Sécurité et protection des données chez Sweeply
Sweeply protège les données des hôtels grâce au chiffrement en transit et au repos, à l’authentification à deux facteurs, à l’accès basé sur les rôles et à la journalisation des modifications, et les traite dans le cadre d’un accord de traitement des données (DPA) conforme au RGPD conclu avec chaque client.
Comment Sweeply protège-t-il les données des hôtels ?
Les données des hôtels sont chiffrées en transit et au repos, l’accès est limité selon les rôles et protégé par l’authentification à deux facteurs, et chaque modification est journalisée.
Chiffrement : TLS pour toutes les données en transit et chiffrement AES-256 pour les données stockées dans Google Cloud.
Contrôle d’accès : authentification à deux facteurs, autorisations basées sur les rôles accordées uniquement lorsque c’est nécessaire, et un nombre minimal d’administrateurs.
Journalisation : l’accès aux données est journalisé, et chaque saisie, modification et suppression est enregistrée au nom d’un utilisateur identifié.
Sauvegardes : sauvegardes automatisées et chiffrées dans Google Cloud, avec un plan d’urgence documenté pour rétablir l’accès.
Séparation : les systèmes de production et de test sont maintenus séparés, et les données de chaque hôtel sont logiquement séparées de celles des autres clients.
Personnel : toutes les personnes travaillant chez Sweeply sont tenues à la confidentialité, et les données clients ne peuvent pas être stockées sur des appareils personnels.
Où les données des hôtels sont-elles hébergées et traitées ?
Sweeply ehf. est une société islandaise, le RGPD s’applique donc directement à Sweeply en vertu de l’accord EEE.
La production fonctionne sur Google Cloud, dans la région us-central1 en Iowa (États-Unis), les données des hôtels sont donc traitées aux États-Unis. Ces transferts sont encadrés par le cadre de protection des données UE-États-Unis ou par les clauses contractuelles types de l’UE.
La sécurité physique des centres de données est gérée par Google Cloud. Ses certifications sont répertoriées sur la page de conformité de Google Cloud.
Sweeply est-il conforme au RGPD, et pouvons-nous signer un DPA ?
Oui. Sweeply agit en tant que sous-traitant pour votre hôtel et signe un accord de traitement des données (DPA) conformément à l’article 28 du RGPD, régi par le droit islandais.
Notification des violations : nous vous informons dans les meilleurs délais, si possible dans les 48 heures après avoir pris connaissance d’une violation.
Demandes des personnes concernées : nous vous aidons à y répondre et pouvons exporter les données d’une personne au format CSV ou JSON.
Changements de sous-traitants ultérieurs : nous vous informons 30 jours à l’avance de tout sous-traitant ultérieur nouveau ou remplacé, et vous pouvez vous y opposer.
Quels sous-traitants ultérieurs Sweeply utilise-t-il ?
Sweeply fait appel aux sous-traitants ultérieurs ci-dessous. Chacun est lié par un accord écrit comportant des obligations de protection des données au moins aussi strictes que celles de notre DPA.
Google Cloud
Fonctionnalités principales de l’application
États-Unis
Twilio
SMS de bienvenue envoyé à un utilisateur
États-Unis
Sentry
Dépannage
Hébergé dans l’UE
Chargebee
Gestion des abonnements et facturation
UE
Intercom
Support client intégré au produit, messagerie et communications associées
États-Unis avec DPF
Honeycomb
Dépannage
Hébergé dans l’UE
Inngest
Traitement des tâches en arrière-plan
États-Unis
OpenAI
Traitement par IA
États-Unis
Google Vertex AI
Fonctionnalités du produit assistées par IA
États-Unis
Les transferts vers des sous-traitants ultérieurs aux États-Unis reposent sur le cadre de protection des données UE-États-Unis lorsque le sous-traitant ultérieur est certifié au titre de ce cadre, et à défaut sur les clauses contractuelles types de l’UE.
Comment Sweeply utilise-t-il des fournisseurs d’IA avec les données des hôtels ?
Les fonctionnalités d’IA de Sweeply reposent sur OpenAI et Google Vertex AI, qui sont des sous-traitants ultérieurs soumis aux mêmes conditions que tous les autres sous-traitants ultérieurs.
Sweeply peut créer des données anonymisées ou agrégées qui n’identifient pas votre hôtel, vos clients ni votre personnel, et les utiliser pour exploiter et améliorer le service, y compris les fonctionnalités d’IA. Les données anonymisées ne sont pas des données personnelles.
Les données clients ne sont pas utilisées pour entraîner les modèles d’IA d’OpenAI ou de Google.
Quelles données Sweeply traite-t-il, et pour le compte de qui ?
Sweeply traite des données personnelles pour le compte de votre hôtel, qui reste le responsable du traitement. Elles concernent les clients de l’hôtel, ainsi que le personnel et les prestataires de l’hôtel qui utilisent Sweeply.
Noms
Coordonnées, telles que numéros de téléphone et adresses e-mail
Données d’utilisation et de journalisation, telles que identifiants utilisateur, adresses IP, informations sur les appareils et journaux d’activité
Données d’exploitation de l’hôtel, telles que noms des clients, numéros de chambre, dates d’arrivée et de départ, demandes des clients et attributions de tâches
Données de planification, telles que plannings des équipes et des tâches et statut des tâches
Les données sont utilisées pour fournir Sweeply : hébergement, notifications par e-mail, SMS et push, support client, dépannage et fonctionnalités assistées par IA. Le traitement de catégories particulières de données, telles que les données de santé, n’est pas prévu, et ces données ne devraient pas être saisies dans Sweeply.
Que deviennent nos données à la fin du contrat ?
Sweeply supprime vos données dans les 30 jours suivant la fin du contrat, sauf si la loi nous oblige à les conserver.
Avant la fin du contrat, vous pouvez exporter vos données à tout moment dans un format courant. Les copies présentes dans les sauvegardes sont supprimées au fil de la rotation des sauvegardes, et nous confirmons la suppression par écrit sur demande.
Qui contacter pour les questions de sécurité et de protection des données ?
Écrivez à legal@getsweeply.com pour toute question relative à la sécurité et à la protection des données, pour les demandes de DPA et pour obtenir des informations sur les sous-traitants ultérieurs.