Accord de traitement des données

Le sous-traitant traite des données à caractère personnel exclusivement pour exécuter la mission du responsable du traitement : la réalisation, la livraison et la mesure de drops. Le présent accord s’applique aussi longtemps que le sous-traitant traite des données pour le compte du responsable du traitement.

Collecte, organisation, conservation, utilisation à des fins de personnalisation, impression ou cuisson, livraison, et enregistrement des scans et des interactions sur la page d’atterrissage personnelle. Exclusivement pour la campagne concernée, jamais pour les finalités propres du sous-traitant.

Personnes concernées : les destinataires d’un drop désignés par le responsable du traitement. Données : prénom et nom, entreprise, fonction, adresse de livraison, ainsi que les données de scan et d’interaction de la page d’atterrissage.

Le sous-traitant agit exclusivement sur instruction documentée du responsable du traitement. Si le sous-traitant estime qu’une instruction est contraire à la législation applicable, il le signale.

Le sous-traitant s’engage à respecter la confidentialité et veille à ce que toute personne ayant accès aux données soit tenue à la même obligation de confidentialité.

Le sous-traitant prend des mesures techniques et organisationnelles appropriées : accès sur la base du besoin d’en connaître, chiffrement lorsque cela est approprié, stockage au sein de l’EEE en principe, et limitation de la durée de conservation des données d’adresse à trente jours après la livraison.

Le sous-traitant peut faire appel à des sous-traitants ultérieurs : hébergeur, imprimerie et boulangerie, service de coursier, plateforme d’e-mailing, prestataire de paiement et outils d’analyse. Chaque sous-traitant ultérieur est tenu aux mêmes obligations. En cas de changement de sous-traitant ultérieur, le sous-traitant en informe préalablement le responsable du traitement, afin que celui-ci puisse émettre des objections.

Le sous-traitant aide le responsable du traitement à donner suite en temps utile aux demandes des personnes concernées (accès, rectification, effacement et autres droits).

Le sous-traitant notifie toute violation de données à caractère personnel au responsable du traitement dans les meilleurs délais et au plus tard dans les quarante-huit heures après en avoir pris connaissance, en lui fournissant toutes les informations dont le responsable du traitement a besoin pour satisfaire à sa propre obligation de notification.

À la fin de la mission, le sous-traitant supprime les données à caractère personnel ou les renvoie, au choix du responsable du traitement, à l’exception de ce qui doit être conservé en vertu de la loi ou de ce qui est nécessaire pour la liste d’exclusion.

Le responsable du traitement peut, moyennant un préavis raisonnable et sans perturber inutilement les activités de l’entreprise, contrôler ou faire contrôler le respect du présent accord.