Avenant relatif au traitement des données

Le présent avenant relatif au traitement des données (« DPA ») fait partie intégrante des Conditions d'utilisation conclues entre Weesify (« Weesify », le « Sous-traitant ») et le client titulaire d'un espace de travail Weesify (le « Client », le « Responsable du traitement »). Il s'applique chaque fois que Weesify traite des données personnelles pour le compte du Client. Il est conçu pour satisfaire à l'article 28 du GDPR et du UK GDPR ainsi qu'aux exigences applicables aux sous-traitants du CCPA, de la NDPA, du PDPL des Émirats arabes unis et de la POPIA. Il prend effet automatiquement ; les propriétaires d'espaces de travail peuvent également l'accepter dans les paramètres de l'espace de travail pour leurs archives.

1. Définitions

Les termes tels que « données personnelles », « traitement », « responsable du traitement », « sous-traitant », « personne concernée » et « violation de données personnelles » ont le sens qui leur est donné dans le GDPR. Les « Données personnelles du Client » désignent les données personnelles traitées par Weesify pour le compte du Client par l'intermédiaire du Service. Un « Sous-traitant ultérieur » désigne un tiers auquel Weesify fait appel pour traiter des Données personnelles du Client.

2. Rôles

2.1. Le Client est le responsable du traitement (ou un sous-traitant agissant pour son propre responsable du traitement) des Données personnelles du Client. Weesify est le sous-traitant (ou sous-traitant ultérieur).

2.2. Weesify est un responsable du traitement indépendant pour les données relatives au compte du Client, à la facturation, aux journaux de sécurité et à la prévention de la fraude, qui sont régies par notre Politique de confidentialité.

2.3. Au sens du CCPA, Weesify est un « service provider ». Weesify ne vendra ni ne partagera les Données personnelles du Client, ne les conservera, ne les utilisera ni ne les divulguera en dehors de la relation commerciale directe, et ne les combinera pas avec d'autres données, sauf dans la mesure permise par le CCPA.

3. Description du traitement

Élément	Description
Objet	Fourniture du Service Weesify
Durée	Pendant la durée des Conditions, augmentée de la période de suppression prévue à l'article 11
Nature et finalité	Hébergement, stockage, affichage, statistiques, communications (e-mail), commerce et paiement, diffusion des cours et des communautés, événements et réservations, fonctionnalités assistées par IA, support
Personnes concernées	Les visiteurs, abonnés, contacts, acheteurs, élèves, membres, participants, affiliés et membres de l'équipe du Client
Catégories de données	Identifiants et coordonnées, données de commande et de transaction, progression dans les cours, réponses aux formulaires, messages, données de réservation et de participation, données relatives aux appareils et statistiques sans cookies, toute autre donnée que le Client choisit de collecter
Catégories particulières	Uniquement si le Client choisit de les collecter, auquel cas il lui incombe de disposer d'une base juridique

4. Obligations de Weesify

Weesify s'engage à :

4.1. traiter les Données personnelles du Client uniquement sur instructions documentées du Client (les présentes Conditions, la configuration du Service par le Client et les instructions écrites), sauf si la loi l'exige autrement, auquel cas Weesify en informera préalablement le Client, à moins que la loi ne l'interdise ;

4.2. informer le Client s'il estime qu'une instruction enfreint la législation relative à la protection des données ;

4.3. veiller à ce que toutes les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité ;

4.4. mettre en œuvre les mesures de sécurité prévues à l'article 6 ;

4.5. assister le Client, compte tenu de la nature du traitement, dans le traitement des demandes des personnes concernées, des analyses d'impact relatives à la protection des données et des consultations préalables ;

4.6. mettre à disposition les informations nécessaires pour démontrer la conformité et permettre la réalisation d'audits conformément à l'article 10.

5. Sous-traitants ultérieurs

5.1. Le Client accorde à Weesify une autorisation générale de recourir à des sous-traitants ultérieurs. Weesify impose à chaque sous-traitant ultérieur des obligations en matière de protection des données au moins aussi protectrices que le présent DPA et demeure responsable de leur exécution.

5.2. Catégories actuelles de sous-traitants ultérieurs :

Catégorie	Finalité	Localisation habituelle
Hébergement cloud et base de données	Exécution de l'application et stockage des données	Région choisie pour le déploiement, avec sauvegardes dans la même région ou dans une région adéquate
Stockage d'objets et diffusion de contenu	Stockage et diffusion des médias et fichiers	Réseau edge mondial
Envoi d'e-mails	Envoi des e-mails transactionnels et marketing	UE / États-Unis
Traitement des paiements (Stripe, Paystack, Flutterwave, PayPal)	Traitement des paiements, des versements et contrôles anti-fraude (en partie en tant que responsables du traitement indépendants)	Monde entier
Fournisseurs de modèles d'IA	Génération de contenus d'IA sur demande ; aucun entraînement sur les données du Client	États-Unis / UE
Surveillance des erreurs et journalisation	Diagnostic des dysfonctionnements	UE / États-Unis
Outils de support client	Réponse aux demandes de support	UE / États-Unis

5.3. Une liste nominative à jour est disponible sur demande auprès de privacy@weesify.com. Weesify informera le Client au moins 30 jours à l'avance de tout nouveau sous-traitant ultérieur, par e-mail ou dans l'application. Le Client peut s'y opposer pour des motifs raisonnables liés à la protection des données pendant ce délai ; si nous ne pouvons pas résoudre l'objection, le Client peut résilier le service concerné et obtenir le remboursement au prorata des frais payés d'avance.

6. Mesures de sécurité

Weesify maintient des mesures techniques et organisationnelles appropriées, notamment :

• le chiffrement en transit (TLS 1.2 ou supérieur) et au repos ;
• le stockage des mots de passe au moyen d'un hachage à sens unique robuste ; l'authentification à deux facteurs pour les comptes, obligatoire pour les accès du personnel ;
• la séparation logique des données de chaque espace de travail et des contrôles d'autorisation à chaque requête ;
• des accès du personnel fondés sur les rôles et le principe du moindre privilège, avec journalisation d'audit ;
• la protection du réseau, la limitation du débit et la détection des abus ;
• des sauvegardes régulières et des restaurations testées ;
• un développement sécurisé, la revue de code, la mise à jour des dépendances et la gestion des vulnérabilités, y compris un programme de divulgation responsable ;
• des statistiques sans cookies utilisant des hachages salés renouvelés chaque jour à la place d'identifiants ;
• des engagements de confidentialité et une formation à la sécurité pour le personnel ;
• des procédures de réponse aux incidents.

7. Violations de données personnelles

7.1. Weesify notifiera le Client dans les meilleurs délais, et en tout état de cause dans les 72 heures, après avoir pris connaissance d'une violation de données personnelles affectant des Données personnelles du Client.

7.2. La notification décrira, dans la mesure où ces éléments sont connus, la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés, les conséquences probables et les mesures prises ou envisagées. Les informations peuvent être communiquées de manière échelonnée.

7.3. Weesify prendra des mesures raisonnables pour contenir la violation et y remédier, et coopérera avec le Client dans le cadre de ses propres obligations de notification. La notification ne vaut pas reconnaissance de faute.

8. Transferts internationaux

8.1. Weesify ne peut transférer des Données personnelles du Client en dehors de l'EEE, du Royaume-Uni, de la Suisse ou de tout autre pays doté de règles en matière de transfert qu'en présence de garanties appropriées.

8.2. Le cas échéant, les parties conviennent que les Clauses contractuelles types de l'UE (décision d'exécution (UE) 2021/914 de la Commission), Module Deux (responsable du traitement vers sous-traitant) ou Module Trois (sous-traitant vers sous-traitant) selon le cas, sont incorporées par référence, la clause 7 (clause d'adhésion) étant incluse, l'option 2 de la clause 9 retenue (autorisation générale, préavis de 30 jours), la formulation facultative de la clause 11 omise, et les clauses 17 et 18 régies par le droit et les juridictions de l'Irlande. Les annexes sont complétées par les informations figurant aux articles 3, 5 et 6 du présent DPA.

8.3. Pour les transferts depuis le Royaume-Uni, l'avenant britannique relatif aux transferts internationaux de données (UK International Data Transfer Addendum) aux CCT s'applique ; pour les transferts depuis la Suisse, les CCT s'appliquent, les références étant adaptées à la LPD suisse. Pour les transferts soumis à la NDPA, au PDPL des Émirats arabes unis ou à la POPIA, les CCT sont utilisées comme garantie appropriée dans la mesure où ces lois les reconnaissent, conjointement avec les mesures prévues à l'article 6.

9. Demandes des personnes concernées

Si Weesify reçoit une demande d'une personne concernée relative à des Données personnelles du Client, il la transmettra au Client et n'y répondra pas lui-même, sauf pour confirmer que la demande a été transmise. Le Service comprend des outils permettant de rechercher, exporter, rectifier et supprimer les données des contacts.

10. Audits

Weesify répondra une fois par an aux questionnaires écrits raisonnables en matière de sécurité et de conformité et fournira, lorsqu'ils existent, des résumés des certifications ou rapports d'audit tiers pertinents. Si ces éléments ne suffisent pas à démontrer la conformité, ou si une autorité de contrôle l'exige, le Client peut procéder à un audit moyennant un préavis de 30 jours, à ses frais, pendant les heures ouvrables, sous réserve d'obligations de confidentialité et sans accès aux données des autres clients.

11. Restitution et suppression

À la résiliation, le Client peut exporter ses données pendant 30 jours. Weesify supprimera ensuite les Données personnelles du Client des systèmes de production dans un délai de 30 jours, puis des sauvegardes dans un délai supplémentaire de 35 jours, sauf si la loi impose leur conservation, auquel cas elles seront protégées et traitées uniquement à cette fin.

12. Responsabilité et ordre de priorité

La responsabilité de chaque partie au titre du présent DPA est soumise aux limites prévues par les Conditions, sauf lorsque la loi ne le permet pas. En cas de contradiction entre le présent DPA et les Conditions, le présent DPA prévaut pour le traitement des Données personnelles du Client ; en cas de contradiction avec les CCT, les CCT prévalent.

13. Contact

Sous-traitant : Weesify, the address shown on your invoice. Délégué à la protection des données : privacy@weesify.com.