Accord de traitement des données

1. Champ d’application et parties

Le présent Accord de traitement des données (le « DPA ») fait partie des Conditions d’utilisation conclues entre Pitempo et le Client et s’applique à toutes les données personnelles que Pitempo traite pour le compte du Client dans le cadre de la fourniture du Service (les « Données personnelles du Client »). Le Client est le responsable du traitement (ou, lorsqu’il agit pour le compte d’un autre responsable du traitement, un sous-traitant) et Pitempo est le sous-traitant (ou le sous-traitant ultérieur). En cas de contradiction, le présent DPA prévaut sur les Conditions en ce qui concerne les Données personnelles du Client.

2. Définitions

On entend par « Législation sur la protection des données » l’ensemble des lois relatives à la protection des données personnelles applicables au traitement, y compris, le cas échéant, le règlement (UE) 2016/679 (RGPD), le RGPD britannique et le Data Protection Act 2018 du Royaume-Uni, la loi fédérale suisse sur la protection des données (LPD), la loi turque n° 6698 relative à la protection des données personnelles (KVKK), la loi générale brésilienne sur la protection des données (LGPD) et les lois des États américains sur la protection de la vie privée, telles que le California Consumer Privacy Act (CCPA). Les termes « responsable du traitement », « sous-traitant », « données personnelles », « traitement », « personne concernée » et « violation de données à caractère personnel » ont le sens que leur donne la Législation sur la protection des données applicable ; au titre de la KVKK, le responsable du traitement est le « veri sorumlusu » et le sous-traitant est le « veri işleyen ». Les autres termes commençant par une majuscule ont le sens qui leur est donné dans les Conditions.

3. Description du traitement

L’objet, la durée, la nature et la finalité du traitement, les types de données personnelles et les catégories de personnes concernées sont décrits à l’annexe 1.

4. Instructions

Pitempo ne traite les Données personnelles du Client que sur instruction documentée du Client, y compris en ce qui concerne les transferts vers des pays tiers, à moins qu’il ne soit tenu de le faire en vertu de la loi ; dans ce cas, Pitempo informe le Client de cette obligation juridique avant le traitement, sauf si la loi l’interdit. Les Conditions, le présent DPA ainsi que l’utilisation et le paramétrage du Service par le Client constituent les instructions documentées du Client. Pitempo informe immédiatement le Client si, selon lui, une instruction constitue une violation de la Législation sur la protection des données.

5. Confidentialité

Pitempo veille à ce que les personnes autorisées à traiter les Données personnelles du Client s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et à ce que l’accès soit limité au strict nécessaire.

6. Sécurité

Pitempo met en œuvre les mesures techniques et organisationnelles décrites à l’annexe 2 afin de garantir un niveau de sécurité adapté au risque. Pitempo peut faire évoluer ces mesures, à condition que le niveau global de sécurité ne soit pas réduit.

7. Sous-traitants ultérieurs

Le Client accorde à Pitempo une autorisation générale de recourir à des sous-traitants ultérieurs. Pitempo met à la disposition du Client, sur demande à l’adresse privacy@pitempo.com, la liste à jour des sous-traitants ultérieurs, avec leur fonction et le lieu du traitement. Pitempo informe le Client de tout ajout ou remplacement envisagé d’un sous-traitant ultérieur au moins 30 jours à l’avance, par e-mail ou dans le Service. Le Client peut s’y opposer pour des motifs raisonnables liés à la protection des données pendant ce délai ; si les parties ne parviennent pas à résoudre l’objection, le Client peut résilier le Service concerné avant que le changement ne prenne effet. Pitempo impose contractuellement à chaque sous-traitant ultérieur des obligations en matière de protection des données offrant au moins le même niveau de protection que le présent DPA et demeure responsable envers le Client de l’exécution des obligations de ses sous-traitants ultérieurs.

Les services que le Client souscrit directement et connecte au Service, par exemple son propre compte auprès d’un fournisseur de SMS, ne sont pas des sous-traitants ultérieurs de Pitempo ; le Client donne instruction à Pitempo de leur transmettre les données nécessaires au service concerné.

8. Transferts internationaux

Pitempo ne transfère les Données personnelles du Client vers un pays tiers que dans le respect de la Législation sur la protection des données.

Dans la mesure où le traitement implique un transfert soumis au chapitre V du RGPD, les clauses contractuelles types adoptées par la décision d’exécution (UE) 2021/914 de la Commission (les « CCT ») s’appliquent et sont intégrées par référence au présent DPA comme suit : le module deux s’applique lorsque le Client est responsable du traitement, et le module trois lorsqu’il est sous-traitant ; la clause 7 (clause d’adhésion) s’applique ; au titre de la clause 9, point a), l’option 2 (autorisation écrite générale, avec un préavis de 30 jours) s’applique ; le libellé facultatif de la clause 11 ne s’applique pas ; au titre de la clause 17, les CCT sont régies par le droit irlandais et, au titre de la clause 18, les litiges sont tranchés par les juridictions irlandaises ; l’autorité de contrôle compétente est déterminée conformément à la clause 13 ; les annexes I et II des CCT sont complétées par les informations des annexes 1 et 2 du présent DPA, le Client étant l’exportateur de données et Pitempo l’importateur de données.

Pour les transferts soumis au RGPD britannique, l’International Data Transfer Addendum aux clauses contractuelles types de la Commission européenne publié par l’Information Commissioner du Royaume-Uni s’applique également. Pour les transferts soumis à la LPD, les CCT s’appliquent avec les adaptations requises par le droit suisse, et le Préposé fédéral à la protection des données et à la transparence est l’autorité de contrôle compétente. Lorsqu’une autre Législation sur la protection des données, par exemple la KVKK ou la LGPD, exige un instrument de transfert spécifique, les parties le mettent en place avant que le transfert n’ait lieu.

9. Assistance

Compte tenu de la nature du traitement et des informations dont il dispose, Pitempo aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes des personnes concernées et à respecter les obligations du Client en matière de sécurité, de violations de données à caractère personnel, d’analyses d’impact relatives à la protection des données et de consultation préalable des autorités de contrôle. Si une personne concernée s’adresse directement à Pitempo avec une demande portant sur des Données personnelles du Client, Pitempo transmet la demande au Client dans les meilleurs délais et n’y répond pas lui-même, sauf instruction du Client.

10. Violations de données à caractère personnel

Pitempo notifie au Client toute violation de données à caractère personnel affectant les Données personnelles du Client dans les meilleurs délais et, si possible, dans les 48 heures après en avoir pris connaissance. Dans la mesure où les informations sont disponibles, la notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés, les conséquences probables ainsi que les mesures prises ou proposées. Pitempo prend des mesures raisonnables pour contenir la violation et en atténuer les effets. Il incombe au Client de notifier la violation aux autorités de contrôle et aux personnes concernées lorsque cela est requis, par exemple dans un délai de 72 heures au titre du RGPD et des décisions du Conseil turc de protection des données personnelles.

11. Restitution et suppression

À la fin de la fourniture du Service, Pitempo permet au Client d’exporter les Données personnelles du Client comme décrit à l’article 14 des Conditions, puis les supprime dans un délai de 30 jours après la fin de la période de récupération, sauf si la loi en exige la conservation. Les copies figurant dans les sauvegardes sont écrasées selon le cycle normal de sauvegarde et ne sont restaurées qu’en cas de reprise après sinistre. Pitempo confirme la suppression sur demande.

12. Information et audits

Pitempo met à la disposition du Client toutes les informations nécessaires pour démontrer le respect du présent DPA et de l’article 28 du RGPD, et permet la réalisation d’audits, y compris d’inspections, par le Client ou par un auditeur indépendant mandaté par celui-ci, et y contribue. Les audits doivent être annoncés au moins 30 jours à l’avance, se dérouler pendant les heures ouvrables normales sans perturber l’exploitation, être soumis à la confidentialité et avoir lieu au maximum une fois par an, sauf si une violation de données à caractère personnel ou une demande d’une autorité de contrôle justifie un audit supplémentaire. Pitempo peut d’abord répondre à une demande d’audit par des informations et une documentation écrites. Chaque partie supporte ses propres frais.

13. Lois des États américains sur la protection de la vie privée

Dans la mesure où les lois des États américains sur la protection de la vie privée s’appliquent, Pitempo agit en qualité de « service provider » ou de « processor ». Pitempo ne vend ni ne partage les Données personnelles du Client ; ne les conserve, ne les utilise ni ne les divulgue à aucune autre fin que la fourniture du Service au Client, y compris à toute fin commerciale autre que la fourniture du Service, ni en dehors de la relation d’affaires directe avec le Client ; et ne les combine pas avec des données personnelles reçues d’autres sources, sauf dans la mesure permise par la loi. Pitempo respecte les obligations qui lui incombent en vertu de ces lois, assure le niveau de protection de la vie privée qu’elles exigent et informe le Client s’il constate qu’il n’est plus en mesure de respecter ses obligations. Le Client peut prendre des mesures raisonnables et appropriées pour faire cesser et corriger toute utilisation non autorisée des Données personnelles du Client. Pitempo certifie qu’il comprend ces restrictions et qu’il s’y conformera.

14. Obligations du Client

Le Client est responsable de la licéité du traitement, ce qui comprend l’existence d’une base juridique, l’information des personnes concernées (par exemple les clients dont il entretient les véhicules) et le recueil des consentements requis. Le Client ne doit pas stocker dans le Service des catégories particulières de données personnelles ni des données relatives aux condamnations pénales.

15. Responsabilité et durée

La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations prévues par les Conditions, sauf dans la mesure où la Législation sur la protection des données ou les CCT ne permettent pas une telle limitation. Le présent DPA reste en vigueur aussi longtemps que Pitempo traite des Données personnelles du Client.

Annexe 1 : Description du traitement

Annexe 2 : Mesures techniques et organisationnelles

• Chiffrement en transit : toutes les connexions au Service utilisent HTTPS/TLS ; les e-mails sont transmis à notre fournisseur de messagerie par une connexion chiffrée (STARTTLS).
• Contrôle d’accès : connexion par mot de passe et, en option, par clés d’accès (passkeys) ; les mots de passe ne sont conservés que sous forme de hachage salé ; les codes de vérification à usage unique expirent après 5 minutes ; des limites de fréquence protègent contre les attaques par force brute ; les sessions expirent.
• Cloisonnement des Clients : les données de chaque Client sont isolées au niveau de la base de données par des politiques de sécurité au niveau des lignes, de sorte qu’un Client ne peut pas accéder aux données d’un autre.
• Habilitations : droits fondés sur les rôles au sein de chaque Compte ; les prix, coûts et marges ne sont visibles que par les rôles autorisés, et les champs qu’un rôle n’est pas autorisé à voir ne sont même pas envoyés à son navigateur.
• Traçabilité : journaux d’audit des modifications (qui, quoi, quand) et historique des connexions avec adresses IP masquées.
• Accès d’administration : accès aux serveurs uniquement au moyen de clés SSH, avec connexion par mot de passe et connexion root désactivées ; outils d’administration protégés par un contrôle d’accès supplémentaire ; principe du moindre privilège.
• Identifiants des services connectés : les identifiants que le Client saisit pour des services connectés, par exemple des comptes de fournisseurs de SMS, sont stockés sous forme chiffrée.
• Disponibilité : sauvegardes quotidiennes de la base de données conservées pendant 7 jours et procédure de restauration documentée.
• Minimisation et conservation des données : anonymisation automatique des journaux de messages après 12 mois ; suppression automatique des anciennes notifications, de l’historique des connexions après 180 jours et des données d’import temporaires après 30 jours.
• Développement sécurisé : tests automatisés, y compris des tests du cloisonnement des Clients et des droits d’accès, et audits de vulnérabilité des dépendances avant chaque version ; mises à jour de sécurité rapides.
• Gestion des incidents : une procédure de détection, d’évaluation, de confinement et de notification des violations de données à caractère personnel.