Politique de protection des données

Politique de protection des données

Date d’entrée en vigueur : 17 décembre 2025
Dernière mise à jour : 17 décembre 2025

1. Introduction

Gestlat ThinkLab Limited conçoit et exploite des systèmes de gestion qui contiennent des informations dont nos clients dépendent et, parmi ces informations, des données à caractère personnel appartenant à leurs employés, patients, élèves, locataires, hôtes, clients et fournisseurs.

La présente politique décrit la manière dont nous protégeons ces informations. Elle est rédigée de sorte qu’un client, un client potentiel, un auditeur ou une autorité de régulation puisse la lire et voir exactement ce que nous faisons.

Nos engagements sont simples : le client est propriétaire de ses données, nous ne les détenons que pour fournir le service que le client a demandé, nous les protégeons par des mesures adaptées au risque et nous sommes en mesure de démontrer ce que nous avons fait.

Les procédures internes détaillées qui mettent en œuvre la présente politique, couvrant l’attribution des accès, l’accès à des fins d’assistance, les demandes des personnes concernées, la réponse aux violations, les tests de restauration, l’application des correctifs, l’évaluation des fournisseurs, la suppression, les procédures de sortie, l’escalade des incidents, les changements de personnel, la formation et l’audit, sont communiquées aux clients et aux clients potentiels sur demande. Écrivez à [email protected].

2. Champ d’application

La présente politique s’applique :

• à tous les systèmes et services que nous exploitons ou hébergeons pour nos clients, sur l’ensemble de notre gamme de produits, y compris nos plateformes de progiciel de gestion intégré, de gestion scolaire, de santé, de pharmacie, de commerce de détail, d’hôtellerie, de restauration, de production industrielle, de gestion immobilière, d’opérations de terrain, de ressources humaines et de gestion de tournois ;
• à l’ensemble des données à caractère personnel et des données des clients que nous traitons, sous quelque format que ce soit, qu’elles soient conservées dans nos systèmes, sur nos appareils ou chez un fournisseur agréé ;
• à l’ensemble des employés, administrateurs, prestataires, stagiaires et à toute autre personne agissant pour le compte de Gestlat ThinkLab ; et
• à tous les lieux et appareils à partir desquels notre travail est effectué, y compris le travail à distance et à domicile.

Le respect de la présente politique est une condition de l’emploi et de tout contrat de prestation de services conclu avec nous.

3. Droit applicable

Nous exerçons nos activités conformément à la législation sur la protection des données du pays dans lequel nous sommes établis et, pour chaque mission, conformément à la législation sur la protection des données du pays d’accueil : le pays dans lequel le client exerce ses activités et dans lequel le projet est réalisé.

Concrètement :

• Identification lors de la mise en service. Avant le début de tout traitement, le cadre juridique applicable à la mission est identifié conjointement par notre fonction conformité et par la fonction conformité, juridique ou protection des données du client. Le client connaît mieux que quiconque sa propre juridiction, et nous nous appuyons sur cette connaissance en complément de notre propre évaluation.
• Inscription dans l’accord. Les éléments identifiés sont inscrits dans l’Accord de traitement des données relatif à la mission, de sorte que les deux parties travaillent sur la base d’une compréhension commune et non d’une supposition.
• Formalités accomplies avant le traitement. Lorsque le cadre du pays d’accueil exige un enregistrement, une notification à une autorité, un instrument contractuel particulier, un lieu de stockage déterminé ou toute autre formalité avant que des données à caractère personnel puissent être traitées, ces formalités sont convenues et accomplies avant le début du traitement.
• Application de la norme la plus stricte. Lorsque la présente politique et les exigences du pays d’accueil divergent, nous appliquons la plus stricte des deux. Aucune disposition de la présente politique ne réduit une protection que le droit applicable accorde à une personne concernée.
• Prise en compte des règles sectorielles. Lorsque le client exerce une activité réglementée, par exemple dans les secteurs de la santé, de l’éducation ou des services financiers, les exigences de son propre régulateur sont identifiées de la même manière et prises en compte lorsqu’elles sont compatibles avec la présente politique.
• Réexamen en cas de changement. Lorsque la législation du pays d’accueil évolue de manière significative au cours d’une mission, nous réexaminons nos pratiques avec le client et les adaptons.
• Consignation dans un document que le client peut conserver. Sur demande, les éléments identifiés et convenus pour une mission sont exposés dans une Déclaration d’assurance en matière de protection des données et de sécurité établie et signée pour ce client, décrite à l’article 22. C’est cette déclaration, et non la présente page, qui précise les particularités d’un projet donné.

Nous sommes enregistrés auprès de l’autorité de protection des données qui nous contrôle, ainsi qu’auprès de toute autre autorité auprès de laquelle notre traitement exige un enregistrement. Les détails de cet enregistrement sont communiqués aux clients et aux autorités de régulation sur demande.

4. Principes de protection des données

Dans tout ce que nous faisons avec des données à caractère personnel, nous appliquons les principes suivants, communs aux cadres de protection des données dans lesquels nous travaillons :

• Responsabilité. Nous sommes en mesure de démontrer ce que nous faisons et pourquoi.
• Loyauté et licéité. Nous ne traitons des données à caractère personnel que sur une base légale et d’une manière à laquelle la personne concernée peut s’attendre.
• Limitation des finalités. Nous ne traitons des données à caractère personnel que pour la finalité pour laquelle elles ont été collectées, ainsi que pour toute autre finalité autorisée par la loi.
• Minimisation. Nous ne conservons que les données à caractère personnel dont nous avons besoin.
• Exactitude. Nous veillons à ce que les données à caractère personnel soient exactes, complètes et à jour, et nous les rectifions lorsqu’on nous signale qu’elles sont erronées.
• Limitation de la conservation. Nous ne conservons les données à caractère personnel que le temps nécessaire, puis nous les détruisons ou les désidentifions.
• Sécurité. Nous protégeons les données à caractère personnel contre la perte, l’accès non autorisé, la destruction et le traitement illicite.

5. Base légale du traitement

Lorsque nous agissons en qualité de sous-traitant pour un client, nous nous appuyons sur la base légale du client. Nos contrats exigent que le client confirme qu’il en dispose.

Lorsque nous agissons en qualité de responsable du traitement, nous identifions la base légale avant de collecter des données à caractère personnel et nous informons les personnes, au moyen de notre Politique de confidentialité, des données que nous collectons, des raisons de cette collecte, de leurs destinataires et de leur durée de conservation. Les bases légales sur lesquelles nous nous appuyons sont le consentement, l’exécution d’un contrat, le respect d’une obligation légale et nos intérêts légitimes à exploiter et à sécuriser notre activité.

Nous n’utilisons pas les données des clients à nos propres fins. Nous ne vendons pas de données à caractère personnel.

6. Rôles en matière de traitement des données

Lorsqu’une organisation utilise l’un de nos systèmes, c’est cette organisation qui décide quelles données à caractère personnel y sont conservées et pour quelle raison. Cette organisation est le responsable du traitement. Nous conservons et traitons les données uniquement sur ses instructions, en qualité de sous-traitant.

Ce principe s’applique à chacun des systèmes que nous exploitons. Une école qui utilise Shule360 est responsable du traitement de ses dossiers relatifs aux élèves, aux responsables légaux et au personnel. Un établissement de santé qui utilise HealthCenterOps360, ou une pharmacie qui utilise DrugStoreOps360, est responsable du traitement de ses dossiers patients. Un employeur qui utilise Pevron360 est responsable du traitement de ses dossiers relatifs au personnel et à la paie.

Nous ne sommes responsable du traitement que pour les données que nous détenons à nos propres fins : celles de notre personnel et de nos candidats, de nos prospects et des personnes qui nous adressent des demandes, des interlocuteurs de nos clients et des visiteurs de notre site web.

Lorsque nous agissons en qualité de sous-traitant, les conditions sont fixées dans un Accord de traitement des données. Notre Accord de traitement des données type est disponible sur demande et fait partie intégrante de notre Contrat-cadre d’abonnement et de services.

7. Données à caractère personnel détenues par chaque système

Cette section permet à un client de voir ce que contient son propre système. Le détail propre à chaque client est consigné dans l’Accord de traitement des données de ce client.

8. Droits des personnes concernées

Toute personne peut demander à consulter les données à caractère personnel que nous détenons à son sujet, en demander la rectification ou l’effacement, s’opposer à leur traitement, demander la limitation ou l’arrêt du traitement, y compris à des fins de prospection directe, demander à recevoir ses données dans un format portable, retirer un consentement qu’elle a donné et introduire une réclamation auprès de nous ou de l’autorité de protection des données de son pays. L’effacement s’effectue sous réserve de tout document que la loi nous impose de conserver. Lorsque le droit applicable confère un droit supplémentaire à une personne concernée, ce droit s’applique.

Lorsque la demande porte sur des données conservées dans le système d’un client, c’est le client, en tant que responsable du traitement, qui y répond. Nous transmettons la demande au client dans un délai de deux jours ouvrables et lui apportons notre assistance dans un délai de cinq jours ouvrables à compter de sa sollicitation.

Lorsque la demande porte sur des données dont nous sommes responsables du traitement, nous en accusons réception dans un délai de cinq jours ouvrables et y répondons dans un délai de 30 jours, ou plus tôt si le droit applicable l’exige. Nous ne facturons pas une première demande, et nous vérifions l’identité du demandeur avant toute communication d’informations.

9. Données sensibles, dossiers médicaux et enfants

Certains de nos systèmes sont conçus pour des secteurs qui traitent des informations sensibles : dossiers patients et données cliniques dans nos plateformes de santé et de pharmacie, dossiers des élèves dans notre plateforme scolaire, données de paie dans notre plateforme de ressources humaines et historique de localisation du personnel dans notre plateforme d’opérations de terrain.

Les données relevant d’une catégorie sensible, telles que les dossiers médicaux et de santé, les informations financières et les données des enfants, ne sont traitées que lorsque le droit applicable le permet et que le client a confirmé la base légale par écrit.

Lorsqu’un système contient des données sensibles ou des données d’enfants, les règles suivantes s’appliquent en plus du reste de la présente politique :

• l’accès est limité au plus petit groupe possible d’utilisateurs nommément désignés, défini par le client ;
• l’accès par notre propre personnel n’est autorisé que pour traiter une demande d’assistance précise et enregistrée, et chaque accès est journalisé et conservé ;
• les dossiers ne sont pas copiés hors de l’environnement de production et ne sont jamais utilisés comme données de test ;
• le client configure des restrictions fondées sur les rôles afin que chaque utilisateur ne voie que les dossiers requis par son rôle.

Les données à caractère personnel relatives aux enfants ne sont traitées que lorsque le droit applicable le permet, ce qui, dans la plupart des cadres juridiques, requiert le consentement d’un parent ou d’un responsable légal. Dans les systèmes scolaires, l’école est le responsable du traitement et répond de ce consentement ainsi que des informations communiquées aux parents.

Lorsqu’un client est un établissement de santé, une pharmacie ou une école, nous signerons tout engagement supplémentaire exigé par son régulateur, dès lors qu’il est compatible avec la présente politique.

10. Mesures de sécurité des données

Nous maintenons des mesures techniques et organisationnelles adaptées au risque, conformément aux pratiques généralement admises en matière de sécurité de l’information. Ce sont nos propres normes, et nous les respectons partout où nous exerçons nos activités.

Nous identifions les risques raisonnables qui pèsent sur les données que nous détenons, mettons en place des précautions pour y faire face, vérifions régulièrement que ces précautions sont efficaces et les tenons à jour. Les risques sont réexaminés au moins une fois par an et après tout incident ou changement important.

11. Contrôle d’accès et notre accès à vos données

L’accès aux systèmes et aux données est accordé selon le principe du moindre privilège. Chaque utilisateur dispose d’un compte identifié de manière unique ; aucun compte partagé ou générique n’est utilisé pour les systèmes de production ou les données des clients. L’authentification multifacteur est obligatoire pour les accès administrateur.

Les accès sont approuvés et consignés, réexaminés chaque trimestre et supprimés dans un délai d’un jour ouvrable après le départ d’une personne ou son changement de fonction.

Notre personnel n’accède aux données des clients que lorsque cela est nécessaire pour fournir le service ou en assurer l’assistance, ou lorsque le client nous le demande. Ces accès sont journalisés et rattachés à la demande d’assistance. Lorsque le contrat d’un client exige un consentement préalable, nous l’obtenons d’abord par écrit.

12. Sauvegarde, restauration et continuité

Les données des clients sont sauvegardées au moins une fois par jour. Les sauvegardes sont chiffrées, stockées séparément du système qu’elles protègent et conservées pendant au moins 30 jours.

Nos objectifs de restauration sont une perte de données ne dépassant pas 24 heures lors d’une restauration et un rétablissement du service dans un délai d’un jour ouvrable après une panne majeure. Une restauration est testée au moins une fois par trimestre et le résultat est consigné. Un client peut assister à un test sur demande.

Lorsqu’un produit le propose, un client peut également activer une copie automatique de ses sauvegardes vers un compte de stockage dont il est lui-même propriétaire et qu’il contrôle.

Nous maintenons des dispositifs permettant de poursuivre ou de rétablir le service après une perturbation, couvrant la perte d’un système, la perte de locaux, la perte d’une personne clé et la défaillance d’un fournisseur. Ces dispositifs sont réexaminés chaque année.

13. Sous-traitants ultérieurs

Pour exploiter nos systèmes, nous faisons appel à un petit nombre de prestataires de services. Lorsque l’un d’eux traite des données à caractère personnel pour le compte de nos clients, il agit en qualité de sous-traitant ultérieur. Chacun est évalué avant toute utilisation, est lié par des conditions écrites offrant une protection au moins équivalente à celle de nos propres obligations et demeure sous notre responsabilité à l’égard de nos clients.

Certaines fonctionnalités se connectent à des services que le client choisit et auprès desquels il détient son propre compte, par exemple des fournisseurs d’IA, des passerelles SMS et de messagerie, des prestataires de paiement et un stockage de sauvegarde détenu par le client. Ces prestataires sont engagés directement par le client et ne sont pas nos sous-traitants ultérieurs.

Nous informons les clients par écrit au moins 30 jours à l’avance avant d’ajouter ou de remplacer un sous-traitant ultérieur qui traite leurs données à caractère personnel. Un client peut s’y opposer pour des motifs raisonnables liés à la protection des données pendant ce délai, et nous disposons alors de 10 jours ouvrables pour convenir d’une solution. À défaut d’accord, le client peut mettre fin aux services concernés et obtenir le remboursement des frais prépayés pour la période non utilisée. Pour recevoir ces notifications par e-mail, écrivez à [email protected].

Les noms des prestataires, le pays dans lequel chacun d’eux traite les données, les dates des contrats et les garanties spécifiques en place sont consignés dans notre registre interne, confirmés pour chaque mission dans sa Déclaration d’assurance en matière de protection des données et de sécurité, et communiqués aux clients et à leurs conseillers sur demande, dans le cadre d’un accord de confidentialité.

14. Lieu de traitement des données et transferts transfrontaliers

Les données à caractère personnel ne sont traitées ou stockées en dehors du pays d’accueil que lorsque le droit applicable le permet, ce qui, dans la plupart des cadres juridiques, exige soit que la destination offre une protection au moins équivalente à celle du pays d’accueil, soit le consentement de la personne concernée.

Lorsqu’un transfert repose sur des garanties contractuelles, nous mettons en place des clauses contractuelles types avec le destinataire, exigeons le chiffrement lors de la transmission et nous réservons le droit d’auditer le destinataire.

Lorsque le cadre juridique propre au client exige que les données soient conservées dans son pays, ou impose toute autre exigence de localisation, le client nous en fait part lors de la mise en service et nous confirmons par écrit, avant le début du traitement, si nous sommes en mesure d’y satisfaire. Nous ne présumons pas qu’une exigence n’existe pas au seul motif qu’elle n’a pas été mentionnée.

Nous conservons une trace de la base légale et des garanties de tout traitement transfrontalier et la mettons à la disposition du client et de l’autorité compétente sur demande. Nous n’autorisons aucun transfert ultérieur vers un autre pays, sauf dans la mesure permise par le droit applicable.

15. Intelligence artificielle et vos données

Plusieurs de nos systèmes comportent des fonctionnalités qui utilisent l’intelligence artificielle. Notre position est la suivante :

• Nous n’entraînons pas de modèles sur vos données. Nous n’utilisons pas les données des clients, ni les résultats générés à partir de celles-ci, pour entraîner, affiner ou améliorer un quelconque modèle d’intelligence artificielle, qu’il s’agisse du nôtre ou de celui d’un tiers.
• Nous imposons la même règle à nos fournisseurs. Tout fournisseur d’IA dont le service est utilisé pour fournir nos systèmes est lié par écrit par la même restriction.
• Les résultats vous appartiennent. Le contenu généré pour vous par une fonctionnalité d’IA vous appartient, dans les mêmes conditions que le reste de vos données.
• Vos données ne sont pas partagées entre clients. Les données d’un client ne sont jamais utilisées pour produire des résultats destinés à un autre client.
• Les fonctionnalités d’IA sont facultatives et le système fonctionne sans elles.
• Vous gardez le contrôle du fournisseur. Lorsqu’un système se connecte à un fournisseur d’IA externe, il fonctionne avec votre propre compte auprès de ce fournisseur, sauf disposition contraire de votre contrat.

Les fonctionnalités d’IA produisent des suggestions qu’une personne examine et accepte. Aucun de nos systèmes ne prend de décision automatisée produisant des effets juridiques ou des effets significatifs similaires à l’égard d’une personne. Les résultats de l’IA sont générés automatiquement et peuvent être erronés ; ils doivent être vérifiés avant qu’on s’y fie.

Il est interdit à notre personnel de saisir des données des clients ou des données à caractère personnel dans des outils d’IA publics ou personnels. Lorsque nous utilisons des outils d’IA en interne, nous utilisons des outils agréés, configurés de manière que les données saisies ne soient ni conservées ni utilisées pour l’entraînement.

Lorsque le pays d’accueil instaure des exigences spécifiques en matière d’intelligence artificielle, celles-ci sont identifiées lors de la mise en service, de la même manière que le reste du cadre applicable.

16. Conservation des données

Nous ne conservons les données à caractère personnel que le temps nécessaire à la finalité poursuivie, ou pendant la durée exigée par le droit applicable. Lorsque la législation du pays d’accueil fixe une durée minimale plus longue, c’est cette durée qui s’applique.

Les documents papier sont détruits par broyage. Les supports de stockage sont effacés de manière sécurisée ou détruits physiquement avant leur élimination, et l’élimination est consignée.

17. Vos données et leur restitution

Le client est propriétaire de ses données. Nous ne revendiquons sur celles-ci aucun droit au-delà de ce qui est nécessaire pour fournir le service.

Un client peut exporter une copie complète de ses données, dans un format couramment utilisé et lisible par machine, à tout moment pendant l’abonnement et pendant 30 jours après sa fin, sans frais supplémentaires. Nous ne retenons pas les données des clients, et une exportation est fournie même en cas de litige commercial, sous réserve du contrat du client.

À l’issue de ce délai de 30 jours, les données sont supprimées ou désidentifiées de manière à ne pas pouvoir être reconstituées, sauf lorsque nous sommes tenus de les conserver. Les copies de sauvegarde expirent selon le cycle de sauvegarde normal. La suppression est confirmée par écrit sur demande.

18. Gestion des violations de données

Si nous avons des motifs raisonnables de penser que des données à caractère personnel ont été consultées ou obtenues par une personne non autorisée :

• Nous informons l’autorité de contrôle sans délai. Lorsque le droit applicable fixe un délai, nous le respectons. Lorsqu’il n’en fixe aucun, ou qu’il en fixe un plus long que notre propre norme, nous procédons à la notification dès que nous acquérons cette conviction, sans attendre.
• Nous informons le client concerné dans un délai de 48 heures au plus tard, et plus tôt chaque fois que cela nous est possible.
• Nous indiquons au client ce qui s’est passé, les catégories et le nombre approximatif de personnes concernées et d’enregistrements touchés, les conséquences probables, les mesures prises et un point de contact, et nous le tenons informé au moins tous les deux jours ouvrables jusqu’à la clôture de l’incident.
• Les personnes concernées sont informées lorsque l’autorité l’ordonne ou que le droit applicable l’exige, et nous aidons le client, en sa qualité de responsable du traitement, à procéder à cette notification.
• Chaque incident est consigné, sa cause profonde est établie dans un délai de 10 jours ouvrables, et des actions correctives sont attribuées et suivies.

19. Protection des données dès la conception et par défaut

Les nouveaux systèmes et les changements importants font l’objet d’une évaluation de leur incidence sur les données à caractère personnel avant leur développement, et non après. Les paramètres par défaut sont réglés sur l’option la plus protectrice qui permet encore d’offrir la fonctionnalité. Nous collectons le minimum de données nécessaire et permettons à un client de restreindre facilement davantage les accès.

20. Analyses d’impact relatives à la protection des données

Lorsqu’un nouveau système ou un changement important est susceptible d’engendrer un risque élevé pour les personnes, en particulier lorsqu’il implique des données sensibles, des données d’enfants ou une surveillance systématique telle que le suivi de localisation, nous réalisons une analyse d’impact avant de poursuivre, en consignons le résultat et consultons l’autorité compétente lorsque le droit applicable l’exige.

21. Rôles, responsabilités et formation

Le délégué à la protection des données supervise le respect de la présente politique, traite les demandes des personnes concernées et des clients, tient les registres exigés par la présente politique et est notre point de contact auprès des autorités de protection des données.

Le responsable technique est chargé des contrôles de sécurité, approuve l’accès aux systèmes de production et dirige la réponse aux incidents de sécurité.

Les administrateurs approuvent la présente politique, fournissent les ressources nécessaires à sa mise en œuvre et reçoivent les rapports sur les incidents et sur la revue annuelle.

Avant de se voir accorder un accès, chaque employé et chaque prestataire signe un engagement de confidentialité qui survit à la fin de sa mission. Chacun suit une formation de sensibilisation à la protection des données et à la sécurité lors de son intégration et au moins une fois par an, et la participation est consignée. Toute violation de la présente politique relève du régime disciplinaire.

Toute personne qui soupçonne un problème doit le signaler immédiatement. Le signalement de bonne foi d’un problème présumé n’entraîne jamais de reproche.

22. Contrôle, audits et garanties apportées aux clients

Le délégué à la protection des données contrôle le respect de la politique et rend compte aux administrateurs au moins une fois par an.

Nous tenons les registres exigés par la présente politique, notamment le registre des accès, les revues des accès, les registres de formation, les tests de restauration, les évaluations des fournisseurs, les registres d’incidents et les registres de suppression.

Un client peut demander une description écrite de nos mesures de sécurité une fois par période de 12 mois, ainsi qu’après tout incident de sécurité affectant ses données. Nous répondons dans un délai de 20 jours ouvrables. Lorsque le contrat d’un client le prévoit, un auditeur indépendant tenu à la confidentialité peut examiner notre conformité, aux frais du client, pendant les heures ouvrables, sans accès aux données des autres clients.

Nous coopérons à toute demande ou enquête licite d’une autorité de protection des données ou de toute autre autorité de régulation compétente à l’égard du traitement.

La Déclaration d’assurance en matière de protection des données et de sécurité

La présente page énonce les normes applicables à chaque client. Elle n’énonce pas les particularités d’un projet donné, car celles-ci diffèrent d’un client à l’autre et certaines sont confidentielles.

Lorsqu’un client a besoin de ces particularités, que ce soit pour son conseil d’administration, son régulateur, son auditeur ou sa procédure d’achat, nous établissons une Déclaration d’assurance en matière de protection des données et de sécurité pour la mission concernée. Elle est signée par Gestlat ThinkLab et adressée à ce client, et elle précise, pour ce projet :

• les produits et modules utilisés, et les catégories de données à caractère personnel que chacun d’eux contient ;
• quelle partie est responsable du traitement et quelle partie est sous-traitant, pour chaque catégorie ;
• la législation sur la protection des données identifiée comme applicable à la mission, et les règles sectorielles prises en compte parallèlement ;
• les pays dans lesquels les données sont traitées et sauvegardées, les prestataires concernés, ainsi que la base légale et les garanties de tout transfert transfrontalier ;
• les personnes nommément désignées, de part et d’autre, qui assument des responsabilités en matière de protection des données, et leurs coordonnées ;
• les mesures de sécurité, les modalités d’accès, les durées de conservation et les engagements de suppression convenus pour ce projet ;
• les contacts et les délais de notification des violations ;
• tout engagement supplémentaire convenu avec ce client.

Pour en demander une, écrivez à [email protected]. Nous l’établissons dans un délai de 10 jours ouvrables. Lorsqu’elle contient des informations que nous considérons comme confidentielles, notamment les noms des prestataires et les lieux de traitement, elle est établie dans le cadre d’un accord de confidentialité.

Une Déclaration d’assurance signée ne remplace pas l’Accord de traitement des données, qui constitue l’instrument contractuel. Elle est le document qui atteste de ce qui a été convenu et mis en place.

23. Révision et mise à jour de la politique

La présente politique est réexaminée au moins une fois par an, chaque fois que nos activités évoluent de manière significative et chaque fois que la législation d’un pays dans lequel nous réalisons une mission évolue de manière significative. Lorsqu’une modification affecte de manière significative nos clients, nous les en informons.

24. Contact

Délégué à la protection des données, Gestlat ThinkLab Limited
[email protected] · +256 706 107 619
P.O. Box 120356, Wakiso, Uganda
Numéro d’immatriculation de l’entreprise 80034932485765

Pour signaler une vulnérabilité de sécurité présumée, consultez la section relative aux signalements de notre Politique d’utilisation acceptable.

Une personne concernée peut également introduire une réclamation auprès de l’autorité de protection des données de son propre pays.

25. Politiques et documents connexes

Politique de confidentialité · Conditions d’utilisation · Politique d’utilisation acceptable · Accord de niveau de service · Contrat de licence utilisateur final · Politique relative aux cookies · Politique de remboursement · Politique anti-spam.

Disponibles sur demande : une Déclaration d’assurance en matière de protection des données et de sécurité signée pour votre mission, notre Accord de traitement des données, nos procédures internes à l’appui de la présente politique, les détails de notre enregistrement et notre registre des sous-traitants ultérieurs comportant les noms des prestataires, dans le cadre d’un accord de confidentialité.

Dernière mise à jour : 17 décembre 2025
Date d’entrée en vigueur : 17 décembre 2025
Version : 1.0