Accord de traitement des données

Le présent accord constitue l’annexe 1 des conditions des applications JewelExperts (les « conditions ») conclues entre Webcollation BV (« nous ») et le client qui a accepté les conditions (« vous »).

1. Champ d’application et rôles

1.1 Le présent accord s’applique chaque fois que nous traitons des données à caractère personnel pour votre compte dans le cadre de la fourniture de nos applications, telles que définies dans les conditions. Il s’applique à toute application, toute extension et tout widget que vous utilisez, directement ou via une plateforme, ainsi qu’à notre portail client.

1.2 Pour ces données à caractère personnel, vous êtes le responsable du traitement et nous sommes votre sous-traitant. Si vous agissez en qualité de sous-traitant pour le compte d’un tiers, vous confirmez que les instructions que vous nous donnez sont autorisées par ce responsable du traitement.

1.3 Lorsque nous traitons des données à caractère personnel pour nos propres finalités, par exemple les données de votre compte et de ses utilisateurs, nous sommes le responsable du traitement, et notre politique de confidentialité s’applique à la place du présent accord.

1.4 Nos widgets peuvent également envoyer des relevés techniques qui n’identifient pas les visiteurs. Nous les utilisons pour faire fonctionner, sécuriser et améliorer nos applications et pour vous rendre compte de leur utilisation. Il ne s’agit pas de données à caractère personnel, et le présent accord ne s’y applique pas.

1.5 L’annexe A décrit le traitement. Les termes définis dans le RGPD ont la même signification dans le présent accord. Le « droit de la protection des données » désigne le RGPD ainsi que le droit de l’Union et de ses États membres applicable au traitement.

2. Instructions

2.1 Nous ne traitons les données à caractère personnel que sur instruction documentée de votre part, y compris en ce qui concerne les transferts vers un pays tiers, à moins que le droit de l’Union ou le droit d’un État membre auquel nous sommes soumis ne nous impose d’agir autrement. Dans ce cas, nous vous informons de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d’intérêt public.

2.2 Vos instructions sont constituées des conditions, du présent accord, des paramètres que vous choisissez et de la manière dont vous utilisez nos applications, ainsi que de toute autre instruction écrite convenue avec vous.

2.3 Nous vous informons immédiatement si, selon nous, une instruction constitue une violation du RGPD ou d’autres dispositions du droit de l’Union ou du droit des États membres relatives à la protection des données.

3. Confidentialité

Nous veillons à ce que toutes les personnes que nous autorisons à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

4. Sécurité

4.1 Nous prenons toutes les mesures requises par l’article 32 du RGPD. L’annexe B les énumère en termes généraux.

4.2 Nous pouvons modifier ces mesures, à condition que le niveau global de sécurité ne soit pas réduit.

5. Sous-traitants ultérieurs

5.1 Vous nous donnez une autorisation écrite générale de faire appel à d’autres sous-traitants (« sous-traitants ultérieurs »), directement ou par l’intermédiaire de l’un de nos sous-traitants ultérieurs. La liste actuelle est publiée sur notre page des sous-traitants ultérieurs.

5.2 Nous vous informons de tout ajout ou remplacement envisagé d’un sous-traitant ultérieur au moins 30 jours avant le changement, par e-mail à l’adresse e-mail de contact que nous avons pour vous ou, si nous n’en avons pas, par un avis dans l’application, et nous mettons à jour la page des sous-traitants ultérieurs au même moment. Vous avez ainsi la possibilité d’émettre des objections. Un changement qu’un de nos sous-traitants ultérieurs nous notifie avec un préavis plus court vous est transmis dès que nous le recevons.

5.3 Vous pouvez émettre des objections par écrit dans ce délai, pour des motifs raisonnables liés à la protection des données. Nous discuterons alors de l’objection avec vous de bonne foi. Si nous ne parvenons pas à la résoudre, vous pouvez mettre fin au service concerné avant que la modification ne prenne effet.

5.4 Nous veillons à ce que chaque sous-traitant ultérieur soit tenu, par un contrat conclu avec nous ou avec le sous-traitant ultérieur qui fait appel à lui, aux mêmes obligations en matière de protection des données que celles prévues par le présent accord, en particulier pour ce qui est de présenter des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées.

5.5 Lorsqu’un sous-traitant ultérieur ne remplit pas ses obligations en matière de protection des données, nous demeurons pleinement responsables devant vous de l’exécution par ce sous-traitant ultérieur de ses obligations.

6. Aide relative aux demandes des personnes concernées

6.1 Compte tenu de la nature du traitement, nous vous aidons, par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à répondre aux demandes des personnes qui exercent leurs droits au titre du chapitre III du RGPD.

6.2 Si nous recevons directement une telle demande, nous vous la transmettons dans les meilleurs délais. Nous n’y répondons pas nous-mêmes, sauf si vous nous en donnez l’instruction.

6.3 Lorsque vous, ou votre application, nous demandez d’effacer les données d’une personne, nous les supprimons, ou nous ne conservons que des chiffres qui n’identifient personne, comme des totaux pour vos rapports. Nous ne conservons que :

• l’identifiant de la personne sous une forme codée irréversible, avec la date, aussi longtemps que nécessaire afin que l’effacement reste effectif : une répétition à l’identique d’un événement antérieur, ou un événement daté d’avant l’effacement, ne fait pas réapparaître les données effacées. Les données que vous saisissez à nouveau par la suite, par exemple en les important dans votre CRM, sont traitées comme nouvelles. Cet identifiant codé est supprimé avec le reste des données au terme des services (8.1) ; si vous installez à nouveau l’application après la suppression de cet identifiant, les données qui nous sont envoyées sont traitées comme nouvelles, quelle que soit leur date ;
• un registre de la demande et de son exécution, avec l’identifiant de la personne uniquement sous forme codée et sous un nom aléatoire, aussi longtemps que nécessaire pour démontrer qu’elle a été exécutée ;
• une note de tout événement concernant la personne qui arrive après l’effacement, avec les identifiants de l’événement mais sans rien de son contenu, aussi longtemps que nécessaire afin qu’une répétition soit reconnue et ne soit pas appliquée.

6.4 Nous pouvons également conserver des informations anonymes sur les enregistrements effacés, pour vos rapports et nos statistiques : des décomptes par boutique et par période, et des résumés de groupes d’au moins cinq personnes effacées d’une même boutique, qui ne montrent que les types de leurs principaux événements par grandes tranches, sans nom, identifiant, coordonnées ni contenu. Elles ne peuvent être reliées à aucune personne ni aux enregistrements ci-dessus.

7. Aide relative à la sécurité, aux violations et aux analyses d’impact

7.1 Compte tenu de la nature du traitement et des informations dont nous disposons, nous vous aidons à respecter vos obligations au titre des articles 32 à 36 du RGPD : sécurité, notification des violations de données à caractère personnel, analyses d’impact relatives à la protection des données et consultation préalable.

7.2 Nous vous notifions toute violation de données à caractère personnel affectant les données à caractère personnel dans les meilleurs délais après en avoir pris connaissance. Nous vous communiquons les informations décrites à l’article 33, paragraphe 3, du RGPD dans la mesure où nous en disposons, et les autres informations au fur et à mesure qu’elles deviennent disponibles.

8. Suppression ou restitution au terme des services

8.1 Au terme des services, nous supprimons toutes les données à caractère personnel ou, si vous le choisissez, vous les restituons, et nous supprimons les copies existantes, à moins que le droit de l’Union ou le droit d’un État membre ne nous impose de les conserver, à l’exception des registres des demandes visés à la section 6.3. Sur demande, nous vous confirmons par écrit que les données à caractère personnel ont été supprimées.

8.2 Lorsqu’une application propose un export, vous pouvez télécharger vous-même les données avant de fermer votre compte. Si vous ne faites aucun choix, nous supprimons les données.

8.3 Les données supprimées peuvent subsister pendant une durée limitée dans des sauvegardes, jusqu’à ce que ces sauvegardes soient supprimées dans leur cycle normal.

8.4 La correspondance d’assistance avec vous fait partie de nos propres archives. Les données à caractère personnel de vos visiteurs ou de vos clients qu’elle contient ne sont conservées que pendant la durée que permet notre règle applicable au courrier d’assistance, et ne sont utilisées que pour traiter la demande.

9. Informations et audits

9.1 Nous mettons à votre disposition toutes les informations nécessaires pour démontrer le respect de l’article 28 du RGPD.

9.2 Nous permettons la réalisation d’audits, y compris des inspections, par vous ou par un auditeur que vous avez mandaté, et nous contribuons à ces audits. Vous nous donnez un préavis raisonnable ; il n’est pas réalisé plus d’un audit sur toute période de 12 mois, sauf si une violation de données à caractère personnel, des indices de non-conformité ou une autorité de contrôle en exigent un autre ; l’auditeur est tenu à la confidentialité ; et vous supportez vos propres frais. Nous pouvons d’abord proposer des documents qui démontrent la conformité ; vous décidez s’ils suffisent ou si l’audit a lieu.

10. Transferts en dehors de l’EEE

10.1 Nous ne transférons des données à caractère personnel vers un pays situé en dehors de l’Espace économique européen que conformément au chapitre V du RGPD, par exemple sur la base d’une décision d’adéquation ou des clauses contractuelles types de la Commission européenne.

10.2 Vous autorisez les transferts vers les sous-traitants ultérieurs figurant sur la liste, sur la base des garanties qu’elle mentionne.

10.3 Lorsque vous êtes établi dans un pays situé en dehors de l’EEE qui ne bénéficie pas d’une décision d’adéquation de la Commission européenne, nos transferts de données à caractère personnel vers vous sont régis par les clauses contractuelles types adoptées par la Commission européenne dans la décision d’exécution (UE) 2021/914, module 4 (transfert de sous-traitant à responsable du traitement) (les « clauses »). Les clauses sont intégrées au présent accord par référence et complétées comme suit : (a) nous sommes l’exportateur de données et vous êtes l’importateur de données ; (b) la clause 7 et l’option de la clause 11, point a), ne s’appliquent pas ; (c) conformément à la clause 17, les clauses sont régies par le droit belge et, conformément à la clause 18, les litiges sont tranchés par les juridictions belges ; (d) à l’annexe I.A, l’exportateur de données est Webcollation BV, tel que désigné dans les conditions, agissant en qualité de sous-traitant, et vous êtes l’importateur de données, tel qu’identifié dans votre compte, agissant en qualité de responsable du traitement ; les coordonnées de chaque partie sont celles figurant dans les conditions et dans votre compte ; les activités pertinentes pour les transferts sont les services de nos applications au titre des conditions ; (e) à l’annexe I.B, les transferts sont décrits par l’annexe A du présent accord ; ils sont continus et ont lieu chaque fois que nous mettons des données à caractère personnel à votre disposition, par exemple dans nos applications, dans leurs exportations et par leurs intégrations ; (f) en acceptant les conditions, vous acceptez les clauses telles que complétées ici et signez l’annexe I ; nous les acceptons en intégrant le présent accord aux conditions. En cas de contradiction entre les clauses et le présent accord ou les conditions, les clauses prévalent.

11. Vos obligations

11.1 Vous êtes responsable de la licéité du traitement, y compris de sa base juridique, ainsi que de l’information des personnes concernées, par exemple dans votre politique de confidentialité et votre politique relative aux cookies.

11.2 Vous obtenez tout consentement exigé par la loi et, lorsque notre documentation vous le demande, vous connectez votre bannière de consentement à nos widgets de la manière qu’elle indique.

11.3 Vos instructions sont conformes au droit de la protection des données.

11.4 Vous n’utilisez pas nos applications pour traiter des catégories particulières de données à caractère personnel (article 9 du RGPD) ni des données relatives aux condamnations pénales (article 10 du RGPD).

12. Durée, ordre de priorité, responsabilité, droit applicable et langue

12.1 Le présent accord s’applique aussi longtemps que nous traitons des données à caractère personnel pour votre compte.

12.2 En cas de contradiction entre le présent accord et les conditions, le présent accord prévaut en matière de protection des données. Si les clauses contractuelles types s’appliquent, elles prévalent sur le présent accord.

12.3 Les limitations de responsabilité prévues dans les conditions s’appliquent au présent accord, sauf lorsque le droit de la protection des données ne les autorise pas.

12.4 Le présent accord est régi par le droit belge. Les tribunaux de l’arrondissement judiciaire d’Anvers (Belgique) sont seuls compétents pour connaître des litiges relatifs au présent accord, sauf disposition légale impérative contraire.

12.5 Le présent accord est rédigé en anglais. Si une traduction diffère du texte anglais, le texte anglais prévaut.

Annexe A. Description du traitement

Annexe B. Mesures de sécurité (article 32 du RGPD)

Énoncées en termes généraux, car l’article 32 exige des mesures adaptées au risque.

• Sécurité du réseau: chaque application est accessible via un service de sécurité réseau qui protège contre les attaques ; l’hébergement des applications ajoute un pare-feu applicatif web qui filtre les requêtes malveillantes.
• Paiements: nous ne recevons jamais les numéros de carte complets ; le revendeur ou la plateforme gère le paiement.
• Minimisation des données: nos applications ne traitent que les données à caractère personnel dont une fonctionnalité a besoin, et nos journaux excluent les chaînes de requête susceptibles de contenir des identifiants de connexion.
• Sauvegardes: nos bases de données sont sauvegardées.
• Surveillance: les alertes parviennent à notre personnel.
• Sous-traitants ultérieurs: accords écrits conformément à la section 5.
• Suppression: nous donnons suite aux demandes d’effacement des plateformes.

Annexe C. Sous-traitants ultérieurs

La liste publiée sur notre page des sous-traitants ultérieurs, telle que mise à jour conformément à la section 5, y compris les sous-traitants ultérieurs auxquels il est fait appel par l’intermédiaire d’un autre sous-traitant ultérieur.