Avenant relatif au traitement des données

1. Rôles et champ d'application

Le présent avenant fait partie des Conditions de service. Le Client est le responsable du traitement et THEFOCUS LTD est le sous-traitant pour les données personnelles traitées dans l'espace de travail client, dans les comptes publicitaires, gestionnaires de balises et outils d'analyse du Client, ainsi que dans les exports CRM qui nous sont remis (les « Données personnelles du Client »). L'annexe 1 décrit le traitement. Lorsque le Client est lui-même sous-traitant pour le compte d'un autre responsable du traitement, nous agissons en tant que son sous-traitant ultérieur aux mêmes conditions.

Le présent avenant satisfait à l'article 28 du RGPD britannique et, lorsqu'ils s'appliquent, à l'article 28 du RGPD de l'UE et aux dispositions relatives aux sous-traitants des autres lois sur la protection des données en vigueur dans les marchés que nous couvrons.

2. Nos obligations en tant que sous-traitant

• Traiter les Données personnelles du Client uniquement sur instruction documentée du Client, y compris le contrat et l'utilisation de l'application par le Client, sauf si la loi en dispose autrement. Dans ce cas, nous en informons le Client avant le traitement, sauf si la loi l'interdit. Nous informons le Client si nous estimons qu'une instruction enfreint la législation sur la protection des données.
• Veiller à ce que toute personne autorisée à les traiter soit tenue à la confidentialité.
• Appliquer les mesures techniques et organisationnelles figurant à l'annexe 2.
• Ne recourir à des sous-traitants ultérieurs que dans les conditions prévues à la section 3.
• Aider le Client, compte tenu de la nature du traitement, à répondre aux demandes des personnes concernées et à respecter ses obligations en matière de sécurité, de notification des violations, d'analyses d'impact et de consultation préalable des autorités de contrôle.
• Notifier au Client, dans les meilleurs délais et au plus tard dans les 48 heures après en avoir pris connaissance, toute violation de données personnelles affectant les Données personnelles du Client, avec les informations dont le Client a besoin pour remplir ses propres obligations de notification.
• À la fin des services, supprimer ou restituer les Données personnelles du Client, au choix de celui-ci, dans un délai de 30 jours et supprimer les copies existantes, sauf si la loi nous impose de les conserver.
• Mettre à disposition les informations nécessaires pour démontrer la conformité et permettre des audits par le Client ou par un auditeur qu'il désigne, moyennant un préavis de 30 jours, sous réserve de confidentialité et au maximum une fois par an, sauf si une violation ou une autorité de contrôle l'exige.

3. Sous-traitants ultérieurs

Le Client donne une autorisation générale pour les sous-traitants ultérieurs décrits sur notre page Sous-traitants ultérieurs ; la liste nominative actuelle est disponible dans le tableau de bord client et sur demande. Nous notifions tout nouveau sous-traitant ultérieur via l'application avec un préavis d'au moins 30 jours. Le Client peut s'y opposer pour des motifs raisonnables liés à la protection des données ; si nous ne pouvons pas résoudre l'objection, le Client peut mettre fin au service concerné sans pénalité. Nous imposons à chaque sous-traitant ultérieur des clauses de protection des données au moins aussi protectrices que le présent avenant et restons responsables de son exécution.

4. Transferts internationaux

Nous ne transférons les Données personnelles du Client hors du Royaume-Uni qu'en vertu des règlements d'adéquation du Royaume-Uni, de l'UK Extension to the EU-US Data Privacy Framework, de l'International Data Transfer Agreement de l'ICO ou de l'UK Addendum aux clauses contractuelles types de l'UE.

Lorsque le Client est établi dans l'EEE, les transferts vers nous reposent sur la décision d'adéquation de la Commission européenne concernant le Royaume-Uni ; si cette décision cesse de s'appliquer, les clauses contractuelles types de l'UE (module deux, ou module trois lorsque le Client est un sous-traitant) sont intégrées par référence, le droit irlandais et les juridictions irlandaises régissant ces seules clauses. Lorsque le Client est établi en Suisse, les mêmes clauses s'appliquent avec les adaptations suisses. Pour les autres marchés, nous signons sur demande les clauses de transfert exigées par le droit du Client, par exemple les contrats types prévus par la KVKK turque ou la PIPL chinoise.

5. Catégories particulières de données et ciblage sensible

Le Client ne doit pas téléverser dans l'application de catégories particulières de données (par exemple des données de santé), de données relatives aux infractions pénales ni de données concernant des enfants, et ne doit pas demander de ciblage fondé sur des caractéristiques sensibles.

6. Responsabilité et durée

La responsabilité au titre du présent avenant est soumise aux limites prévues par les Conditions de service. Le présent avenant reste en vigueur aussi longtemps que nous traitons des Données personnelles du Client.

Annexe 1 : description du traitement

• Objet et durée : fourniture des services pendant la durée du contrat et la période de sortie de 30 jours.
• Nature et finalité : planification et gestion des campagnes, signaux d'optimisation en temps réel envoyés aux campagnes du Client, configuration de la mesure et du suivi, reporting et assistance.
• Personnes concernées : les membres du personnel du Client qui utilisent le service, ainsi que ses prospects et clients tels qu'ils apparaissent dans les données publicitaires, d'analyse et CRM.
• Catégories de données : noms et coordonnées professionnelles des utilisateurs du Client ; identifiants en ligne, coordonnées hachées utilisées pour la mise en correspondance des conversions sur les plateformes, indicateurs de campagne agrégés et étapes des leads dans le CRM.
• Conservation : comme indiqué dans la Politique de confidentialité et à la section 2.

Annexe 2 : mesures techniques et organisationnelles

• Authentification multifacteur obligatoire pour tous les comptes, avec des codes de récupération à usage unique stockés uniquement sous forme de hachages.
• Accès du personnel fondé sur les rôles et le principe du moindre privilège, revu à chaque changement de rôle.
• Isolation entre les espaces de travail clients, appliquée dans l'application et au niveau de la base de données.
• Chiffrement en transit avec une version actuelle de TLS et chiffrement au repos des bases de données, fichiers et sauvegardes.
• Fourniture du service distribuée et chiffrée dans plus de 125 pays.
• Journaux d'audit en ajout seul pour les actions ayant une incidence sur la sécurité.
• Aucun stockage des mots de passe des comptes publicitaires ; accès uniquement via les autorisations d'utilisateur ou de partenaire des plateformes.
• Webhooks et ingestion de données signés et protégés contre la réexécution.
• Analyse automatisée des secrets et tests avant chaque mise en production.
• Procédure de réponse aux incidents avec escalade définie et notification des clients.