Transfert RGPD Paquet.

Rozper a son siège à Hong Kong et exploite une plateforme de vente en gros de voix, d'UCaaS et de numéros virtuels qui atteint plus de 150 pays. Un réseau de télécommunications mondial ne peut pas rester à l'intérieur d'une seule juridiction : les appels, les messages et les données de compte traversent régulièrement les frontières dans le cadre du fonctionnement des services.

Les transferts internationaux se produisent pour un petit nombre de raisons concrètes :

• Routage des appels et des messages. Le trafic vocal est transféré aux partenaires d'interconnexion et de terminaison dans le pays ou la région de destination, et les métadonnées de signalisation SIP/SMS l'accompagnent.
• Stockage régional et réplication. Pour respecter notre engagement de disponibilité de 99,99 %, les enregistrements détaillés des appels, les enregistrements et les données de configuration sont répliqués sur tous les points de présence régionaux en Amérique, en Europe et en Asie-Pacifique.
• Assistance et ingénierie Follow-the-Sun. Le dépannage d'une panne en direct ou d'un ticket d'assistance peut nécessiter qu'un ingénieur en dehors de la région d'origine du client accède aux journaux de diagnostic pendant une durée limitée.
• Infrastructure du sous-traitant. Les fournisseurs d'hébergement cloud, de fourniture de numéros et de paiement sur lesquels nous comptons exploitent leur propre infrastructure mondiale.

Ce pack existe pour que les clients de l'UE et du Royaume-Uni puissent voir, en un seul endroit, les protections que Rozper applique chaque fois que des données personnelles régies par le RGPD ou le RGPD britannique quittent l'EEE ou le Royaume-Uni. Il est rédigé pour les équipes de confidentialité et d'approvisionnement qui doivent documenter une base de transfert légale avant de signer un contrat avec un fournisseur, et il est tenu à jour à mesure que notre empreinte infrastructurelle et notre liste de partenaires évoluent.

Rien de tout cela n'est inhabituel pour un fournisseur de télécommunications : connecter un appel de Berlin à Nairobi, ou un numéro virtuel de Londres à un combiné mobile à Manille, implique toujours au moins un saut en dehors de la juridiction du domicile de l'appelant. Ce qui compte, c’est que chaque saut soit soutenu par un mécanisme juridique approprié et un ensemble proportionné de garanties techniques, ce qui est exactement ce que documente le reste de cette page.

Rozper superpose plusieurs protections plutôt que de dépendre d'un seul mécanisme. En fonction du pays de réception et du flux de données, nous nous appuyons sur les éléments suivants.

• Clauses contractuelles types (CCS). Nous concluons les SCC modulaires 2021 de la Commission européenne (modules du contrôleur au processeur et du processeur au processeur, le cas échéant) avec notre entité contractante et avec les sous-traitants ultérieurs traitant des données personnelles provenant de l'EEE. Hong Kong ne bénéficie actuellement pas d'une décision d'adéquation de l'UE, de sorte que les transferts vers nos infrastructures et fonctions de support basées à Hong Kong sont couverts par les SCC.
• Considérations d’adéquation. Lorsqu'un pays ou territoire de réception est couvert par une décision d'adéquation valide de la Commission européenne, nous considérons cela comme suffisant en soi et superposons les CCT uniquement lorsqu'un sous-traitant ultérieur ou une chaîne contractuelle l'exige pour être complet.
• Mesures supplémentaires. Suivant la ligne directrice de Schrems II, nous ne considérons pas les clauses contractuelles seules comme suffisantes. Nous les associons à des mesures techniques et organisationnelles : cryptage des données en transit et au repos, contrôles d'accès basés sur les rôles et selon le moindre privilège, journalisation et surveillance de l'accès aux systèmes de production, minimisation des données dans les outils de diagnostic, ainsi que droits d'audit et de résiliation contractuels sur les sous-traitants ultérieurs.

Tous les détails sur les mesures techniques et organisationnelles référencées ci-dessus sont conservés dans notre documentation de sécurité et peuvent être demandés avec le package SCC décrit dans la section 6. Nous examinons nos évaluations de l'impact des transferts périodiquement et chaque fois que nous intégrons un nouveau sous-traitant ou ouvrons un nouveau point de présence régional, de sorte que le mécanisme en place pour un flux donné reflète l'état actuel de notre infrastructure plutôt qu'un document écrit une seule fois et laissé inchangé.

Pour les transferts soumis au RGPD britannique plutôt qu'au RGPD de l'UE, les SCC de l'UE ne constituent pas à eux seuls un mécanisme de transfert reconnu. Rozper intègre l'addendum sur le transfert international de données du Bureau du commissaire à l'information du Royaume-Uni (ICO) aux SCC de la Commission européenne dans notre accord de traitement des données, afin que les clients britanniques bénéficient d'une protection équivalente sans avoir besoin d'un document négocié séparément.

L'Addendum est annexé et lu conjointement avec le module EU SCC sous-jacent qui s'applique au flux de données concerné. Lorsqu'un client a déjà exécuté notre DPA, l'Addendum est réputé incorporé pour toutes les données personnelles originaires du Royaume-Uni traitées dans le cadre de cet accord.

Le tableau ci-dessous résume, au niveau régional, où les données clients sont généralement traitées ou stockées. Il s'agit d'un résumé à des fins de planification : les détails faisant autorité au niveau du sous-traitant se trouvent dans notre liste de sous-traitants.

• Asie-Pacifique (région principale). L'infrastructure de la plate-forme de base, l'approvisionnement en numéros et notre siège social de Hong Kong traitent les métadonnées des comptes, de la facturation et des communications pour les clients acheminés via cette région.
• Union européenne / EEE. Les clients qui épinglent leur locataire dans l'UE disposent d'un stockage et d'un traitement primaires conservés dans les centres de données de l'UE, avec un acheminement des appels vers des partenaires d'interconnexion dans la région, le cas échéant.
• Royaume-Uni. Les tranches de numéros spécifiques au Royaume-Uni et certaines fonctions de support sont desservies à partir d'une infrastructure adjacente au Royaume-Uni, sous réserve de la même option d'épinglage régional.
• Amériques. Les points de présence nord-américains gèrent le trafic et le stockage pour les clients et les utilisateurs finaux acheminés à travers la région.
• Reste du monde. Pour les destinations hors des régions ci-dessus, la terminaison d'appel implique nécessairement des opérateurs partenaires locaux dans le pays de destination, en cohérence avec le fonctionnement du réseau téléphonique public partout.

Lorsqu'ils sont techniquement pris en charge, les clients peuvent demander l'épinglage d'un locataire à une région spécifique ; cet épinglage est appliqué au niveau de la couche de stockage, comme décrit dans notre politique de confidentialité. L'épinglage affecte le stockage, et non le routage vers le pays de destination inhérent à l'émission ou à la réception d'un appel dans ce pays.

Ce pack de transfert accompagne, et non remplace, deux autres documents :

• L'accord de traitement des données. Notre Accord de traitement des données est l'instrument contractuel qui régit la manière dont Rozper traite les données personnelles au nom d'un client, y compris les mécanismes de transfert décrits ci-dessus par référence. Si vous avez besoin d'un DPA contresigné pour vos dossiers, commencez par là.
• La liste des sous-traitants. Notre sous-traitants La page nomme chaque fournisseur sur lequel nous comptons pour fournir les services, la fonction que chacun remplit et son emplacement de traitement, afin que vous puissiez cartographier tout transfert donné vers une entreprise et un pays spécifiques.

Lu ensemble, le DPA fixe les termes juridiques, la liste des sous-traitants ultérieurs nomme les parties et ce pack explique le mécanisme de transfert et les mesures supplémentaires qui s'appliquent entre eux.

Les clients et clients potentiels peuvent demander à tout moment une copie des modules SCC exécutés, de l'addendum britannique et de notre résumé actuel de l'évaluation de l'impact du transfert. Deux façons de nous joindre :

• E-mail légal@rozper.com directement avec le nom de votre entreprise et l'entité avec laquelle vous avez contracté.
• Soumettez une demande via /contact/ et demandez le package SCC – notre équipe juridique l’acheminera et assurera le suivi par e-mail.

Nous répondons généralement dans quelques jours ouvrables. Les entreprises clientes ayant des exigences spécifiques en matière d'annexe SCC (par exemple, les détails de l'annexe I/II spécifiques au client) peuvent demander une version personnalisée via les mêmes canaux.

Rozper transfère-t-il des données personnelles en dehors de l’EEE ? Oui. En tant que plate-forme de télécommunications mondiale dont le siège est à Hong Kong et qui possède des points de présence dans plus de 150 pays, certains traitements de données personnelles dans l'EEE et au Royaume-Uni en dehors de ces territoires sont inhérents aux Services – le plus évidemment étant l'acheminement d'un appel vers son pays de destination.

Quelle base juridique régit ces transferts ? En fonction de la destination et du flux de données, nous nous appuyons sur les décisions d'adéquation de la Commission européenne lorsqu'elles sont disponibles, sur les clauses contractuelles types et sur l'addendum britannique sur le transfert international de données, accompagnés de mesures techniques et organisationnelles supplémentaires.

Comment puis-je obtenir une copie des CCT signés ? E-mail légal@rozper.com ou utiliser /contact/. Voir la section 6 ci-dessus.

Puis-je conserver mes données dans une seule région ? Lorsque cela est techniquement pris en charge, oui : les clients peuvent demander l'épinglage de locataires dans la région de l'UE, du Royaume-Uni, des Amériques ou de l'Asie-Pacifique pour le stockage. Le routage des appels vers le pays de destination n'est pas affecté par l'épinglage, car il dépend de l'endroit où l'appel est passé ou reçu.

Ce pack couvre-t-il les sous-traitants individuellement ? Non : pour une répartition nominative par fournisseur, consultez notre sous-traitants page, que ce pack complète.