Dernière mise à jour : 9 décembre 2024
Le présent addendum sur le traitement des données (“DPA”), fait partie et est soumis aux Conditions d'utilisation de SocialPilot entre vous (“Client”) et SocialPilot Technologies, Inc. (“Fournisseur”) qui font référence à ce DPA (le “Conditions”). Les parties concluent le présent DPA en leur nom propre et, dans la mesure requise par les lois applicables en matière de protection des données, au nom et pour le compte de leurs affiliés, et le présent DPA entre en vigueur à la date d'entrée en vigueur des conditions (“les conditions").“Date d'entrée en vigueur”).
Tous les termes en majuscules qui ne sont pas définis dans le présent DPA ont la signification qui leur est donnée dans les Conditions.
2.1 Champ d'application et applicabilité. La présente DPA s'applique lorsque et uniquement dans la mesure où le Fournisseur traite les données à caractère personnel du Client pour le compte de ce dernier en tant que responsable du traitement des données dans le cadre de la fourniture de services conformément aux Conditions. Tout autre traitement de données à caractère personnel concernant le client et ses utilisateurs effectué par le fournisseur en tant que responsable du traitement, y compris l'administration des relations commerciales et la sécurité du système, sera effectué conformément à la politique de confidentialité du fournisseur en vigueur à ce moment-là. Nonobstant l'expiration ou la résiliation des conditions, le présent DPA et les clauses types (le cas échéant) resteront en vigueur jusqu'à la suppression de toutes les données à caractère personnel du client traitées par le fournisseur conformément au présent DPA, et expireront automatiquement à cette date.
3.1 Rôle des parties. Si et dans la mesure où les services fournis par le prestataire en vertu des présentes conditions l'obligent à traiter des données à caractère personnel, entre le prestataire et le client, le prestataire ne traitera les données à caractère personnel du client qu'en tant que responsable du traitement des données agissant pour le compte du client. Le client est soit le responsable du traitement des données à caractère personnel du client, soit, s'il agit pour le compte d'un tiers responsable du traitement des données, un responsable du traitement des données.
3.2 Traitement des données personnelles par le client. Le Client déclare et garantit au Fournisseur (i) le client se conformera aux obligations qui lui incombent en vertu des lois sur la protection des données en ce qui concerne le traitement des données à caractère personnel, y compris les obligations spécifiques à son rôle de contrôleur des données ; (ii) le client a fourni tous les avis et obtenu tous les consentements, cessions, licences, autorisations, permissions et/ou droits nécessaires en vertu des lois sur la protection des données pour que le fournisseur puisse légalement traiter les données à caractère personnel comme envisagé dans les présentes conditions aux fins de l'objectif visé ; (iii) il veillera à ce que ses instructions de traitement soient licites et à ce que le fournisseur ne traite pas les données à caractère personnel conformément à ces instructions ; et (iii) il s'assurera que ses instructions de traitement sont licites et que le traitement par le fournisseur des données à caractère personnel du client conformément à ces instructions n'enfreindra pas les lois applicables en matière de protection des données ou les droits de propriété intellectuelle, de publicité, de confidentialité ou autres droits régissant ces données à caractère personnel du client. Si le client est lui-même un responsable du traitement des données agissant pour le compte d'un responsable du traitement des données tiers, le client déclare en outre au fournisseur que les instructions et les actions du client concernant ces données à caractère personnel du client, y compris sa désignation du fournisseur comme autre responsable du traitement des données, ont été autorisées par le responsable du traitement des données concerné. Sans préjudice de toute autre disposition des présentes ou des Conditions, le Client reconnaît et accepte qu'il est seul responsable de toutes les Données à caractère personnel du Client qu'il soumet aux Services et/ou demande au Prestataire de soumettre aux Services, y compris, mais sans s'y limiter, toutes les Données à caractère personnel du Client qui sont mal attribuées, mal étiquetées et/ou mal catégorisées.
3.3 Traitement des données à caractère personnel par le fournisseur. Le prestataire ne traitera les données à caractère personnel du client que dans la mesure et de la manière nécessaires aux fins poursuivies et conformément aux instructions licites documentées du client. Le prestataire ne combinera pas, et veillera à ce que ses sous-traitants ne combinent pas, les données à caractère personnel du client avec des données à caractère personnel provenant d'autres sources ou que le prestataire ou son sous-traitant a collectées pour son propre compte, sauf dans les cas autorisés par les lois sur la protection des données, et ne “vendra” pas de données à caractère personnel du client au sens de la loi sur la protection des données ou d'une autre manière. En outre, le fournisseur se conformera aux obligations applicables en vertu de l'ACPR, y compris le fait qu'il fournira le même niveau de protection de la vie privée que celui exigé en vertu de l'ACPR. Les parties conviennent que les Conditions (y compris le présent DPA) définissent les instructions complètes et finales du Client au Prestataire en ce qui concerne le Traitement des Données à caractère personnel du Client. Tout traitement supplémentaire sortant du cadre de ces instructions devra faire l'objet d'un accord écrit préalable entre les parties.
3.4 Détails du traitement. Les éléments suivants décrivent les détails du traitement que le prestataire doit fournir au client en vertu du présent DPA.
(a) Objet. L'objet du traitement en vertu de la présente DPA est constitué par les données à caractère personnel des clients.
(b) Durée. La durée du traitement en vertu du présent DPA est la durée des Conditions.
(c) Finalités. Les finalités du traitement en vertu du présent DPA sont la fourniture des services au client.
(d) Nature du traitement. La nature du traitement en vertu du présent DPA est la fourniture de services de gestion des médias sociaux, y compris le calcul, le stockage et le traitement des données à caractère personnel, ainsi que d'autres services convenus entre le prestataire et le client.
(e) Type de données. Le type de données du client à traiter en vertu du présent RGPD comprend les données personnelles du client téléchargées sur les services par l'intermédiaire des comptes du client, dont l'étendue est déterminée et contrôlée par le client à sa seule discrétion, et qui peuvent inclure, sans s'y limiter, les types de données personnelles suivants : (i) les informations relatives aux comptes de médias sociaux et les données de contact (telles que le nom, le titre, les coordonnées, l'adresse, le numéro de téléphone, les identifiants d'appareil, l'adresse électronique, le nom d'utilisateur du Client ou d'autres identifiants d'utilisateur, et l'identifiant de médias sociaux) ; (ii) les informations informatiques (adresses IP, données d'utilisation, données de cookies, et données de localisation) ; et (iii) les informations de facturation et les numéros de carte de crédit.
(f) Catégories de personnes concernées. Les personnes concernées par le traitement en vertu du présent DPA peuvent inclure, sans s'y limiter, les clients, les employés, les agents, les conseillers, les représentants, les consultants, les prospects, les partenaires commerciaux, les entrepreneurs indépendants, les vendeurs et les fournisseurs, ainsi que les utilisateurs finaux autorisés par le client à utiliser les services.
3.5 Notification des obligations de traitement. Si, à tout moment, le fournisseur ne peut pas respecter ses obligations au titre du présent DPA : (i) le fournisseur en informera le client ; (ii) le client pourra récupérer toutes les données à caractère personnel du client fournies au titre du présent DPA ; et (iii) le fournisseur éliminera correctement les données à caractère personnel du client conformément aux exigences en matière de conservation du présent DPA.
4.1 Sous-traitants autorisés. Le client accepte que le fournisseur fasse appel à des sous-traitants secondaires pour traiter les données à caractère personnel du client pour le compte de ce dernier. Le Fournisseur (i) fournira une liste actualisée des Sous-traitants qu'il a désignés sur demande écrite du Client ; et (ii) notifiera au Client tout ajout ou retrait de Sous-traitants au moins quatorze (14) jours avant d'autoriser ledit Sous-traitant à traiter les Données à caractère personnel du Client. Le client peut s'opposer par écrit à la désignation par le fournisseur d'un nouveau sous-traitant ultérieur dans un délai de dix (10) jours calendaires à compter de cette notification, à condition que cette opposition soit fondée sur des motifs raisonnables liés à la protection des données. Dans ce cas, les parties discuteront de bonne foi de ces préoccupations en vue de les résoudre. Si le fournisseur ne peut pas proposer un autre sous-traitant ou si les parties ne parviennent pas à trouver une solution comme indiqué dans la phrase précédente, le client peut, à titre de recours unique et exclusif, résilier les conditions (y compris le présent DPA) moyennant une notification écrite au fournisseur, mais il ne pourra prétendre à aucun remboursement et devra payer immédiatement toutes les redevances dues en vertu des conditions.
4.2 Obligations des sous-traitants. Le Fournisseur s'engage à : (i) conclure un accord écrit avec chaque Sous-traitant imposant des conditions de protection des données qui exigent du Sous-traitant qu'il traite les Données à caractère personnel du Client d'une manière substantiellement similaire aux normes énoncées dans le présent DPA et, dans la mesure applicable aux Services fournis par le Fournisseur, à la norme requise par les Lois sur la protection des données ; et (ii) rester responsable de son respect des obligations du présent DPA et de tout acte ou omission de chaque Sous-traitant.
5.1 Mesures de sécurité. Compte tenu de l'état de la technique, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques de probabilité et de gravité variables pour les droits et libertés des personnes physiques, le prestataire mettra en œuvre et maintiendra des mesures de sécurité techniques et organisationnelles appropriées pour protéger les données à caractère personnel du client contre les incidents de sécurité et pour préserver la sécurité et la confidentialité des données à caractère personnel du client traitées par le prestataire pour le compte du client (les “mesures de sécurité”). Il incombe au client d'examiner les informations mises à disposition par le fournisseur concernant la sécurité des données et de déterminer de manière indépendante si les services répondent à ses exigences et à ses obligations légales en vertu des lois sur la protection des données. Le client reconnaît que les mesures de sécurité sont soumises au progrès et au développement techniques et que le fournisseur peut mettre à jour ou modifier les mesures de sécurité de temps à autre, à condition que ces mises à jour et modifications n'entraînent pas une dégradation importante de la sécurité globale des services ou des données du client, y compris les données à caractère personnel du client.
5.2 Mesures de sécurité prises par le client. Le client est responsable de l'utilisation et de la configuration des services d'une manière qui lui permette de se conformer aux lois sur la protection des données, y compris la mise en œuvre de mesures techniques et organisationnelles appropriées.
5.3 Confidentialité du traitement. Le prestataire veille à ce que toute personne qu'il autorise à traiter les données à caractère personnel du client (y compris son personnel, ses agents et ses sous-traitants) soit soumise à une obligation de confidentialité appropriée.
5.4 Absence d'évaluation des données du client par le fournisseur. Le client reconnaît que le fournisseur n'évaluera pas le contenu des données du client afin d'identifier les informations soumises à des exigences légales spécifiques. Le client est seul responsable du respect des lois sur la notification des incidents qui lui sont applicables et de l'exécution de toute obligation de notification à un tiers liée à un incident de sécurité.
5.5 Responsabilités du client. Le client convient que, sans préjudice des obligations du fournisseur au titre des sections 5.1 (Mesures de sécurité) et 8.3 (Réponse aux incidents de sécurité) :
6.1 Rapports. Le fournisseur reconnaît qu'il fait régulièrement l'objet d'audits par des auditeurs tiers indépendants et/ou des auditeurs internes en ce qui concerne ses mesures de sécurité. Sur demande, le prestataire fournira (à titre confidentiel) au client un résumé de son ou de ses rapports d'audit en cours et tout autre document publié mis à disposition par le prestataire, qui décrit plus en détail les principes, programmes et pratiques du prestataire en matière de sécurité de l'information et de protection de la vie privée (collectivement, le “rapport”), afin que le client puisse vérifier la conformité du prestataire avec le présent DPA. Nonobstant ce qui précède, le client peut divulguer un rapport dans la mesure où la section des conditions relative à la confidentialité applicable le permet, y compris lorsque les autorités chargées de la protection des données ayant compétence sur le client le demandent ou l'exigent, même si cela n'est pas légalement requis (“demande de l'autorité chargée de la protection des données”), à condition toutefois que le client, dans la mesure où la loi l'autorise, notifie préalablement par écrit au fournisseur la demande de l'autorité chargée de la protection des données afin que ce dernier puisse tenter d'obtenir un traitement confidentiel pour le rapport. Si le client n'est pas légalement autorisé à avertir le fournisseur au préalable, il accepte de déployer des efforts raisonnables pour garantir le traitement confidentiel du rapport et s'engage en outre à ne pas supprimer ou masquer les mentions “confidentiel”, “propriétaire” ou toute autre mention similaire figurant sur le rapport.
6.2 Demandes d'informations. Le fournisseur fournit également des réponses écrites (sur une base confidentielle) à toutes les demandes raisonnables d'informations formulées par le client en rapport avec le traitement des données à caractère personnel du client, y compris les réponses aux questionnaires de sécurité de l'information et d'audit qui sont nécessaires pour confirmer la conformité du fournisseur avec le présent DPA, à condition que le client n'exerce pas ce droit plus d'une fois par an, sauf que ce droit peut également être exercé dans le cas où le client est expressément invité ou tenu de fournir ces informations à une autorité chargée de la protection des données, ou si le fournisseur a connu un incident de sécurité, ou sur toute autre base raisonnablement similaire.
7.1 Traitement international. Le Fournisseur peut traiter les Données du Client partout dans le monde où le Fournisseur, ses sociétés affiliées ou ses Sous-Traitants effectuent des opérations de traitement des données. Le Fournisseur fournira à tout moment des garanties appropriées pour les Données à caractère personnel du Client, quel que soit l'endroit où elles sont traitées, conformément aux exigences des Lois sur la protection des données.
7.2 Transferts vers l'EEE. Dans la mesure où le Fournisseur traite des Données à caractère personnel du Client protégées par les Lois sur la protection des données en vigueur dans l'EEE (“ Données EEE ”), les parties conviennent que le Fournisseur met à disposition les mécanismes de transfert énumérés ci-dessous, pour tout transfert de Données EEE de l'EEE vers le Fournisseur situé dans un pays qui ne garantit pas un niveau de protection adéquat (au sens des Lois sur la protection des données en vigueur) et dans la mesure où ces transferts sont soumis aux Lois sur la protection des données en vigueur dans l'EEE, le fournisseur accepte de respecter et de traiter les données de l'EEE conformément aux clauses types et, à cette fin, le fournisseur accepte d'être un “importateur de données” et le client un “exportateur de données” en vertu des clauses types (nonobstant le fait que le client puisse être une entité située en dehors de l'EEE).
8.1 Suppression par le Client. Le fournisseur permettra au client de supprimer les données du client pendant la durée du contrat d'une manière compatible avec la fonctionnalité du service.
8.2 Suppression en cas de résiliation. Pendant les trente (30) jours suivant la résiliation ou l'expiration des Conditions, le Client a la possibilité de récupérer toutes les Données à caractère personnel du Client restantes conformément aux Conditions. Par la suite, le Client donne instruction au Fournisseur de supprimer automatiquement toutes les Données à caractère personnel du Client restantes (le cas échéant) (y compris les copies). Le fournisseur n'est pas tenu de supprimer les données à caractère personnel du client dans la mesure où (i) le fournisseur est tenu, en vertu du droit applicable ou d'une ordonnance d'un organisme gouvernemental ou réglementaire, de conserver tout ou partie des données à caractère personnel du client ; et/ou (ii) les données à caractère personnel du client ont été archivées sur des systèmes de sauvegarde, que le fournisseur isolera et protégera en toute sécurité contre tout traitement ultérieur, sauf dans la mesure où le droit applicable l'exige.
8.3 Réponse aux incidents de sécurité. Dès la confirmation d'un incident de sécurité, le fournisseur doit : (i) notifier le client sans retard injustifié et, en tout état de cause, cette notification doit intervenir au plus tard soixante-douze (72) heures après que le fournisseur a pris connaissance de l'incident de sécurité ; (ii) fournir en temps utile les informations relatives à l'incident de sécurité dès qu'elles sont connues ou raisonnablement demandées par le client ; et (iii) le fournisseur prend rapidement des mesures raisonnables pour contenir, étudier et atténuer tout incident de sécurité. La notification par le fournisseur d'un incident de sécurité ou la réponse à un incident de sécurité en vertu de la présente section 8.3 (réponse à un incident de sécurité) ne sera pas interprétée comme une reconnaissance par le fournisseur d'une faute ou d'une responsabilité à l'égard de l'incident de sécurité.
9.1 Coopération. En aucun cas le présent DPA ou une partie quelconque ne restreindra ou ne limitera les droits d'une personne concernée ou d'une autorité de contrôle compétente. Si un organisme chargé de l'application de la loi envoie au Fournisseur une demande de Données à caractère personnel du Client (par exemple, une citation à comparaître ou une décision de justice), le Fournisseur s'efforcera de rediriger l'organisme chargé de l'application de la loi pour qu'il demande ces données directement au Client. Dans le cadre de cet effort, le fournisseur peut fournir les coordonnées du client à l'organisme chargé de l'application de la loi. S'il est contraint de divulguer les données à caractère personnel du client à un organisme chargé de l'application de la loi, le fournisseur donnera au client un préavis raisonnable de la demande afin de lui permettre de solliciter une ordonnance de protection ou tout autre recours approprié dans la mesure où le fournisseur est légalement autorisé à le faire.
9.2 Demandes d'accès des consommateurs. Compte tenu de la nature du Traitement, le Fournisseur doit (à la demande et aux frais du Client) fournir une coopération raisonnable pour permettre au Client de répondre à toute demande émanant des autorités compétentes en matière de protection des données ou à une demande vérifiable d'un Consommateur d'exercer ses droits (dans la mesure où ils sont disponibles en vertu des Lois sur la protection des données) de : accès, rectification, restriction du Traitement, effacement (“droit à l'oubli”), portabilité des données, objection au Traitement, ne pas faire l'objet d'une prise de décision individuelle automatisée, refus de la vente de Données à caractère personnel, ou droit de ne pas faire l'objet d'une discrimination, dans chaque cas uniquement dans la mesure où cela concerne le Traitement des Données à caractère personnel du Client par le biais des Services en vertu des Conditions. Si une demande vérifiable d'un consommateur est adressée directement au fournisseur et que cette demande identifie le client, le fournisseur ne répondra pas directement à cette communication sans l'autorisation préalable du client, sauf s'il est légalement contraint de le faire, et le client répondra à la demande vérifiable du consommateur après en avoir été informé par le fournisseur. Si le fournisseur est tenu de répondre à une telle demande de consommateur vérifiable, il en informera rapidement le client et lui fournira une copie de la demande de consommateur vérifiable, à moins que la loi ne l'interdise.
9.3 Enregistrements. Le client reconnaît que le Fournisseur peut être tenu, en vertu du GDPR ou du GDPR britannique, selon le cas, de : (a) collecter et conserver des enregistrements de certaines informations, y compris le nom et les coordonnées de chaque responsable du traitement des données et/ou contrôleur des données pour le compte duquel le fournisseur agit et, le cas échéant, du représentant local et du responsable de la protection des données de ce responsable du traitement des données ou contrôleur des données ; et (b) mettre ces informations à la disposition des autorités de contrôle. En conséquence, si le GDPR ou le GDPR britannique s'applique au traitement des données à caractère personnel du client, le client fournira, sur demande, ces informations au fournisseur via les services ou d'autres moyens fournis par le fournisseur, et veillera à ce que toutes les informations fournies soient exactes et à jour.
9.4 DIPA. Dans la mesure où le prestataire est tenu par la législation applicable en matière de protection des données, il fournira (à la demande et aux frais du client) les informations raisonnablement demandées concernant les services pour permettre au client de procéder à des évaluations de l'impact sur la protection des données ou à des consultations préalables avec les autorités chargées de la protection des données, comme l'exige la loi.
10.1 Intégralité des conditions. Les parties conviennent que le présent DPA remplace et annule tout addendum, pièce jointe ou annexe relatif au traitement des données que les parties auraient pu conclure antérieurement en rapport avec les services. À l'exception des modifications apportées par le présent DPA, les conditions restent inchangées et pleinement applicables. En cas de conflit entre le présent DPA et les Conditions, le présent DPA prévaudra dans la mesure de ce conflit en ce qui concerne le traitement des données à caractère personnel du client.
10.2 Responsabilité. Nonobstant toute disposition contraire des Conditions ou du présent DPA, la responsabilité de chaque partie et des affiliés de chaque partie au titre du présent DPA est soumise aux limitations de responsabilité énoncées dans les Conditions. Sans limiter les obligations de l'une ou l'autre des parties en vertu des conditions, le client accepte que toute sanction réglementaire encourue par le fournisseur en relation avec les données à caractère personnel du client qui résulte du non-respect par le client de ses obligations en vertu du présent DPA ou de toute loi applicable sur la protection des données, ou qui est liée à ce non-respect, soit prise en compte et réduise la responsabilité du fournisseur en vertu des conditions comme s'il s'agissait d'une responsabilité à l'égard du client en vertu des conditions.
10.3 Droit applicable et juridiction. Le présent DPA sera régi et interprété conformément aux dispositions des Conditions relatives au droit applicable et à la juridiction compétente, à moins que les lois applicables en matière de protection des données n'en disposent autrement.
10.4 Certification. Le prestataire certifie qu'il comprend les obligations qui lui incombent en vertu du présent DPA et qu'il s'y conformera.
