💡Le traitement des données est encadré par le Règlement Général sur la Protection des Données de l'union européenne et également accessible sur le site de la CNIL

1. Préambule#

Le présent accord s’applique au traitement de données à caractère personnel réalisé par le Client, en sa qualité de Responsable de traitement et Nonli, en sa qualité de sous-traitant dans le cadre de la mise à disposition d’une solution d'analyse de l'audience du site du client, d'analyse des tendances et de publication sur les réseaux sociaux. Le présent accord constitue un document indépendant visant à définir les obligations respectives des Parties afin d’assurer le respect de la législation en vigueur en termes de traitement de données à caractère personnel et de respect de la vie privée.

Les Données Personnelles sont uniquement utilisées afin que le client puisse s'authentifier avec une authentification à double facteur et ainsi utiliser la plateforme. Nous nous engageons à garantir la confidentialité des données à caractère personnel, à veiller à ce que les personnes autorisées à traiter ces données personnelles respectent la confidentialité ou soient soumises à une obligation légale de confidentialité et qu’elles reçoivent la formation nécessaire sur la protection des données personnelles.

Les Parties s’engagent à respecter les principes de l’article 25 du Règlement concernant la « Protection des données dès la conception et protection des données par défaut ».

Les données anonymes récoltées par le SDK ne sont utilisées que sur ordre et bénéfice de notre client.

L'auto-évaluation CNIL du SDK Nonli est disponible ici : Auto-évaluation CNIL - SDK Nonli.

Nous nous engageons à ne pas utiliser la donnée de nos clients pour notre propre compte.

2. Mesures techniques et organisationnelles#

Nous nous engageons à mettre en œuvre l’intégralité des mesures de sécurité spécifiées ci-dessous :

2.1. Sous-traitance#

En dehors des prestataires d'hébergement, d'envoi d'e-mails et d'alerte interne listés dans la section « Support client », nous ne sous-traitons aucun traitement de données personnelles, si tel était le cas nous informons notre client et nous assurons la confidentialité des données auprès de celui-ci.

Nous nous assurerons que le sous-traitant présente les mêmes garanties suffisantes quant à la mise en œuvre des mesures techniques et organisationnelles exigées par la Réglementation.

2.2. Transfert hors Union Européenne (UE)#

En cas de transfert de données personnelles hors UE, nous garantissons le respect des obligations prévues au CHAPITRE V « Transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales » du Règlement.

Slack, prestataire listé dans la section « Support client », peut traiter hors de l'UE les données des alertes qui lui sont transmises.

Nous serons en mesure de fournir toutes les garanties que notre client est en droit d’exiger pour s’assurer de la conformité des transferts de données hors UE.

2.3. Droit d’information des personnes concernées#

Il appartient au client de fournir l’information aux personnes concernées par les opérations de traitement au moment de la collecte des données.

2.4. Exercice des droits des personnes#

Nous nous engageons à aider notre client à s’acquitter de son obligation de donner suite aux demandes d’exercice des droits des personnes concernées : droit d’accès, de rectification, d’effacement et d’opposition, droit à la limitation du traitement, droit à la portabilité des données, droit de ne pas faire l’objet d’une décision individuelle automatisée (y compris le profilage). Lorsque les personnes concernées exercent des demandes d’exercice de leurs droits, nous adressons ces demandes à notre client.

2.5. Notification des violations de données à caractère personnel#

Nous notifierons notre client par e-mail de toute violation de données personnelles dans les meilleurs délais après en avoir eu connaissance, et en tout état de cause dans des délais permettant à notre client de respecter les délais qui lui sont imposés par le règlement général sur la protection des données. Cette notification est accompagnée de toute documentation utile afin de permettre au client, de notifier cette violation à l’autorité de contrôle compétente ainsi qu’aux personnes concernées dès lors que ces notifications sont exigées par la Réglementation Données Personnelles.

2.6. Délégué à la protection des données#

Conformément à l'article 37 nous n'avons pas l'obligation de nommer un DPO car nous ne sommes pas un organisme public et notre activité ne consiste pas en des opérations de traitement de données personnelles.

2.7. Sort des Données Personnelles#

Conformément à l’article 28.3.g du Règlement au terme de la prestation de services relatifs au traitement de ces données, nous nous engageons à retourner les Données à caractère personnel au client ou à tout sous-traitant désigné par celui-ci – sous la forme la mieux adaptée techniquement, dans un format non-propriétaire, structuré et consolidé – et à détruire toutes les copies existantes dans ses systèmes d’information.

2.8. Gestion des comptes clients/fournisseur#

Ce traitement a pour finalité la gestion du compte client et fournisseur de chacune des Parties tels que la relation commerciale, la gestion administrative, la facturation, le traitement des incidents techniques, la gestion des réclamations. Ce traitement est mis en œuvre par chacune des Parties en qualité de Responsable de Traitement disjoint. Ce traitement est nécessaire à l’exécution du Contrat, il répond par ailleurs à des intérêts légitimes propres à chacune des Parties ainsi qu’à l’intérêt légitime propre de chaque Partie de fournir des moyens de communication à leurs personnels.

Les personnes concernées par ces traitements sont les employés de chaque partie.

Les Données Personnelles concernées sont les données d’identité des Interlocuteurs : Nom – Prénom - N° de tel - e-mail. La durée de conservation des données personnelles susvisées est limitée à trois (3) ans à compter de la fin de la relation commerciale entre les Parties, et peut être supprimée immédiatement si le client le demande.

2.9. Support client#

Ce traitement a pour finalité la prise en charge des demandes d'assistance et des incidents techniques signalés par les utilisateurs de la plateforme, depuis le chat intégré à l'application ou par e-mail. Comme la gestion des comptes clients décrite ci-dessus, il est mis en œuvre par Nonli en qualité de Responsable de Traitement. Il est nécessaire à l'exécution du Contrat et répond à l'intérêt légitime de Nonli de traiter les demandes de ses clients et d'assurer la sécurité de la plateforme.

Les personnes concernées sont les utilisateurs du client qui contactent le support et les personnes ajoutées à une conversation par leur adresse e-mail.

Les Données Personnelles concernées sont :

• l'identité de l'interlocuteur : nom, prénom, adresse e-mail, numéro de téléphone, société, rôle et langue ;
• le contenu des échanges : messages, pièces jointes et réponses envoyées par e-mail ;
• le contexte du compte affiché à l'équipe support : adresse e-mail confirmée ou non, activation de la double authentification, version de l'application, page en cours de consultation et pages récemment consultées dans l'application ;
• les données de connexion : adresse IP, localisation approximative (ville et pays) déduite de l'adresse IP, fuseau horaire, navigateur, système d'exploitation, type d'appareil, taille d'écran et langue du navigateur.

La localisation approximative est calculée sur nos serveurs, sans transmission de l'adresse IP à un tiers. L'adresse IP n'est accessible qu'à l'équipe support de Nonli.

Les durées de conservation sont les suivantes :

• l'adresse IP est supprimée automatiquement trente (30) jours après la dernière connexion depuis cette adresse ;
• la localisation approximative et les données relatives au navigateur et à l'appareil sont conservées avec la conversation ;
• les conversations et leurs pièces jointes sont conservées trois (3) ans à compter de la fin de la relation commerciale entre les Parties, et sont supprimées avec la société lorsque celle-ci est supprimée de Nonli.

Un utilisateur ou l'équipe support peut ajouter des participants à une conversation en indiquant leur adresse e-mail. Les participants ont accès à l'historique de la conversation. Un participant reçoit par e-mail les messages qu'il n'a pas lus dans le chat, ou tous les messages s'il participe uniquement par e-mail. Les réponses envoyées par e-mail sont ajoutées à la conversation. Chaque participant peut se désinscrire des e-mails d'une conversation.

Pour ce traitement, Nonli fait appel aux prestataires suivants :

• OVHcloud : hébergement de la base de données et des pièces jointes, en France ;
• Mailgun : envoi et réception des e-mails liés aux conversations, sur l'infrastructure de Mailgun située dans l'Union européenne ;
• Slack : alerte interne adressée à l'équipe support dans son canal Slack, contenant le nom du client, le nom de sa société, le numéro de la conversation et un extrait du dernier message (280 caractères au plus).

Q&A

3. Vous assurez-vous de respecter les durées de rétention légale des données ? Durées de rétention et la justification.#

Oui, nous nous engageons à respecter les durées de rétention légale des données. Les durées de rétention dépendent du type de données et de la finalité du traitement. Nous conservons les données personnelles aussi longtemps que nécessaire pour atteindre les finalités pour lesquelles elles ont été collectées, conformément aux exigences légales et réglementaires applicables. Les durées de rétention sont justifiées par le respect des obligations légales et réglementaires ainsi que par les intérêts légitimes de notre client.