Sécurité et protection des données chez ControlCMS

1. Champ d'application et rôles Cet Accord de Traitement des Données fait partie des Conditions de Service entre vous et ControlCMS et s'applique chaque fois que des données personnelles sont traitées pour votre compte via le service. Pour les données personnelles de vos clients, de votre personnel et d'autres personnes dont vous placez les données dans le service, vous êtes le responsable et ControlCMS est le sous-traitant, au sens du Règlement Général sur la Protection des Données (RGPD) de l'UE, en particulier l'Article 28. 2. Objet, durée et finalité L'objet est l'hébergement et le traitement des données personnelles nécessaires pour vous fournir le service, telles que le stockage des enregistrements, leur affichage dans votre panneau et sur votre vitrine, l'envoi des messages que vous déclenchez, et la gestion des commandes, des réservations et des paiements. Le traitement dure tant que vous utilisez le service et jusqu'à ce que les données soient supprimées comme décrit ci-dessous. 3. Sujets de données et catégories de données personnelles Les sujets de données peuvent inclure vos clients et clients potentiels, les visiteurs de votre site web ou vitrine, vos membres du personnel et vos fournisseurs. Les données personnelles peuvent inclure des noms, des coordonnées (telles que l'adresse e-mail, le numéro de téléphone et l'adresse postale), des données de compte et de connexion, des enregistrements de commandes, de réservations et de paiements (les numéros de carte complets sont traités par les fournisseurs de paiement, pas stockés dans le service), des messages, des notes que vous enregistrez, des documents d'identité ou de licence lorsque votre type d'entreprise les exige, et des données techniques telles que les adresses IP. Vous ne devez placer des catégories spéciales de données personnelles dans le service que si cela est nécessaire et légal pour votre entreprise. 4. Traitement sur instructions documentées Les données personnelles ne sont traitées que sur vos instructions documentées. Vos instructions sont données par ces accords et par la manière dont vous configurez et utilisez le service. Le traitement à d'autres fins n'a lieu que si requis par la loi de l'UE ou d'un État membre, auquel cas vous serez informé à l'avance, sauf si cette loi l'interdit. Si une instruction semble enfreindre la loi sur la protection des données, vous serez informé. 5. Confidentialité L'accès à vos données personnelles est limité au personnel de ControlCMS qui en a besoin pour fournir, maintenir et soutenir le service. Toutes ces personnes sont liées par une obligation de confidentialité. 6. Mesures de sécurité Des mesures techniques et organisationnelles appropriées sont appliquées pour protéger les données personnelles, en tenant compte de l'état de l'art et des risques encourus. Celles-ci incluent le chiffrement en transit, la séparation des données de chaque client, des contrôles d'accès basés sur les rôles, la protection des secrets stockés, le masquage des valeurs sensibles dans les journaux, des pistes de vérification pour les actions sensibles, des sauvegardes régulières et la surveillance du service. Les mesures sont examinées et améliorées au fil du temps. 7. Sous-traitants Vous donnez une autorisation générale pour l'utilisation de sous-traitants dans les catégories suivantes : fournisseurs d'hébergement et d'infrastructure (serveurs, stockage, mise en réseau et sécurité), services de livraison d'e-mails et de messages, et, lorsque vous utilisez des fonctionnalités assistées par IA, fournisseurs des modèles d'IA qui traitent le contenu que vous soumettez à ces fonctionnalités. Les services de paiement, de livraison et autres services tiers que vous choisissez de connecter agissent sous votre propre accord avec eux. Chaque sous-traitant est lié par des obligations de protection des données équivalentes à celles de cet accord. Vous serez informé de toute addition ou remplacement prévu d'un sous-traitant et pouvez vous y opposer pour des raisons de protection des données raisonnables ; si aucune solution ne peut être trouvée, vous pouvez résilier le service concerné. 8. Assistance avec les demandes des sujets de données Compte tenu de la nature du traitement, ControlCMS vous assiste dans la réponse aux demandes d'individus exerçant leurs droits, tels que l'accès, la correction, la suppression, la restriction, la portabilité et l'opposition. Le service vous permet de visualiser, modifier, exporter et supprimer les enregistrements que vous détenez. Si une demande est reçue directement, elle vous sera transmise sans y répondre en votre nom, sauf si vous en donnez instruction autrement. 9. Violations de données personnelles Si une violation de données personnelles affectant vos données est découverte, vous serez notifié sans délai excessif, avec les informations disponibles à ce moment concernant sa nature, ses conséquences probables et les mesures prises ou proposées. Vous recevrez également une assistance raisonnable pour vos propres notifications aux autorités de contrôle et aux personnes concernées, ainsi que pour toute évaluation d'impact sur la protection des données liée au service. 10. Suppression et retour des données Lorsque le service se termine, vous pouvez exporter vos données pendant une période raisonnable. Après cette période, les données personnelles sont supprimées, sauf si la loi de l'UE ou d'un État membre exige qu'elles soient conservées. Les copies dans les sauvegardes sont supprimées à mesure que les sauvegardes expirent dans leur rotation normale et restent protégées jusqu'alors. 11. Audits et informations Sur demande, vous recevrez les informations raisonnablement nécessaires pour démontrer la conformité avec cet accord. Les audits, y compris les inspections par vous ou un auditeur indépendant désigné par vous, sont autorisés avec un préavis raisonnable, pendant les heures normales de bureau, sous réserve de confidentialité et d'une manière qui ne compromet pas la sécurité des autres clients. Sauf exigence d'une autorité de contrôle ou suite à une violation de données personnelles, les audits sont limités à une fois par an et effectués à vos frais. 12. Transferts internationaux Lorsque des données personnelles sont transférées vers un pays en dehors de l'Espace Économique Européen qui ne bénéficie pas d'une décision d'adéquation, le transfert est protégé par les Clauses Contractuelles Types adoptées par la Commission Européenne, ainsi que par toutes les mesures complémentaires requises. 13. Responsabilité, prééminence et droit applicable Les limitations de responsabilité dans les Conditions de Service s'appliquent à cet accord, dans la mesure permise par la loi. En cas de conflit entre cet accord et les Conditions de Service concernant les données personnelles, cet accord prévaut. Cet accord est régi par le droit belge.