Partage des données personnelles – Dans la mesure exigée par la loi
Comme indiqué dans la Déclaration de confidentialité de Smartsheet, Smartsheet peut partager des données personnelles si la loi l’exige conformément à une procédure légale valide, telle qu’une assignation à comparaître ou une procédure de faillite.
En cas de demande d’accès ou de conservation de données personnelles, y compris une demande relative à la sécurité nationale ou visant à faire appliquer la loi, Smartsheet s’y opposera dans la mesure autorisée par la loi et en informera le client auquel les données se rapportent. Cependant, dans certains cas, Smartsheet peut être légalement tenue de partager ces données personnelles face à une ordonnance juridique valide et sans en informer les clients. En tout état de cause, nous agirons conformément à nos obligations de confidentialité contenues dans l’accord régissant l’utilisation des Offres par un client (autrement dit, les « Required Disclosures » [Divulgations obligatoires] prévues dans l’User Agreement [Accord d’utilisation]).
Partage de données personnelles – Avec des fournisseurs de services et d’infrastructures tiers
Comme indiqué dans la Déclaration de confidentialité de Smartsheet, Smartsheet peut partager des données personnelles avec nos fournisseurs de services et d’infrastructures. Smartsheet n’a recours qu’à des fournisseurs tiers qui font preuve du même niveau d’engagement qu’elle envers la protection des données personnelles de nos clients, notamment en appliquant, voire en dépassant nos attentes en matière de confidentialité et de traitement des données par les fournisseurs (Vendor Privacy and Data Handling Expectations). En outre, pour les fournisseurs agissant en qualité de « sous-traitants ultérieurs » en vertu du RGPD, Smartsheet a veillé à la mise en place de garanties appropriées et d’obligations contractuelles pour protéger les données personnelles et respecter ses obligations en vertu de la loi. La liste des sous-traitants ultérieurs actuels de Smartsheet est disponible ici.
Dans tous les cas, Smartsheet partage des données personnelles avec un fournisseur tiers uniquement dans le cadre d’un contrat valide qui inclut des obligations appropriées en matière de protection des données, ainsi que les CCT en cas de transfert de données en dehors de l’EEE.
Accès des administrations publiques – En cas d’obligation légale uniquement
Il peut arriver que Smartsheet reçoive une demande d’une administration publique ou d’une autorité en charge de l’application de la loi souhaitant accéder au contenu appartenant à un client. Dans cette situation, notre objectif est de protéger nos clients tout en nous conformant aux lois applicables. Nous informerons le client concerné, à moins que la loi ne nous l’interdise expressément. Dans la mesure du possible, nous invitons l’administration publique à l’origine de la demande à échanger directement avec le client. Smartsheet n’agit pas en tant que responsable du traitement du Contenu client et est fermement convaincue que toute administration publique cherchant à accéder à ce contenu doit adresser sa demande directement au client, dans la mesure du possible.
Nous ne fournissons aucun accès direct au Contenu client et ne le divulguons pas à des administrations publiques, sauf en cas d’obligation légale, et nous contestons les demandes illégales. Nous étudions chaque demande émanant d’une administration publique au cas par cas et n’y répondons que si et dans la mesure où nous la jugeons légale. Lorsque nous étudions la légitimité d’une demande émanant d’une administration publique, nous tenons compte de l’ensemble des lois applicables, y compris les lois d’autres juridictions, le cas échéant. Nous demandons aux administrations publiques de suivre la procédure légale requise en vertu des lois applicables, en soumettant leur demande via une assignation à comparaître, une ordonnance du tribunal ou un mandat de perquisition. Si nous pensons qu’une demande émanant d’une administration publique concernant le Contenu client est non valide ou illégale, nous mettons tout en œuvre pour la contester.
Dans le cas des administrations publiques américaines, les CCT exigent que Smartsheet (en tant qu’importatrice de données) informe rapidement l’exportateur de données de toute demande juridiquement contraignante de divulgation de données personnelles par une autorité en charge de l’application de la loi, sauf interdiction contraire. Jusqu’à présent, Smartsheet n’a jamais reçu de mandat FISA ou de demande similaire concernant des données traitées par Smartsheet qui constitueraient une violation de ses obligations en vertu des CCT.
