Politique de confidentialité des produits 

Annexe 2 aux Conditions Générales de Vente — Politique de traitement des données produit
Cette annexe fait partie intégrante des Conditions Générales de Vente TrustBuilder et constitue un accord de traitement des données au sens de l'article 28 du RGPD.

1. Objet et champ d'application

La présente Politique de confidentialité produit constitue l'Annexe 2 aux Conditions Générales de Vente TrustBuilder et en est une partie intégrante. Elle définit les conditions dans lesquelles In-Webo Technologies, opérant sous la marque commerciale TrustBuilder (ci-après le « Sous-traitant »), traite les données personnelles pour le compte de ses clients (ci-après le « Responsable du Traitement ») dans le cadre de la fourniture de ses produits et services.

2. Définitions

Les termes utilisés dans la présente Politique ont la signification qui leur est donnée dans les Conditions Générales de Vente TrustBuilder ou telle que définie ci-dessous :

• « Sous-traitants Autorisés » : les sous-traitants listés à l'Annexe 4 et tout sous-traitant supplémentaire ayant reçu l'accord écrit du Responsable du Traitement.
• « Données Personnelles du Responsable » : les données décrites à l'Annexe 1 et toutes autres données personnelles traitées par le Sous-traitant pour le compte du Responsable.
• « Violation de Données Personnelles » : toute violation entraînant la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé à des données personnelles.
• « Pays Tiers » : tout pays situé hors de l'UE/EEE, sauf s'il fait l'objet d'une décision d'adéquation valide de la Commission européenne.
• « Clauses Contractuelles Types » : les clauses types approuvées par la Commission européenne pour les transferts de données vers des pays tiers.

Les termes « Traitement », « Responsable du Traitement », « Sous-traitant », « Personne Concernée », « Données Personnelles » et « Catégories Particulières de Données Personnelles » ont le sens qui leur est donné par le RGPD (Règlement UE 2016/679).

3. Conditions de traitement des données

3.1 Dans le cadre de la fourniture des produits et services, le Sous-traitant peut traiter les Données Personnelles du Responsable conformément aux dispositions de la présente Politique. Le Sous-traitant s'engage à respecter les obligations suivantes.

3.2 Dans la mesure requise par la législation applicable en matière de protection des données, le Sous-traitant maintiendra toutes les licences, autorisations et permis nécessaires au traitement des données personnelles.

3.3 Le Sous-traitant maintiendra les mesures techniques et organisationnelles nécessaires au respect des exigences de la présente Politique et de ses Annexes.

4. Traitement des données personnelles du Responsable

4.1 Le Sous-traitant ne traitera les Données Personnelles du Responsable qu'aux fins définies dans le bon de commande. Il ne traitera, ne transférera, ne modifiera ni ne divulguera ces données à des tiers, sauf sur instruction documentée du Responsable du Traitement ou si la loi européenne ou nationale l'exige.

4.2 Le Responsable du Traitement autorise par la présente le Sous-traitant à transférer les Données Personnelles aux destinataires dans les Pays Tiers listés à l'Annexe 3, sous réserve du respect des dispositions de la section 7 (Sous-traitance).

5. Fiabilité et confidentialité

5.1 Le Sous-traitant prend des mesures raisonnables pour s'assurer de la fiabilité de tout employé, agent ou contractant susceptible d'accéder aux Données Personnelles du Responsable, en limitant cet accès aux seules personnes qui en ont besoin dans le cadre de leurs fonctions.

5.2 Le Sous-traitant s'assure que toutes les personnes habilitées à traiter les Données Personnelles du Responsable :
• Sont informées du caractère confidentiel des données et de leurs obligations au titre de la présente Politique
• Ont suivi une formation appropriée relative à la protection des données
• Sont soumises à des engagements de confidentialité
• Accèdent aux données via des processus d'authentification sécurisés conformes au RGPD

6. Sécurité des données

6.1 Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées (détaillées à l'Annexe 2) pour garantir un niveau de sécurité adapté au risque, incluant notamment :
• La pseudonymisation et le chiffrement des données
• La garantie de la confidentialité, de l'intégrité, de la disponibilité et de la résilience des systèmes
• La capacité à restaurer l'accès aux données en temps utile après un incident
• Un processus régulier de test et d'évaluation des mesures de sécurité

6.2 Dans son évaluation du niveau de sécurité approprié, le Sous-traitant tient compte des risques liés au traitement, notamment de la destruction, de la perte, de l'altération, de la divulgation non autorisée ou de l'accès non autorisé aux Données Personnelles.

7. Sous-traitance

7.1 À la date du bon de commande, le Responsable du Traitement autorise le Sous-traitant à engager les Sous-traitants listés à l'Annexe 4. Le Sous-traitant ne peut engager de nouveaux Sous-traitants qu'avec l'accord écrit préalable du Responsable du Traitement.

7.2 Pour chaque Sous-traitant, le Sous-traitant s'engage à :
• Communiquer au Responsable les détails du traitement envisagé
• Effectuer une due diligence suffisante pour s'assurer que le Sous-traitant offre des garanties adéquates
• Inclure dans le contrat des clauses identiques à celles de la présente Politique
• Intégrer les Clauses Contractuelles Types pour tout transfert hors EEA
• Rester pleinement responsable devant le Responsable de tout manquement du Sous-traitant

8. Droits des personnes concernées

8.1 Le Sous-traitant assiste le Responsable du Traitement, par la mise en œuvre de mesures techniques et organisationnelles appropriées, pour répondre aux demandes d'exercice des droits des Personnes Concernées prévues par le RGPD.

8.2 Le Sous-traitant notifie sans délai le Responsable de toute demande reçue d'une Personne Concernée, d'une autorité de contrôle ou de toute autre autorité compétente concernant les Données Personnelles du Responsable.

9. Violation de données personnelles

9.1 Le Sous-traitant notifie le Responsable du Traitement sans délai et dans tous les cas dans les 24 heures suivant la découverte ou la suspicion d'une Violation de Données Personnelles. Cette notification comprend :
• La nature de la violation, les catégories et le nombre approximatif de Personnes Concernées
• Les coordonnées du Délégué à la Protection des Données ou du contact de référence
• Les conséquences probables de la violation
• Les mesures prises ou envisagées pour y remédier

9.2 Le Sous-traitant coopère pleinement avec le Responsable pour investiguer, atténuer et remédier à toute Violation de Données Personnelles.

9.3 Le Sous-traitant ne notifie aucun tiers sans l'accord écrit préalable du Responsable, sauf si la loi l'exige.

10. Analyse d'impact et consultation préalable

Le Sous-traitant fournit une assistance raisonnable au Responsable pour toute analyse d'impact relative à la protection des données (AIPD) requise au titre de l'article 35 du RGPD et pour toute consultation préalable auprès d'une autorité de contrôle requise au titre de l'article 36 du RGPD.

11. Effacement ou restitution des données

11.1 Dans les 90 jours calendaires suivant la cessation du traitement ou la résiliation du bon de commande, le Sous-traitant, au choix du Responsable :
• Restitue une copie complète des Données Personnelles au Responsable par transfert sécurisé, puis procède à leur effacement sécurisé
• Procède à l'effacement sécurisé de l'ensemble des copies des Données Personnelles

Dans les deux cas, le Sous-traitant fournit au Responsable une attestation écrite de conformité.

11.2 Le Sous-traitant peut conserver certaines données si la loi européenne ou nationale l'exige, dans la stricte limite de ce qui est nécessaire et sous réserve de maintenir leur confidentialité.

12. Droit d'audit

Le Sous-traitant met à la disposition du Responsable toutes les informations nécessaires pour démontrer sa conformité à la présente Politique et facilite les audits, y compris les inspections, effectués par le Responsable ou un auditeur mandaté par lui. Le Sous-traitant coopère pleinement et fournit sur demande tout élément probant de conformité.

13. Transferts internationaux

13.1 Le Sous-traitant ne traite pas les Données Personnelles du Responsable dans un Pays Tiers, sauf pour les destinataires listés à l'Annexe 3, ou avec l'autorisation écrite préalable du Responsable.

13.2 Sur demande du Responsable, le Sous-traitant conclut les Clauses Contractuelles Types ou tout autre mécanisme requis par la législation applicable pour tout transfert vers un Pays Tiers.

14. Codes de conduite et certifications

Sur demande du Responsable, le Sous-traitant se conforme à tout Code de Conduite approuvé au titre de l'article 40 du RGPD et obtient toute certification approuvée au titre de l'article 42 du RGPD, dans la mesure où ceux-ci concernent le traitement des Données Personnelles du Responsable.

Annexe 1 — Détails du traitement des données

Objet et durée du traitement : définis dans le contrat principal et le bon de commande.

Nature et finalités du traitement :
• Fourniture et sécurisation de l'accès aux applications
• Personnalisation des communications relatives aux services
• Réalisation des transactions
• Gestion, exploitation et support des comptes clients

Types de données personnelles traitées :
• Nom et coordonnées (email, téléphone)
• Société et fonction du contact
• Données d'activité sur le site et l'application (adresse IP, localisation géographique, type de navigateur ou d'appareil)
• Données d'interaction avec les emails envoyés
• Transcriptions ou enregistrements d'échanges avec nos équipes support ou commerciales
• Informations publiques (comptes sociaux publics, site corporate, registres publics)

Catégories de personnes concernées :
• Clients
• Prospects et leads
• Visiteurs du site web

Annexe 2 — Mesures techniques et organisationnelles

Les mesures de sécurité organisationnelles et techniques mises en œuvre par TrustBuilder incluent notamment :

Mesures organisationnelles :
• Politique de sécurité documentée relative au traitement des données personnelles
• Définition claire des rôles et responsabilités liés au traitement
• Politique de contrôle d'accès basée sur le principe du besoin d'en connaître
• Registre des ressources IT utilisées pour le traitement
• Plan de réponse aux incidents et aux violations de données
• Procédures de continuité d'activité
• Formation régulière du personnel aux obligations de protection des données

Mesures techniques :
• Système de contrôle d'accès avec création, révision et suppression des comptes utilisateurs
• Authentification forte pour l'accès aux données personnelles
• Journalisation de tous les accès aux données (consultation, modification, suppression)
• Chiffrement des communications (protocoles cryptographiques)
• Surveillance du trafic par pare-feu et systèmes de détection d'intrusion
• Procédures de sauvegarde et de restauration définies et testées régulièrement
• Effacement sécurisé des supports avant mise au rebut
• Pratiques de développement sécurisé tout au long du cycle de vie applicatif
• Sécurité physique des infrastructures

Annexe 3 — Transferts autorisés de données

Le Sous-traitant fait appel au sous-traitant suivant pour l'hébergement des données :

Google Ireland Ltd
• Finalité : la plateforme TrustBuilder est hébergée sur Google Cloud Platform, zone Belgique (europe-west1). Les données ne quittent pas le territoire belge.
• Adresse : Gordon House, Barrow Street, Dublin 4, Irlande — TVA IE6388047V
• Sécurité : les composants Google Cloud utilisés sont couverts par la certification ISO 27001 de Google Cloud.

Claranet France SAS
• Finalité : la plateforme TrustBuilder est hébergée par Claranet France SAS. Les données ne quittent pas le territoire français.
• Adresse : 2 rue des Landelles, 35510, France — TVA FR 24 419 632 286
• Sécurité : les composants Claranet utilisés sont couverts par la certification ISO 27001.

Annexe 4 — Sous-traitants autorisés

Google Ireland Ltd
• Finalité : hébergement de la plateforme TrustBuilder sur Google Cloud, zone Belgique (europe-west1)
• Adresse : Gordon House, Barrow Street, Dublin 4, Irlande — TVA IE6388047V
• Sécurité : certification ISO 27001 Google Cloud

Equinix France SAS
• Finalité : hébergement de la plateforme TrustBuilder en France
• Adresse : 35 rue de la Fédération, 75015 Paris, France — TVA FR 56 800 223 372
• Sécurité : certification ISO 27001 Equinix

Telehouse International Corporation of Europe Ltd
• Finalité : hébergement de la plateforme TrustBuilder en France
• Adresse : 137 Boulevard Voltaire, 75011 Paris, France — TVA FR 29 408 024 115
• Sécurité : certification ISO 27001 Telehouse

Mailjet SAS
• Finalité : Prestataire d’envoi des emails liés à la solution TrustBuilder
• Adresse : 43 rue de Dunkerque, 75010 Paris, France — TVA FR 67 524 536 992
• Sécurité : certification ISO 27001 Mailjet