Le présent Accord de traitement des données (le « DPA ») fait partie des Conditions d’utilisation d’Adapty (telles que définies ci-dessous) conclues entre le Client et Adapty, qui régissent l’utilisation par le Client des services d’Adapty et la fourniture de ceux-ci.
Le Client et Adapty sont ci-après dénommés collectivement les « Parties » et individuellement une « Partie ». Les informations relatives aux Parties figurent à l’Annexe 1.
En cas de conflit ou d’incohérence avec les stipulations des Conditions d’utilisation d’Adapty, le présent DPA prévaut sur les autres stipulations des Conditions d’utilisation d’Adapty dans la mesure de ce conflit ou de cette incohérence.
Les termes commençant par une majuscule qui ne sont pas autrement définis dans les présentes ont la signification qui leur est donnée dans les Conditions d’utilisation d’Adapty.
Le présent DPA, y compris l’ensemble de ses Annexes, définit les obligations des Parties en matière de protection des données à l’égard des Données à caractère personnel traitées par Adapty pour le compte du Client, telles que décrites à l’Annexe 1 du présent DPA, conformément au Droit applicable en matière de protection des données.
1. Définitions
1.1. Conditions d’utilisation d’Adapty désigne les conditions d’utilisation disponibles à l’adresse https://adapty.io/terms/ ou tout autre accord écrit ou électronique conclu entre le Client et Adapty.
1.2. Droit applicable en matière de protection des données désigne l’ensemble des lois, textes législatifs, règlements, ordonnances, codes, règles, lignes directrices, décisions ou toute autre obligation légale émanant de toute autorité publique qui régissent la collecte, l’utilisation, le transfert et la divulgation de Données à caractère personnel.
1.3. Responsable du traitement désigne la personne physique ou l’organisation qui détermine les finalités et les moyens du traitement des Données à caractère personnel ou qui est par ailleurs chargée de prendre les décisions relatives au traitement des Données à caractère personnel.
1.4. Sous-traitant désigne une personne physique ou morale ou tout autre organisme qui traite des Données à caractère personnel pour le compte du Responsable du traitement.
1.5. Demande de la Personne concernée a la signification qui lui est donnée au paragraphe 3.2 du présent DPA.
1.6. Personne concernée désigne une personne physique identifiée ou identifiable, directement ou indirectement, à laquelle se rapportent les Données à caractère personnel.
1.7. RGPD désigne le règlement (UE) 2016/679 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE.
1.8. RGPD britannique désigne la version conservée du règlement général sur la protection des données de l’UE ((UE) 2016/679) (RGPD de l’UE), telle qu’elle fait partie du droit de l’Angleterre et du pays de Galles, de l’Écosse et de l’Irlande du Nord en vertu de l’article 3 du European Union (Withdrawal) Act 2018 et telle que modifiée par l’annexe 1 des Data Protection, Privacy and Electronic Communications (Amendment etc.) (EU Exit) Regulations 2019 (SI 2019/419).
1.9. Données à caractère personnel désigne toute information se rapportant à une personne physique identifiée ou identifiable, régie par le Droit applicable en matière de protection des données et fournie par le Client aux fins du traitement, y compris les informations relatives à une personne identifiée ou identifiable.
1.10. Violation de données à caractère personnel désigne une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de Données à caractère personnel ou l’accès non autorisé à celles-ci.
1.11. Traitement, traiter, et un traitement désignent toute activité impliquant l’utilisation de Données à caractère personnel ou toute activité qualifiée comme telle par le Droit applicable en matière de protection des données s’agissant du traitement, du fait de traiter ou d’un traitement. Cela comprend toute opération ou tout ensemble d’opérations, effectuées ou non à l’aide de procédés automatisés et appliquées à des Données à caractère personnel ou à des ensembles de Données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction. Le traitement comprend également le transfert de Données à caractère personnel à des tiers.
1.12. Clauses contractuelles types (CCT) désigne les clauses contractuelles types approuvées par la Commission européenne (telles que mises à jour, modifiées, remplacées ou abrogées par la Commission européenne au fil du temps). Si la Commission européenne remplace les Clauses contractuelles types par des clauses contractuelles types modifiées ou nouvelles, alors, dans la mesure où l’autorité de contrôle compétente approuve l’utilisation de ces clauses contractuelles types modifiées ou nouvelles, les références aux « Clauses contractuelles types » dans les présentes s’entendent comme des références à ces clauses contractuelles types modifiées ou nouvelles.
1.13. Sous-traitant ultérieur désigne un sous-traitant tiers engagé par Adapty qui a obtenu ou est susceptible d’obtenir l’accès à des Données à caractère personnel, ou qui traite de telles données.
1.14. Avis de changement de Sous-traitant ultérieur a la signification qui lui est donnée à l’article 4.1 du présent DPA.
2. Traitement des données à caractère personnel
2.1. Rôles des Parties
Les Parties reconnaissent et conviennent que, s’agissant du traitement des données à caractère personnel, le Client est le responsable du traitement et Adapty est le sous-traitant.
2.2. Détails du traitement des données
L’objet, la durée, la nature et la ou les finalités du traitement des données à caractère personnel, ainsi que le type de données à caractère personnel et les catégories de personnes concernées, sont précisés à l’Annexe 1.
2.3. Étendue du traitement
Adapty s’abstient de traiter des données à caractère personnel au-delà des indications raisonnables et usuelles fixées par le Client, telles que précisées dans les Conditions d’utilisation d’Adapty ou dans le présent DPA, sauf si ce traitement est exigé par le droit applicable à Adapty.
2.4. Instructions du Client
Les instructions du Client relatives au traitement des données à caractère personnel doivent être conformes au droit applicable en matière de protection des données. Le Client est seul responsable de l’exactitude, de la qualité et de la licéité des données à caractère personnel, ainsi que des moyens par lesquels il obtient ces données à caractère personnel. Sans limitation de ce qui précède, il incombe au seul Client de s’assurer de l’existence d’une base juridique appropriée et du droit de traiter les données à caractère personnel conformément aux stipulations des Conditions d’utilisation d’Adapty et du présent DPA. Le Client reconnaît et accepte expressément que son utilisation des Services ne porte atteinte aux droits d’aucune personne concernée.
2.5. Base licite du traitement
Le Client reconnaît et accepte que les Services d’Adapty dépendent d’une base licite démontrée et reposent sur celle-ci, base licite que le Client doit obtenir et sur laquelle Adapty s’appuie. Le Client déclare qu’une telle base licite existe.
2.6. Protection de la vie privée des enfants
Lorsqu’il traite des données à caractère personnel d’enfants (au sens du droit applicable en matière de protection des données), le Client est tenu de respecter les exigences supplémentaires établies par les règles des plateformes, la réglementation et le droit applicable en matière de protection des données en vue de protéger les enfants. Certaines de ces lois visent spécifiquement les enfants (comme la COPPA), tandis que d’autres ont une portée plus large mais prévoient des protections particulières pour les enfants (comme le RGPD et les lois régionales similaires).
3. Demandes des Personnes concernées
3.1. Réponses aux Demandes des Personnes concernées
Le Client est seul responsable du respect de toute obligation légale relative aux demandes d’exercice des droits des personnes concernées en vertu du droit applicable en matière de protection des données. Les Parties conviennent et reconnaissent qu’Adapty n’est pas en mesure de répondre aux demandes des personnes concernées.
3.2. Demandes des Personnes concernées
Responsabilité du Client et traitement des Demandes des Personnes concernées. Le Client demeure seul responsable du respect de toute obligation légale relative aux Demandes des Personnes concernées en vertu du Droit applicable en matière de protection des données. Le Client autorise Adapty, agissant uniquement sur instructions documentées du Client et en qualité de Sous-traitant de celui-ci, à traiter automatiquement les demandes de désabonnement et les oppositions à la prospection directe reçues directement des Destinataires au moyen des mécanismes de désabonnement mis à disposition dans les Messages, et à y donner suite, notamment en ajoutant le Destinataire concerné à la liste de suppression du Client.
Sauf dans les cas expressément prévus par le présent article, Adapty ne répond pas sur le fond aux Demandes des Personnes concernées pour le compte du Client et, dans la mesure permise par la loi, oriente la Personne concernée vers le Client et/ou en informe le Client conformément à le présent article.
3.3. Demande d’une personne concernée
Si le Client sollicite l’assistance d’Adapty pour répondre à une demande, Adapty déploie, dans la mesure du possible, des efforts commercialement raisonnables pour aider le Client à répondre à cette demande, dans la mesure où Adapty est légalement en droit de le faire et où une réponse à cette demande est exigée par le droit applicable en matière de protection des données.
3.4. Frais
Dans la mesure permise par la loi, le Client supporte tous les frais engagés du fait de l’assistance fournie par Adapty, y compris tous les frais liés à la fourniture de fonctionnalités supplémentaires. Dans ce cas, Adapty informe le Client de ces frais à l’avance.
4. Sous-traitance ultérieure
4.1. Désignation des sous-traitants ultérieurs
Le Client autorise Adapty à désigner des sous-traitants ultérieurs conformément au présent article et à toute limitation prévue dans le DPA. Le Client reconnaît et accepte qu’Adapty puisse faire appel à des sous-traitants ultérieurs sans le consentement préalable du Client. Le recours à un sous-traitant ultérieur tiers pour traiter des données à caractère personnel est subordonné à la condition qu’Adapty conclue avec chaque sous-traitant ultérieur un accord écrit contenant des engagements en matière de protection des données qui garantissent aux données à caractère personnel un niveau de protection au moins équivalent à celui prévu par le présent DPA. Adapty informe le Client par écrit de tout changement envisagé concernant l’ajout ou le remplacement de sous-traitants ultérieurs avant que ce changement n’intervienne (ci-après l’« Avis de changement de Sous-traitant ultérieur »). Le Client peut s’opposer à ces changements de sous-traitants ultérieurs conformément à l’article 4.2 du présent DPA.
4.2. Liste actuelle des sous-traitants ultérieurs
La liste actuelle des sous-traitants ultérieurs auxquels Adapty fait appel pour le traitement figure à l’Annexe 3 du présent DPA. Adapty met à jour la liste des sous-traitants ultérieurs figurant dans le présent DPA dans un délai de trente (30) jours suivant tout changement impliquant l’ajout ou le remplacement d’un sous-traitant ultérieur.
4.3. Responsabilité
À l’égard de chaque sous-traitant ultérieur, Adapty : (i) prend des mesures raisonnables pour s’assurer que le sous-traitant ultérieur est tenu de garantir le niveau de protection des données à caractère personnel requis par le DPA, et (ii) demeure pleinement responsable envers le Client du respect, par le sous-traitant ultérieur, de ses obligations en matière de protection des données dans le cas où celui-ci manquerait à ces obligations.
4.4. Droit d’opposition aux sous-traitants ultérieurs
Le Client peut raisonnablement s’opposer à tout changement envisagé impliquant l’ajout ou le remplacement d’un sous-traitant ultérieur (par exemple, si la communication de données à caractère personnel à un sous-traitant ultérieur risque d’enfreindre le droit applicable en matière de protection des données ou d’affaiblir la protection de ces données à caractère personnel) en adressant promptement une notification écrite à Adapty dans un délai de trente (30) jours à compter de la réception de l’avis de changement de sous-traitant ultérieur. Cette notification du Client doit exposer les motifs raisonnables de l’opposition.
Si le Client notifie une telle opposition à Adapty, les Parties négocient la question de bonne foi en vue de parvenir à une solution commercialement raisonnable. Si ces oppositions ne peuvent être résolues dans un délai de quinze (15) jours parce que le traitement ne peut se poursuivre correctement sans l’intervention de ce sous-traitant ultérieur, Adapty a le droit de refuser la poursuite du traitement conformément au présent DPA et de résilier les Conditions d’utilisation d’Adapty sans engager sa responsabilité au titre de cette résiliation.
5. Transfert transfrontalier des données à caractère personnel
5.1. Transferts depuis l’UE
Dans la mesure où le traitement des Données à caractère personnel est protégé par le RGPD, les Parties conviennent par les présentes que ces transferts sont soumis aux CCT, qui sont intégrées au présent DPA par référence et en font partie intégrante. Les options et annexes des CCT sont réputées complétées sur la base de l’Annexe 4 du présent DPA.
5.2. Transferts depuis la Suisse
Dans la mesure où le traitement des Données à caractère personnel est protégé par la loi fédérale du 19 juin 1992 sur la protection des données (« LPD »), les Parties conviennent par les présentes que ces transferts sont soumis aux CCT, assorties des adaptations nécessaires pour que les CCT soient conformes au droit suisse et permettent ainsi de garantir un niveau de protection adéquat pour le transfert de données de la Suisse vers un pays tiers, conformément à l’article 6, alinéa 2, lettre a, de la LPD. Une liste des adaptations figure au point 4.3. pour les transferts de données à caractère personnel vers un pays n’offrant pas un niveau de protection des données adéquat sur la base des clauses contractuelles types et des contrats types du 27 août 2021 du Préposé fédéral à la protection des données et à la transparence (disponible à l’adresse https://www.edoeb.admin.ch/edoeb/en/home/data-protection/handel-und-wirtschaft/transborder-data-flows.html). L’exemple 2 du cas 2 s’applique.
5.3. Transferts depuis le Royaume-Uni
Dans la mesure où le traitement des Données à caractère personnel est protégé par le RGPD britannique, les Parties conviennent par les présentes que ce transfert est soumis à l’Avenant international aux clauses contractuelles types de la Commission européenne pour les transferts internationaux de données, disponible à l’adresse https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdf, tel qu’adopté, modifié ou mis à jour par l’Information Commissioner’s Office du Royaume-Uni, le Parlement ou le Secrétaire d’État.
6. Mesures techniques et organisationnelles
6.1. Mesures techniques et organisationnelles
Adapty met en œuvre et maintient des mesures techniques et organisationnelles appropriées afin de garantir un niveau approprié de sécurité, de confidentialité et d’intégrité des Données à caractère personnel, y compris, le cas échéant, les mesures prévues à l’article 32 du RGPD, telles que décrites à l’Annexe 2 du présent DPA, afin de protéger les Données à caractère personnel contre :
- la destruction accidentelle ou illicite, et
- la perte, l’altération, la divulgation non autorisée de Données à caractère personnel ou l’accès non autorisé à celles-ci (chacune, une « Violation de données à caractère personnel »).
6.2. Contrôle de la conformité
Adapty contrôle régulièrement le respect des mesures décrites à l’Annexe 2 du présent DPA.
6.3. Assistance pour assurer la conformité
Compte tenu de la nature du Traitement et des Données à caractère personnel dont dispose Adapty, Adapty aide le Client à assurer le respect des obligations prévues aux articles 32 à 36 du RGPD.
7. Violation de données à caractère personnel
7.1. Notification d’une violation de données à caractère personnel
Si Adapty a connaissance d’une violation de données à caractère personnel, Adapty, dans la mesure permise par la loi, en informe le Client par e-mail dans les meilleurs délais après qu’Adapty ou tout Sous-traitant ultérieur a pris connaissance de la violation de données à caractère personnel concernant les données à caractère personnel du Client, et fournit des informations raisonnables (dans la mesure où celles-ci relèvent raisonnablement de la connaissance et/ou du contrôle d’Adapty).
7.2. Coopération
Adapty coopère, en tenant compte de la nature du traitement et des informations dont dispose Adapty, pour aider le Client à s’acquitter de toute obligation d’informer les personnes concernées ou les autorités de protection des données d’une violation de données à caractère personnel conformément au Droit applicable en matière de protection des données. Adapty prend également toutes les mesures et dispositions raisonnablement nécessaires pour éliminer ou atténuer les conséquences d’une violation de données à caractère personnel et tient le Client informé de toute évolution significative relative à la violation de données à caractère personnel.
8. Audit
8.1. Droit du Client de procéder à des audits
Adapty met à la disposition du Client toutes les informations raisonnablement nécessaires pour démontrer le respect des obligations prévues par le présent DPA et facilite les audits, y compris les inspections, réalisés par le Client ou par un autre auditeur mandaté par le Client concernant le respect des obligations prévues par le présent DPA.
8.2. Coopération d’Adapty à la réalisation d’un audit
Adapty fournit au Client l’ensemble des informations, des systèmes et du personnel raisonnablement nécessaires pour permettre au Client ou à ses auditeurs tiers de réaliser un tel audit, à condition que le Client :
8.2.1. donne notification de l’audit quarante-cinq (45) jours avant celui-ci ; et
8.2.2. réalise l’audit pendant les heures ouvrables normales ; et
8.2.3. prenne toutes les mesures raisonnables pour éviter toute perturbation inutile des activités d’Adapty. Ces audits doivent être strictement limités aux informations relatives au traitement des données à caractère personnel.
8.3. Paramètres de l’audit
Les Parties conviennent d’un commun accord de l’étendue, du calendrier et de la durée de l’audit ou de l’inspection.
8.4. Confidentialité
Tous les audits réalisés au titre du présent DPA sont soumis à des obligations de confidentialité. Le Client doit communiquer l’intégralité du rapport d’audit à Adapty et ne doit pas le communiquer à des tiers autres que ses comptables et conseillers juridiques, qui sont tenus à une obligation de confidentialité. Le Client ne doit pas utiliser ce rapport d’audit à d’autres fins que l’évaluation du respect du présent DPA par Adapty.
8.5. Frais
Le Client supporte les frais de cet audit, sauf accord contraire des Parties.
8.6. Fréquence des audits
Le Client ne peut exercer ses droits d’audit plus d’une fois par période de douze (12) mois civils, sauf dans les cas suivants :
8.6.1. si et lorsqu’une autorité de protection des données compétente l’exige ; ou
8.6.2. si cela est nécessaire en lien avec une violation de la sécurité des données à caractère personnel subie par Adapty et/ou des Sous-traitants ultérieurs.
9. Confidentialité
9.1. Adapty prend toutes les mesures raisonnables pour garantir la fiabilité de tout membre du personnel autorisé à traiter des données à caractère personnel, veille à ce que ce personnel soit soumis à des obligations de confidentialité appropriées et agit à tout moment conformément au droit applicable en matière de protection des données.
10. Suppression ou restitution des informations personnelles
10.1 En cas de (i) résiliation du présent DPA, (ii) demande écrite du Client, (iii) cessation, pour Adapty, de la nécessité de traiter les Données à caractère personnel aux fins de l’exécution de ses obligations au titre des Conditions d’utilisation d’Adapty et du présent DPA, ou (iv) renonciation d’Adapty au traitement conformément à l’article 4.4 du présent DPA, Adapty, au choix du Client, supprime, détruit ou restitue au Client l’ensemble des Données à caractère personnel et détruit ou restitue toutes les copies existantes, sauf si le Droit applicable en matière de protection des données impose à Adapty de conserver une copie des Données à caractère personnel pendant une durée de conservation déterminée. À l’expiration de cette durée de conservation, Adapty supprime ou détruit sans délai toutes les Données à caractère personnel restantes.
Pour les profils de Destinataires Adapty Mail, la suppression est effectuée en désidentifiant de manière irréversible les Données à caractère personnel figurant dans le profil et en marquant le profil comme supprimé. L’enregistrement qui en résulte ne peut raisonnablement être utilisé par Adapty, seul ou combiné à d’autres informations dont dispose Adapty, pour identifier ou réidentifier le Destinataire concerné.
Les sauvegardes sont conservées et écrasées conformément au cycle standard de rotation des sauvegardes d’Adapty.
10.2. Si des Données à caractère personnel ont été traitées par des Prestataires, Adapty veille à ce que, dans ce cas, ces Prestataires restituent, suppriment ou détruisent également toutes les Données à caractère personnel qu’ils détiennent conformément aux stipulations du présent article.
11. Droits des consommateurs californiens en matière de vie privée
11.1. Les termes « Informations personnelles », « Consommateur » et les autres termes commençant par une majuscule utilisés dans le présent article 11 ont la signification qui leur est donnée dans le California Consumer Privacy Act of 2018, Cal. Civ. Code §§ 1798.100 et seq., tel que modifié le cas échéant (« CCPA »).
11.2. Il est convenu par les présentes que tout échange de données à caractère personnel entre les Parties est effectué uniquement aux fins de la réalisation d’une finalité commerciale, et qu’Adapty ne reçoit ni ne traite aucune donnée à caractère personnel en contrepartie des Services.
11.3. Par conséquent, le Client est seul responsable du respect du CCPA en ce qui concerne son utilisation des Services. Il incombe au seul Client, qui en répond, de veiller à ce que l’échange ou le transfert de données à caractère personnel des Personnes concernées dans le cadre de la fourniture des Services ne constitue pas une Vente de Données à caractère personnel.
11.4. Adapty ne conserve, n’utilise ni ne transfère de données à caractère personnel à des fins commerciales autres que la fourniture des Services précisés dans les Conditions d’utilisation d’Adapty.
12. Durée
12.1. Le présent DPA prend effet à la date indiquée dans les Conditions d’utilisation d’Adapty. Le présent DPA demeure en vigueur aussi longtemps que les Conditions d’utilisation d’Adapty demeurent en vigueur.
13. Divisibilité
13.1. Si une stipulation du présent DPA est ou s’avère nulle, inefficace ou non exécutoire, en tout ou en partie, la validité, l’efficacité et le caractère exécutoire des autres stipulations du présent DPA n’en sont pas affectés.
13.2. Toute stipulation nulle, inefficace ou non exécutoire est, dans la mesure permise par la loi, réputée remplacée par la stipulation valide, efficace et exécutoire qui reflète le plus fidèlement l’intention et la finalité économiques de la stipulation nulle, inefficace ou non exécutoire quant à son objet, à sa durée, à son lieu et à son champ d’application.
13.3. Cette règle s’applique mutatis mutandis pour combler toute lacune qui pourrait être constatée dans le présent DPA.
14. Intégralité de l’accord
14.1. Les Parties déclarent expressément que le présent DPA (y compris les annexes auxquelles il est fait référence dans les présentes) et les documents auxquels il est fait référence dans les présentes constituent l’intégralité de l’accord entre les Parties et remplacent tous projets, accords, engagements, ententes, conditions et arrangements antérieurs de quelque nature que ce soit entre les Parties, écrits ou non, relatifs à l’objet du présent DPA, nonobstant tout ordre de priorité contraire.
15. Droit applicable et juridiction compétente
15.1. Le DPA est régi par le droit déterminé conformément aux stipulations des Conditions d’utilisation d’Adapty.
15.2. Les Parties se soumettent par les présentes à la juridiction choisie dans le DPA pour tout litige ou toute réclamation, quelle qu’en soit l’origine, découlant du présent DPA, y compris les litiges relatifs à son existence, à sa validité ou à sa résiliation, ainsi qu’aux conséquences de sa nullité.
16. Dispositions diverses
16.1. En cas de conflit ou d’incertitude entre :
16.1.1 toute stipulation du DPA et toute stipulation des Conditions d’utilisation d’Adapty, les stipulations du DPA prévalent ;
16.1.2. toute stipulation du présent DPA et toutes CCT signées, les stipulations des CCT signées prévalent.
Annexe 1. Paramètres du traitement des données
Partie A. Liste des Parties
Responsable du traitement
| Nom | L’identité du Client telle qu’indiquée dans le Contrat, lors de l’inscription ou dans un Bon de commande distinct |
|---|---|
| Adresse | L’adresse du Client indiquée dans le Contrat, lors de l’inscription ou dans un Bon de commande distinct |
| Numéro d’immatriculation officiel | Le numéro d’immatriculation du Client indiqué dans le Contrat ou dans un Bon de commande distinct |
| Nom, fonction et coordonnées de la personne de contact | Le représentant du Client indiqué dans le Contrat ou dans un Bon de commande distinct |
| Rôle | Responsable du traitement |
Sous-traitant
| Nom | Adapty Tech Inc. |
|---|---|
| Adresse | 2093 Philadelphia Pike #9181, Claymont, DE 19703, USA |
| Nom, fonction et coordonnées de la personne de contact | Kirill Potekhin, directeur technique, [email protected] |
| Rôle | Sous-traitant |
Partie B. Description du traitement
| Catégories de personnes concernées | Utilisateurs finaux de la ou des applications mobiles du Client ; visiteurs et utilisateurs des sites web, tunnels de vente web et autres propriétés numériques du Client, ainsi qu’abonnés acquis par leur intermédiaire ; et autres personnes physiques dont le Client fournit licitement les coordonnées à Adapty aux fins de l’envoi de Messages au moyen d’Adapty Mail. |
|---|---|
| Catégories de données à caractère personnel transférées | Les catégories de données à caractère personnel traitées par le Sous-traitant dans le cadre de la fourniture des Services peuvent comprendre les catégories suivantes, en fonction de la configuration et des instructions du Client : |
| i. Informations techniques | Cette catégorie comprend les données techniques relatives à l’appareil utilisé par l’Utilisateur final pour accéder aux services numériques du Client, tels que des jeux ou applications mobiles. Ces informations peuvent comprendre, par exemple, l’adresse IP, le modèle de l’appareil, le système d’exploitation et les paramètres de langue. |
| ii. Identifiants | Cette catégorie comprend divers identifiants associés à l’appareil de l’Utilisateur final ou à l’instance de l’application. Ces identifiants peuvent comprendre, par exemple, l’identifiant publicitaire d’Apple (IDFA), l’identifiant pour les fournisseurs (IDFV), l’identifiant publicitaire de Google et d’autres identifiants similaires. |
| iii. Données d’utilisation | Cette catégorie désigne les informations relatives à la manière dont les Utilisateurs finaux interagissent avec les services du Client. Elle comprend notamment, sans s’y limiter, les événements intégrés à l’application ; les actions des Utilisateurs finaux, telles que les clics sur les publicités du Client ; les affichages (impressions) des publicités du Client ; les horodatages de téléchargement et d’installation de l’application ; les lancements de l’application ; les achats intégrés, y compris l’heure et le montant de l’achat ; ainsi que tous les autres événements ou données d’interaction que le Client choisit de suivre et d’analyser en fonction des caractéristiques de ses services. |
| iv. Coordonnées | Cette catégorie comprend les données à caractère personnel qui identifient directement un Utilisateur final individuel ou se rapportent à celui-ci et qui sont nécessaires à la communication ou à des fonctionnalités propres à l’utilisateur. Ces données peuvent comprendre, par exemple, l’adresse e-mail, le prénom, le nom de famille et d’autres informations que le Client transmet intentionnellement au Sous-traitant. |
| v. Données d’e-mail et de messagerie | Adresse e-mail ; nom ; informations relatives à l’expéditeur et au destinataire ; contenu des messages ; métadonnées des messages ; statut d’abonnement et de consentement ; informations relatives aux désabonnements, plaintes, rebonds et inscriptions en liste de suppression ; données de délivrance, d’ouverture, de clic et d’engagement ; et autres attributs fournis par le Client aux fins de la segmentation, de la personnalisation et de la délivrance des Messages. |
| Transfert de données sensibles (le cas échéant) et restrictions ou garanties appliquées qui tiennent pleinement compte de la nature des données et des risques qu’elles présentent, telles que, par exemple, une stricte limitation des finalités, des restrictions d’accès (notamment un accès réservé aux membres du personnel ayant suivi une formation spécifique), la tenue d’un registre des accès aux données, des restrictions applicables aux transferts ultérieurs ou des mesures de sécurité supplémentaires | Sans objet |
| Nature du traitement (étendue du traitement) | Réception, collecte, enregistrement, organisation, conservation, extraction, consultation, utilisation, segmentation, personnalisation, inscription en liste de suppression, limitation, suppression et, sur instructions documentées du Client, transmission des Messages et des métadonnées associées aux Destinataires. |
| Finalité(s) du traitement des données | Les Données à caractère personnel ne peuvent être traitées qu’aux fins suivantes : la fourniture des Services conformément au Contrat. Le Sous-traitant ne vendra pas les Données à caractère personnel du Client. |
| Durée pendant laquelle les Données à caractère personnel seront traitées ou, lorsque cela n’est pas possible, critères utilisés pour déterminer cette durée | Les Données à caractère personnel seront traitées pendant la durée des Conditions d’utilisation d’Adapty et, par la suite, uniquement pendant la durée nécessaire pour mener à bien leur restitution ou leur suppression conformément à l’article 10 du présent DPA, se conformer au Droit applicable en matière de protection des données, achever les cycles de conservation des sauvegardes applicables ou conserver des informations anonymisées qui ne permettent pas d’identifier une Personne concernée ni, raisonnablement, de la réidentifier. |
Annexe 2. Mesures techniques et organisationnelles, y compris les mesures techniques et organisationnelles visant à garantir la sécurité des données
| Mesures relatives à | Mesure prise (O/N) | Si oui, veuillez fournir des précisions |
|---|---|---|
| Pseudonymisation et chiffrement des données à caractère personnel | O | Les Données à caractère personnel sont chiffrées lors de leur transmission. |
| Garantie de la confidentialité, de l’intégrité, de la disponibilité et de la résilience constantes des systèmes et des services de traitement | O | Toutes les données sont stockées et traitées sur un réseau interne fermé protégé par un pare-feu. Les données sont répliquées en continu sur plusieurs centres de données. Des sauvegardes incrémentielles sont effectuées. |
| Garantie de la capacité à rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci dans des délais raisonnables en cas d’incident physique ou technique | O | Les données sont répliquées en continu sur plusieurs centres de données. Des sauvegardes incrémentielles sont effectuées. |
| Procédures visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles destinées à assurer la sécurité du traitement | O | Tout le code déployé en production fait l’objet d’une revue. Des tests automatisés, y compris des tests de sécurité, font partie du processus de déploiement. Les logiciels tiers sont régulièrement mis à jour vers la dernière version stable, notamment, sans s’y limiter, les systèmes d’exploitation, les bases de données, les caches, les IDE et les services d’orchestration. |
| Identification et autorisation du Client | O | L’autorisation du Client s’effectue au moyen d’une adresse e-mail et d’un mot de passe. Tous les mots de passe sont stockés sous forme chiffrée à l’aide d’un sel aléatoire. |
| Protection des données lors de leur transmission | O | Toutes les données sont transmises sous forme chiffrée à l’aide de certificats SSL/TLS. |
| Protection des données lors de leur stockage | O | Toutes les données sont stockées et traitées sur un réseau interne fermé protégé par un pare-feu. |
| Garantie de la sécurité physique des lieux où les données à caractère personnel sont traitées | O | Des centres de données de niveau Tier 1 sont utilisés pour le stockage et le traitement des données. |
| Journalisation des événements | O | Un système de journalisation distribué est utilisé ; il stocke les données derrière le pare-feu. |
| Configuration du système, y compris la configuration par défaut | O | La configuration du système, y compris la configuration par défaut, est revue et surveillée en continu. Les ports et mots de passe par défaut sont modifiés. |
| Gestion et gouvernance informatiques et sécurité informatique | O | Le Sous-traitant met en œuvre diverses mesures de sécurité de l’infrastructure afin de protéger les informations du Client contre tout accès non autorisé, toute perte, toute altération, les virus, les chevaux de Troie et autres codes malveillants similaires. Ces mesures comprennent : • La mise à jour régulière des systèmes d’exploitation, du matériel et des logiciels tiers afin de corriger les vulnérabilités de sécurité. • L’utilisation de pare-feu et de systèmes de prévention des intrusions (IPS) pour restreindre l’accès aux serveurs et les protéger. • La sécurisation des communications d’accès à distance au moyen d’une authentification multifacteur. • La sauvegarde des données du Client selon un calendrier de rotation quotidien. |
| Certification/garantie des processus et des produits | O | Oui. Adapty dispose d’une attestation SOC 2 Type II couvrant l’efficacité opérationnelle de ses contrôles en matière de sécurité, de disponibilité et de confidentialité. Le rapport SOC 2 Type II en vigueur est mis à la disposition des Clients et des Clients potentiels, sur demande, dans le cadre d’un accord de confidentialité. |
| Garantie de la minimisation des données | O | La collecte de données est limitée aux informations personnelles nécessaires à la fourniture des Services. Les informations personnelles ne sont pas utilisées à des fins non précisées dans l’Accord de traitement des données et le Contrat, et ne sont conservées que pendant la durée nécessaire à la réalisation de ces finalités. |
| Assurance de la qualité des données | O | Le Client peut demander la modification ou la suppression des données des Utilisateurs finaux. |
| Limitation de la conservation des données | O | Les Données à caractère personnel sont conservées conformément aux conditions contractuelles convenues avec le Client et conformément au droit applicable. |
| Garantie de la responsabilité | O | Les Données à caractère personnel sont associées logiquement à un Client déterminé et ne sont pas partagées entre des clients non liés. Les événements et journaux d’audit relatifs à l’accès à la plateforme et aux systèmes sont enregistrés, surveillés et examinés périodiquement. |
| Garantie de la portabilité et de l’effacement des données | O | Le Sous-traitant prend en charge la portabilité et la suppression des données sur demande écrite du Client, sous réserve des stipulations du Contrat et du droit applicable. |
Annexe 3. Liste des sous-traitants ultérieurs
Le Client a autorisé le recours aux sous-traitants supplémentaires suivants :
| Nom | Adresse | Description du traitement |
|---|---|---|
| Amazon Web Services, Inc. | 410 Terry Avenue North, Seattle, WA 98109-5210, USA | Infrastructure d’hébergement cloud et infrastructure d’envoi d’e-mails, y compris la transmission des Messages e-mail et le traitement des métadonnées relatives à leur délivrance. |
| OVH US, LLC | 11480 Commerce Park Dr, Ste 500, Reston, VA 20191-1556, USA | Infrastructure d’hébergement cloud |
| Cloudflare, Inc. | 101 Townsend St, San Francisco, CA 94107, USA | Infrastructure de diffusion de contenu et de mise en cache |
Annexe 4. Conditions des CCT
Les stipulations des clauses contractuelles types de l’UE figurant à l’annexe de la décision d’exécution (UE) 2021/914 de la Commission du 4 juin 2021 (les « CCT de l’UE ») sont intégrées par référence dans l’Accord de traitement des données comme suit :
1. Module applicable
Le module applicable au transfert des Données à caractère personnel du Responsable du traitement provenant de l’UE au titre du Contrat est le module 2 – « Transfert de responsable du traitement à sous-traitant ».
2. Options retenues
Les options suivantes sont retenues lorsque la décision d’exécution (UE) 2021/914 de la Commission permet de choisir entre plusieurs options dans les CCT de l’UE :
| Stipulation des CCT | Option retenue / précision |
|---|---|
| Point 7 : Clause d’adhésion | La clause d’adhésion facultative ne s’applique pas. |
| Point 9 : Recours à des sous-traitants ultérieurs | Option 2. Le délai est de 30 jours ouvrés. |
| Point 11 : Voies de recours / Réparation | La stipulation facultative ne s’applique pas. |
| Clause 17 : Droit applicable | Option 1. Le droit irlandais. |
| Section 18 : Élection de for et juridiction | Les juridictions irlandaises. |
3. L’Annexe IA des CCT est réputée complétée comme suit :
- L’exportateur de données est le Client, et les informations relatives à l’exportateur de données sont celles indiquées à l’Annexe 1 (Partie A) du DPA.
Activités se rapportant aux données transférées au titre des CCT : le transfert de Données à caractère personnel par l’exportateur de données à l’importateur de données afin de permettre à l’importateur de données de traiter ces Données à caractère personnel pour le compte de l’exportateur de données et de fournir les Services conformément aux Conditions d’utilisation d’Adapty. - L’importateur de données est Adapty, et les informations relatives à Adapty sont celles indiquées à l’Annexe 1 (Partie A) du DPA.
Les activités se rapportant aux données transférées au titre des CCT sont les suivantes : la réception de Données à caractère personnel de l’exportateur de données aux fins de la fourniture des Services conformément aux Conditions d’utilisation d’Adapty.
4. L’Annexe IB des CCT correspond à l’Annexe 1 du DPA ; en outre, les informations suivantes sont ajoutées pour compléter l’Annexe IB : la fréquence de transmission est continue.
5. L’Annexe IC est complétée comme suit : Autorité de contrôle de la République d’Irlande.
6. L’Annexe II des CCT correspond à l’Annexe 2 du DPA.
7. L’Annexe III des CCT correspond à l’Annexe 3 du DPA.
Dernière mise à jour :
