Accord de traitement des données

Objet

Le présent accord fait partie du contrat formé par les conditions d’utilisation de Diwink Cloud entre Fikra Systems et le client. Il fixe les conditions dans lesquelles Fikra Systems traite, pour le compte du client, les données personnelles que celui-ci confie à Diwink Cloud. Sur ce sujet, il prévaut sur les conditions d’utilisation.

Il applique la loi n° 18-07 du 10 juin 2018 relative à la protection des personnes physiques dans le traitement des données à caractère personnel, modifiée et complétée par la loi n° 25-11 du 24 juillet 2025, notamment ses dispositions sur le sous-traitant.

Pour les données des personnes de l’Espace économique européen, il constitue le contrat prévu à l’article 28 du règlement (UE) 2016/679 (RGPD).

Rôles des parties

Le client est responsable du traitement : il décide de contrôler et de suivre les impressions de son organisation, ainsi que des règles appliquées (accès, quotas, blocages) et des réglages du service. Fikra Systems est son sous-traitant.

Pour les données des comptes Diwink Cloud et de la facturation, Fikra Systems est elle-même responsable du traitement : elles relèvent de la politique de confidentialité.

Description du traitement

Objet et durée

La fourniture de Diwink Cloud au client, pendant la durée du contrat puis jusqu’à la suppression des données (voir « Conservation et suppression »).

Nature et finalités

L’hébergement et la conservation des données de l’organisation ; la décision sur chaque impression selon ses règles ; l’historique, les rapports, les demandes des utilisateurs, les notifications et leurs e-mails ; le suivi et la maintenance des imprimantes ; l’assistance à la demande du client.

Personnes concernées

Les utilisateurs de l’organisation : les personnes dont Diwink contrôle les impressions et les administrateurs de son panneau, ainsi que les personnes que ses enregistrements nomment (approbateurs, responsables de maintenance).

Données traitées

l’identité des utilisateurs : nom, nom d’utilisateur, adresse e-mail, groupes, rôles et sièges ;
leurs comptes Windows (DOMAINE\utilisateur et identifiant de sécurité) et, sur les postes partagés, les sessions qu’ils ouvrent dans l’application Diwink ;
les métadonnées de chaque impression : l’utilisateur et son compte Windows, le poste, l’imprimante et la file d’impression, le nombre de pages et de copies, la couleur, le recto verso, le format du papier, les heures, la décision et son motif ;
le nom des documents, seulement si l’organisation active son enregistrement (désactivé par défaut sur Diwink Cloud) ;
les quotas et leur consommation, les demandes des utilisateurs (avec leurs motifs et les réponses), les notifications, les alertes et les tâches de maintenance ;
les postes : nom de l’ordinateur, domaine ou groupe de travail, version de Windows, adresse IP, version de l’agent ;
le journal d’audit : qui a fait quoi dans le panneau, quand, et depuis quelle adresse IP.

Le contenu des documents n’est jamais traité par Diwink Cloud. Lorsqu’un pilote ne déclare pas le nombre de pages d’une impression, l’agent lit les données d’impression sur le poste pour les compter, puis efface aussitôt sa copie : rien de ce contenu ne quitte le poste.

Le service ne requiert aucune donnée sensible ; le client s’abstient d’en saisir dans les textes libres (motifs des demandes, commentaires, notes).

Instructions du client

Fikra Systems ne traite les données que sur instruction documentée du client : les conditions d’utilisation, le présent accord, les réglages que ses administrateurs choisissent dans le panneau et ses demandes écrites. Elle informe le client si une instruction lui paraît contraire à la loi. Si la loi l’oblige à un autre traitement, elle en informe le client au préalable, sauf si la loi le lui interdit.

Fikra Systems n’utilise pas ces données à ses propres fins. Les chiffres d’utilisation dont elle a besoin pour appliquer les formules et facturer (nombres d’utilisateurs, de postes, d’imprimantes, d’impressions et de pages) ne comportent aucun nom.

Confidentialité

Fikra Systems veille à ce que les personnes qu’elle autorise à accéder aux données soient tenues à la confidentialité. Son équipe n’y accède que lorsque c’est nécessaire au fonctionnement du service, à la demande du client ou lorsque la loi l’exige.

Sécurité

Fikra Systems met en œuvre les mesures techniques et organisationnelles décrites en annexe du présent accord. Elle peut les faire évoluer sans en réduire le niveau de protection.

Sous-traitants ultérieurs

Le client autorise Fikra Systems à faire appel aux sous-traitants ultérieurs suivants, dont elle lui communique l’identité sur demande :

l’hébergeur de Diwink Cloud (serveurs et bases de données) ;
le service d’envoi des e-mails (invitations, notifications, e-mails des comptes).

Fikra Systems informe le client par e-mail au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur ; le client peut s’y opposer pour un motif raisonnable et, à défaut de solution, mettre fin au contrat. Fikra Systems impose à chacun, par contrat, des obligations de protection équivalentes à celles du présent accord, et reste responsable envers le client de leur respect.

Paddle, le revendeur qui encaisse les abonnements, ne reçoit aucune donnée des utilisateurs de l’organisation : seulement ce qui sert à l’achat, décrit dans la politique de confidentialité.

Transferts

Fikra Systems ne transfère les données du client hors d’Algérie qu’avec les autorisations que la loi n° 18-07 exige de l’ANPDP.

Fikra Systems traite les données hors de l’Espace économique européen. Le client soumis au RGPD s’assure, avant d’utiliser le service, que ce transfert lui est permis.

Droits des personnes concernées

Le panneau permet au client de répondre lui-même aux demandes des personnes : ses administrateurs peuvent consulter, corriger et supprimer les utilisateurs, et exporter l’historique des impressions et les rapports (fichiers Excel). Fikra Systems transmet au client, sans délai et sans y répondre elle-même, les demandes qu’elle reçoit directement, et l’aide à y répondre lorsque le panneau n’y suffit pas.

Un utilisateur supprimé perd aussitôt ses accès, ses comptes Windows et ses rôles ; son enregistrement (nom, nom d’utilisateur, adresse e-mail), marqué comme supprimé, est conservé tant que l’organisation existe, car l’historique et le journal d’audit le citent.

Assistance au client

Compte tenu de la nature du traitement et des informations dont elle dispose, Fikra Systems aide le client à assurer la sécurité du traitement, à notifier une violation de données, à mener une analyse d’impact relative à la protection des données et, le cas échéant, à consulter l’autorité de protection des données.

Violation de données

Fikra Systems notifie au client toute violation de données personnelles qui le concerne dans les meilleurs délais, et au plus tard 72 heures après en avoir pris connaissance, par e-mail au propriétaire de l’organisation. La notification décrit, dans la mesure où ces informations sont connues : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, ses conséquences probables, les mesures prises ou proposées pour y remédier, et la personne à contacter. Fikra Systems complète ces informations à mesure qu’elle les obtient.

Il appartient au client, responsable du traitement, de la notifier à l’autorité de contrôle et d’en informer les personnes concernées lorsque le RGPD l’exige (articles 33 et 34).

Conservation et suppression

Pendant le contrat, les données sont conservées comme suit :

l’historique des impressions : 90 jours sur la formule gratuite, la durée que prévoit sa formule sur une formule payante (voir Tarifs) ; les impressions plus anciennes sont supprimées chaque jour, y compris lorsqu’une formule payante prend fin et que la formule gratuite s’applique ;
les notifications lues : 180 jours après leur lecture ; les notifications non lues, les alertes résolues, les sessions terminées de l’application et les jetons d’inscription des postes expirés ou révoqués : un an ;
les relevés d’état des imprimantes : 90 jours (un réglage du panneau) ;
les quotas et leur consommation, les demandes et le journal d’audit : tant que l’organisation existe ;
les autres données (les utilisateurs, y compris ceux qui ont été supprimés, qui gardent leur nom, leur nom d’utilisateur et leur adresse e-mail ; les comptes Windows ; les postes et leur adresse IP ; les imprimantes ; les sièges ; la maintenance ; les alertes non résolues, dont les alertes d’événement, qui ne le sont jamais) : au plus tant que l’organisation existe ;
les journaux techniques du service : 30 jours.

À la fin du contrat, Fikra Systems fournit au client qui le demande une copie complète de sa base de données, dans son format d’origine (SQLite ou PostgreSQL), dans un délai de 30 jours et sans frais, puis la supprime dans un délai de 30 jours après la fin du contrat, sauf obligation légale de conservation. Une base supprimée disparaît des sauvegardes au plus tard 30 jours après.

Une organisation de la formule gratuite sans activité pendant 90 jours est supprimée, après deux avertissements par e-mail à son propriétaire (à 60 et à 80 jours) : sa base de données est exportée, puis supprimée. Fikra Systems conserve cet export, qui permet de rétablir l’organisation, pendant 90 jours, puis le supprime.

Informations et audits

Fikra Systems met à la disposition du client les informations nécessaires pour démontrer le respect de ses obligations, et permet la réalisation d’audits, y compris d’inspections, par le client ou un auditeur qu’il mandate, dans les conditions suivantes : une demande écrite au moins 30 jours à l’avance, un audit par an au plus, aux frais du client, par un auditeur tenu à la confidentialité, sans accès aux données des autres clients ni gêne pour le service. Lorsque cela suffit, Fikra Systems répond d’abord par écrit (documents, questionnaire).

Obligations du client

Le client s’assure que le traitement repose sur une base légale ; il informe les personnes dont les impressions sont contrôlées avant la mise en place de Diwink ; il choisit des réglages proportionnés à ses besoins (règles, enregistrement du nom des documents) ; il veille à l’exactitude des données qu’il saisit et à la sécurité des comptes de ses administrateurs.

Il tient son registre des activités de traitement et mène, lorsque le RGPD l’exige, une analyse d’impact relative à la protection des données.

Durée

Le présent accord s’applique tant que Fikra Systems traite des données pour le compte du client. La responsabilité de chaque partie suit les conditions d’utilisation.

Annexe : mesures de sécurité

Une base de données par organisation, à laquelle n’accèdent que les requêtes de cette organisation.
Des échanges chiffrés (HTTPS) avec le panneau et avec l’agent des postes, par lequel passe l’application Diwink.
Des mots de passe conservés sous la seule forme d’une empreinte ; un compte verrouillé 15 minutes après 5 échecs de connexion ; la vérification en deux étapes, que l’organisation peut exiger ; des liens envoyés par e-mail à usage unique et à durée limitée, dont seule l’empreinte est conservée.
Des secrets chiffrés : la chaîne de connexion de chaque base, la clé de l’application d’authentification, les communautés SNMP des imprimantes (transmises aux seuls postes qui lisent ces imprimantes).
Des rôles et des permissions par périmètre dans le panneau, vérifiés par le serveur à chaque requête ; une session protégée (cookie HttpOnly, Secure et SameSite=Strict, jeton anti-falsification).
Des postes authentifiés chacun par son propre secret, dont le service ne garde que l’empreinte ; des règles signées, que chaque poste vérifie avant de les appliquer.
Un journal d’audit des modifications et des connexions, avec l’adresse IP, conservé tant que l’organisation existe.
Sur chaque poste, les données de l’agent dans un dossier réservé au système et aux administrateurs ; l’agent ne peut être désinstallé que par un administrateur du poste.
Des sauvegardes régulières de chaque base, gardées 30 jours au plus, et une procédure de restauration après incident.