Accord de traitement des données

Parties et champ d’application

Le présent accord est conclu entre l’organisation cliente (responsable du traitement) et ExpertFusion Software and Marketplace L.L.C-FZ, exploitant de PestLove (sous-traitant). Il fait partie des conditions d’utilisation et s’applique automatiquement à chaque abonnement, sans signature. En cas de contradiction avec les conditions sur le traitement des données personnelles, le présent accord prévaut.

Il couvre les données personnelles que l’organisation et ses utilisateurs saisissent ou génèrent dans PestLove. Les traitements propres de l’exploitant pour les comptes, la facturation, la sécurité et le site web sont décrits dans la politique de confidentialité.

Instructions et confidentialité

Nous traitons les données personnelles du client uniquement sur instruction documentée de l’organisation — les conditions, le présent accord et la configuration et l’utilisation du service par l’organisation —, sauf obligation légale contraire, auquel cas nous en informons préalablement l’organisation lorsque cela est permis. Nous informons l’organisation si une instruction nous semble contraire à la réglementation sur la protection des données.

Toutes les personnes autorisées à traiter les données personnelles du client sont tenues à la confidentialité, et l’accès est limité à ce qui est nécessaire pour fournir, assister et sécuriser le service.

Mesures de sécurité

Nous maintenons des mesures techniques et organisationnelles appropriées, notamment : cloisonnement entre organisations appliqué à chaque requête et appel d’API ; autorisations fondées sur les rôles et partage explicite entre organisations ; connexions chiffrées (TLS) ; mots de passe hachés et tentatives de connexion limitées ; jetons d’API à portée définie ; journaux d’audit opérationnels ; accès minimal aux systèmes de production ; versions contrôlées et testées ; et sauvegardes des bases de données.

Nous pouvons faire évoluer ces mesures à condition que le niveau global de protection ne soit pas réduit.

Sous-traitants ultérieurs

L’organisation autorise les sous-traitants ultérieurs suivants : Vultr (hébergement, bases de données et stockage de fichiers, Amsterdam, Pays-Bas ; et notre serveur d’envoi d’e-mails, Madrid, Espagne) et Expo / 650 Industries, Inc. (notifications push mobiles, États-Unis). Stripe traite les données de paiement en tant que responsable de traitement indépendant.

Nous prévenons par e-mail au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur. L’organisation peut s’y opposer pour des motifs raisonnables liés à la protection des données ; si l’objection ne peut être résolue, elle peut résilier le service concerné et obtenir le remboursement au prorata des sommes payées d’avance. Nous imposons à chaque sous-traitant ultérieur des obligations équivalentes et restons responsables de ceux-ci.

Transferts internationaux

Les données personnelles du client sont hébergées aux Pays-Bas. Lorsqu’elles sont transférées hors de l’EEE, du Royaume-Uni ou de la Suisse — y compris vers l’exploitant aux Émirats arabes unis et vers des sous-traitants aux États-Unis —, les clauses contractuelles types de la Commission européenne (décision 2021/914, module 2 : responsable vers sous-traitant, régies par le droit irlandais) sont intégrées au présent accord, avec l’addendum britannique relatif aux transferts internationaux et les adaptations suisses le cas échéant.

Assistance, violations et audits

Le service permet à l’organisation d’accéder à ses données, de les rectifier, de les exporter et de les supprimer. Nous transmettons à l’organisation toute demande d’une personne concernée et l’aidons à y répondre, et nous fournissons des informations raisonnables pour les analyses d’impact relatives à la protection des données.

Nous notifions l’organisation dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, de toute violation de données personnelles affectant ses données, avec les informations alors disponibles, et la tenons informée au fur et à mesure.

Nous mettons à disposition les informations nécessaires pour démontrer le respect du présent accord. L’organisation peut auditer notre conformité une fois par an moyennant un préavis écrit de 30 jours, ou après une violation, sous confidentialité et à ses frais.

Restitution et suppression

Pendant l’abonnement et durant les 30 jours qui suivent sa fin, l’organisation peut exporter ses données. Nous supprimons ensuite les données personnelles du client des systèmes actifs, et les copies de sauvegarde sont supprimées à leur expiration dans le cycle de rotation, sauf obligation légale de conservation. Nous confirmons la suppression par écrit sur demande.

Description du traitement

Objet et finalité : fourniture du logiciel PestLove pour la lutte antiparasitaire, la sécurité alimentaire (HACCP), les audits, la formation et les processus de laboratoire. Durée : la durée de l’abonnement plus la période d’export. Nature : hébergement, stockage, organisation, consultation, transmission par e-mail et notification push, rapports, export, sauvegarde et suppression.

Personnes concernées : utilisateurs de l’organisation, ses clients et leurs contacts, personnel des sites cité dans les enregistrements, stagiaires et signataires. Catégories de données : noms, fonctions, coordonnées professionnelles, identifiants de compte, adresses des sites, enregistrements d’intervention, d’inspection et d’audit, relevés, photos, signatures et registres de formation. Aucun traitement de catégories particulières de données n’est prévu.

La responsabilité au titre du présent accord est soumise aux limites prévues par les conditions d’utilisation, sauf lorsque la réglementation sur la protection des données ne le permet pas.