Accord de traitement des données

Le présent Accord de traitement des données (« ATD ») est conclu entre Bkody Software (« Zinevu », « Sous-traitant »), immatriculée à la Chambre de commerce néerlandaise sous le numéro KVK 71881832, et le client ayant accepté les Conditions d'utilisation (« Responsable du traitement »). Le présent ATD fait partie des Conditions d'utilisation et y est incorporé par référence.

Le présent ATD s'applique lorsque le Responsable du traitement utilise Zinevu pour traiter des données personnelles de ses propres clients, leads ou employés au sens du Règlement général sur la protection des données (UE) 2016/679 (« RGPD »).

1. Définitions

Les termes non définis autrement ont la signification qui leur est attribuée dans le RGPD. En particulier :

• « Données personnelles » désigne toutes les données au sens de l'art. 4, par. 1 du RGPD que le Responsable du traitement téléverse ou stocke dans la plateforme Zinevu (« Plateforme »).
• « Traitement » a la signification qui lui est attribuée à l'art. 4, par. 2 du RGPD.
• « Sous-traitant ultérieur » désigne tout tiers mandaté par le Sous-traitant pour traiter des données personnelles pour le compte du Responsable du traitement.
• « Services » désigne la plateforme SaaS cloud décrite dans les Conditions d'utilisation.

2. Objet et durée

Le Sous-traitant traite les données personnelles pour le compte du Responsable du traitement uniquement afin de fournir les Services décrits dans les Conditions d'utilisation. Le traitement commence lorsque le Responsable du traitement téléverse ou stocke pour la première fois des données personnelles dans la Plateforme et se poursuit pendant la durée de l'abonnement. À la résiliation, le Sous-traitant gère les données personnelles conformément à l'article 9.

3. Nature et finalité du traitement

Le Sous-traitant traite les données personnelles pour les finalités suivantes et aucune autre :

• Stockage et affichage des coordonnées des clients dans le module CRM ;
• Génération et stockage de devis et propositions commerciales ;
• Gestion des données de projet et de la planification ;
• Traitement et stockage des factures ;
• Fourniture du configurateur de produits 3D et des flux de travail orientés clients associés ;
• Permettre au Responsable du traitement de gérer la planification et les interventions sur le terrain ;
• Envoi et réception de messages WhatsApp via le compte WhatsApp Business que le Responsable du traitement connecte lui-même, y compris — lorsque le Responsable du traitement active l'assistant IA à cette fin — un message d'ouverture approuvé par Meta après une demande et un seul rappel ; l'activation de cette fonction constitue une instruction documentée du Responsable du traitement et est enregistrée dans la plateforme ;
• Fourniture de l'assistant IA qui mène des conversations au nom du Responsable du traitement dans le chat et sur WhatsApp et enregistre ces conversations sous forme de demande ;
• Fourniture d'une assistance technique et de dépannage à la demande du Responsable du traitement.

4. Types de données personnelles

Les données personnelles traitées dans le cadre du présent ATD peuvent comprendre :

• Nom, adresse e-mail, numéro de téléphone et adresse postale des clients finaux ;
• Nom d'entreprise et numéro de TVA ;
• Historique des achats, devis et données de facturation ;
• Enregistrements des communications entre le Responsable du traitement et ses clients ;
• Toute autre donnée que le Responsable du traitement choisit de stocker dans les champs de texte libre de la Plateforme.
• Les données de mesure des visiteurs du site du Responsable du traitement, lorsque celui-ci a installé le script de mesure de la Plateforme : une clé quotidienne dérivée de l'adresse IP et du navigateur (l'adresse IP elle-même est effacée après 30 jours), les pages consultées et le temps passé, le site référent et les paramètres de campagne, les identifiants de clic des plateformes publicitaires, le libellé visible des liens et boutons cliqués, la ville et le pays issus d'une base IP installée localement (aucune adresse IP n'est transmise à un tiers) et — uniquement après acceptation des cookies statistiques par le visiteur — un identifiant propriétaire. Les valeurs saisies dans les champs de formulaire ne sont jamais collectées : des formulaires propres au Responsable du traitement, seuls les noms des champs et le fait qu'ils étaient remplis sont enregistrés.

Le Responsable du traitement est responsable de s'assurer qu'aucune catégorie particulière de données personnelles (art. 9 du RGPD) n'est téléversée dans la Plateforme, sauf accord écrit séparé.

5. Catégories de personnes concernées

Les personnes concernées dont les données personnelles peuvent être traitées comprennent : les clients finaux du Responsable du traitement (particuliers et contacts professionnels), les leads et prospects, ainsi que les employés du Responsable du traitement dont les données ont été saisies dans la Plateforme.

6. Obligations du Sous-traitant

Le Sous-traitant s'engage à :

1. Ne traiter les données personnelles que sur instruction documentée du Responsable du traitement, sauf obligation légale contraire imposée par le droit de l'Union ou d'un État membre ;
2. S'assurer que les personnes autorisées à traiter les données sont soumises à des obligations de confidentialité appropriées ;
3. Mettre en œuvre des mesures techniques et organisationnelles adaptées au risque, telles que décrites à l'article 7 ;
4. Respecter les conditions d'engagement des Sous-traitants ultérieurs énoncées à l'article 8 ;
5. Aider le Responsable du traitement à répondre aux demandes des personnes concernées exerçant leurs droits au titre du RGPD, dans la mesure du possible ;
6. Aider le Responsable du traitement à remplir ses obligations au titre des art. 32 à 36 du RGPD (sécurité, notification de violation, AIPD et consultation préalable) ;
7. Notifier le Responsable du traitement sans délai indu (et en tout état de cause dans les 48 heures) dès la découverte d'une violation de données personnelles ;
8. Mettre à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer la conformité à l'art. 28 du RGPD et permettre les audits prévus à l'article 10 ;
9. Informer immédiatement le Responsable du traitement si, de l'avis du Sous-traitant, une instruction enfreint le RGPD ou d'autres dispositions applicables en matière de protection des données.

7. Mesures de sécurité

Le Sous-traitant a mis en œuvre les mesures techniques et organisationnelles suivantes pour protéger les données personnelles :

• Chiffrement des données en transit via TLS 1.2 ou supérieur ;
• Stockage chiffré des mots de passe et jetons d'accès des services connectés (agendas, intégrations comptables, webhooks et WhatsApp, par exemple) ;
• Contrôles d'accès basés sur les rôles limitant l'accès aux données personnelles aux seuls membres autorisés ;
• Sauvegardes automatiques quotidiennes de la base de données et des fichiers ;
• Infrastructure hébergée chez Hetzner Online GmbH dans des centres de données situés dans l'Union européenne, couverts par son système de management de la sécurité de l'information certifié ISO/IEC 27001 ;
• Analyse des vulnérabilités et surveillance des dépendances ;
• Journaux d'accès internes et détection d'anomalies.

8. Sous-traitants ultérieurs

8.1 Autorisation

Le Responsable du traitement accorde au Sous-traitant une autorisation générale de faire appel à des Sous-traitants ultérieurs, sous réserve des conditions du présent article.

8.2 Sous-traitants ultérieurs actuels

Le Sous-traitant fait actuellement appel aux Sous-traitants ultérieurs suivants pour le traitement des données personnelles :

8.3 Modifications des Sous-traitants ultérieurs

Le Sous-traitant informera le Responsable du traitement de toute modification envisagée des Sous-traitants ultérieurs en mettant à jour le présent ATD et en envoyant un préavis écrit d'au moins 14 jours par e-mail. Si le Responsable du traitement s'oppose raisonnablement à un nouveau Sous-traitant ultérieur pour des motifs liés à la protection des données, les parties s'efforceront de bonne foi de résoudre l'objection ; en l'absence de résolution, le Responsable du traitement pourra résilier l'abonnement sans pénalité.

8.4 Obligations envers les Sous-traitants ultérieurs

Le Sous-traitant impose à chaque Sous-traitant ultérieur (par contrat ou instrument contraignant équivalent) des obligations en matière de protection des données équivalentes à celles du présent ATD et demeure responsable envers le Responsable du traitement des prestations du Sous-traitant ultérieur.

9. Transferts internationaux de données

Lorsque des Sous-traitants ultérieurs sont situés en dehors de l'Espace économique européen, le Sous-traitant s'assure que les transferts respectent le Chapitre V du RGPD en s'appuyant sur :

• Une décision d'adéquation de la Commission européenne ; ou
• Des clauses contractuelles types (CCT) approuvées par la Commission européenne ; ou
• Le Cadre de protection des données UE–États-Unis, lorsque le Sous-traitant ultérieur y est certifié.

10. Audits

Le Responsable du traitement peut, à ses frais et moyennant un préavis écrit d'au moins 30 jours, auditer la conformité du Sous-traitant au présent ATD, une fois par année civile au maximum. Il peut désigner un auditeur tiers soumis à des obligations de confidentialité. Avant tout audit, le Sous-traitant met d'abord à disposition les informations nécessaires pour démontrer sa conformité, telles que des réponses écrites à des questionnaires de sécurité raisonnables et la documentation pertinente. Si ces informations ne démontrent pas raisonnablement la conformité, l'audit décrit ci-dessus peut avoir lieu.

11. Restitution et suppression des données

Dans les 30 jours suivant la résiliation de l'abonnement, le Sous-traitant, au choix du Responsable du traitement, soit :

• Met à disposition pour export l'ensemble des données personnelles stockées dans la Plateforme dans un format standard lisible par machine ; soit
• Supprime ou anonymise de manière sécurisée toutes les données personnelles.

Le Sous-traitant ne conserve des données personnelles au-delà de 30 jours que dans la mesure requise par la loi applicable, et uniquement pendant la durée minimale requise.

12. Responsabilité

La responsabilité de chaque partie au titre du présent ATD est soumise aux limitations et exclusions prévues dans les Conditions d'utilisation. Rien dans le présent ATD ne limite la responsabilité de l'une ou l'autre des parties envers les personnes concernées ou les autorités de contrôle au titre du RGPD.

13. Priorité

En cas de contradiction entre le présent ATD et les Conditions d'utilisation, le présent ATD prévaut dans la mesure où la contradiction porte sur le traitement de données personnelles.

14. Droit applicable

Le présent ATD est régi par le droit néerlandais. Les parties se soumettent à la compétence exclusive des tribunaux compétents d'Amsterdam, Pays-Bas.

15. Contact

Bkody Software (exploitant sous la marque Zinevu)
KVK : 71881832
E-mail : [email protected]