Accord de traitement des données

1. Définitions

« Droit de la protection des données » désigne le RGPD britannique, la loi britannique de 2018 sur la protection des données (Data Protection Act 2018), le RGPD de l'UE et toute autre loi sur la protection des données applicable au traitement. « Données personnelles », « traitement », « responsable de traitement », « sous-traitant », « personne concernée » et « violation de données personnelles » ont le sens que leur donne cette législation. « Service » a le sens défini dans les Conditions.

2. Ce que couvre ce DPA

Ce DPA ne couvre pas les données que nous utilisons pour nos propres besoins, comme les données de compte, la facturation, la prévention de la fraude et les enregistrements de commandes que nous conservons en vertu de la loi. Nous sommes le responsable de traitement de ces données, et la Politique de confidentialité les explique.

3. Vos responsabilités

• Vous décidez pourquoi les données de vos visiteurs sont traitées, et vous vous assurez de disposer d'une base légale pour cela.
• Vous informez vos visiteurs et acheteurs de la façon dont vous utilisez leurs données, par exemple dans votre propre notice de confidentialité accessible depuis votre page.
• Vous recueillez le consentement lorsque la loi l'exige, par exemple avant de connecter l'API Conversions de Meta, si la loi du pays de vos visiteurs l'exige pour cela.
• Vous ne nous donnez que des instructions licites. Vos réglages dans le Service constituent vos instructions.

4. Nos responsabilités

• Nous traitons les données personnelles uniquement sur vos instructions documentées, c'est-à-dire les présentes Conditions, ce DPA et vos réglages, sauf si la loi exige autre chose. Si nous pensons qu'une instruction enfreint la loi, nous vous le disons.
• Toute personne chez LoadFocus LTD qui peut accéder aux données est tenue d'en garder la confidentialité.
• Nous protégeons les données avec les mesures décrites à la section 5.
• Nous ne faisons appel à des sous-traitants ultérieurs que dans les conditions de la section 6.
• Nous vous aidons à répondre aux demandes des personnes concernées (section 7) et à remplir vos obligations en matière de sécurité, de notification des violations et d'analyses d'impact, dans la mesure où la nature du traitement le permet.
• Nous supprimons ou vous rendons les données à la fin du Service (section 9).
• Nous vous fournissons les informations nécessaires pour démontrer que nous respectons l'article 28, et nous autorisons les audits dans les conditions de la section 10.

5. Mesures de sécurité

• Chiffrement en transit : les pages, l'application et nos API sont servies en HTTPS.
• Accès : la base de données et le stockage des sessions n'acceptent que les connexions venant de nos propres serveurs et exigent un mot de passe. Seul le personnel qui en a besoin pour son travail peut accéder aux systèmes de production.
• Secrets : les clés et les mots de passe sont conservés dans AWS Systems Manager Parameter Store, jamais dans notre code.
• Comptes : connexion via Google ; tout mot de passe stocké est haché avec bcrypt ; les sessions utilisent des cookies sécurisés et HTTP-only.
• Protection contre les abus : limites de fréquence à la connexion et à l'inscription, et contrôles vérifiant que les requêtes viennent de notre propre site.
• Minimisation des données : les adresses IP des acheteurs ne sont conservées que sous la forme d'un hachage unidirectionnel raccourci ; les identifiants de carte des paiements échoués sont conservés jusqu'à 48 heures.

Nous réexaminons ces mesures lorsque le Service change. La page Sécurité explique comment signaler une vulnérabilité.

6. Sous-traitants ultérieurs

Vous nous autorisez à faire appel à ces sous-traitants ultérieurs pour les données que couvre ce DPA :

Chaque sous-traitant ultérieur est lié par un contrat écrit contenant des clauses de protection des données au moins aussi protectrices que ce DPA. Nous restons responsables de leur action.

Nous vous informons par e-mail de tout nouveau sous-traitant ultérieur au moins 30 jours avant son entrée en fonction. Vous pouvez vous y opposer par e-mail dans ce délai, en indiquant vos motifs. Si nous ne pouvons pas répondre à votre objection, vous pouvez fermer votre compte et nous vous remboursons les frais prépayés pour la période que vous n'avez pas utilisée.

7. Demandes des personnes concernées

Si un visiteur ou un acheteur nous demande d'accéder à ses données, de les rectifier ou de les supprimer, nous vous transmettons la demande sans délai et n'y répondons pas nous-mêmes, sauf si la loi nous y oblige. Vous pouvez écrire à hello@more.you et nous vous aidons à retrouver, exporter ou supprimer les données de cette personne.

8. Violations de données personnelles

Si nous avons connaissance d'une violation de données personnelles touchant des données couvertes par ce DPA, nous vous en informons dans les meilleurs délais, et en tout cas sous 48 heures. Nous vous indiquons ce qui s'est passé, quelles données et combien de personnes sont touchées, ce que nous faisons et qui vous pouvez contacter. Nous vous envoyons plus de détails au fur et à mesure.

9. Suppression à la fin du service

Quand vous fermez votre compte, vos pages sont retirées et nous cessons de traiter les données pour vous. Nous les supprimons sous 90 jours, sauf si la loi nous oblige à les conserver. Avant de fermer votre compte, vous pouvez nous demander à hello@more.you une copie de vos statistiques et de vos commandes.

10. Informations et audits

Sur demande, nous répondons par écrit aux questions raisonnables sur la façon dont nous protégeons les données. Si ces réponses ne suffisent pas à démontrer que nous respectons ce DPA, ou si une autorité de contrôle le demande, vous pouvez nous auditer une fois par an, avec un préavis de 30 jours, pendant les heures ouvrables, par l'intermédiaire d'un auditeur indépendant tenu à la confidentialité. Vous payez l'audit.

11. Transferts internationaux

Nous sommes établis au Royaume-Uni, et nos serveurs sont aux États-Unis. Lorsque des données personnelles du Royaume-Uni ou de l'Espace économique européen sont transférées vers un pays sans décision d'adéquation, nous utilisons un mécanisme de transfert reconnu par la loi : l'extension britannique du cadre de protection des données UE-États-Unis (Data Privacy Framework) lorsque le destinataire est certifié, ou les clauses contractuelles types de l'UE avec l'addendum britannique.

Lorsque vous êtes situé dans l'Espace économique européen et que nous recevons des données personnelles de votre part, les clauses contractuelles types de l'UE (module 2, du responsable de traitement au sous-traitant, ou module 3 lorsque vous êtes vous-même sous-traitant) s'appliquent entre vous et nous et font partie de ce DPA. La clause 7 ne s'applique pas, l'option 2 de la clause 9 s'applique avec le délai de préavis de la section 6, la formulation facultative de la clause 11 ne s'applique pas, et les clauses 17 et 18 retiennent le droit et les tribunaux d'Irlande. Les annexes sont les sections 2, 5 et 6 de ce DPA.

12. Responsabilité, ordre des documents et droit applicable

Les limites de responsabilité des Conditions s'appliquent à ce DPA, sauf lorsque le droit de la protection des données ne les autorise pas. Si ce DPA et les Conditions diffèrent sur les données personnelles, ce DPA prévaut. Si les clauses contractuelles types et ce DPA diffèrent, les clauses prévalent.

Ce DPA est régi par le même droit que les Conditions, sauf lorsque la section 11 ou le droit de la protection des données en dispose autrement. Nous pouvons le mettre à jour pour suivre la loi ou les évolutions du Service, et nous vous prévenons par e-mail avant toute modification qui réduirait votre protection.

13. Contact

Questions sur ce DPA : hello@more.you.