Accord de traitement des données

1. Parties et champ d’application

Le présent accord de traitement des données (« DPA ») est conclu entre l’entreprise qui utilise Custilo (le « Client », responsable du traitement) et Fenix Video Holdings, BV, numéro d’entreprise 1025.528.936, dont le siège est établi à Bosdreef 85, 9255 Buggenhout, Belgium (« Custilo », sous-traitant). Il fait partie des conditions d’utilisation (les « Conditions ») et est accepté avec celles-ci. Il s’applique à toutes les données à caractère personnel que Custilo traite pour le compte du Client lors de la fourniture du Service (les « Données à caractère personnel du Client »). Les termes tels que « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée » et « violation de données à caractère personnel » ont le sens que leur donne le Règlement général sur la protection des données (Règlement (UE) 2016/679, le « RGPD »).

L’Annexe 1 décrit le traitement, l’Annexe 2 les mesures de sécurité, et la page des sous-traitants ultérieurs constitue l’Annexe 3.

2. Instructions

• Custilo traite les Données à caractère personnel du Client uniquement sur instruction documentée du Client, y compris en ce qui concerne les transferts vers un pays tiers, à moins que le droit de l’Union ou le droit d’un État membre n’en dispose autrement; dans ce cas, Custilo informe le Client de cette exigence légale avant le traitement, sauf si ce droit l’interdit.
• Le Contrat, le présent DPA ainsi que la configuration et l’utilisation du Service par le Client (par exemple l’importation de clients, la mise en place de campagnes, le choix des destinataires des alertes, l’exportation ou la suppression de données) constituent l’ensemble des instructions documentées du Client. Toute autre instruction doit être convenue par écrit.
• Ces instructions comprennent le fait que Custilo : demande à chaque destinataire d’alertes qui n’est pas membre de l’espace de travail de confirmer avant de lui envoyer des alertes, et tient un registre des personnes qui ont arrêté les alertes afin qu’elles ne soient pas ajoutées de nouveau; conserve, après que le Client a effacé un client qui s’est désabonné, a généré un rebond ou une plainte, ou a été supprimé, un hash de l’adresse avec ce statut, afin que l’opt-out continue d’être respecté; et, lorsque la validation d’adresses est utilisée, conserve le résultat de la validation avec l’adresse pour le seul Client, afin que l’adresse ne soit pas vérifiée deux fois (voir l’article 10).
• Custilo informe immédiatement le Client si, selon lui, une instruction constitue une violation du RGPD ou d’une autre disposition relative à la protection des données.

3. Obligations du Client

Le Client est responsable de la licéité du traitement qu’il ordonne : il dispose d’une base juridique pour collecter les données et pour contacter ses clients afin de recueillir leur avis, il informe les personnes concernées comme l’exigent les articles 13 et 14 du RGPD (y compris le fait qu’il fait appel à un sous-traitant pour envoyer les demandes d’avis), et il ne fournit que les données nécessaires à cette finalité. Le Client ne fournit pas de catégories particulières de données à caractère personnel (article 9 du RGPD) ni de données relatives à des condamnations pénales, à moins d’avoir vérifié que cela est licite et nécessaire.

4. Confidentialité

Custilo veille à ce que les personnes qu’il autorise à traiter les Données à caractère personnel du Client soient tenues à la confidentialité, par contrat ou par la loi, et n’accèdent aux données que dans la mesure nécessaire pour fournir le Service, en assurer l’assistance ou le sécuriser.

5. Sécurité

Custilo met en œuvre les mesures techniques et organisationnelles requises par l’article 32 du RGPD, décrites à l’Annexe 2. Il peut mettre à jour ces mesures, pour autant que le niveau global de protection ne soit pas réduit.

6. Sous-traitants ultérieurs

• Le Client donne à Custilo une autorisation générale de recourir à des sous-traitants ultérieurs. Les sous-traitants ultérieurs actuels sont énumérés sur la page des sous-traitants ultérieurs (Annexe 3).
• Custilo informe le Client par e-mail au moins 14 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur. Le Client peut, dans ce délai, s’y opposer pour des motifs raisonnables liés à la protection des données. Les parties discutent alors de l’objection de bonne foi. Si aucune solution n’est trouvée, le Client peut résilier l’abonnement concerné avant que la modification ne prenne effet, et reçoit le remboursement des frais payés d’avance pour la période postérieure à la résiliation.
• Custilo impose à chaque sous-traitant ultérieur, par contrat, des obligations en matière de protection des données qui offrent au moins le même niveau de protection que le présent DPA, en particulier des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Custilo demeure pleinement responsable envers le Client de l’exécution des obligations de ses sous-traitants ultérieurs.

7. Transferts en dehors de l’Espace économique européen

Les Données à caractère personnel du Client sont stockées dans une base de données hébergée dans l’Union européenne. Le Client autorise les transferts vers les sous-traitants ultérieurs énumérés à l’Annexe 3, aux lieux qui y sont indiqués. Lorsqu’un sous-traitant ultérieur traite des données dans un pays situé en dehors de l’Espace économique européen qui ne bénéficie pas d’une décision d’adéquation, Custilo conclut avec lui le Module 3 (de sous-traitant à sous-traitant) des clauses contractuelles types adoptées par la Commission européenne (décision d’exécution (UE) 2021/914 de la Commission) et documente une évaluation de l’impact du transfert, assortie de mesures complémentaires si nécessaire. Pour les prestataires certifiés au titre du cadre de protection des données UE-États-Unis (EU-U.S. Data Privacy Framework), Custilo peut s’appuyer sur la décision d’adéquation correspondante, et conclut également les clauses contractuelles types à titre subsidiaire.

8. Assistance au Client

• Demandes des personnes concernées : le Service permet au Client de retrouver, d’exporter, de corriger et de supprimer les données de ses clients, et chaque e-mail d’enquête contient un lien de désabonnement. Si Custilo reçoit directement une demande d’une personne concernée, il la transmet au Client dans les meilleurs délais et n’y répond pas lui-même, sauf si le Client lui en donne instruction. Pour le reste, Custilo assiste le Client, par des mesures techniques et organisationnelles appropriées, dans la réponse à ces demandes.
• Autres obligations : compte tenu de la nature du traitement et des informations dont il dispose, Custilo assiste le Client dans le respect de ses obligations au titre des articles 32 à 36 du RGPD (sécurité, notification des violations, analyses d’impact relatives à la protection des données et consultation préalable).

9. Violations de données à caractère personnel

Custilo notifie le Client dans les meilleurs délais, et si possible dans les 48 heures, après avoir pris connaissance d’une violation de données à caractère personnel affectant des Données à caractère personnel du Client. En cas de violation chez un sous-traitant ultérieur, le délai court à partir du moment où Custilo en a connaissance, c’est-à-dire lorsque le sous-traitant ultérieur en informe Custilo. Custilo exige de ses sous-traitants ultérieurs qu’ils l’informent dans les meilleurs délais, et le délai de notification prévu dans certains contrats avec des sous-traitants ultérieurs peut aller jusqu’à 72 heures. Custilo transmet la notification au Client comme décrit ici. La notification décrit, pour autant que ces éléments soient connus, la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés, les conséquences probables, les mesures prises ou proposées, et un point de contact. Les informations non disponibles dans un premier temps sont fournies dès que possible. Custilo prend les mesures nécessaires pour contenir la violation et en limiter les conséquences. La notification à l’autorité de contrôle et aux personnes concernées relève de la responsabilité du Client, avec l’assistance de Custilo.

10. Suppression et restitution des données

Le Client peut exporter ses données à tout moment pendant la durée du Contrat. Lorsqu’un propriétaire supprime un espace de travail, celui-ci est verrouillé et toutes les Données à caractère personnel du Client qu’il contient sont définitivement supprimées 30 jours plus tard (le délai de grâce permet au Client de le restaurer ou de l’exporter). Lorsque le Contrat prend fin pour une autre raison, Custilo supprime l’espace de travail de la même manière à la demande du Client, et en tout état de cause dans les 90 jours suivant la fin du Contrat. Les copies présentes dans les sauvegardes conservées par notre hébergeur sont écrasées dans les 7 jours. Custilo ne conserve des données plus longtemps que lorsque le droit de l’Union ou le droit d’un État membre l’exige. Deux enregistrements sont conservés sur instruction du Client (article 2) : le hash d’une adresse ayant fait l’objet d’un opt-out, pendant toute la durée de vie de l’espace de travail et supprimé avec celui-ci; et, lorsque la validation d’adresses a été utilisée, le résultat de la validation avec l’adresse, qui est supprimé avec le client concerné, avec l’espace de travail, ou au plus tard 120 jours après la vérification (210 jours pour une adresse invalide).

11. Informations et audits

Custilo met à la disposition du Client les informations nécessaires pour démontrer le respect de l’article 28 du RGPD. Il permet la réalisation d’audits, y compris d’inspections, par le Client ou par un auditeur indépendant que le Client mandate et qui est tenu à la confidentialité, et y contribue. Un audit est annoncé au moins 30 jours à l’avance, a lieu pendant les heures ouvrables, est limité à une fois par an (sauf si une autorité de contrôle l’exige ou après une violation de données à caractère personnel), ne perturbe pas le Service et ne donne pas accès aux données d’autres clients, et est aux frais du Client. Custilo peut d’abord répondre en fournissant de la documentation, y compris les certifications et les rapports d’audit de ses sous-traitants ultérieurs.

12. Responsabilité et durée

La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations prévues par les Conditions, sans préjudice des droits des personnes concernées au titre de l’article 82 du RGPD. Ces limitations ne s’appliquent pas en cas de faute intentionnelle ou lourde, ni en cas de traitement en dehors des instructions du Client. Le présent DPA s’applique aussi longtemps que Custilo traite des Données à caractère personnel du Client. Il est régi par le droit belge, et les litiges sont réglés comme le prévoient les Conditions.

Annexe 1. Description du traitement

• Objet et finalité : recueillir l’avis des clients du Client pour le compte du Client : stocker les clients et leurs interactions (événements), envoyer des e-mails de demande d’avis, enregistrer les scores et les commentaires, afficher les résultats et les segments, envoyer des alertes en cas de score faible aux personnes choisies par le Client, exporter les données, et, en option, vérifier que les adresses e-mail existent avant l’envoi.
• Nature du traitement : collecte, stockage, organisation, consultation, analyse, transmission par e-mail, exportation et effacement.
• Personnes concernées : les clients du Client (et leurs personnes de contact), ainsi que les personnes que le Client ajoute comme destinataires d’alertes.
• Catégories de données à caractère personnel : adresse e-mail; nom, référence client propre au Client et langue, si fournis; détails de l’interaction tels que choisis par le Client (par exemple date, lieu, type de service, commercial, référence de commande ou d’intervention); statut de remise des e-mails et statut de désabonnement; scores d’avis et commentaires en texte libre; adresse e-mail et statut de confirmation des destinataires d’alertes; données techniques issues des visites des pages de réponse et de désabonnement (adresse IP, navigateur, et une forme pseudonymisée de l’adresse IP utilisée pour la limitation du débit (rate limiting)).
• Catégories particulières : aucune n’est visée. Les commentaires en texte libre sont rédigés par les personnes concernées elles-mêmes et pourraient contenir toute information.
• Fréquence : continue, aussi longtemps que le Client utilise le Service.
• Durée et conservation : pendant la durée du Contrat, jusqu’à ce que le Client supprime les données ou l’espace de travail, comme décrit à l’article 10.

Annexe 2. Mesures de sécurité techniques et organisationnelles

• Isolation des espaces de travail : les données de chaque espace de travail sont séparées par une sécurité au niveau des lignes (row level security) appliquée dans la base de données elle-même, et couverte par des tests automatisés qui vérifient qu’un espace de travail ne peut pas lire les données d’un autre.
• Contrôle d’accès : accès fondé sur les rôles au sein d’un espace de travail (propriétaire, administrateur, analyste, lecteur), appliqué dans la base de données. L’accès du personnel de Custilo est limité à ce qui est nécessaire à l’exploitation et à l’assistance.
• Authentification et secrets : les mots de passe sont stockés sous forme de hashes à sens unique par le prestataire d’authentification; les clés API, les jetons d’invitation et les jetons de confirmation sont stockés uniquement sous forme de hashes; les liens de réponse aux enquêtes utilisent des jetons aléatoires et opaques qui ne contiennent aucun identifiant.
• Chiffrement : toutes les connexions utilisent TLS; les données sont stockées avec un chiffrement au repos fourni par l’hébergeur de la base de données.
• Protection contre les abus : limitations de débit sur les pages publiques et l’API, et limites du prestataire d’authentification sur la connexion; les adresses e-mail peuvent être validées avant l’envoi; les désabonnements, les rebonds définitifs et les plaintes pour spam mettent fin aux e-mails ultérieurs.
• Minimisation et conservation des données : suppression automatique des données opérationnelles expirées (telles que les invitations, les résultats de validation et les enregistrements de limitation du débit); suppression complète d’un espace de travail 30 jours après sa suppression.
• Surveillance : journaux d’application et surveillance des erreurs afin de détecter et de corriger les incidents.
• Sous-traitants ultérieurs : sélectionnés pour leurs pratiques de sécurité et liés par des accords de traitement des données.