Addendum sur le traitement des données

Cette traduction est fournie à titre indicatif. En cas de différence avec la version anglaise, la version anglaise prévaut.

Parties et périmètre

Cet avenant de traitement des données (« DPA ») fait partie de l'accord entre ScanMosaic, United Kingdom (« nous », le sous-traitant) et le client professionnel qui utilise ScanMosaic (« vous », le responsable du traitement), composé de nos conditions d'utilisation et de ce DPA. Il s'applique lorsque nous traitons des données personnelles pour vous en tant que votre sous-traitant au titre du RGPD britannique, du RGPD de l'UE ou de lois similaires. Il ne s'applique pas aux données que nous traitons en tant que responsable du traitement pour nos propres besoins, décrites dans notre politique de confidentialité, comme les informations de votre compte et de facturation.

Vous acceptez ce DPA en utilisant un plan payant à des fins professionnelles, ou en nous demandant une copie signée à [email protected].

Objet, durée, nature et finalité

Nous hébergeons vos QR codes, liens courts, pages hébergées et fichiers, redirigeons les personnes qui les scannent ou y cliquent, comptons ces visites et fournissons le tableau de bord, les rapports et l'API. Nous ne traitons les données personnelles que pendant la durée d'utilisation du service et pour les délais de suppression indiqués ci-dessous.

Données personnelles et personnes concernées

• Les personnes qui scannent vos codes ou cliquent sur vos liens : heure, pays et ville (d'après le réseau, pas le GPS), type d'appareil, système d'exploitation, navigateur, langue, site référent et clé visiteur qui change chaque jour. Nous ne stockons pas les adresses IP et ne déposons pas de cookies.
• Les personnes qui remplissent vos formulaires hébergés ou pages d'avis : tout ce que votre formulaire demande.
• Les personnes citées dans votre contenu : par exemple les coordonnées d'une carte de visite numérique, ou les fichiers que vous importez.
• Votre équipe : adresses e-mail et rôles des membres de l'espace de travail, et journal d'activité de leurs modifications.

Vous ne devez pas utiliser le service pour collecter des données de catégories particulières (comme des données de santé) via des formulaires hébergés, sauf si vous disposez d'une base légale et nous l'avez indiqué par écrit.

Nos obligations

• Nous traitons les données personnelles uniquement selon vos instructions documentées : ces conditions, vos paramètres et votre utilisation du service. Nous vous prévenons si nous pensons qu'une instruction enfreint la loi sur la protection des données.
• Toute personne ayant accès à vos données personnelles est tenue à la confidentialité.
• Nous vous aidons à répondre aux demandes des personnes qui exercent leurs droits. La plupart se gèrent depuis le tableau de bord : exporter, modifier et supprimer des QR codes, des liens, des réponses de formulaire et des enregistrements de scans.
• Nous vous aidons pour les analyses d'impact relatives à la protection des données et les consultations des autorités de contrôle lorsqu'elles concernent notre service.

Mesures de sécurité

• Tout le trafic utilise HTTPS (TLS). Les données sont stockées chez notre hébergeur, qui les chiffre au repos.
• Aucune adresse IP n'est stockée avec les enregistrements de scans ; les limites de débit et le comptage des visiteurs uniques reposent sur des hachages à sens unique à clé, impossibles à inverser.
• Connexion sans mot de passe avec des codes à usage unique ; les sessions sont stockées sous forme de hachages à sens unique et peuvent être terminées sur tous les appareils.
• Accès par rôle dans chaque espace de travail (propriétaire, admin, éditeur, lecteur), vérifié côté serveur à chaque requête. Les clés API sont limitées à l'espace de travail et stockées hachées.
• Les secrets tiers que vous nous confiez, comme les secrets d'API d'intégration, sont chiffrés et ne sont plus jamais affichés.
• Les destinations sont vérifiées avec Google Web Risk ; les pages qui affichent le contenu de vos utilisateurs appliquent une politique de sécurité du contenu stricte.
• L'accès aux systèmes de production est limité aux personnes qui exploitent le service.

Sous-traitants

Vous nous autorisez à recourir aux sous-traitants ultérieurs listés sur notre page des sous-traitants ultérieurs. Nous les lions chacun par contrat à des obligations de protection des données au moins aussi protectrices que ce DPA, et restons responsables à leur égard. Nous donnons un préavis d'au moins 30 jours pour tout nouveau sous-traitant ultérieur, par e-mail au propriétaire de l'espace de travail. Si vous vous y opposez pour des motifs raisonnables de protection des données et que nous ne parvenons pas à résoudre le désaccord, vous pouvez mettre fin au service concerné et nous remboursons les frais prépayés pour la période restante.

Transferts internationaux

Certains sous-traitants ultérieurs traitent des données en dehors du Royaume-Uni et de l'EEE. Dans ce cas, nous nous appuyons sur une décision d'adéquation (y compris le cadre de protection des données UE-États-Unis et son extension britannique lorsque le destinataire est certifié), ou sur les clauses contractuelles types de l'UE avec l'addendum britannique sur les transferts internationaux de données, accompagnés de mesures complémentaires si nécessaire.

Violations de données personnelles

Nous vous avertissons sans retard injustifié, et en tout état de cause dans les 48 heures, après avoir eu connaissance d'une violation de données personnelles touchant vos données. Nous vous indiquons ce qui s'est passé, les données et personnes probablement concernées, les conséquences probables et les mesures prises, et vous tenons informé à mesure que nous en savons plus. Nous envoyons l'avis à l'adresse e-mail du propriétaire de l'espace de travail.

Suppression et restitution

Vous pouvez télécharger vos données à tout moment depuis Confidentialité & données dans le tableau de bord, et supprimer codes, liens, fichiers et réponses quand vous le souhaitez. Les enregistrements de scans sont supprimés automatiquement après 13 mois. Lorsque vous supprimez votre compte ou votre espace de travail, ou 30 jours après la fin de votre contrat, nous supprimons vos données personnelles du service en production, sauf si la loi nous oblige à les conserver. Les sauvegardes détenues par notre hébergeur sont écrasées dans les 30 jours qui suivent.

Audits et informations

Nous mettons à disposition les informations nécessaires pour démontrer notre conformité à ce DPA, y compris des réponses à des questionnaires de sécurité raisonnables une fois par an. Si cela ne suffit pas, vous pouvez auditer notre conformité, une fois par an avec un préavis d'au moins 30 jours, pendant les heures ouvrables, à vos frais, sous confidentialité et sans accès aux données des autres clients. Les audits de nos sous-traitants ultérieurs relèvent de leurs propres certifications et rapports.

Responsabilité et ordre de priorité

La responsabilité de chaque partie au titre de cet avenant de traitement des données (DPA) est soumise aux limites prévues par nos conditions d'utilisation, sauf lorsque la loi ne l'autorise pas. En cas de conflit entre ce DPA et les conditions d'utilisation concernant les données personnelles, c'est ce DPA qui s'applique. Si les clauses contractuelles types s'appliquent, elles prévalent.

Contact

Questions sur ce DPA ou demandes d'une copie signée : [email protected].