Traitement des données pour le compte du client

01Objet

La présente annexe fait partie des conditions générales de vente d'Azelize (ci-après « les Conditions »), dont elle suit la version. Elle constitue le contrat exigé par l'article 28, paragraphe 3, du règlement (UE) 2016/679 (ci-après « le RGPD ») entre le Client, responsable du traitement, et Azelize, sous-traitant, pour les traitements décrits à l'article 02. Les termes définis à l'article 02 des Conditions ont le même sens ici.

Elle ne régit pas les données relatives au Client lui-même, à ses représentants et à ses interlocuteurs, qu'Azelize traite en qualité de responsable du traitement dans les conditions de l'article 16.3 des Conditions et de sa politique de confidentialité. Elle régit en revanche les données que le Journal de chantier enregistre sur les Équipiers du Client.

02Description du traitement

Dans la présente annexe, les termes suivants, avec une majuscule, ont le sens ci-après.

• « Journal de chantier » : la fonction de l'Espace client, ouverte avec les Formules Croissance et Référence, par laquelle le Client et, le cas échéant, ses Équipiers enregistrent pour chaque chantier son nom, son adresse, des photographies et des notes.
• « Chiffrage » : les photographies, les zones qui y sont tracées, les notes et l'adresse que le Client réunit sur une Demande pour préparer son devis, avec les Formules Croissance et Référence.
• « Équipier » : la personne que le Client invite, avec la Formule Référence, à utiliser le Journal de chantier pour son compte ; elle n'accède qu'aux chantiers et aux Chiffrages qui lui sont confiés.

2.1 Nature. Pour les Demandes : collecte par le formulaire du Site ; enregistrement dans la Plateforme ; conservation ; transmission au Client par e-mail ; mise à disposition dans l'Espace client avec les Formules Croissance et Référence ; export ; effacement. Pour le Journal de chantier et les Chiffrages : collecte par l'Espace client, sur le téléphone du Client ou de ses Équipiers ; enregistrement dans la Plateforme ; conservation ; consultation par le Client, par ses Équipiers pour ce qui leur est confié, et par Azelize ; choix et retouche des photographies par Azelize ; export ; effacement.

2.2 Finalités. Permettre au Client de recevoir, de consulter et de traiter les demandes de contact adressées par les visiteurs de son Site ; de préparer ses devis ; de tenir le journal de ses chantiers ; permettre à Azelize d'en tirer les pages du Site et les contenus réalisés pour le Client. Azelize n'utilise les données à aucune autre fin, et aucune donnée d'un Chiffrage ne sert au Site ni à un contenu. Le décompte des Demandes prévu à l'article 06 des Conditions porte sur le nombre et la date des Demandes, non sur leur contenu.

2.3 Catégories de données. Pour les Demandes : identité (nom) ; coordonnées (numéro de téléphone, adresse e-mail) ; localité ; prestations souhaitées et contenu libre du message ; données techniques associées à l'envoi (adresse IP, aux seules fins de prévention des envois automatisés ; horodatage ; page d'origine ; type d'appareil). Le formulaire du Site n'est pas conçu pour recueillir des données relevant de l'article 9 du RGPD ; le Client s'interdit d'en solliciter par ce moyen. Pour le Journal de chantier et les Chiffrages :

• nom, adresse et ville du chantier et, sauf si le Client choisit de ne pas la garder, sa position, proposée une seule fois par le téléphone à l'ouverture du chantier ;
• photographies du chantier ou de la visite, dont les métadonnées et la position sont retirées à la réception ;
• notes en texte, écrites ou dictées sur le téléphone ; aucun enregistrement sonore n'est reçu ni conservé par la Plateforme ;
• l'identité de la personne qui a pris chaque photographie ou écrit chaque note, et la date de chacune ;
• avec la Formule Référence, l'identité et l'adresse e-mail des Équipiers ; jamais leur position.

2.4 Personnes concernées. Les visiteurs du Site qui utilisent son formulaire : prospects et clients du Client ; les clients du Client dont le chantier, le bien ou l'adresse figurent dans le Journal de chantier ou dans un Chiffrage ; le Client et ses Équipiers, pour les données du Journal de chantier qui les concernent.

2.5 Durée. Le traitement dure aussi longtemps que le contrat, prolongé des délais d'export et d'effacement des articles 7.6 et 11.6 des Conditions. Pendant le contrat, les données sont conservées dans les limites suivantes, à l'issue desquelles Azelize les efface :

• les Demandes : 3 ans après la plus récente de deux dates, leur réception ou leur dernière mise à jour dans l'Espace client (changement d'état, note du Client). Seules leur date de réception et leur existence sont ensuite conservées, sans donnée personnelle, pour le décompte de l'article 06 des Conditions ;
• les Chiffrages : jusqu'à l'effacement de la Demande à laquelle ils sont rattachés ;
• les photographies du Journal de chantier employées sur une page du Site : aussi longtemps que cette page existe, puis comme les autres photographies ;
• les autres photographies du Journal de chantier : 12 mois après la fermeture du chantier avec la Formule Croissance ; toute la durée du contrat avec la Formule Référence ;
• les autres données du Journal de chantier : toute la durée du contrat.

À la fin du contrat, toutes les données suivent l'article 10.

03Instructions du responsable du traitement

Azelize ne traite les données que sur instruction documentée du Client. Les Conditions et la présente annexe constituent ces instructions ; toute instruction complémentaire est donnée par écrit. Si Azelize estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition du droit de l'Union ou du droit français relative à la protection des données, elle en informe immédiatement le Client. Azelize ne transfère les données vers un pays tiers que dans les conditions de l'article 08, ou si le droit de l'Union ou le droit français l'y oblige ; dans ce dernier cas, elle en informe le Client avant le traitement, sauf si ce droit l'interdit pour des motifs importants d'intérêt public.

04Confidentialité

Azelize veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité. L'accès aux données est limité aux personnes qui en ont besoin pour l'exécution du contrat.

05Sécurité

Azelize met en œuvre les mesures techniques et organisationnelles appropriées au sens de l'article 32 du RGPD, et notamment :

• le chiffrement des échanges en transport (HTTPS) entre le visiteur, le Site, la Plateforme et l'Espace client ;
• un accès à l'Espace client et à la console d'administration réservé à des comptes nominatifs authentifiés, cloisonné par Client ;
• un accès des Équipiers limité aux chantiers et aux Chiffrages qui leur sont confiés, sans accès aux Demandes, aux coordonnées des clients du Client, aux factures ni au Contrat ;
• la tenue d'un journal des accès à la Plateforme ;
• un dispositif de prévention des envois automatisés sur le formulaire du Site, qui ne conserve l'adresse IP que le temps nécessaire à cette fin ;
• l'application des mises à jour de sécurité des composants du Site et de la Plateforme ;
• le recours, pour l'hébergement et la base de données, aux prestataires de l'article 07, qui appliquent leurs propres mesures de sécurité et de sauvegarde.

06Assistance au responsable du traitement

6.1 Droits des personnes. Azelize transmet au Client, sans délai, toute demande d'exercice de droits (articles 15 à 22 du RGPD) qui lui parvient directement d'une personne concernée par le traitement, sans y répondre elle-même. Elle aide le Client à y donner suite par les moyens techniques de la Plateforme : consultation, rectification, export et effacement des données d'une Demande, d'un Chiffrage ou du Journal de chantier.

6.2 Sécurité, violations, analyses d'impact. Compte tenu de la nature du traitement et des informations dont elle dispose, Azelize aide le Client à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD.

07Sous-traitants ultérieurs

7.1 Autorisation. Le Client autorise de manière générale Azelize à recourir aux sous-traitants ultérieurs listés à l'article 7.2. Azelize informe le Client par écrit, préalablement, de tout ajout ou remplacement de sous-traitant ultérieur, et lui laisse la possibilité d'émettre des objections. Si Azelize ne peut pas tenir compte d'une objection, le Client peut résilier le contrat dans les conditions de l'article 11.2 des Conditions.

7.2 Liste à la date des Conditions.

• Vercel Inc. (440 N Barranca Avenue, Suite 4133, Covina, CA 91723, États-Unis) — hébergement du Site et de la Plateforme. Les serveurs qui stockent et traitent les données sont situés dans l'Union européenne, à Francfort (Allemagne).
• Neon, Inc. (société de droit américain) — hébergement de la base de données de la Plateforme, dans laquelle les Demandes, les Chiffrages et le Journal de chantier, photographies comprises, sont enregistrés. Serveurs situés dans l'Union européenne, à Francfort (Allemagne).
• Brevo (Sendinblue SAS, 106 boulevard Haussmann, 75008 Paris) — acheminement des e-mails de la Plateforme, notamment la transmission de chaque Demande au Client. Données hébergées dans l'Union européenne.
• Google (service Firebase Authentication, Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, États-Unis) — authentification des accès à l'Espace client. Ce prestataire n'accède pas aux Demandes : il ne traite que les données d'authentification des utilisateurs de l'Espace client (adresse e-mail, identifiant de compte), qui relèvent de l'article 16.3 des Conditions.

7.3 Obligations. Azelize impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles de la présente annexe. Elle demeure pleinement responsable envers le Client de l'exécution par le sous-traitant ultérieur de ses obligations.

08Transferts hors de l'Union européenne

Les données sont stockées dans l'Union européenne. Vercel Inc., Neon, Inc. et Google LLC sont toutefois des sociétés américaines : un accès depuis les États-Unis constitue un transfert au sens du chapitre V du RGPD. Ces transferts sont encadrés par la décision d'adéquation relative au cadre de protection des données UE–États-Unis (« Data Privacy Framework ») du 10 juillet 2023 lorsque le prestataire en est certifié, et à défaut par les clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914). Le Client peut en obtenir copie à l'adresse bonjour@azelize.com.

09Violation de données

Azelize notifie au Client toute violation de données à caractère personnel affectant le traitement dans les 48 heures suivant le moment où elle en a connaissance, par e-mail à l'adresse de l'article 4.2 des Conditions. La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées ; les informations qui ne sont pas disponibles immédiatement sont communiquées sans retard indu. Azelize aide le Client à remplir ses obligations de notification à l'autorité de contrôle et de communication aux personnes concernées (articles 33 et 34 du RGPD).

10Sort des données à la fin du traitement

À la fin du contrat, Azelize remet au Client l'export des Demandes, des Chiffrages et du Journal de chantier, photographies comprises, dans les conditions de l'article 11.6 des Conditions, puis efface les données et en détruit les copies existantes, sauf obligation légale de conservation. Les copies détenues par les sous-traitants ultérieurs sont effacées selon les cycles de suppression et de sauvegarde propres à chacun. En cas de suspension pour impayé, les données sont conservées puis effacées dans les conditions de l'article 7.6 des Conditions.

11Information et audit

Azelize met à la disposition du Client les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD : la présente annexe, la liste des sous-traitants ultérieurs, la description des mesures de sécurité et, sur demande, les garanties de transfert de l'article 08. Elle permet la réalisation d'audits, y compris des inspections, par le Client ou un auditeur qu'il mandate et qui n'est pas un concurrent d'Azelize, et y contribue. L'audit est demandé par écrit, moyennant un préavis raisonnable, au plus une fois par année civile sauf violation de données ou demande d'une autorité de contrôle ; il se déroule aux frais du Client, pendant les heures ouvrées et sans perturber le service.

12Obligations du responsable du traitement

Le Client, responsable du traitement :

• fournit aux personnes concernées les informations prévues à l'article 13 du RGPD, au moyen des pages légales du Site (article 09 des Conditions), qu'il valide et fait tenir à jour ;
• s'assure de la licéité du traitement, notamment de sa base légale, et de la proportionnalité des données sollicitées par le formulaire ;
• répond aux demandes d'exercice de droits des personnes concernées et tient son registre des activités de traitement (article 30 du RGPD) ;
• informe ses Équipiers, avant qu'ils utilisent le Journal de chantier, des données qui y sont enregistrées à leur sujet (leur identité, les photographies et les notes qu'ils y versent, et leur date), de leur finalité et de leur durée de conservation (article 13 du RGPD, article L.1222-4 du code du travail), et consulte, le cas échéant, ses représentants du personnel ;
• informe ses clients de l'enregistrement de l'adresse et des photographies de leur chantier ;
• fixe la durée de conservation des données qu'il a exportées et en assure la sécurité une fois qu'elles ont quitté la Plateforme ;
• ne donne à Azelize que des instructions conformes au RGPD et l'informe de tout changement qui affecterait le traitement.