Conformément aux Conditions d’utilisation (les «Conditions»), Smartsupp vous fournit le Service tel que stipulé dans les Conditions, en votre qualité d’utilisateur du Service. La relation entre Smartsupp et l’utilisateur repose ainsi sur une procédure d’inscription en ligne de l’utilisateur ou sur un contrat écrit ou électronique auquel les Conditions sont jointes, l’ensemble constituant un accord entre vous et Smartsupp (le "Contrat"). Le présent avenant relatif au traitement des données (ci-après le "DPA") fait partie intégrante du Contrat.

Les termes commençant par une majuscule ont le sens qui leur est attribué dans les Conditions ou dans toute autre annexe mentionnée dans les Conditions, sauf disposition contraire du présent DPA.

Smartsupp conclut le présent DPA conformément aux lois applicables en matière de protection des données, telles que le règlement 2016/679 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données («RGPD”) , la loi Data Protection Act 2018 ou le CCPA/CPRA, ainsi qu’aux autres lois relatives à la confidentialité applicables pendant la fourniture du Service au titre du Contrat («lois applicables relatives à la confidentialité”).

Lorsque le présent DPA stipule que Smartsupp agit en qualité de sous-traitant de données à caractère personnel, ce terme a le sens attribué au « sous-traitant » dans le RGPD et aux termes équivalents dans les autres lois applicables relatives à la confidentialité (par exemple, « prestataire de services » tel que défini dans le CCPA). Lorsque le présent DPA stipule que vous agissez en qualité de responsable du traitement des données à caractère personnel, ce terme a le sens attribué au « responsable du traitement » dans le RGPD et aux termes équivalents dans les lois applicables relatives à la confidentialité (par exemple, « entreprise » telle que définie dans le CCPA).

Nous avons divisé cet article en plusieurs sections :

1.1 Traitement des données à caractère personnel en qualité de sous-traitant.Smartsupp peut traiter des données à caractère personnel pour le compte de l’utilisateur lorsque le Service lui est fourni et agit alors en qualité de sous-traitant de données à caractère personnel (ou de sous-traitant ultérieur) à l’égard de l’utilisateur.

Les activités de traitement effectuées par Smartsupp découlent de l’inscription, du Contrat ou des demandes documentées formulées par l’utilisateur pendant la fourniture du Service via la plateforme accessible à l’adresse https://www.smartsupp.com (la «Plateforme”).

1.2 Autorisation de traiter des données à caractère personnel.L’utilisateur autorise par les présentes Smartsupp à traiter les données à caractère personnel des personnes concernées fournies par l’utilisateur conformément au Service, comme prévu dans le présent DPA. Smartsupp traitera les données à caractère personnel pour l’utilisateur selon ses instructions documentées et uniquement dans la mesure nécessaire à la bonne exécution des obligations de Smartsupp au titre du Contrat.

1.3 Responsabilité de l’utilisateur. Smartsupp agissant en qualité de sous-traitant des données à caractère personnel, l’utilisateur agit en qualité de responsable du traitement et est donc responsable du respect de toutes les obligations liées au traitement des données à caractère personnel. Ces obligations comprennent notamment l’information adéquate des personnes concernées sur le traitement des données à caractère personnel, l’obtention de leur consentement au traitement, si nécessaire, et le traitement des demandes des personnes concernées relatives à l’exercice de leurs droits (tels que les droits à l’information, à l’accès, à la rectification, à l’effacement, à la limitation du traitement, à l’opposition, etc.). Smartsupp aidera l’utilisateur à remplir ces obligations via la Plateforme ou sur la base de demandes documentées de l’utilisateur. Toutefois, Smartsupp n’est en aucun cas responsable de l’exactitude et de la légalité des activités de l’utilisateur, y compris de toute activité susceptible d’enfreindre la législation relative à la confidentialité ou toute autre législation en vigueur dans le pays depuis lequel l’utilisateur utilise le Service.

2.1 Objet du traitement. Le traitement par Smartsupp des données à caractère personnel définies ci-dessous a pour objet la fourniture du Service telle que prévue dans le Contrat, en particulier le traitement des données à caractère personnel lorsque vous utilisez les fonctionnalités de notre Service décrites sur le Site web.

2.2 Types de données à caractère personnel. Dans le cadre de l’exécution des obligations au titre du Contrat et de la fourniture du Service, les types de données à caractère personnel suivants peuvent être traités conformément au présent DPA :

a) les coordonnées, telles que le prénom, le nom, l’adresse email, le numéro de téléphone ou les coordonnées d’un compte de réseau social,

b) les informations relatives aux visites du site web de l’utilisateur, telles que l’URL du site web visité, la date et l’heure de la visite, les informations techniques (résolution de l’écran, type d’appareil, type de navigateur, système d’exploitation, etc.), l’adresse IP, les données de géolocalisation (pays et ville depuis lesquels l’utilisateur a consulté votre site web),

c) les informations contenues dans les conversations entre les utilisateurs et les clients ou d’autres utilisateurs lors de l’utilisation des fonctionnalités du Service,

d) les journaux techniques et autres informations concernant les utilisateurs du Service (Smartsupp utilise des outils tiers pour recueillir ces informations),

e) les autres données à caractère personnel téléversées ou utilisées de toute autre manière par l’utilisateur, ou

f) les données à caractère personnel dont le type, l’étendue et les détails sont déterminés et contrôlés par l’utilisateur à sa seule discrétion pendant la fourniture du Service.

L’étendue des données à caractère personnel dépend du type de fonctionnalités du Service utilisées par l’utilisateur. Le Service n’est pas destiné à stocker des catégories particulières de données à caractère personnel. L’utilisateur ne doit pas utiliser le Service pour stocker ou traiter des catégories particulières de données à caractère personnel. Si l’utilisateur les traite au moyen du Service, Smartsupp décline toute responsabilité pour ce traitement.

2.3 Catégories de personnes concernées. Smartsupp traitera des données à caractère personnel concernant les catégories de personnes concernées suivantes :

a) les employés de l’utilisateur (ainsi que les autres travailleurs et personnes agissant pour le compte de l’utilisateur) ;

b) les personnes pour lesquelles l’utilisateur a créé un compte au sein du Service ;

c) les clients et autres utilisateurs de l’utilisateur auxquels le Service est fourni ;

d) les visiteurs du site web de l’utilisateur ;

e) les autres personnes dont les données à caractère personnel ont été fournies à Smartsupp par l’utilisateur pendant la fourniture du Service et dont les données à caractère personnel ont été enregistrées ou autrement traitées dans le cadre de la fourniture du Service à l’utilisateur.

3.1 Nature du traitement des données à caractère personnel. Smartsupp traitera les données à caractère personnel de manière automatisée et électronique. Le traitement consistera à accéder aux données à caractère personnel dans le cadre de la fourniture du Service, à les consulter, à les stocker et à effectuer d’autres activités pouvant correspondre à la fourniture du Service à l’utilisateur. La nature du traitement des données à caractère personnel découle :

a) du Contrat conclu par les Parties ;

b) des demandes de l’utilisateur ou d’autres utilisateurs autorisés utilisant la Plateforme pour le compte de l’utilisateur ;

c) de la nature du Service et de la Plateforme ;

d) de toute autre instruction documentée fournie par l’utilisateur.

3.2 Finalité du traitement. Le traitement a pour finalité de fournir à l’utilisateur le Service tel que défini dans les Conditions, ainsi que de répondre à d’autres finalités pouvant découler de la fourniture du Service.

4.1 Durée du traitement des données à caractère personnel.Le traitement des données à caractère personnel sera effectué pendant la durée du Contrat ou aussi longtemps que Smartsupp recevra des instructions de l’utilisateur dans le cadre de l’exécution du Contrat. Smartsupp s’engage à respecter les obligations prévues par les lois relatives à la protection des données pendant toute la durée du Contrat, sauf s’il ressort clairement du Contrat qu’elles doivent se poursuivre après sa résiliation.

4.2 Restitution et suppression des données à caractère personnel. En cas de résiliation du Contrat, dans la mesure autorisée par les lois applicables relatives à la confidentialité, Smartsupp supprimera toutes les données à caractère personnel stockées aux fins de la fourniture du Service dans un délai de 3 mois suivant la résiliation. Si l’Utilisateur demande à Smartsupp, dans le délai susmentionné, la restitution des données de préférence à leur suppression, Smartsupp est en droit de facturer des frais raisonnables dont le montant sera communiqué à l’avance.

5.1 Obligations de Smartsupp.Dans le cadre du traitement des données à caractère personnel, Smartsupp s’engage à :

a) traiter les données à caractère personnel uniquement sur la base des instructions documentées de l’utilisateur ; pour éviter toute ambiguïté, le traitement des données à caractère personnel effectué conformément aux obligations au titre du Contrat est réputé être réalisé conformément aux instructions de l’utilisateur ;

b) suivre les instructions de l’utilisateur concernant le transfert de données à caractère personnel vers un pays tiers ou une organisation internationale, sauf si ce traitement est déjà exigé par le droit de l’Union européenne ou d’un État membre auquel Smartsupp est soumis ;

c) veiller à ce que les personnes autorisées à traiter les données à caractère personnel soient liées par une obligation de confidentialité ou soumises à une obligation légale de confidentialité ;

d) compte tenu de la nature du traitement, aider l’utilisateur, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à respecter son obligation de répondre aux demandes d’exercice des droits des personnes concernées ; les règles relatives au traitement des demandes des personnes concernées sont précisées à l’article 5.2 du présent DPA ;

e) aider l’utilisateur à remplir ses obligations consistant à (i) assurer le niveau de sécurité du traitement, (ii) notifier les violations de données à caractère personnel à l’autorité de protection des données et, le cas échéant, aux personnes concernées, (iii) évaluer l’impact sur la protection des données à caractère personnel et (iv) procéder à une consultation préalable de l’autorité de protection des données, en tenant compte dans tous les cas de la nature du traitement et de la nature des données à caractère personnel traitées ;

f) permettre à l’utilisateur ou à une personne autorisée par celui-ci de vérifier (y compris par audit ou inspection) le respect du présent DPA, notamment l’exécution des obligations de traitement des données à caractère personnel qui en découlent, et contribuer à ces vérifications conformément aux instructions raisonnables de l’utilisateur ou de la personne autorisée ; les règles spécifiques aux audits sont énoncées aux articles 5.3 et 5.4 du présent DPA ;

g) fournir à l’utilisateur toutes les informations pouvant raisonnablement être attendues de Smartsupp afin d’attester du respect des obligations prévues par la législation pertinente relative à la protection des données.

5.2 Demandes des personnes concernées. Si une personne concernée contacte directement Smartsupp, Smartsupp lui indiquera d’adresser sa demande directement à l’utilisateur. Smartsupp ne déploiera que des efforts commercialement raisonnables pour aider l’utilisateur à répondre à cette demande, dans la mesure où la loi l’y autorise. L’utilisateur prendra en charge tous les coûts découlant de cette assistance fournie par Smartsupp et sera responsable du traitement correct de cette demande.

5.3 Règles relatives aux audits. L’utilisateur doit envoyer toute demande d’audit (vérification) exclusivement à l’adresse email de Smartsupp dpo@smartsupp.com, à des intervalles raisonnables. À réception d’une demande d’audit, les parties conviendront à l’avance (i) de la date possible de l’audit, (ii) des mesures de sécurité et des moyens d’assurer le respect des obligations de confidentialité pendant l’audit, et (iii) du début, de l’étendue et de la durée prévus de l’audit. Si aucun accord n’est trouvé dans un délai de 30 jours à compter de la date de la demande, Smartsupp déterminera les modalités de l’audit.

5.4 Auditeur.Smartsupp peut formuler une objection écrite à l’encontre de tout auditeur (personne autorisée) désigné par l’utilisateur si, de l’avis de Smartsupp, cet auditeur n’est pas suffisamment qualifié, n’est pas indépendant, se trouve en situation de concurrence avec Smartsupp ou est manifestement inapproprié pour toute autre raison. À la suite de cette objection, l’utilisateur sera tenu de désigner un autre auditeur ou de réaliser lui-même l’audit. L’utilisateur informera rapidement Smartsupp de toute non-conformité aux lois applicables relatives à la confidentialité ou au présent DPA découverte pendant l’audit.

5.5 Étendue de l’audit. L’audit réalisé par l’utilisateur porte uniquement sur la documentation et les processus directement liés à l’utilisation du Service par cet utilisateur particulier.

5.6 Sous-traitants ultérieurs. L’utilisateur accepte le recours à d’autres sous-traitants ultérieurs pour le traitement des données à caractère personnel. Selon le type de Service fourni ou demandé par l’utilisateur, Smartsupp peut recourir à d’autres sous-traitants ultérieurs ou partager des données à caractère personnel avec d’autres destinataires de données à caractère personnel. L’utilisateur accepte que Smartsupp fasse intervenir les sous-traitants ultérieurs figurant à l’adresse : https://help.smartsupp.com/fr/articles/12647685

5.7 Objections à d’autres sous-traitants ultérieurs. Smartsupp informera l’utilisateur par écrit ou par une mise à jour de la liste des sous-traitants ultérieurs du recours à un sous-traitant ultérieur supplémentaire avant son intervention. L’utilisateur pourra s’opposer à cette intervention dans un délai de 10 jours ouvrables après la notification. Si l’utilisateur ne formule pas d’objection dans le délai fixé, Smartsupp fera intervenir le sous-traitant ultérieur supplémentaire. Si l’utilisateur formule une objection, Smartsupp l’examinera et, si elle la juge justifiée, ne fera pas intervenir le sous-traitant ultérieur supplémentaire ou apportera une modification commercialement raisonnable à la configuration de l’utilisateur ou à son utilisation du Service afin d’éviter le traitement par ce sous-traitant ultérieur. Si aucune modification n’est possible, Smartsupp pourra résilier le Contrat avec l’utilisateur (ou le résilier en partie) ou ne pas fournir la partie du Service à laquelle le sous-traitant ultérieur supplémentaire est lié, sans être en défaut ni manquer à une quelconque obligation. Smartsupp remboursera à l’utilisateur tous les frais payés d’avance couvrant la durée restante de ce Contrat après la date de prise d’effet de la résiliation, pour le Service ainsi résilié, sans imposer à l’utilisateur de pénalité pour cette résiliation.

5.8 Obligations envers les autres sous-traitants ultérieurs.Si Smartsupp fait appel à un autre sous-traitant ultérieur, celui-ci doit s’engager contractuellement à respecter les mêmes obligations de protection des données à caractère personnel que celles convenues entre l’utilisateur et Smartsupp, ainsi qu’à mettre en œuvre des mesures techniques et organisationnelles appropriées.

5.9 Responsabilité concernant le sous-traitant ultérieur.Smartsupp sera responsable des actes et omissions de ses sous-traitants ultérieurs dans la même mesure que si le Service fourni par chaque sous-traitant ultérieur était fourni directement selon les dispositions du présent DPA, sauf disposition contraire du Contrat.

5.10 Coûts liés à l’exécution du DPA. Sauf accord écrit contraire, l’utilisateur supportera ses propres coûts liés à l’exécution du DPA. Smartsupp sera en droit de facturer à l’utilisateur les coûts raisonnables engagés pour traiter toute demande et exécuter toute obligation au titre du présent DPA.

6.1 Obligation de sécuriser les données à caractère personnel.Smartsupp a adopté et maintient des mesures techniques et organisationnelles destinées à prévenir tout accès non autorisé ou accidentel aux données à caractère personnel, toute modification, destruction ou perte non autorisée ou accidentelle de ces données, toute transmission non autorisée, tout autre traitement non autorisé ou toute autre utilisation abusive non autorisée des données à caractère personnel. Smartsupp contrôle régulièrement le respect de ces mesures.

6.2 Mesures de sécurité spécifiques.Smartsupp a adopté et maintient les mesures suivantes afin d’assurer un niveau de sécurité adéquat :

Mesures techniques :

a) Pseudonymisation et chiffrement des données à caractère personnel :

la Plateforme sur laquelle les données à caractère personnel sont traitées n’autorise que des canaux ou protocoles sécurisés pour les connexions réseau entrantes ; Smartsupp chiffre les données à l’aide de SSL/TLS pour toutes les transmissions de données

les systèmes informatiques traitant des données à caractère personnel n’autorisent que des canaux ou protocoles sécurisés ;

les clés cryptographiques sont gérées de manière sécurisée.

b) La capacité à garantir en permanence la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes et services de traitement :

l’accès physique du personnel de Smartsupp est limité aux personnes autorisées ;

Smartsupp a adopté des mécanismes visant à limiter l’accès physique ou en ligne aux serveurs hébergeant des données à caractère personnel ;

la prévention de l’accès aux données à caractère personnel par des personnes non autorisées et de l’utilisation des données à caractère personnel sans autorisation ;

les personnes autorisées à traiter des données à caractère personnel n’ont accès qu’aux données dont elles ont besoin et auxquelles elles sont autorisées à accéder, et les données à caractère personnel ne peuvent être lues, copiées, modifiées ou retirées sans autorisation pendant le traitement ;

l’accès fait l’objet d’une authentification forte (par exemple, au moyen de mots de passe forts) ;

les droits d’accès sont vérifiés périodiquement ;

les tentatives d’accès (réussies comme échouées) sont journalisées et surveillées ;

il est interdit au personnel de Smartsupp de télécharger et de traiter des données à caractère personnel localement sur ses postes de travail ou dans tout autre emplacement réseau ;

toutes les défaillances éventuelles de la Plateforme et les anomalies sont journalisées.

c) La capacité à rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci en temps utile en cas d’incident physique ou technique :

Smartsupp a adopté un processus, un mécanisme et des outils de sauvegarde ;

la procédure de restauration, la lisibilité des données et l’intégrité des sauvegardes sont testées périodiquement.

d) Smartsupp a adopté un processus visant à tester, apprécier et évaluer régulièrement l’efficacité des mesures techniques et organisationnelles en place pour assurer la sécurité du traitement.

e) Les données à caractère personnel ne peuvent être modifiées ou supprimées sans autorisation pendant leur transmission électronique, leur transport ou leur stockage, et les entités destinataires de tout transfert peuvent être identifiées et vérifiées.

Mesures organisationnelles :

f) Tous les membres du personnel participant au traitement des données à caractère personnel sont informés du caractère confidentiel de ces données, ont reçu une formation appropriée concernant leurs responsabilités et ont conclu des accords écrits de confidentialité.

g) Smartsupp a mis en œuvre des directives et des processus internes visant à sécuriser le traitement des données à caractère personnel conformément aux lois applicables relatives à la confidentialité.

h) Pour toute question concernant le présent DPA, le respect des lois relatives à la protection des données, la confidentialité des données ou toute autre question relative à la confidentialité, le Client peut envoyer un email à dpo@smartsupp.com.

6.3 Incidents de sécurité.Si Smartsupp découvre une violation de données à caractère personnel, elle la signalera à l’utilisateur dans les meilleurs délais, au plus tard 48 heures après avoir pris connaissance de l’incident de sécurité, et déploiera des efforts raisonnables pour fournir à l’utilisateur toutes les informations connues concernant l’incident, limitées aux éléments suivants :

Smartsupp répondra à toute demande d’assistance de l’utilisateur en cas de violation de sécurité avec un retard indu.

6.4 Instructions illicites.Si l’utilisateur donne à Smartsupp des instructions entraînant un manquement aux obligations prévues par les lois relatives à la protection des données, et que Smartsupp est sanctionnée par une autorité de contrôle ou un autre organisme de réglementation sur la base de ces instructions, ou est tenue d’indemniser des personnes concernées, l’utilisateur s’engage à indemniser Smartsupp et à payer tous les dommages subis, sur notification écrite de Smartsupp.

6.5 Limitation de responsabilité. La même limitation de responsabilité que celle stipulée dans les Conditions s’applique au présent DPA.

6.6 Modifications. Les mêmes règles relatives aux modifications que celles stipulées dans les Conditions s’appliquent.

6.7 Prise d’effet. Le présent DPA devient juridiquement contraignant entre l’utilisateur et Smartsupp en même temps que le Contrat.