Accord de traitement des données

Le présent accord de traitement des données (ci-après le « DPA ») complète les conditions générales de vente et les conditions générales d'utilisation, et définit les obligations respectives de la société BELLUM, en sa qualité de sous-traitant au sens de l'article 28 du RGPD (ci-après le « Sous-traitant »), et du Client, en sa qualité de responsable du traitement (ci-après le « Responsable du traitement »), en matière de traitement des données à caractère personnel.

Dans le cadre de la fourniture des services BellumAI, le Sous-traitant traite, pour le compte du Responsable du traitement, les catégories de données suivantes : données d'identification des contacts professionnels (noms, prénoms, fonctions, coordonnées professionnelles) ; données d'entreprises cibles (raison sociale, données financières, effectifs, activité) ; données d'usage du Client (analyses lancées, messages générés, actions effectuées). Les personnes concernées sont les contacts professionnels identifiés dans le cadre de la prospection commerciale B2B du Client. La durée du traitement correspond à la durée du contrat entre les parties.

Le Sous-traitant s'engage à : ne traiter les données que sur instruction documentée du Responsable du traitement, y compris en ce qui concerne les transferts vers des pays tiers ou à des organisations internationales ; garantir que les personnes autorisées à traiter les données personnelles se sont engagées à respecter la confidentialité ou sont soumises à une obligation légale de confidentialité ; mettre en œuvre les mesures techniques et organisationnelles de sécurité décrites dans la Politique de confidentialité; ne pas faire appel à un autre sous-traitant sans l'autorisation préalable, générale ou spécifique, écrite du Responsable du traitement ; aider le Responsable du traitement, par des mesures techniques et organisationnelles appropriées, à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées ; aider le Responsable du traitement à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD (sécurité, notification des violations, analyse d'impact) ; au choix du Responsable du traitement, supprimer ou restituer toutes les données à caractère personnel à l'issue de la prestation ; mettre à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect de ses obligations et permettre la réalisation d'audits.

Le Sous-traitant est autorisé de manière générale par le Responsable du traitement à recourir à des sous-traitants ultérieurs pour l'exécution de prestations techniques spécifiques (hébergement, traitement des paiements, services d'infrastructure). La liste des sous-traitants ultérieurs est tenue à disposition du Client sur demande adressée à dpo@bellum-it.com.

Le Sous-traitant informe préalablement le Responsable du traitement de tout ajout ou remplacement de sous-traitant ultérieur. Le Responsable du traitement dispose d'un délai de trente jours à compter de la notification pour émettre des objections motivées. Chaque sous-traitant ultérieur est lié par des obligations contractuelles offrant un niveau de protection équivalent à celui prévu par le présent DPA.

En cas de violation de données à caractère personnel au sens de l'article 4(12) du RGPD, le Sous-traitant s'engage à notifier le Responsable du traitement dans les meilleurs délais et, en tout état de cause, dans un délai maximum de soixante-douze heures après en avoir pris connaissance. La notification comprendra la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables de la violation, et les mesures prises ou proposées pour remédier à la violation et en atténuer les éventuels effets négatifs.

Le Sous-traitant s'engage à permettre au Responsable du traitement, ou à tout auditeur indépendant mandaté par celui-ci et soumis à une obligation de confidentialité, de procéder à des audits afin de vérifier le respect des obligations du présent DPA, sous réserve d'un préavis raisonnable de quinze jours et dans la limite d'un audit par année civile, sauf circonstances exceptionnelles justifiant un audit supplémentaire (notamment en cas de violation de données ou de demande de l'autorité de contrôle). Les coûts de l'audit sont à la charge du Responsable du traitement.

Sur leur demande, le Sous-traitant s'engage à coopérer avec les autorités de protection des données compétentes, notamment en cas de contrôle. En cas de requête provenant d'une autorité administrative ou judiciaire, le Sous-traitant s'engage à en informer le Responsable du traitement dans les meilleurs délais.

Le présent DPA entre en vigueur à la date de souscription aux services BellumAI et demeure en vigueur pendant toute la durée du contrat. À l'issue du contrat, le Sous-traitant supprime l'ensemble des données à caractère personnel traitées pour le compte du Responsable du traitement dans un délai de trente jours, sauf obligation légale de conservation. Un certificat de suppression pourra être délivré sur demande du Responsable du traitement.