Accord de traitement des données (DPA)

Annexe 1 aux Conditions générales de vente d'Overdracht, conforme à l'article 28 du RGPD.

Article 1 - Parties et objet

Le présent accord est conclu entre :

• Le Client : l'agence ayant souscrit un abonnement à la plateforme Overdracht, agissant en qualité de responsable de traitement ;
• OVERDRACHT SOFTWARE INC., société constituée en Colombie-Britannique (Canada) sous le numéro BC1598323, 7404, boulevard King George, bureau 200, Surrey (C.-B.) V3W 1N6, Canada, agissant en qualité de sous-traitant (« Overdracht »).

Il encadre les traitements de données personnelles réalisés par Overdracht pour le compte du Client dans le cadre des CGV, conformément à l'article 28 du Règlement (UE) 2016/679 (« RGPD ») et aux lois canadiennes applicables (LPRPDE, Loi 25 au Québec).

Il entre en vigueur à l'acceptation des CGV et reste applicable tant qu'Overdracht traite des données pour le Client.

Article 2 - Description du traitement

Article 3 - Obligations du Client

Le Client, en tant que responsable de traitement, s'engage à :

1. Disposer d'une base légale pour collecter les données de ses clients et les saisir dans la plateforme.
2. Informer ses clients du traitement de leurs données, notamment de l'envoi de notifications par SMS et e-mail.
3. Ne saisir que les données nécessaires, et aucune donnée sensible.
4. Donner à Overdracht des instructions conformes à la loi. L'usage normal de la plateforme vaut instruction documentée.
5. Gérer les accès de ses collaborateurs (création, rôles, désactivation) et la confidentialité de leurs identifiants.
6. Respecter les règles applicables à l'envoi de SMS et d'e-mails dans les pays de ses destinataires.

Article 4 - Obligations d'Overdracht

Overdracht s'engage à :

1. Traiter les données uniquement sur instruction documentée du Client et pour les finalités décrites à l'article 2. Si une instruction lui paraît contraire à la loi, Overdracht en informe le Client sans délai.
2. Ne pas utiliser les données pour son propre compte, ne pas les vendre et ne pas les exploiter à des fins publicitaires.
3. Garantir la confidentialité des données : toute personne autorisée à y accéder (salariés, prestataires de développement et de maintenance) est soumise à une obligation de confidentialité.
4. Mettre en œuvre les mesures de sécurité décrites en Annexe A.
5. Tenir un registre des traitements effectués pour le compte du Client.
6. Informer le Client de toute demande d'accès d'une autorité publique, sauf interdiction légale.

Article 5 - Sous-traitants ultérieurs

Le Client autorise Overdracht à faire appel aux sous-traitants suivants :

Overdracht impose à chacun des obligations de protection au moins équivalentes à celles du présent accord et reste responsable envers le Client de leur respect.

Overdracht informe le Client par e-mail de tout ajout ou remplacement de sous-traitant au moins 30 jours à l'avance. Le Client peut s'y opposer pour un motif légitime dans ce délai. À défaut d'accord, il peut résilier son abonnement sans pénalité.

Article 6 - Sécurité et violations de données

Overdracht met en œuvre les mesures techniques et organisationnelles décrites en Annexe A. Il peut les faire évoluer, à condition de ne pas réduire le niveau de protection.

En cas de violation de données touchant les données du Client, Overdracht :

1. notifie le Client dans les 48 heures après en avoir pris connaissance, à l'adresse e-mail de l'administrateur du compte ;
2. indique la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables et les mesures prises ou proposées ;
3. complète ces informations au fur et à mesure de son enquête.

Ce délai permet au Client de notifier l'autorité de contrôle dans les 72 heures exigées par le RGPD. La notification à l'autorité et aux personnes concernées relève du Client, avec l'aide d'Overdracht.

Article 7 - Assistance au Client

Droits des personnes. La plateforme permet au Client de consulter, corriger, exporter et supprimer les données de ses clients. Si une personne s'adresse directement à Overdracht, Overdracht transmet sa demande au Client sous 5 jours ouvrés, sans y répondre lui-même sauf instruction du Client.

Analyses d'impact et autorités. Overdracht fournit au Client, sur demande, les informations raisonnablement nécessaires pour réaliser une analyse d'impact (AIPD) ou répondre à une autorité de contrôle.

Une assistance qui dépasse l'usage normal de la plateforme peut être facturée au tarif en vigueur, après accord préalable du Client.

Article 8 - Transferts hors de l'Union européenne

Les données sont hébergées en France. Elles peuvent toutefois être consultées depuis le Canada par Overdracht et transmises à certains sous-traitants situés hors de l'UE.

Ces transferts sont encadrés par :

• Canada : la décision d'adéquation de la Commission européenne pour les organisations soumises à la LPRPDE ;
• États-Unis : l'adhésion du sous-traitant au Data Privacy Framework UE-États-Unis ou, à défaut, les clauses contractuelles types de la Commission européenne ;
• Pays de destination des colis : le transfert nécessaire à l'exécution de l'expédition demandée par le client final, sous la responsabilité du Client.

Article 9 - Audit

Overdracht met à disposition du Client, sur demande écrite, les informations nécessaires pour démontrer le respect du présent accord (description des mesures de sécurité, liste des sous-traitants, attestations de ses hébergeurs).

Si ces informations ne suffisent pas, le Client peut faire réaliser un audit, une fois par an au plus, par un auditeur indépendant tenu au secret. Il prévient Overdracht au moins 30 jours à l'avance. L'audit se déroule pendant les heures ouvrées, sans perturber le service, et ne donne pas accès aux données des autres clients. Ses frais sont à la charge du Client, sauf s'il révèle un manquement grave d'Overdracht.

Article 10 - Fin du contrat

À la fin de l'abonnement, quelle qu'en soit la cause :

1. Le Client dispose de 3 mois pour exporter ses données depuis la plateforme. Son accès est limité à la consultation et à l'export pendant cette période.
2. À l'issue de ce délai, Overdracht supprime définitivement les données du Client, y compris dans les sauvegardes au terme de leur cycle de rotation (3 mois maximum).
3. Overdracht confirme la suppression par écrit sur demande.

Seules les données qu'Overdracht doit conserver en vertu d'une obligation légale (facturation de l'abonnement) sont gardées, pour la durée imposée par la loi.

Article 11 - Responsabilité, droit applicable et ordre de priorité

Responsabilité. Chaque partie répond des manquements qui lui sont imputables. La responsabilité d'Overdracht au titre du présent accord est soumise aux limitations prévues par les CGV, sauf faute lourde ou intentionnelle.

Ordre de priorité. En cas de contradiction entre le présent accord et les CGV sur la protection des données, le présent accord prévaut.

Droit applicable. Le présent accord suit le droit applicable aux CGV. Pour un Client établi dans l'Union européenne, les obligations issues du RGPD s'appliquent en tout état de cause.

Contact. Joel Temdie, joeltemdie@overdracht.io, OVERDRACHT SOFTWARE INC., 7404, boulevard King George, bureau 200, Surrey (C.-B.) V3W 1N6, Canada.

Annexe A - Mesures de sécurité