée de conservation du projet, ou lors de la fermeture du compte Atlassian.
• Une licence inactive n'empêche ni l'export ni la suppression des comptes fermés.

Pour les données décrites à la section 9, vous disposez, en vertu du RGPD, des droits d'accès, de rectification, d'effacement, à la limitation du traitement, à la portabilité des données et d'opposition. Écrivez à [email protected]. Vous avez également le droit d'introduire une réclamation auprès d'une autorité de contrôle, en particulier dans l'État membre dans lequel se trouve votre résidence habituelle, votre lieu de travail ou le lieu où la violation aurait été commise. En Hongrie, il s'agit de la Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH), 1055 Budapest, Falk Miksa utca 9–11 ; adresse postale : 1363 Budapest, Pf. 9 ; naih.hu ; [email protected]. Vous pouvez également former un recours juridictionnel.

11. Sécurité

Les actions qu'un utilisateur effectue dans l'Application s'exécutent avec les autorisations Jira de cet utilisateur, et chaque résultat présenté à un utilisateur est filtré en fonction de ce que cet utilisateur peut parcourir. Pour signaler un problème de sécurité, écrivez à [email protected].

12. Modifications du présent avis

Nous pouvons mettre à jour le présent avis, par exemple lorsque l'Application évolue. La date figurant en haut de page indique la version la plus récente. Les modifications substantielles seront annoncées dans les notes de version de l'Application ou sur sa fiche Marketplace, et notifiées à Atlassian comme l'exige le contrat de partenaire Marketplace (Marketplace Partner Agreement).

13. Langue

Le présent avis est rédigé en anglais, et la version anglaise fait foi. La présente traduction est fournie uniquement pour des raisons de commodité ; en cas de divergence entre la version anglaise et la présente traduction, la version anglaise prévaut. Voir également le Contrat de licence utilisateur final et la page de support.