Accord de traitement des données

1Parties et objet

Le présent accord de traitement des données (l'« Accord ») est conclu entre [COMPANY LEGAL NAME], [LEGAL FORM] au capital de [SHARE CAPITAL], dont le siège social est situé [REGISTERED ADDRESS], RC [RC NUMBER], ICE [ICE NUMBER] (« relay », « nous »), et l'organisation qui souscrit à relay (le « Client », « vous »).

Il fait partie des Conditions d'utilisation (les « Conditions ») et s'applique chaque fois que nous traitons des données personnelles pour votre compte au moyen du service : la messagerie web, l'API REST et les webhooks. En cas de divergence entre le présent Accord et les Conditions sur la protection des données personnelles, le présent Accord prévaut.

Il ne couvre pas les données personnelles du titulaire du compte, comme son nom, son adresse e-mail et ses informations de facturation. Nous traitons ces données en qualité de responsable du traitement, selon notre Politique de confidentialité.

2Définitions

RGPD

Règlement (UE) 2016/679 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel.

Loi 09-08

Loi marocaine n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, et ses textes d'application.

Droit de la protection des données

Le RGPD, la loi 09-08 et toute autre loi relative aux données personnelles applicable au traitement.

Données du Client

Les données personnelles que nous traitons pour votre compte au moyen du service, décrites à l'annexe I : pour l'essentiel, les messages, médias et identifiants WhatsApp des personnes avec qui vos numéros échangent.

Sous-traitant ultérieur

Un tiers auquel nous faisons appel pour traiter des Données du Client dans le cadre du service.

Violation de données personnelles

Une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte ou l'altération de Données du Client, ou leur divulgation ou l'accès à celles-ci sans autorisation.

Les termes responsable du traitement, sous-traitant, personne concernée, traitement et autorité de contrôle ont le sens que leur donne le RGPD.

3Rôle des parties

Pour les Données du Client, vous êtes responsable du traitement et relay est votre sous-traitant. Si vous utilisez relay pour le compte de votre propre client, vous agissez comme son sous-traitant et relay comme votre sous-traitant ultérieur : vous restez notre seul interlocuteur et vous nous transmettez les instructions de votre client.

Vous répondez de la licéité des traitements que vous ordonnez. Il vous appartient notamment de :

• disposer d'une base légale pour traiter les messages et identifiants des personnes avec qui vos numéros échangent ;
• informer ces personnes comme l'exige le droit de la protection des données ;
• utiliser vos numéros WhatsApp dans le respect des conditions de WhatsApp et de notre politique d'utilisation acceptable.

Les données que vous récupérez par l'API ou recevez par webhook quittent nos systèmes à votre demande. Elles relèvent ensuite de vos propres systèmes et prestataires.

WhatsApp n'est pas notre sous-traitant ultérieur : vos numéros utilisent WhatsApp dans le cadre de votre propre relation avec WhatsApp et de ses conditions. [COUNSEL TO CONFIRM THIS POSITION]

4Objet, durée, nature et finalité

Objet

La fourniture du service relay : relier vos numéros WhatsApp comme appareils connectés, afficher leurs conversations dans la messagerie web et donner accès à ces mêmes numéros par l'API REST et les webhooks.

Durée

Pendant toute la durée de votre abonnement, puis jusqu'à la suppression des données prévue à l'article 13.

Nature

Réception, stockage, affichage, recherche et envoi de messages ; import des conversations passées dans la fenêtre de votre offre ; téléchargement des médias ; transmission des réponses de l'API et des webhooks ; suppression.

Finalité

Uniquement vous fournir le service et en assurer la sécurité. Nous ne traitons pas les Données du Client pour nos propres finalités.

5Personnes concernées et catégories de données

L'annexe I en donne le détail. En résumé :

5.1Personnes concernées

• les contacts WhatsApp avec qui vos numéros échangent des messages ;
• les participants des groupes dont vos numéros sont membres ;
• toute personne nommée ou visible dans les messages ou les médias.

5.2Catégories de données

• messages : texte, légendes, réponses, modifications et suppressions ;
• médias : images, vidéos, documents et messages vocaux ;
• numéros de téléphone et identifiants WhatsApp ;
• noms des contacts, noms des groupes, appartenance aux groupes et rôles ;
• horodatages, statuts de remise et de lecture, et réactions.

Nous ne demandons aucune catégorie particulière de données. Elles peuvent néanmoins figurer dans les messages que vos contacts vous envoient ; leur traitement relève de votre décision de responsable du traitement.

6Instructions

Nous traitons les Données du Client uniquement sur vos instructions documentées. Elles se composent des Conditions, du présent Accord et des actions que vous réalisez dans le service : connecter ou supprimer un numéro, envoyer un message, appeler l'API, configurer un webhook, changer d'offre.

Si nous estimons qu'une instruction enfreint le droit de la protection des données, nous vous en informons sans délai et pouvons en suspendre l'exécution jusqu'à ce que vous la confirmiez ou la modifiiez.

Si le droit de l'Union européenne, d'un État membre ou du Maroc nous impose de traiter les Données du Client d'une autre manière, nous vous en informons au préalable, sauf si ce droit l'interdit.

7Confidentialité

Seules les personnes qui en ont besoin pour exploiter, assister ou sécuriser le service peuvent accéder aux Données du Client, et chacune d'elles est tenue à une obligation de confidentialité [STAFF CONFIDENTIALITY TERMS].

Les actions d'administration sur le service sont consignées dans un journal d'audit. Les journaux, rapports d'erreur et statistiques ne contiennent que des identifiants, des compteurs et des codes : jamais le contenu des messages, ni numéros de téléphone, noms ou médias.

8Sécurité

Nous appliquons les mesures techniques et organisationnelles décrites à l'annexe II. Nous les tenons à jour selon l'évolution des risques et des techniques, sans abaisser le niveau global de protection.

Vous répondez de la sécurité de ce que vous maîtrisez : vos identifiants de compte, vos clés API et leurs portées, et les points de terminaison qui reçoivent vos webhooks.

9Sous-traitants ultérieurs

Vous nous accordez une autorisation générale de recourir à des sous-traitants ultérieurs. La liste à jour figure sur la page Sous-traitants ultérieurs, qui constitue l'annexe III.

Nous vous prévenons au moins [SUB-PROCESSOR NOTICE PERIOD] avant d'ajouter ou de remplacer un sous-traitant ultérieur, par e-mail au titulaire de l'organisation et sur cette page. Pendant ce délai, vous pouvez vous y opposer pour un motif raisonnable tenant à la protection des données. Si nous ne pouvons pas lever votre objection, vous pouvez mettre fin au service concerné [REFUND POLICY].

Chaque sous-traitant ultérieur est tenu par écrit à des obligations qui protègent les Données du Client au moins aussi bien que le présent Accord. Nous restons responsables envers vous de leur exécution.

10Transferts internationaux

Les Données du Client sont stockées dans l'Union européenne, à Francfort, en Allemagne : sur des serveurs DigitalOcean (FRA1) et, pour les fichiers multimédias et les exports de données, dans un espace de stockage privé Google Cloud (europe-west3).

Les requêtes adressées au service, y compris les Données du Client qu'elles transportent, transitent par le réseau mondial de Cloudflare et peuvent être traitées hors de l'Espace économique européen [CONFIRM REGION].

Lorsque des Données du Client sont traitées hors de l'Espace économique européen, par un sous-traitant ultérieur ou par notre propre personnel [STAFF LOCATIONS], le transfert repose sur une décision d'adéquation ou sur les clauses contractuelles types de la Commission européenne [TRANSFER MECHANISM].

Lorsque des Données du Client sont transmises depuis le Maroc ou consultées depuis le Maroc, nous respectons la loi 09-08 et les règles de la CNDP relatives aux transferts [CNDP TRANSFER AUTHORIZATION]. Notre numéro de déclaration auprès de la CNDP est [CNDP NUMBER].

11Assistance

11.1Demandes des personnes concernées

Le service vous permet de traiter vous-même la plupart des demandes : vous pouvez retrouver les conversations d'une personne grâce à la recherche, lire ses messages et médias dans la messagerie, les récupérer par l'API REST, et télécharger d'un coup toutes les Données du Client grâce à l'export en libre-service décrit à la section 13.

Pour ce que vous ne pouvez pas faire vous-même, comme effacer les données d'une personne sur un numéro que vous conservez, nous vous aidons sur demande [ERASURE PROCESS], sous [RESPONSE TIME].

Si une personne concernée nous contacte directement au sujet de Données du Client, nous vous transmettons sa demande sans y répondre nous-mêmes, sauf si vous nous le demandez.

11.2Analyses d'impact et autorités

Nous vous fournissons les informations raisonnablement nécessaires, pour ce qui concerne le service, à une analyse d'impact relative à la protection des données ou à la consultation préalable d'une autorité de contrôle telle que la CNDP.

12Violations de données personnelles

Nous vous notifions toute violation de données personnelles touchant des Données du Client dans les meilleurs délais, et au plus tard [HOURS] heures après en avoir pris connaissance, par e-mail au titulaire de l'organisation.

La notification décrit, dans la mesure de ce que nous savons alors :

• la nature de la violation, ainsi que les catégories et le nombre approximatif de personnes et d'enregistrements concernés ;
• ses conséquences probables ;
• les mesures prises ou envisagées pour y remédier et en limiter les effets ;
• la personne à contacter pour en savoir plus.

Nous complétons ces informations au fil de l'enquête. La notification à l'autorité de contrôle et aux personnes concernées reste votre décision de responsable du traitement ; nous vous aidons à y procéder.

13Suppression et restitution des données

La conservation suit votre offre. Chaque nuit, les messages et médias plus anciens que la fenêtre de votre offre sont supprimés.

Les conversations passées importées lorsque vous reliez un numéro sont limitées à la même fenêtre.

Supprimer un numéro supprime définitivement ses conversations, messages et médias, et déconnecte le numéro de WhatsApp. Supprimer votre organisation, dans Paramètres › Données et confidentialité, fait de même pour tous ses numéros et supprime aussi ses clés API, ses webhooks et ses exports de données. Le compte utilisateur du propriétaire est conservé jusqu'à ce que celui-ci le supprime dans les paramètres ; il relève de la Politique de confidentialité.

À la fin de votre abonnement, nous supprimons les Données du Client de l'organisation sous [END-OF-SUBSCRIPTION DELETION PERIOD], sauf obligation légale de conservation.

D'ici là, le propriétaire peut télécharger toutes les Données du Client depuis Paramètres › Compte et sécurité › Exporter mes données : un fichier ZIP avec les conversations, contacts et messages de chaque numéro, la liste de ses médias et les fichiers médias encore conservés, aux formats JSON et JSON Lines. Nous écrivons au propriétaire quand il est prêt ; il se télécharge depuis les paramètres, en étant connecté, par un lien valable 5 minutes, et il est supprimé 7 jours après sa création. Un seul export à la fois, au plus un toutes les 24 heures. Vous pouvez aussi récupérer les données par l'API REST. Les copies de sauvegarde sont supprimées sous [BACKUP RETENTION PERIOD].

14Audits et informations

Nous mettons à votre disposition les informations nécessaires pour démontrer le respect de l'article 28 du RGPD : le présent Accord, la page Sécurité et nos réponses à des questionnaires de sécurité raisonnables.

Vous pouvez auditer notre conformité vous-même, ou par l'intermédiaire d'un auditeur indépendant tenu à la confidentialité, selon les modalités suivantes : [AUDIT TERMS].

15Responsabilité

La responsabilité de chaque partie au titre du présent Accord est soumise aux limitations et exclusions de responsabilité prévues par les Conditions. Rien dans le présent Accord ne limite la responsabilité d'une partie lorsque le droit de la protection des données ne le permet pas.

16Durée, modifications et droit applicable

Le présent Accord s'applique tant que nous traitons des Données du Client et prend fin une fois ces données supprimées.

Nous pouvons mettre à jour le présent Accord pour suivre l'évolution du droit ou du service. Nous annonçons les modifications importantes [NOTICE PERIOD] à l'avance, et chaque version porte sa date d'entrée en vigueur.

Le présent Accord est régi par le droit et les juridictions prévus par les Conditions : [GOVERNING LAW AND COURTS].

17Annexe I : détails du traitement

18Annexe II : mesures techniques et organisationnelles

Les mesures en place aujourd'hui. Les éléments entre crochets restent à documenter.

19Annexe III : sous-traitants ultérieurs

La page Sous-traitants ultérieurs recense tous les prestataires auxquels nous faisons appel, avec le rôle et la localisation de chacun. Les prestataires de cette liste qui traitent des Données du Client, tels que mis à jour selon l'article 9, constituent la présente annexe.

Les Données du Client elles-mêmes sont stockées par DigitalOcean (serveurs et bases de données) et Google Cloud (espace de stockage des médias), tous deux à Francfort, en Allemagne, et transitent par Cloudflare, qui protège et achemine toutes les adresses du service. Les prestataires qui ne traitent que les données propres du titulaire du compte, comme la facturation et les e-mails de compte, relèvent de la Politique de confidentialité.

Si vous activez l'option proxy, le trafic d'un numéro passe par un proxy situé dans le pays de ce numéro, exploité par [PROXY PROVIDER]. [CONFIRM THAT TRAFFIC STAYS ENCRYPTED END TO END THROUGH THE PROXY]

20Acceptation et signature

Vous acceptez le présent Accord en même temps que les Conditions lors de votre souscription ; il s'applique sans signature.

Si votre organisation a besoin d'un exemplaire contresigné, demandez-le-nous et nous vous l'adressons pour signature [SIGNATURE PROCESS].

20.1Le Client (Responsable du traitement)

20.2relay (Sous-traitant)

Nous répondons depuis support@wrelay.site.

21Contact

Écrivez-nous au sujet du présent Accord, d'un changement de sous-traitant ultérieur ou d'une demande de l'un de vos contacts.