Politique de confidentialité

En vigueur au : septembre 2026  ·  Version : 1.3

La présente version est une traduction non contraignante. En cas de doute, la version allemande fait foi.

1. Responsable du traitement

CHAOS GmbH, Am Gewerbepark 5, 8241 Dechantskirchen, Autriche
Numéro d’immatriculation au registre des sociétés FN 654219 m
(anciennement DRG Services GmbH ; changement de dénomination en août 2026, même personne morale)
E-mail : contact@chaos.ms
Services : portal.chaos.ms, reseller.chaos.ms, selfservice.chaos.ms

Délégué à la protection des données (le cas échéant) :
Nom : Gerhard Moser
E-mail : gm@ms.at

Pour toute question relative à la protection des données, vous pouvez nous joindre à l’adresse e-mail indiquée ci-dessus.

2. Informations générales sur le traitement des données

En principe, nous ne traitons les données personnelles de nos utilisateurs que dans la mesure nécessaire à la fourniture de nos produits destinés à l’examen et à l’optimisation des licences logicielles.

La présente notice s’applique si :

• vous visitez l’un de nos sites web, pages de réseaux sociaux ou locaux commerciaux,
• vous utilisez l’une de nos applications ou plateformes,
• vous vous inscrivez à des événements virtuels ou en présentiel que nous organisons ou auxquels nous participons,
• votre employeur collabore avec nous,
• vous contactez notre support client,
• vous interagissez ou communiquez avec nous de toute autre manière.

Ces activités sont ci-après désignées collectivement par « services ».

Des informations détaillées sur les cookies que nous utilisons sur nos sites web figurent dans l’avis relatif aux cookies.

3. Données collectées et finalités du traitement

Données de contact et commerciales

Cette catégorie de données comprend notamment :

• Données d’entreprise (nom, adresse, numéro d’immatriculation)
• Coordonnées des personnes de contact (nom, e-mail, téléphone, fonction)
• Données contractuelles (numéro de contrat, durée, étendue des services)
• Données de facturation et de paiement
• Données d’utilisation du logiciel

Données de communication et d’interaction

Cette catégorie comprend les données issues de votre interaction avec nous, p. ex. e-mails, messages de chat, fichiers téléchargés.

Données d’utilisation liées aux applications

Cette catégorie comprend des informations sur la manière dont certaines fonctions de nos services sont utilisées, p. ex. quelles applications, quelles versions, analyses créées, informations sur la configuration du système, données de fichiers journaux ainsi que des horodatages en lien avec l’utilisation des services.

Finalité du traitement

Fourniture du service demandé
Pour fournir le service demandé et garantir l’exécution de nos obligations contractuelles envers vous ou votre organisation. Cela comprend notamment la résolution de problèmes techniques, la formation en lien avec nos services et la réponse aux demandes reçues via notre site web, par e-mail ou par d’autres moyens.

Amélioration et extension de nos services
Afin d’améliorer nos opérations, systèmes, produits et processus et d’en accroître l’utilité, nous analysons des données d’utilisation et système agrégées, anonymisées ou statistiques et menons des enquêtes sur nos services.

Sécurité de l’information et conformité
Nous collectons et traitons des données personnelles afin de protéger nos services contre les activités frauduleuses, non autorisées ou illégales, de les examiner et de les prévenir, ainsi que pour empêcher et détecter les attaques contre nos applications ou l’utilisation abusive de nos services. Pour garantir une sécurité appropriée de nos locaux et respecter les obligations légales et réglementaires.

Activités commerciales et marketing
Pour vous informer de nos événements, produits et services et pour le marketing direct. Pour traiter votre inscription à nos événements et vous fournir les documents associés.

Autres finalités autorisées
Les autres finalités autorisées comprennent par exemple la réalisation d’enquêtes clients, l’évaluation de nos campagnes marketing et l’analyse et l’amélioration de nos relations clients.

• Initiation, conclusion et exécution de la relation contractuelle
• Fourniture et maintenance du logiciel
• Service client et support
• Facturation et traitement des paiements

Le traitement des données personnelles repose sur les bases juridiques suivantes conformément à l’art. 6 du RGPD :

• Art. 6 par. 1 point a du RGPD – Consentement : lorsque vous nous avez donné votre consentement explicite
• Art. 6 par. 1 point b du RGPD – Exécution d’un contrat : lorsque le traitement est nécessaire à l’exécution d’un contrat ou à des mesures précontractuelles
• Art. 6 par. 1 point c du RGPD – Obligation légale : lorsque le traitement est nécessaire au respect d’une obligation légale
• Art. 6 par. 1 point f du RGPD – Intérêts légitimes : lorsque le traitement est nécessaire à la sauvegarde de nos intérêts légitimes, sous réserve que vos intérêts ou droits fondamentaux ne prévalent pas

Durée de conservation : Pour la durée de la relation contractuelle, puis pour satisfaire aux obligations légales de conservation (en règle générale 7 ans conformément aux §§ 212 et 132 du code fiscal fédéral autrichien, BAO).

4. Traitement pour le compte (sous-traitance)

Dans le cadre de l’utilisation de notre logiciel, des données personnelles d’utilisateurs finaux (employés de nos clients) peuvent être traitées. Dans cette relation, le client est le responsable du traitement (il détermine la finalité et les moyens : analyse, script d’installation, consentement de l’administrateur, mode d’installation). La CHAOS GmbH est fabricant du logiciel et sous-traitant. Un revendeur assure la vente et l’onboarding ; il n’est ni fabricant ni opérateur de l’analyse Graph et n’est pas un sous-traitant ultérieur pour les données des employés, dès lors qu’il ne voit que des données de base et de commande. Le traitement chez CHAOS a lieu sur Microsoft Azure, région West Europe (UE).

L’extraction depuis le locataire Microsoft 365 via Microsoft Graph et le consentement administrateur de l’application relèvent du contrat Microsoft 365 du client avec Microsoft (contrat client Microsoft ou DPA des services en ligne). Le stockage et l’analyse ultérieurs chez CHAOS relèvent du contrat de sous-traitance avec la CHAOS GmbH.

Catégories possibles de données des utilisateurs finaux :

• Nom d’utilisateur et données de connexion
• Adresses IP
• Comportement d’utilisation dans le logiciel
• Attributions de licences logicielles
• Métadonnées d’utilisation et de stockage (e-mail, Teams, SharePoint, OneDrive) – pas de contenus de sites ou de messages
• Métadonnées de posture de sécurité (Secure Score, Identity Protection, Conditional Access), dans la mesure où le mode d’installation choisi les inclut
• IA & Copilot (facultatif) : données d’utilisation et de licence Copilot, inventaire des agents et consommation de crédits Copilot ; avec l’autorisation AiEnterpriseInteraction.Read.All, métriques issues de l’historique des interactions Copilot (les textes des invites et des réponses ne sont ni enregistrés ni journalisés)
• Autres données transmises par le client

Modes d’installation : version complète (lecture + remédiation optionnelle), -Readonly (lecture seule), -LeastPrivilege (lecture sans droits inutilisés, notamment sans Sites.Read.All et sans Defender Hunting/Alert/Incident/Machine). Détails dans la notice technique de confidentialité (section 4).

Finalité du traitement : Exclusivement pour fournir le service contractuellement convenu (analyse et optimisation des licences logicielles) sur instruction documentée de notre client.

Base juridique : Art. 28 du RGPD conjointement avec un contrat de sous-traitance (DPA)

Particularités du traitement pour le compte :

• Nous traitons ces données exclusivement selon les instructions documentées du responsable (notre client)
• Un contrat de sous-traitance conformément à l’art. 28 du RGPD est conclu avec chaque client
• Tous les employés ayant accès aux données sont soumis à une obligation de confidentialité
• Nous aidons nos clients à satisfaire aux droits des personnes concernées
• À la fin du service, toutes les données sont supprimées ou restituées au choix du client

Information importante pour les utilisateurs finaux : Si vous êtes employé d’une entreprise utilisant notre logiciel, votre employeur est le responsable du traitement de vos données personnelles. Pour obtenir des informations et exercer vos droits, veuillez d’abord contacter votre employeur.

Les dispositions contractuelles détaillées figurent dans le contrat de sous-traitance (art. 28 du RGPD).

5. Communication des données

Vos données personnelles ne sont transmises à des tiers que si :

• cela est nécessaire à l’exécution du contrat
• une obligation légale existe
• vous avez expressément consenti

Destinataires possibles :

• Prestataires informatiques (p. ex. hébergeurs, services cloud) – sur la base de contrats de sous-traitance
• Prestataires de services de paiement
• Conseillers fiscaux et commissaires aux comptes
• Autorités en cas d’obligation légale

6. Transfert de données vers des pays tiers

Vos données personnelles ne sont transférées vers des pays situés en dehors de l’Union européenne ou de l’Espace économique européen que si cela est nécessaire à l’exécution du contrat de sous-traitance ou si une autre base juridique existe. Dans ce cas, nous veillons à garantir un niveau de protection adéquat, p. ex. par la conclusion de clauses contractuelles types.

7. Durée de conservation

Nous conservons vos données personnelles uniquement aussi longtemps que nécessaire pour atteindre les finalités indiquées ci-dessus ou tant que des obligations légales de conservation existent. Lorsque la finalité disparaît ou que les délais légaux expirent, les données sont supprimées de manière sécurisée.

8. Vos droits

Vous disposez des droits suivants concernant vos données personnelles :

• Droit d’accès : Vous avez le droit de demander des informations sur les données personnelles que nous traitons.
• Droit de rectification : Vous pouvez demander la correction de données inexactes ou la complétion de vos données personnelles.
• Droit à l’effacement : Sous certaines conditions, vous pouvez demander la suppression de vos données personnelles.
• Droit à la limitation du traitement : Sous certaines conditions, vous pouvez demander la limitation du traitement de vos données personnelles.
• Droit à la portabilité des données : Vous avez le droit de recevoir les données vous concernant dans un format structuré, couramment utilisé et lisible par machine et de les transmettre à un autre responsable.
• Droit d’opposition : Vous pouvez vous opposer au traitement de vos données personnelles lorsqu’il repose sur un intérêt légitime.
• Droit de retirer le consentement : Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment sans affecter la licéité du traitement effectué avant le retrait.
• Vous avez le droit d’introduire une réclamation auprès d’une autorité de contrôle de la protection des données.

Autorité de contrôle compétente en Autriche :
Autorité autrichienne de protection des données (Österreichische Datenschutzbehörde)
Barichgasse 40-42
1030 Vienne
Téléphone : +43 1 52 152-0
E-mail : dsb@dsb.gv.at
Site web : www.dsb.gv.at

Pour exercer vos droits, vous pouvez nous contacter à tout moment : contact@chaos.ms

9. Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles étendues conformément à l’art. 32 du RGPD afin de protéger vos données contre toute manipulation accidentelle ou intentionnelle, perte, destruction ou accès par des personnes non autorisées.

Nos mesures de sécurité comprennent notamment :

• Chiffrement de la transmission des données (SSL/TLS)
• Systèmes de contrôle d’accès et concepts d’autorisation
• Mises à jour de sécurité régulières
• Journalisation des accès au système
• Sauvegardes régulières des données
• Obligations de confidentialité de tous les employés

Nos mesures de sécurité sont continuellement améliorées en fonction de l’évolution technologique.

9a. DORA (uniquement entités financières et d’assurance)

Lorsque le client est une entité financière ou une entreprise d’assurance au sens du règlement (UE) 2022/2554 (DORA), ou que DORA lui est autrement applicable, l’addendum DORA s’applique en complément (accepté avec la confirmation des CGV, de la politique de confidentialité et du contrat de sous-traitance — aucune signature séparée). Pour les autres clients, l’addendum DORA ne s’applique pas. Les art. 33/34 du RGPD restent inchangés.

10. Modifications de la présente politique de confidentialité

Nous nous réservons le droit de modifier la présente politique de confidentialité si nécessaire, notamment pour l’adapter aux exigences légales ou aux changements de nos services. La version actuelle est disponible sur notre site web.