Conformément aux conditions d’utilisation (les « Conditions »), Smartsupp met à votre disposition le Service tel que défini dans les Conditions, en tant qu’utilisateur du Service. La relation entre Smartsupp et l’utilisateur repose sur un processus d’inscription en ligne de l’utilisateur, ou sur un contrat écrit ou électronique auquel les Conditions sont annexées ; l’ensemble constituant un accord entre vous et Smartsupp (l’« Accord »). Le présent addendum relatif au traitement des données (le « DPA ») fait partie intégrante de l’Accord.

Les termes commençant par une majuscule ont, sauf mention contraire dans ce DPA, la signification qui leur est attribuée dans les Conditions ou dans toute autre annexe citée dans les Conditions.

Smartsupp conclut le présent DPA dans le respect de la législation applicable en matière de protection des données, telle que le Règlement 2016/679 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l’égard du traitement des données personnelles et à la libre circulation de ces données (« RGPD »), la Data Protection Act 2018, le CCPA/CPRA ou toute autre législation sur la vie privée en vigueur pendant la fourniture du Service au titre de l’Accord (« lois sur la confidentialité applicables »).

Lorsque le présent DPA précise que Smartsupp agit en qualité de sous-traitant des données à caractère personnel, il faut l’entendre au sens du terme « sous-traitant » tel que défini par le RGPD, ou par tout terme équivalent dans d’autres législations sur la confidentialité applicables (par exemple, « fournisseur de service » au sens du CCPA). De la même façon, lorsque le DPA indique que vous agissez en tant que responsable du traitement, il doit être entendu selon la définition du « responsable du traitement » du RGPD, ou selon tout autre équivalent dans la législation applicable (par exemple, « entreprise » au sens du CCPA).

Ce document a été divisé en plusieurs sections :

1.1 Traitement des données personnelles en qualité de sous-traitant. Smartsupp peut traiter des données personnelles pour le compte de l’utilisateur dans le cadre de la fourniture du Service, et agit alors en tant que sous-traitant (ou sous-traitant secondaire) à l’égard de l’utilisateur.

Les opérations de traitement effectuées par Smartsupp résultent de l’inscription, de l’Accord ou de toute demande consignée provenant de l’utilisateur durant la prestation du Service par le biais de la plateforme accessible via https://www.smartsupp.com (la « Plateforme »).

1.2 Autorisation de traitement. Par le présent document, l’utilisateur autorise Smartsupp à traiter, conformément au Service et à ce DPA, les données personnelles des personnes concernées qui lui sont transmises. Smartsupp traitera les données personnelles de l’utilisateur dans le strict respect de ses instructions documentées, et uniquement dans la mesure nécessaire à la bonne exécution des obligations de Smartsupp découlant de l’Accord.

1.3 Responsabilité de l’utilisateur. Lorsqu’il agit en tant que sous-traitant, Smartsupp intervient sous la responsabilité du responsable du traitement, à savoir l’utilisateur, qui est tenu de se conformer à toutes les obligations applicables au traitement des données personnelles. Parmi ces obligations figurent notamment l’information appropriée des personnes concernées, l’obtention du consentement au traitement lorsque requis, ainsi que le traitement des demandes relatives à l’exercice des droits des personnes concernées (tels que le droit à l’information, d’accès, de rectification, d’effacement, de limitation du traitement, d’opposition, etc.). Smartsupp accompagnera l’utilisateur dans l’accomplissement de ces obligations, soit via la Plateforme, soit en réponse à une demande documentée de l’utilisateur. Cependant, Smartsupp n’assume aucune responsabilité quant à la conformité et à la légalité des activités réalisées par l’utilisateur, y compris toute action susceptible de contrevenir aux lois sur la confidentialité ou à toute autre règlementation du pays d’utilisation du Service.

2.1 Objet du traitement. L’objet du traitement des données personnelles décrit ci-après par Smartsupp est la fourniture du Service précisé dans l’Accord, notamment la gestion des données personnelles dans le cadre de l’utilisation des fonctionnalités proposées sur notre site web.

2.2 Types de données personnelles. Dans le cadre de la réalisation de l’Accord et de la fourniture du Service, les catégories ci-après de données personnelles peuvent être traitées conformément au présent DPA :

a) informations de contact telles que nom, prénom, adresse e-mail, numéro de téléphone ou identifiant de compte sur un réseau social,

b) informations relatives à la visite du site web de l’utilisateur, comme l’URL visitée, la date et l’heure de la consultation, des données techniques (résolution d’écran, type d’appareil utilisé, type de navigateur, système d’exploitation, etc.), l’adresse IP, les données de localisation (pays et ville de connexion),

c) contenus échangés dans les conversations entre utilisateurs et clients ou autres utilisateurs durant l’utilisation du Service,

d) journaux techniques et autres informations issues de l’utilisation du Service par les utilisateurs (collectées grâce à des outils tiers),

e) autres données personnelles importées ou utilisées par l’utilisateur, ou

f) toutes autres données personnelles dont le type, l’étendue ou le détail relèvent du choix de l’utilisateur dans le cadre de l’utilisation du Service.

L’étendue des données personnelles traitées dépendra des fonctionnalités du Service sélectionnées et utilisées par l’utilisateur. Le Service n’est pas conçu pour stocker des catégories particulières de données personnelles. L’utilisateur ne doit pas utiliser le Service à cette fin. Si l’utilisateur procède tout de même à ce type de traitement, Smartsupp ne saurait en être tenu responsable.

2.3 Catégories de personnes concernées. Smartsupp traitera les données personnelles des catégories suivantes de personnes :

a) employés (et autres collaborateurs et personnes agissant pour le compte de l’utilisateur),

b) personnes pour lesquelles un compte a été créé dans le Service par l’utilisateur,

c) clients et autres utilisateurs finaux de l’utilisateur, bénéficiaires du Service,

d) visiteurs du site web de l’utilisateur,

e) toute autre personne dont les données personnelles ont été transmises à Smartsupp dans le cadre de la fourniture du Service, et dont les données personnelles sont collectées ou traitées conformément à la prestation délivrée.

3.1 Nature du traitement. Smartsupp procédera au traitement des données personnelles de manière automatisée et électronique ; ces opérations incluront l’accès, la consultation et la conservation des données, ainsi que toute autre action essentielle à la bonne fourniture du Service à l’utilisateur. La nature du traitement découle :

a) de l’Accord conclu entre les Parties,

b) des demandes émises par l’utilisateur ou les personnes autorisées sur la Plateforme,

c) de la nature inhérente au Service et à la Plateforme,

d) de toute autre instruction consignée, transmise par l’utilisateur.

3.2 Finalité du traitement. Le traitement a pour but de fournir le Service à l’utilisateur, selon les Conditions, ainsi que pour toute autre finalité découlant de la réalisation du Service.

4.1 Durée du traitement. Les données personnelles seront traitées pendant la durée de l’Accord, ou tant que Smartsupp reçoit des instructions de l’utilisateur dans le cadre de l’exécution du Service. Smartsupp s’engage à respecter les obligations légales en matière de protection des données pendant toute la durée de l’Accord, à l’exception des dispositions destinées à s’appliquer au-delà de sa terminaison, telles qu’expressément prévues par l’Accord.

4.2 Restitution et suppression des données personnelles. À l’issue de l’Accord, et dans la limite permise par les lois applicables, Smartsupp supprimera toutes les données personnelles stockées aux fins de la fourniture du Service dans les 3 mois suivant la résiliation. Si l’utilisateur demande la restitution des données dans ce délai, Smartsupp pourra demander une rémunération raisonnable, après information préalable.

5.1 Obligations de Smartsupp. Lors du traitement des données personnelles, Smartsupp s’engage à :

a) traiter les données uniquement selon les instructions documentées de l’utilisateur ; le traitement requis par l’Accord est réputé conforme aux instructions,

b) respecter les indications de l’utilisateur en matière de transfert des données en dehors de l’Union européenne ou vers une organisation internationale, sauf si une obligation prévue par le droit de l’Union ou d’un État membre l’impose,

c) garantir que toute personne autorisée à traiter les données personnelles est soumise à une obligation légale ou contractuelle de confidentialité,

d) dans la mesure du possible, et compte tenu de la nature du traitement, assister l’utilisateur par des mesures techniques et organisationnelles à satisfaire ses obligations concernant l’exercice des droits des personnes concernées ; les modalités relatives à ces demandes sont détaillées à l’article 5.2,

e) apporter son assistance à l’utilisateur afin que celui-ci (i) maintienne un niveau approprié de sécurité, (ii) signale les violations de données à l’Autorité compétente et, lorsque requis, aux personnes concernées, (iii) réalise l’analyse d’impact sur la protection des données, et (iv) effectue la consultation préalable auprès de l’Autorité, en lien avec la nature du traitement et des données concernées,

f) permettre à l’utilisateur ou à la personne mandatée d’effectuer des vérifications (audit ou inspection) du respect du présent DPA, notamment des obligations liées au traitement des données, et collaborer selon des instructions raisonnables ; les modalités applicables aux audits figurent aux articles 5.3 et 5.4,

g) fournir à l’utilisateur toute information aisément accessible permettant de démontrer le respect des obligations découlant de la législation en matière de protection des données.

5.2 Demandes des personnes concernées. Si une personne concernée contacte directement Smartsupp, il sera informé qu’il doit adresser sa demande à l’utilisateur. Smartsupp mettra en œuvre tous moyens raisonnablement envisageables pour accompagner l’utilisateur dans la réponse à la demande, dans la limite de ce qui lui est permis par la loi. L’utilisateur assumera la charge financière de cette assistance, et il lui incombera de répondre légalement à la demande.

5.3 Modalités de l’audit. Toute demande d’audit devra être adressée exclusivement à dpo@smartsupp.com à des intervalles raisonnables. À réception de la demande, les parties conviendront à l’avance (i) d’une date pour l’audit, (ii) de la gestion de la sécurité et de la confidentialité pendant l’audit, ainsi que (iii) du début, de la portée et de la durée de l’audit à venir. Si aucun accord n’est atteint dans les 30 jours, Smartsupp définira unilatéralement les conditions applicables à l’audit.

5.4 Auditeur. Smartsupp pourra formuler une opposition écrite à la personne désignée comme auditeur, si à son avis celle-ci n’est pas suffisamment qualifiée, pas indépendante, en situation de concurrence avec Smartsupp ou manifestement inappropriée. En cas d’opposition, l’utilisateur devra désigner un autre auditeur ou procéder lui-même à l’audit. Toute non-conformité constatée lors d’un audit sera signalée rapidement par l’utilisateur à Smartsupp.

5.5 Portée de l’audit. L’audit mené par l’utilisateur porte uniquement sur les documents et procédures directement liés à l’utilisation du Service par cet utilisateur.

5.6 Sous-traitants secondaires. L’utilisateur autorise le recours de Smartsupp à d’autres sous-traitants secondaires pour le traitement des données personnelles. Selon le Service sélectionné ou demandé, Smartsupp peut collaborer avec d’autres sous-traitants secondaires ou transmettre des données à d’autres destinataires. L’utilisateur reconnaît que Smartsupp a recours aux sous-traitants listés à l’adresse suivante : https://help.smartsupp.com/fr/articles/12647685

5.7 Opposition à de nouveaux sous-traitants secondaires. Smartsupp informera l’utilisateur par écrit ou par une mise à jour de la liste des sous-traitants secondaires avant toute implication d’un nouveau sous-traitant. L’utilisateur peut s’y opposer dans un délai de 10 jours ouvrés à réception de la notification. Passé ce délai, le nouveau sous-traitant pourra intervenir. En cas d’opposition justifiée, Smartsupp peut adapter la configuration de l’utilisateur ou le Service pour éviter l’intervention de ce sous-traitant, ou, si cela s’avère impossible, résilier le Service lié dans l’Accord sans pénalité, et procédera au remboursement au prorata des montants payés d’avance pour la période résiliée.

5.8 Obligations des sous-traitants secondaires. Smartsupp veille à ce que tout sous-traitant secondaire auquel il fait appel s’engage contractuellement à respecter les mêmes niveaux d’exigences en matière de protection des données et à mettre en œuvre les mesures techniques et organisationnelles nécessaires.

5.9 Responsabilité des sous-traitants secondaires. Smartsupp répond des agissements ou omissions de ses sous-traitants secondaires comme si les prestations étaient réalisées par Smartsupp lui-même, sauf mention contraire dans l’Accord.

5.10 Coûts afférents à l’exécution du DPA. Sauf disposition écrite contraire, chaque partie supporte ses propres coûts liés à l’application du DPA. Smartsupp se réserve le droit de facturer à l’utilisateur tout frais raisonnable lié à l’exécution des demandes ou d’autres obligations au titre du DPA.

6.1 Obligation de sécurisation. Smartsupp a mis en place et maintient des mesures techniques et organisationnelles pour prévenir tout accès non autorisé ou accidentel, toute modification, destruction ou perte de données personnelles, toute transmission non autorisée, tout traitement illégal ou utilisation abusive. La conformité à ces mesures est vérifiée régulièrement.

6.2 Mesures de sécurité spécifiques. Smartsupp veille à garantir la sécurité par la mise en œuvre des mesures suivantes :

Mesures techniques :

a) Pseudonymisation et chiffrement :

la Plateforme où seront traitées les données n’utilise que des canaux ou protocoles réseau sécurisés pour les connexions entrantes ; Smartsupp chiffre les transferts avec SSL/TLS,

les systèmes informatiques traitant des données personnelles fonctionnent avec des protocoles sécurisés,

les clés de cryptage sont rigoureusement gérées.

b) Confidentialité, intégrité, disponibilité et résilience :

l’accès physique par le personnel de Smartsupp est limité aux personnes autorisées,

Smartsupp a instauré des dispositifs limitant l’accès physique ou en ligne aux serveurs hébergeant les données personnelles,

prévention contre tout accès ou usage non autorisé des données,

seules les personnes autorisées accèdent/traitent les seules données pour lesquelles elles ont un droit, et aucune donnée personnelle ne peut être lue, copiée, modifiée ou supprimée sans autorisation pendant le traitement,

l’accès est soumis à une authentification renforcée (mots de passe robustes par exemple),

les droits d’accès font l’objet de contrôles périodiques,

toutes les tentatives d’accès, qu’elles réussissent ou échouent, sont consignées et surveillées,

le personnel de Smartsupp n’est pas autorisé à télécharger ou traiter localement des données personnelles,

tout incident ou anomalie sur la Plateforme est consigné.

c) Restauration de l’accès et disponibilité :

mises en place de processus, mécanismes et outils de sauvegarde,

la restauration, l’intégrité ainsi que la lisibilité des sauvegardes sont testées régulièrement.

d) Smartsupp réalise périodiquement des tests et évaluations de l’efficacité des mesures de sécurité techniques et organisationnelles mises en place.

e) Les données personnelles ne peuvent être modifiées ou supprimées sans autorisation lors du transport, de la transmission ou du stockage ; les destinataires de données sont identifiables, et leur identité vérifiable.

Mesures organisationnelles :

f) L’ensemble du personnel intervenant sur le traitement des données personnelles est sensibilisé à leur caractère confidentiel, a été formé à ses obligations et a signé un engagement de confidentialité écrit.

g) Smartsupp a instauré des procédures internes garantissant un traitement sécurisé des données, en phase avec les lois sur la confidentialité applicables.

h) Pour toute question relative à ce DPA, à la conformité, à la protection des données ou à la vie privée, le client peut s’adresser par e-mail à dpo@smartsupp.com.

6.3 Gestion d’incident. En cas de découverte d’une violation de données personnelles, Smartsupp informera l’utilisateur dans les meilleurs délais, et au plus tard dans les 48 heures suivant la prise de connaissance, en fournissant dans la mesure du possible toutes les informations disponibles sur l’incident, notamment :

Smartsupp s’engage à apporter l’assistance demandée par l’utilisateur en cas d’incident de sécurité sans délai anormal.

6.4 Instructions illicites. Si l’utilisateur fournit à Smartsupp des instructions entraînant une violation de la législation sur la protection des données, et que Smartsupp est mis en cause, sanctionné ou condamné à verser des indemnités à des personnes concernées du fait de ces instructions, l’utilisateur indemnisera Smartsupp pour tout préjudice subi, sur notification écrite.

6.5 Limitation de responsabilité. Les mêmes limites de responsabilité que celles définies dans les Conditions s’appliquent à ce DPA.

6.6 Modifications. Les règles de modification prévues dans les Conditions s’appliquent également ici.

6.7 Entrée en vigueur. Le présent DPA prend effet contractuel entre l’utilisateur et Smartsupp concomitamment à l’Accord.