Accord de traitement des données (DPA)

1. Rôles

Pour les données enregistrées auprès des visiteurs de votre boutique et importées concernant vos clients, vous êtes le responsable du traitement et Frondia LLC est votre sous-traitant. Vous déterminez les finalités et les moyens ; nous agissons uniquement sur vos instructions documentées, qui sont les présentes conditions ainsi que ce que vous configurez dans le produit.

Vos instructions documentées comprennent chaque fonctionnalité que vous activez, en particulier la connexion d’une boutique, d’un compte Klaviyo ou d’une plateforme publicitaire ou d’e-mailing à laquelle Whence envoie vos commandes, le maintien activé du réglage qui relie les visites aux coordonnées que les visiteurs saisissent, et l’activation du réglage qui envoie ces coordonnées aux clients de votre propre boutique Shopify.

Si nous estimons un jour qu’une de vos instructions enfreint la législation sur la protection des données, nous vous le signalerons plutôt que de l’exécuter sans rien dire.

2. Ce que nous traitons, et pour qui

Dans les enregistrements, le texte saisi dans les champs de formulaire est masqué dans le navigateur du visiteur avant de nous parvenir. Les mots de passe et les numéros de carte bancaire ne sont jamais lus. Les seules valeurs saisies que nous recevons sont les coordonnées énumérées ci-dessus. Les analyses de formulaires contiennent les noms des champs et des décomptes, jamais les valeurs saisies.

2A. Vos obligations en tant que responsable du traitement

Avant que Whence n’enregistre qui que ce soit ou n’envoie une commande à une plateforme, vous devez :

• (a) lorsque la loi exige un consentement, le recueillir avant l’exécution du script et avant la lecture des coordonnées, au moyen de la bannière de cookies de Shopify ou d’un outil de consentement connecté à la Customer Privacy API de Shopify ou au script Whence, conformément à la documentation ; Whence ne fournit pas de bannière de cookies propre et lit le consentement que votre boutique recueille ;
• (b) indiquer aux visiteurs et aux clients, dans votre politique de confidentialité, que les visites sont enregistrées par Whence, ce qui est enregistré, y compris les clics, le défilement, l’utilisation des formulaires et les événements, ainsi que les coordonnées que lit le script, quels éléments sont stockés dans leur navigateur et quelles plateformes reçoivent leurs commandes ;
• (c) vous assurer que le consentement marketing que vous recueillez couvre la communication des données d’achat aux plateformes publicitaires que vous connectez, y compris à des fins de mesure et de personnalisation publicitaires lorsqu’une plateforme l’exige ;
• (d) disposer d’une base légale pour chaque traitement dont vous donnez l’instruction ;
• (e) si vous activez « Enregistrer sans attendre le consentement », Whence enregistre les visites, lit les coordonnées saisies et envoie les événements aux plateformes que vous connectez sans attendre le consentement du visiteur, sur votre instruction. Vous seul en décidez et vous en êtes responsable : dans l’UE, au Royaume-Uni et dans certains États américains, c’est illégal sans consentement. Nous consignons chaque changement de ce réglage avec son auteur et sa date, et nous marquons chaque visite enregistrée ainsi ; le refus explicite d’un visiteur reste respecté.
• (f) « Enregistrer même si le visiteur refuse » est désactivé par défaut, et vous ne pouvez l’activer qu’en confirmant que vous en prenez la responsabilité. Si vous l’activez, Whence enregistre aussi, sur votre instruction, les visiteurs qui refusent dans la bannière de cookies ou l’outil de consentement de votre boutique, par dérogation à la dernière phrase du (e). Vous seul en décidez et vous en êtes responsable : enregistrer un visiteur qui a refusé est interdit par le RGPD dans l’UE, l’EEE, au Royaume-Uni et en Suisse. Nous consignons chaque changement de ce réglage avec son auteur et sa date, et nous marquons chaque visite enregistrée ainsi. Rien concernant un visiteur qui a refusé n’est envoyé aux plateformes publicitaires que vous connectez : ni son adresse réseau, ni ses identifiants de clic, et aucun consentement marketing n’est présumé pour lui.

3. Confidentialité

Toute personne ayant accès à vos données est tenue à des obligations de confidentialité qui perdurent après la fin de sa mission, et l’accès n’est accordé que lorsque le travail l’exige.

4. Sécurité

Nous maintenons des mesures adaptées au risque, notamment : chiffrement des données en transit ; conservation des enregistrements dans un stockage privé plutôt qu’à une adresse publique ; suppression des paramètres sensibles et du fragment dans les adresses de pages conservées pour une visite, comme décrit dans notre politique de confidentialité ; règles de base de données limitant l’accès de chaque compte à ses propres boutiques ; tâches de fond nécessitant un accès plus large exécutées uniquement sur nos serveurs, avec des identifiants jamais transmis à un navigateur ; et accès restreint aux systèmes de production.

Nous pouvons faire évoluer ces mesures, mais pas d’une manière qui réduise sensiblement le niveau de protection.

5. Sous-traitants ultérieurs

Vous nous autorisez à faire appel aux sous-traitants ultérieurs listés sur la page des sous-traitants ultérieurs. Chacun est tenu à des obligations non moins protectrices que les présentes.

Nous annoncerons tout nouveau sous-traitant ultérieur sur cette page au moins trente jours avant qu’il ne commence à traiter vos données. Si vous vous y opposez pour des motifs raisonnables liés à la protection des données dans ce délai de trente jours et que nous ne pouvons pas proposer d’alternative, vous pouvez résilier la partie du service concernée et obtenir le remboursement de la période non utilisée.

Nous restons responsables envers vous des actes de nos sous-traitants ultérieurs.

5A. Destinataires que vous désignez

Lorsque vous connectez une plateforme publicitaire ou d’e-mailing dans Whence (Meta, Google, TikTok, Snapchat, Pinterest, Microsoft, Reddit, Taboola ou Klaviyo), vous nous donnez l’instruction d’envoyer vos données de commande, ainsi que les événements de boutique que vous choisissez pour cette plateforme (consultations de produits, paniers, paiements commencés et, si vous l’activez, pages vues), vers votre compte sur cette plateforme. Lorsque le visiteur a accepté le marketing, l’adresse IP utilisée par son navigateur sur votre boutique accompagne la commande et ces événements : Whence ne la conserve que lorsque le visiteur a accepté le marketing et que votre boutique envoie des événements à au moins une plateforme, et elle est effacée au bout de 7 jours. Lorsque vous demandez à Whence d’exécuter le pixel de cette plateforme dans le navigateur, son propre script est chargé sur votre boutique selon ses conditions. Cette plateforme n’est pas notre sous-traitant ultérieur : vous avez votre propre contrat avec elle, il vous appartient d’accepter et de respecter ses conditions, et elle traite les données selon ces conditions. Nous n’envoyons une commande que lorsque les signaux de consentement décrits dans notre politique de confidentialité le permettent. Pour les plateformes publicitaires, les coordonnées sont hachées lorsque la plateforme l’exige ; Klaviyo les reçoit non hachées, dans votre propre compte. Nous ne pouvons pas récupérer les données qu’une plateforme a déjà reçues ; les demandes d’effacement de ces données doivent être adressées à la plateforme. Vous pouvez arrêter l’envoi vers toute plateforme à tout moment.

Lorsque vous activez l’envoi des contacts capturés vers vos clients Shopify (désactivé par défaut), vous nous donnez l’instruction de créer, dans votre propre boutique Shopify, un client pour chaque contact capturé sur votre vitrine après le consentement du visiteur et après que vous avez activé le réglage, avec son adresse e-mail, son numéro de téléphone, son prénom et son nom, le tag whence-captured et une note. Nous ne modifions jamais un client qui existe déjà dans votre boutique, hormis l’ajout de ce tag, et nous ne définissons aucun consentement marketing. Shopify est votre plateforme de boutique, pas notre sous-traitant ultérieur. Désactiver le réglage arrête l’envoi et ne supprime rien ; effacer une personne dans Whence ne supprime pas le client créé dans votre boutique, que vous effacez dans Shopify.

Il en va de même lorsque vous connectez Google Analytics 4, HubSpot ou Zapier : vous nous donnez l’instruction d’envoyer les événements que vous choisissez, avec l’identifiant client Google Analytics (uniquement après un consentement explicite aux statistiques) ou l’adresse e-mail du visiteur (uniquement après consentement marketing), comme décrit dans notre politique de confidentialité, vers votre propre compte sur cet outil. Et lorsque vous connectez WooCommerce ou BigCommerce, vous nous donnez l’instruction d’y lire vos commandes avec les clés en lecture seule que vous fournissez. Ces outils sont des destinataires que vous choisissez, pas nos sous-traitants ultérieurs.

6. Transferts internationaux

Les données de vos visiteurs et de vos clients sont stockées dans l’Union européenne, aux emplacements indiqués sur la page des sous-traitants ultérieurs. Frondia LLC et certains sous-traitants ultérieurs y accèdent depuis les États-Unis, et certaines parties de la couche réseau sont mondiales. Lorsqu’un transfert nécessite une garantie, les parties intègrent par référence les clauses contractuelles types de la Commission européenne du 4 juin 2021, module deux (responsable du traitement à sous-traitant), vous étant l’exportateur de données et Frondia LLC l’importateur de données, ainsi que l’avenant (addendum) pour le Royaume-Uni publié par l’Information Commissioner’s Office lorsque le transfert est soumis au droit du Royaume-Uni.

Aux fins de ces clauses, la description figurant à la clause 2 tient lieu d’annexe I, les mesures de la clause 4 d’annexe II et la page des sous-traitants ultérieurs d’annexe III. L’autorité de contrôle est celle de l’État membre dans lequel vous êtes établi. La clause 17 est régie par le droit irlandais et la clause 18 attribue compétence aux juridictions irlandaises.

Pour les transferts soumis à la loi fédérale suisse sur la protection des données, les mêmes clauses s’appliquent, le Préposé fédéral à la protection des données et à la transparence est l’autorité compétente, et les références au RGPD s’entendent comme des références à cette loi.

7. Suppression et restitution

Les enregistrements et les visites, avec les clics, analyses de formulaires, mesures de vitesse des pages et événements mesurés pendant ces visites ainsi que les décomptes quotidiens établis à partir de ceux-ci, sont supprimés automatiquement à l’expiration de la durée de conservation de votre formule. Les événements de panier et de paiement sont supprimés au bout de 90 jours, les résumés IA selon le même calendrier que les enregistrements, les traces de consentement au bout de 24 mois, et les commandes, paiements abandonnés et contacts importés dans un délai d’un jour après la déconnexion de la boutique ou la désinstallation de l’application Shopify. Le détail figure dans notre politique de confidentialité.

Lorsque votre compte est résilié, vous pouvez exporter vos données pendant les trente jours qui suivent, après quoi nous les supprimons. Si vous utilisez l’application Shopify, sa désinstallation conduit également Shopify à nous demander d’effacer les données de la boutique 48 heures plus tard ; exportez ce dont vous avez besoin avant de la désinstaller.

Vous pouvez à tout moment exporter ou effacer les données d’un visiteur ou d’un client depuis la section « Privacy requests » (demandes de confidentialité) de vos paramètres. Un effacement qui ne peut pas supprimer toutes les données échoue de façon visible au lieu d’indiquer une réussite : on ne vous dit jamais qu’une suppression a eu lieu alors que ce n’est pas le cas.

8. Vous aider à respecter vos propres obligations

Nous vous assisterons, dans une mesure raisonnable et compte tenu des informations dont nous disposons :

• Pour les demandes des personnes concernées. La section « Privacy requests » de vos paramètres vous permet de retrouver une personne par adresse e-mail, numéro de téléphone, prénom et nom, identifiant de visiteur ou numéro de commande, et d’exporter ou d’effacer ce que Whence détient à son sujet. Les demandes que Shopify nous transmet y apparaissent avec leur date d’échéance. Lorsqu’une demande nous parvient directement, nous vous la transmettrons plutôt que d’y donner suite nous-mêmes.
• Pour les analyses d’impact et les consultations relatives au traitement décrit ici.
• En cas d’incident de sécurité. Nous vous informerons dans les meilleurs délais et, si possible, dans les 48 heures et en tout état de cause dans les 72 heures après avoir pris connaissance d’une violation de données à caractère personnel affectant vos données, en vous indiquant ce que nous savons à ce moment-là, ce que nous faisons pour y remédier et ce que nous vous conseillons de faire.

9. Audit

Nous mettrons à disposition les informations raisonnablement nécessaires pour démontrer le respect du présent accord et répondrons à un questionnaire de sécurité écrit une fois par période de douze mois. Lorsque cela est réellement insuffisant, vous pouvez nous auditer moyennant un préavis de trente jours, une fois par période de douze mois, à vos frais, pendant les heures ouvrables et sans perturber le service ni la confidentialité des données des autres clients.

9A. Lois des États américains sur la protection de la vie privée

Lorsque le California Consumer Privacy Act (CCPA) ou une loi similaire d’un État américain s’applique, nous traitons les informations personnelles uniquement aux fins professionnelles décrites à la clause 2 et selon vos instructions. Nous ne les vendrons pas, ne les partagerons pas à des fins de publicité comportementale intercontextuelle pour notre propre compte, ne les conserverons, n’utiliserons ni ne divulguerons en dehors de notre relation commerciale directe avec vous, et ne les combinerons pas avec des informations personnelles reçues d’autres sources, sauf dans la mesure où ces lois le permettent. Nous respecterons ces lois, assurerons le niveau de protection qu’elles exigent et vous informerons si nous ne pouvons plus remplir ces obligations. Vous pouvez prendre des mesures raisonnables pour faire cesser et corriger toute utilisation non autorisée.

10. Ordre de priorité

En cas de contradiction entre le présent accord et les conditions d’utilisation concernant le traitement des données des visiteurs ou des clients, le présent accord prévaut. En cas de contradiction avec les clauses contractuelles types, ces clauses prévalent.

11. Contact

Frondia LLC, Nouveau-Mexique, États-Unis. contact@usewhence.com.