Accord de sous-traitance des données

Cet accord fait partie des conditions générales de vente et de la licence d’utilisation de Secuenza et est accepté avec elles. Il régit le traitement que Tude effectue, pour le compte du client, des données des destinataires de ses e-mails, conformément à l’article 28 du règlement (UE) 2016/679 (RGPD).

1. Parties

• Responsable du traitement : le client qui utilise Secuenza et décide à qui il écrit et pourquoi.
• Sous-traitant : TUDE CONSULTORES INFORMÁTICOS, S.L. (« Tude »), NIF B71466502, Avda. Zaragoza, 67 · 31500 Tudela (Navarre), Espagne.

2. Ce que Tude traite et pourquoi

Les contacts et les e-mails du client sont sur son PC : Tude ne les reçoit pas. Pour que le client sache ce que deviennent ses e-mails, le logiciel ajoute à chacun un pixel d’ouverture, des liens et un lien de désinscription qui pointent vers le service de suivi de Tude (secuenza.eu). Pour le compte du client, Tude :

• enregistre les ouvertures, les clics et les désinscriptions, et les transmet au logiciel du client ;
• fournit la version de chaque e-mail pour le « voir dans le navigateur » ;
• fournit la page de désinscription avec le nom, le logo et la couleur du client ;
• reçoit les inscriptions qui arrivent par le formulaire du site du client ou de son système par l’API, et les conserve jusqu’à ce que le logiciel du client les récupère ;
• conserve et fournit les images que le client importe pour ses e-mails ;
• conserve une copie de sauvegarde des empreintes des adresses désinscrites, pour que le client ne perde pas sa liste d’exclusion ;
• si le client l’envoie depuis Aide, traite le diagnostic du logiciel pour lui fournir une assistance.

Tude ne conserve pas les adresses e-mail des destinataires. Chaque événement est associé à un code aléatoire que seul le logiciel du client sait relier à un contact. La seule exception concerne les inscriptions : les données de la personne qui s’inscrit ne sont conservées que de passage, jusqu’à ce que le logiciel du client les récupère.

3. Personnes concernées et données

• Personnes concernées : les destinataires des e-mails du client, et les personnes qui s’inscrivent à ses campagnes par un formulaire ou par l’API.
• Données : le code de l’envoi ; le type d’événement et sa date ; si l’ouverture était automatique (comme le font certains fournisseurs de messagerie) ; le type d’appareil (mobile ou ordinateur) ; le lien cliqué ; le motif de la désinscription, si le destinataire l’indique ; les empreintes (SHA-256) des adresses désinscrites ; et le contenu des e-mails pour « voir dans le navigateur », dans leur version générale, sans les données de chaque destinataire. Dans les diagnostics, les entrées de journal du logiciel, avec les adresses e-mail masquées. Pour les inscriptions, les données fournies par la personne qui s’inscrit ou envoyées par le système du client (l’adresse e-mail, le nom et les autres coordonnées), la page du formulaire sans ses paramètres, si elle a accepté de recevoir les e-mails et la date.
• L’adresse IP et le navigateur des destinataires et des personnes qui s’inscrivent ne sont pas conservés.
• Aucune catégorie particulière de données n’est traitée. Le client ne doit pas en inclure dans ses e-mails.

4. Durée

• Événements : jusqu’à ce que le logiciel du client les récupère, et 90 jours au maximum.
• Désinscriptions, pour le contrôle des abus : le code de l’e-mail, la date et si le motif était « Je ne me souviens pas de m’être inscrit », 90 jours.
• Versions pour le navigateur : tant que l’e-mail fait partie d’une campagne du client.
• Empreintes des désinscriptions : tant que l’installation existe.
• Diagnostics : 30 jours.
• Inscriptions : jusqu’à ce que le logiciel du client les récupère, et 30 jours au maximum.
• Images des e-mails : jusqu’à ce que le client les supprime ou que la relation prenne fin.

À la fin de la relation, Tude supprime dans un délai de 30 jours ce qu’il conserve pour le compte du client, sauf si la loi impose de le garder. À la demande du client, Tude certifiera la suppression.

5. Obligations de Tude

Tude s’engage à :

• traiter les données uniquement pour ce qui est décrit dans cet accord et selon les instructions du client, qui se concrétisent par l’utilisation du logiciel ; si une instruction lui semble contraire au RGPD, il en informera le client ;
• garantir que les personnes autorisées à traiter les données se sont engagées à la confidentialité ;
• appliquer les mesures de sécurité de la section 8 ;
• ne pas faire appel à d’autres sous-traitants sans l’autorisation du client, conformément à la section 7 ;
• aider le client à répondre aux demandes des personnes concernées (section 10) et à respecter ses obligations de sécurité, de notification des violations et d’analyse d’impact ;
• supprimer les données à la fin, conformément à la section 4 ;
• mettre à la disposition du client les informations nécessaires pour démontrer sa conformité, et permettre des audits avec un préavis de 30 jours. Le coût de l’audit est à la charge du client, sauf s’il révèle un manquement grave de Tude.

6. Obligations du client

Le client s’engage à :

• disposer d’une base légale pour écrire à chaque destinataire et pour le suivi de ses e-mails ;
• informer ses destinataires du traitement, conformément aux articles 13 et 14 du RGPD ;
• respecter les désinscriptions et ne pas écrire de nouveau à ceux qui se sont désinscrits ;
• ne pas inclure de catégories particulières de données dans ses e-mails ;
• respecter la politique d’utilisation acceptable.

7. Autres sous-traitants (sous-traitants ultérieurs)

Le client autorise Tude à faire appel aux sous-traitants ultérieurs figurant en annexe. Tude informera de tout changement 30 jours à l’avance, et le client pourra s’y opposer dans un délai de 15 jours ; à défaut de solution, il pourra résilier son abonnement sans pénalité. Tude imposera à chaque sous-traitant ultérieur les mêmes obligations que le présent accord et répondra de leur respect.

8. Mesures de sécurité

• Connexions chiffrées (HTTPS) sur tous les services.
• Aucune adresse de destinataire sur le serveur : des codes aléatoires et des empreintes cryptographiques. Les inscriptions, uniquement jusqu’à ce que le logiciel du client les récupère.
• Liens de suivi signés, pour que personne ne puisse les utiliser pour rediriger ailleurs.
• Requêtes du logiciel signées avec une clé propre à chaque installation.
• Accès à la base de données restreint, et double authentification obligatoire pour l’administration.
• Journaux techniques sans données personnelles, supprimés après 14 jours.
• Suspension des installations qui abusent du service, pour protéger tous les clients.

Tude revoit ces mesures lorsque les risques ou l’état de la technique évoluent.

9. Violations de sécurité

Tude informera le client sans retard injustifié, et au plus tard 48 heures après en avoir pris connaissance, de toute violation de sécurité affectant ces données. Il lui dira ce qui s’est passé, quelles données et quelles personnes sont concernées, les conséquences possibles et ce qui a été fait pour y remédier, et l’aidera à la notifier à l’autorité de contrôle lorsque c’est nécessaire.

10. Droits des personnes concernées

Le lien de désinscription de chaque e-mail fonctionne toujours, même si l’installation du client est suspendue. Si un destinataire s’adresse à Tude pour exercer d’autres droits, Tude en informera le client dans un délai maximal de 48 heures et ne lui répondra pas directement, sauf si le client le lui demande.

11. Transferts internationaux

Les données sont traitées dans l’Union européenne. Tude ne les transférera pas hors de l’Espace économique européen sans l’autorisation du client et sans les garanties exigées par le RGPD.

12. Durée de l’accord

Cet accord reste en vigueur tant que le client utilise Secuenza et tant que Tude conserve des données pour son compte.

13. Contact

Pour toute question sur cet accord : info@secuenza.com.

Annexe · Sous-traitants ultérieurs

Sous-traitant ultérieur	Ce qu’il fait	Données	Où
MonsterASP.NET (Prague, République tchèque)	Hébergement du service de suivi, des services du logiciel et de la base de données	Toutes celles décrites à la section 3	Union européenne

Langue

Ce texte est une traduction. En cas de divergence, la version espagnole fait foi.