Fait partie de nos Conditions générales
Le présent Addendum relatif au traitement des données (« DPA ») fait partie intégrante des Conditions générales de service conclues entre Winning Technologies Ltd (« Winning », « Sous-traitant », « nous », « notre ») et le client ou l'utilisateur acceptant les Conditions (« Client », « Responsable du traitement », « vous ») pour l'utilisation de la plateforme Winning.
Le présent DPA s'applique uniquement lorsque Winning traite des Données personnelles pour le compte du Client en tant que Sous-traitant ou Sous-traitant ultérieur au titre des Lois sur la protection des données, y compris le RGPD, le UK GDPR, la loi suisse sur la protection des données ou d'autres lois équivalentes en matière de confidentialité.
En cas de conflit entre le présent DPA et les Conditions générales de service concernant le Traitement des Données personnelles du Client, le présent DPA prévaut.
1. Définitions
Aux fins du présent DPA :
- Données personnelles du Client désigne les Données personnelles traitées par Winning pour le compte du Client via la plateforme Winning.
- Lois sur la protection des données désigne l'ensemble des lois applicables au Traitement des Données personnelles au titre du présent DPA, y compris le RGPD, le UK GDPR, la LFPD suisse et les lois applicables de protection des données des EAU/DIFC le cas échéant.
- RGPD désigne le Règlement (UE) 2016/679.
- Données personnelles, Traitement, Responsable du traitement, Sous-traitant, Personne concernée, Violation de données personnelles et Sous-traitant ultérieur ont la signification qui leur est donnée dans les Lois sur la protection des données applicables.
- Services désigne la plateforme Winning et les services connexes fournis par Winning au titre des Conditions.
- Clauses contractuelles types ou CCT désigne les clauses contractuelles types de la Commission européenne pour les transferts internationaux, telles que mises à jour ou remplacées de temps à autre.
2. Rôles des parties
Pour les Données personnelles du Client :
- le Client est le Responsable du traitement, ou Sous-traitant agissant pour le compte d'un autre Responsable du traitement ;
- Winning est le Sous-traitant, ou Sous-traitant ultérieur lorsque le Client est lui-même Sous-traitant.
Le Client détermine les finalités et les moyens du Traitement des Données personnelles du Client. Winning traite les Données personnelles du Client uniquement pour fournir, sécuriser, prendre en charge et améliorer les Services conformément aux instructions documentées du Client.
Le Client est responsable de s'assurer que :
- il dispose d'une base juridique licite pour collecter, utiliser, partager et traiter les Données personnelles du Client ;
- il a fourni tous les avis de confidentialité requis aux Personnes concernées ;
- il a obtenu tous les consentements requis, y compris pour le marketing, les cookies, le suivi ou les intégrations de plateforme ;
- ses instructions à Winning sont conformes aux Lois sur la protection des données ;
- les Données personnelles du Client soumises aux Services sont exactes, pertinentes et limitées à ce qui est nécessaire.
3. Instructions du Client
Le Client instruit Winning de traiter les Données personnelles du Client :
- pour fournir les Services ;
- pour exploiter les workflows IA demandés ou approuvés par le Client ;
- pour connecter, lire, analyser, générer, optimiser ou mettre à jour les actifs de boutique e-commerce et les données commerciales ;
- pour fournir le support, le débogage, la sécurité et la maintenance ;
- comme autrement documenté dans les Conditions, le présent DPA, la Politique de confidentialité ou l'utilisation des Services par le Client.
Winning ne traitera pas les Données personnelles du Client à d'autres fins sauf si la loi l'exige. Si Winning est légalement tenu de traiter les Données personnelles du Client en dehors des instructions du Client, Winning en informera le Client avant de le faire, sauf si la loi interdit une telle notification.
Winning informera promptement le Client si, de l'avis de Winning, une instruction enfreint les Lois sur la protection des données.
4. Détails du traitement
L'objet, la durée, la nature, la finalité, les catégories de Données personnelles et les catégories de Personnes concernées sont décrits ci-dessous.
4.1 Objet
Traitement des Données personnelles du Client soumises à, connectées à, générées par ou consultées via la plateforme pour la création d'activités e-commerce assistée par IA, la génération de boutique, la génération de créations publicitaires, la mémoire commerciale et l'analyse de croissance.
4.2 Durée
Pour la durée du compte Client, de l'abonnement, de l'intégration connectée ou de toute autre période pendant laquelle Winning fournit les Services, sauf suppression antérieure par le Client ou conservation requise par la loi.
4.3 Nature et finalité
Winning peut collecter, recevoir, héberger, stocker, accéder, récupérer, analyser, transmettre, transformer, générer, supprimer et autrement traiter les Données personnelles du Client pour :
- fournir les workflows et fonctionnalités de la plateforme ;
- générer des textes de boutique, des actifs de marque, de la recherche produit, des concepts publicitaires et des résultats commerciaux ;
- analyser les performances de boutique et recommander les prochaines actions ;
- synchroniser avec Shopify ou d'autres intégrations autorisées ;
- sécuriser et maintenir la plateforme ;
- répondre aux demandes de support ;
- se conformer aux instructions documentées du Client.
4.4 Catégories de Personnes concernées
Les Données personnelles du Client peuvent concerner :
- les clients finaux du Client ;
- les visiteurs de boutique ;
- les prospects et leads ;
- les abonnés à la newsletter ;
- les utilisateurs de paniers abandonnés ou de paiement ;
- les auteurs d'avis produits ;
- les employés, sous-traitants, fondateurs ou membres d'équipe du Client ;
- les contacts professionnels inclus dans les éléments fournis par le Client.
4.5 Catégories de Données personnelles
Les Données personnelles du Client peuvent inclure :
- les noms ;
- les adresses e-mail ;
- les numéros de téléphone ;
- les adresses de facturation et de livraison ;
- les détails de commande ;
- l'historique d'achats de produits ;
- les événements de panier et de paiement ;
- le contenu de support client ou d'avis ;
- le statut de consentement marketing ;
- les adresses IP et les données d'appareil ;
- les analytiques de boutique et les événements d'utilisation ;
- le contexte commercial et les notes soumis par le Client ;
- les prompts IA, instructions et résultats générés contenant des Données personnelles.
4.6 Données sensibles
Le Client ne doit pas soumettre de catégories particulières de Données personnelles, de données relatives à des infractions pénales, d'identifiants gouvernementaux, de numéros de cartes de paiement, de données de santé ou d'autres données sensibles, sauf accord exprès écrit et autorisation légale.
5. Confidentialité
Winning s'assurera que le personnel autorisé à traiter les Données personnelles du Client est soumis à des obligations de confidentialité ou à des devoirs légaux appropriés de confidentialité.
Winning limitera l'accès aux Données personnelles du Client au personnel, aux sous-traitants et aux Sous-traitants ultérieurs qui ont besoin d'y accéder pour fournir, sécuriser, prendre en charge ou maintenir les Services.
6. Mesures de sécurité
Winning mettra en œuvre des mesures techniques et organisationnelles appropriées conçues pour protéger les Données personnelles du Client contre la destruction accidentelle ou illicite, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé.
Les mesures actuelles incluent, le cas échéant :
- le chiffrement en transit via TLS ;
- le chiffrement au repos lorsque pris en charge par les fournisseurs d'infrastructure ;
- la séparation logique entre les espaces de travail clients ;
- les contrôles d'accès et les permissions selon le principe du moindre privilège ;
- l'authentification multifacteur administrative lorsque disponible ;
- le stockage sécurisé des jetons et identifiants d'intégration ;
- la journalisation de l'activité pertinente pour la sécurité ;
- les procédures de sauvegarde et de reprise ;
- l'accès limité à la production pour le support et l'ingénierie ;
- la diligence raisonnable vis-à-vis des Sous-traitants ultérieurs significatifs ;
- les procédures de réponse aux incidents ;
- les processus de suppression ou d'anonymisation pour la clôture de compte et les demandes de droits sur les données.
Le Client reconnaît que les mesures de sécurité peuvent évoluer dans le temps, à condition qu'elles ne réduisent pas matériellement la protection globale des Données personnelles du Client.
7. Sous-traitants ultérieurs
Le Client donne à Winning une autorisation écrite générale d'engager des Sous-traitants ultérieurs pour fournir les Services.
Winning :
- maintiendra une liste à jour des Sous-traitants ultérieurs significatifs ;
- conclura des accords écrits avec les Sous-traitants ultérieurs imposant des obligations de protection des données substantiellement équivalentes à celles du présent DPA ;
- restera responsable de l'exécution par les Sous-traitants ultérieurs de leurs obligations en matière de protection des données ;
- fournira un avis des modifications significatives apportées aux Sous-traitants ultérieurs lorsque requis par les Lois sur la protection des données ou commercialement raisonnable pour les Services.
Le Client peut s'opposer à un nouveau Sous-traitant ultérieur pour des motifs raisonnables de protection des données dans les 30 jours suivant la notification. Si les parties ne peuvent pas résoudre l'objection, le Client peut cesser d'utiliser la partie concernée des Services ou résilier les Services concernés, sous réserve des Conditions.
La liste opérationnelle actuelle des Sous-traitants ultérieurs est maintenue dans le Registre des fournisseurs DPA.
8. Transferts internationaux
Le Client autorise Winning et ses Sous-traitants ultérieurs à traiter les Données personnelles du Client en dehors de l'EEE, du Royaume-Uni, de la Suisse et du pays du Client lorsque cela est nécessaire pour fournir les Services.
Lorsque requis, Winning utilisera des mécanismes de transfert appropriés, tels que :
- les CCT ;
- l'Addendum britannique relatif aux transferts internationaux de données ou mécanisme de transfert britannique équivalent ;
- les amendements ou garanties suisses le cas échéant ;
- les décisions d'adéquation ;
- d'autres mécanismes de transfert licites reconnus par les Lois sur la protection des données applicables.
Si des CCT sont requises, les parties conviennent que :
- le Module Deux s'applique lorsque le Client est Responsable du traitement et Winning est Sous-traitant ;
- le Module Trois s'applique lorsque le Client est Sous-traitant et Winning est Sous-traitant ultérieur ;
- le Client est l'exportateur de données et Winning est l'importateur de données, sauf si les faits imposent autrement ;
- les annexes aux CCT sont réputées complétées par les informations contenues dans le présent DPA, la Politique de confidentialité et la liste des Sous-traitants ultérieurs.
9. Demandes des Personnes concernées
Winning assistera le Client, compte tenu de la nature du Traitement, pour répondre aux demandes des Personnes concernées au titre des Lois sur la protection des données.
Si Winning reçoit directement une demande d'une Personne concernée relative aux Données personnelles du Client, Winning ne répondra pas de manière substantielle sauf autorisation du Client ou exigence légale. Winning peut orienter la Personne concernée vers le Client.
Le Client est responsable de répondre aux demandes des Personnes concernées en tant que Responsable du traitement. Winning peut facturer des frais raisonnables pour une assistance excessive, complexe ou hors périmètre, sauf interdiction légale.
10. Assistance à la conformité
Compte tenu de la nature du Traitement et des informations disponibles pour Winning, Winning fournira une assistance raisonnable au Client pour :
- les obligations de sécurité ;
- la réponse aux Violations de données personnelles ;
- les analyses d'impact relatives à la protection des données ;
- la consultation préalable des autorités de contrôle lorsque requise ;
- les audits ou demandes d'information raisonnablement nécessaires pour démontrer la conformité.
Cette assistance est limitée aux Données personnelles du Client traitées par Winning au titre du présent DPA.
11. Violation de données personnelles
Winning notifiera le Client sans retard injustifié après avoir pris connaissance d'une Violation de données personnelles affectant les Données personnelles du Client.
La notification inclura, lorsque disponible :
- une description de la violation ;
- les catégories et le nombre approximatif de Personnes concernées et d'enregistrements affectés ;
- les conséquences probables ;
- les mesures prises ou proposées pour remédier à la violation ;
- un point de contact pour le suivi.
La notification de Winning ne constitue pas une admission de faute ou de responsabilité. Le Client est responsable de déterminer si une notification aux Personnes concernées ou aux autorités est requise.
12. Suppression ou restitution
À la résiliation des Services, à la clôture du compte ou sur demande écrite, Winning supprimera ou restituera les Données personnelles du Client, sauf si la conservation est requise par la loi ou autorisée au titre des Conditions.
Winning peut conserver :
- les registres de facturation, fiscaux et comptables ;
- les journaux de sécurité nécessaires pour la fraude, les abus ou l'enquête sur un incident ;
- les registres nécessaires pour des réclamations juridiques ou la conformité ;
- les données anonymisées ou agrégées qui n'identifient plus le Client ou les Personnes concernées ;
- les copies de sauvegarde jusqu'à leur écrasement via la rotation normale des sauvegardes.
Le Client est responsable d'exporter les Données personnelles du Client avant de résilier les Services s'il souhaite en obtenir une copie.
13. Audits et droits d'information
Winning mettra à disposition les informations raisonnablement nécessaires pour démontrer la conformité au présent DPA.
Le Client peut demander un audit au maximum une fois par an, sauf si une Violation de données personnelles ou une exigence réglementaire justifie un audit supplémentaire. Les audits doivent :
- être limités au Traitement des Données personnelles du Client ;
- être menés pendant les heures ouvrables normales ;
- être soumis à des exigences raisonnables de confidentialité et de sécurité ;
- éviter de perturber les opérations de Winning ;
- éviter l'accès aux données d'autres clients ;
- être réalisés par un auditeur indépendant lorsque raisonnablement requis.
Winning peut satisfaire les demandes d'audit en fournissant des rapports de sécurité, des politiques, des certifications, des synthèses ou des réponses à des questionnaires le cas échéant.
14. Responsabilités du Client concernant les intégrations
Le Client est responsable :
- de s'assurer que toute intégration Shopify, Meta, Google, e-mail, SMS, analytique ou autre est configurée licitement ;
- de maintenir des avis de confidentialité et un consentement cookies exacts pour sa propre boutique ou activité ;
- d'éviter le téléversement de données inutiles ou sensibles ;
- de respecter les demandes de droits des Personnes concernées reçues de ses propres clients ;
- de s'assurer que l'utilisation par le Client des résultats de la plateforme est conforme aux lois sur la publicité, la protection des consommateurs, la confidentialité, les plateformes et le e-commerce.
Winning n'agit pas en tant que conseil juridique ou délégué à la protection des données du Client.
15. Responsabilité
Les limitations de responsabilité prévues dans les Conditions s'appliquent au présent DPA, sauf interdiction par les Lois sur la protection des données.
Rien dans le présent DPA ne limite une responsabilité qui ne peut légalement être limitée en vertu de la loi applicable.
16. Droit applicable
Le présent DPA est régi par le même droit et la même juridiction que les Conditions, sauf lorsque les Lois sur la protection des données imposent autrement.
17. Contact
Pour les questions relatives au DPA ou à la confidentialité :
Winning Technologies Ltd
Innovation Hub Virtual Inventory, IH-00-VZ-01-FL-215, Level 1
Dubai International Financial Centre
Dubai, Émirats arabes unis
E-mail : [email protected]
Juridique : [email protected]