Accord sur le traitement des données (DPA)

1. Inclusion dans le contrat et les rôles

Ce DPA ne devient partie intégrante du contrat que lorsqu'il est inclus dans une commande signée ou tout autre document convenu. Le Client agit en qualité de responsable du traitement ou de sous-traitant agissant pour le compte d'un autre responsable du traitement ; PRO AGENCY EUROPE SRL agit respectivement en tant que sous-traitant ou sous-traitant secondaire.

Le client est responsable de la légalité des instructions, des notifications aux sujets, de la base juridique et du respect de ses propres obligations en tant que responsable du traitement.

2. Objet, durée et nature du traitement

Objet : fourniture de fonctions SMBF et de services convenus EPR, TVA, fiscalité, finance ou data. Durée : Durée du contrat plus périodes limitées d’exportation, de suppression et de sauvegarde. La nature des transactions peut inclure la réception, l'importation, la structuration, la collecte, le calcul, le stockage, la visualisation, l'instruction, l'exportation et la suppression.

Le but du traitement est d'exécuter la commande : préparer la portée nationale, les calculs, les projets de candidatures et de rapports, les preuves, le support et les intégrations convenues.

3. Catégories de sujets et de données

• Sujets : clients utilisateurs, collaborateurs et personnes de contact ; acheteurs et destinataires des commandes ; les fournisseurs, partenaires et représentants, si leurs données sont incluses dans le flux de travail convenu.
• Données : nom, contacts professionnels, rôle, pays, identifiants de compte et de journal d'activité.
• Données commerciales : numéro de commande ou identifiant pseudonymisé, pays de destination, dates, SKU, quantité, retours et événements d'exécution.
• Documents : procurations, documents d'enregistrement et preuves uniquement dans la mesure nécessaire à la Commande.
• Les catégories spéciales et les casiers judiciaires sortent du cadre normal et ne doivent pas être partagés sans accord écrit séparé.

4. Instructions documentées

PRO AGENCY EUROPE SRL traite les données uniquement sur instructions documentées du client, y compris les commandes, les paramètres, les actions des utilisateurs autorisés et les demandes écrites. Si une instruction, à notre avis, viole le RGPD, nous le signalons et pouvons suspendre sa mise en œuvre jusqu'à clarification.

Le transfert à un tiers ou en dehors de l'EEE s'effectue uniquement par instruction, contrat ou lorsque la loi l'exige ; dans ce dernier cas, le client en est informé sauf si la notification est interdite par la loi.

5. Confidentialité et sécurité

Les personnes ayant accès aux données sont tenues à une obligation de confidentialité et bénéficient d'un accès selon le principe du moindre privilège. Avant le processus de production, la SMBF documente les mesures techniques et organisationnelles adaptées au risque.

• Contrôle des rôles et des accès privilégiés, MFA pour les fonctions administratives et révision régulière des accès.
• Cryptez la transmission, gérez les secrets, enregistrez les activités sensibles et séparez les environnements.
• Isolation des locataires, minimisation des champs, sauvegarde, restauration et suppression sécurisée.
• Gestion des vulnérabilités, du changement et des incidents ; formation pour les personnes ayant accès.

6. Sous-traitants

Le client fournit une autorisation écrite générale pour utiliser les sous-traitants du registre publié. Avant l'activation de la production, le registre doit indiquer les fournisseurs réels, la fonction, le lieu de traitement et le mécanisme de transfert.

SMBF informera le Client d'un nouveau sous-traitant prévu au moins 30 jours à l'avance, sauf si le contrat précise un délai différent. Le client peut raisonnablement s'opposer pour des raisons de protection des données. Si une résolution raisonnable n'est pas possible, les parties peuvent mettre fin au service concerné.

Le sous-traitant ultérieur a des obligations substantiellement équivalentes. PRO AGENCY EUROPE SRL reste responsable envers le client du respect de ces obligations dans la mesure prévue par la loi et le contrat.

7. Droits et demandes des personnes concernées

Compte tenu de la nature du traitement, SMBF assiste raisonnablement le client pour satisfaire aux demandes d'accès, de rectification, de suppression, de restriction, de portabilité et d'opposition. Une demande directe sans réponse substantielle est transmise au client, sauf disposition contraire de la loi.

8. Failles de sécurité

Une fois qu'une violation de données personnelles est confirmée, SMBF en informera le client dans les meilleurs délais et fournira des informations facilement disponibles concernant la nature, les conséquences probables, les catégories concernées et les mesures de réponse. La notification ne constitue pas un aveu de culpabilité.

Il appartient au client d'en informer l'autorité de contrôle et les sujets, sauf si la loi attribue cette responsabilité directement à la SMBF.

9. Évaluations, consultations et preuves de conformité

SMBF fournit les informations raisonnables requises par le client pour l'évaluation de sécurité, la DPIA, la consultation de l'autorité de contrôle et la confirmation du respect de l'article 28 du RGPD. Le volume, la fréquence, la confidentialité et le coût d’une inspection non standard sont convenus à l’avance.

10. Vérification

Premièrement, les descriptions actuelles des contrôles, les réponses au questionnaire et les rapports indépendants disponibles sont utilisés. Si cela ne suffit pas, le client peut demander un audit au maximum une fois par an pendant les heures de bureau, avec un préavis raisonnable, sans accès aux données des autres clients et sans faille de sécurité. Des audits complémentaires sont possibles après un incident significatif ou à la demande de l'autorité.

11. Retour et suppression

A la fin de la prestation, SMBF, au choix du client, restitue ou supprime les données après le délai d'exportation convenu, à l'exception des informations dont la conservation est imposée par la loi. Les données des copies de sauvegarde sont supprimées dans un cycle protégé normal et ne sont pas utilisées auparavant à d'autres fins.

12. Transferts hors EEE

Si un traitement en dehors de l'EEE est nécessaire, les parties utiliseront le mécanisme applicable du chapitre V du RGPD, y compris une décision d'adéquation ou des clauses contractuelles types, et documenteront les mesures supplémentaires à la suite d'une évaluation des risques.

13. Priorité et contact

En cas de conflit concernant la protection des données, le DPA prévaut sur les Conditions générales et les CCT signées prévalent sur le DPA dans la mesure où elles sont régies. Les paramètres commerciaux et de sécurité d'un service spécifique peuvent être précisés dans la Commande sans réduire les garanties obligatoires.

Demande de version signée et questions : hello@smbf.me.