Accord de traitement des données

1. Les parties

Cet accord de traitement des données (l’« accord ») lie Versity Life Co-Ltd, qui exploite Hivenza (« nous », le sous-traitant), et l’organisation qui utilise Hivenza (« vous », le responsable du traitement). Il fait partie des conditions d’utilisation et s’applique chaque fois que nous traitons des données personnelles pour votre compte.

Il prend effet quand un propriétaire de votre espace l’accepte dans l’application, ou quand vous en signez un exemplaire avec nous, et dure aussi longtemps que nous traitons des données personnelles pour vous. En cas de contradiction avec les conditions sur les données personnelles, cet accord prévaut.

2. Ce que nous traitons, et pourquoi

Nous ne traitons des données personnelles que pour fournir le service que vous utilisez : publication et statistiques de vos marques, messagerie, chat du site et centre d’aide, tickets et contacts, et les fonctions que vous activez. Le détail figure en annexe 1.

Vous décidez quelles données personnelles entrent dans le service et pourquoi. Vous confirmez disposer d’une base légale, avoir informé les personnes concernées de ce qu’elles doivent savoir (notamment sur le chat du site, le replay de session et les campagnes e-mail), et que vos instructions respectent la loi.

3. Seulement sur vos instructions

Nous ne traitons les données personnelles que sur vos instructions documentées : cet accord, les conditions, et ce que vous configurez et faites dans le service. Nous ne les utilisons pas à nos propres fins, ne les vendons jamais et ne les utilisons jamais pour de la publicité.

Si la loi nous oblige à les traiter autrement, nous vous en informons d’abord, sauf si la loi l’interdit. Si nous estimons qu’une instruction enfreint le droit de la protection des données, nous vous le disons et pouvons la suspendre jusqu’à ce que vous la confirmiez ou la modifiiez.

4. Notre équipe

Seules les personnes qui en ont besoin pour leur travail accèdent aux données personnelles, et chacune est tenue à la confidentialité. L’accès aux systèmes de production est limité à une petite équipe, et les actions dans notre console d’exploitation sont enregistrées avec la personne et le motif.

5. Sécurité

Nous maintenons des mesures techniques et organisationnelles adaptées au risque, décrites en annexe 2 et sur notre page sécurité. Nous pouvons les améliorer avec le temps, sans jamais baisser le niveau global de protection.

6. Sous-traitants ultérieurs

Vous nous autorisez à recourir aux sous-traitants listés sur notre page des sous-traitants. Les propriétaires qui ont accepté cet accord voient le nom de chacun dans l’application. Chaque sous-traitant est lié par des conditions écrites qui protègent les données personnelles au moins aussi bien que cet accord, et nous en restons responsables.

Nous vous prévenons au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant, par e-mail aux propriétaires qui ont accepté cet accord. Si vous vous y opposez pour un motif raisonnable lié à la protection des données, nous cherchons une solution avec vous ; à défaut, vous pouvez arrêter le service concerné et récupérer ce que vous avez payé pour sa période non utilisée.

7. Vous aider face aux demandes des personnes

Le service vous permet de retrouver, exporter, corriger et supprimer les données d’un contact, et de conserver ou supprimer tickets et contacts selon le calendrier que vous choisissez. Si quelqu’un nous écrit au sujet de données que nous traitons pour vous, nous vous transmettons la demande sans y répondre nous-mêmes, et vous aidons à y répondre là où le service ne le permet pas.

8. Autre assistance

Nous vous fournissons les informations raisonnablement nécessaires aux analyses d’impact relatives à la protection des données et à la consultation d’une autorité de contrôle, pour les traitements que nous effectuons pour vous.

9. Violations de données personnelles

Si nous avons connaissance d’une violation touchant des données personnelles que nous traitons pour vous, nous prévenons les propriétaires de votre espace dans les meilleurs délais, et sous 48 heures, avec ce que nous savons : ce qui s’est passé, les données et personnes probablement concernées, les conséquences probables, et ce que nous faisons. Nous complétons au fur et à mesure.

Vous prévenir ne vaut pas reconnaissance de faute. La notification aux autorités et aux personnes concernées relève de votre décision en tant que responsable du traitement ; nous vous y aidons.

10. Transferts hors de votre pays

Le service fonctionne dans l’Union européenne. Lorsqu’un sous-traitant situé hors de l’UE, ou hors d’un pays reconnu adéquat par l’UE, traite des données personnelles, le transfert est encadré par les clauses contractuelles types de la Commission européenne ou une autre garantie admise par la loi. Les transferts depuis le Cameroun respectent sa loi sur la protection des données personnelles.

11. À la fin du service

Vous pouvez exporter vos tickets, contacts et journal d’activité à tout moment tant que votre espace existe. Quand vous supprimez votre espace, ou dans les 30 jours suivant la fin de votre utilisation du service, nous supprimons les données personnelles que nous traitons pour vous, sauf ce que la loi nous oblige à conserver (comme les justificatifs de paiement). Les copies dans les sauvegardes disparaissent à l’expiration de celles-ci.

12. Démontrer notre conformité

Nous mettons à votre disposition les informations raisonnablement nécessaires pour vérifier que nous respectons cet accord, et répondons à vos questionnaires de sécurité. Les rapports d’audit indépendants et la synthèse de notre test d’intrusion vous sont communiqués dès qu’ils existent.

Si ces informations ne suffisent pas, ou si une autorité de contrôle le demande, vous pouvez nous auditer, vous-même ou par un auditeur indépendant tenu à la confidentialité, une fois par an, avec un préavis de 30 jours, aux heures ouvrables et sans perturber le service ni les données des autres clients. Vous en supportez le coût.

13. Responsabilité et droit applicable

La responsabilité de chaque partie au titre de cet accord est soumise aux limites des conditions d’utilisation, dans la mesure permise par la loi. Cet accord est régi par le même droit et les mêmes tribunaux que les conditions. Questions : hello@hivenza.com.

Annexe 1. Le traitement

• Objet et durée : fournir le service, aussi longtemps que votre espace existe, plus la période de suppression prévue à la section 11.
• Nature : conservation, organisation, affichage, analyse, transmission et suppression, selon ce qu’exigent les fonctions que vous utilisez, y compris les fonctions d’IA que vous activez.
• Personnes concernées : les personnes qui commentent ou écrivent à vos marques, les visiteurs de votre site et utilisateurs du chat, vos contacts et leurs sociétés, les destinataires de vos e-mails, et les membres de votre équipe.
• Données : noms, noms d’utilisateur, photos de profil et identifiants sur les réseaux ; adresses e-mail, numéros de téléphone et les informations que vous ajoutez aux contacts ; le contenu des messages, commentaires, tickets, e-mails et pièces jointes ; les visites du site, pages vues et, si vous l’activez, les enregistrements de session avec les champs saisis masqués ; des données techniques comme le navigateur, l’appareil, la localisation approximative et l’adresse IP.
• Données sensibles : le service n’est pas conçu pour les catégories particulières de données ; ne les demandez pas. Si des personnes en envoient dans un message, vous décidez de leur traitement.

Annexe 2. Mesures de sécurité

• Chiffrement en transit (HTTPS) partout ; jetons des réseaux et autres secrets chiffrés au repos en AES-256-GCM ; mots de passe conservés uniquement sous forme d’empreintes bcrypt ; fichiers dans un stockage cloud chiffré dans l’UE.
• Contrôle d’accès : rôles et permissions précises vérifiés à chaque requête ; authentification unique et SCIM ; connexion en deux étapes et clés d’accès, que les propriétaires peuvent imposer ; listes de réseaux autorisés ; appareils connectés pouvant être déconnectés.
• Traçabilité : un journal d’activité des actions importantes, exportable et diffusable vers les outils de sécurité du client ; nos propres actions d’exploitation enregistrées avec leur motif.
• Sécurité applicative : limites de vitesse sur la connexion, les codes et les formulaires publics ; vérifications humaines ; politique de sécurité du contenu stricte ; webhooks signés ; tests automatiques des permissions et des refus.
• Exploitation : surveillance des erreurs sans secrets ; accès à la production au strict nécessaire ; réponse aux incidents avec information des clients comme prévu à la section 9 ; calendriers de conservation et de suppression maîtrisés par le client.

Annexe 3. Sous-traitants ultérieurs

La liste à jour, avec ce que fait chacun et où, figure sur notre page des sous-traitants.