Avenant relatif au traitement des données

1. Champ d'application, statut et ordre de priorité

Le présent Avenant relatif au traitement des données (l'« Avenant ») fait partie intégrante des Conditions générales de service conclues entre Breneshold LLC, société à responsabilité limitée constituée selon les lois de l'État de Floride, États-Unis (« Witnio », le sous-traitant), et le client identifié dans la Commande (le « Client », le responsable du traitement), et s'applique chaque fois que Witnio traite des données à caractère personnel pour le compte du Client.

Il est rédigé de manière à satisfaire à l'article 28 du règlement (UE) 2016/679 (RGPD) et, lorsque le RGPD britannique (UK GDPR) ou la LPD suisse s'applique, à être lu conjointement avec les avenants correspondants.

En cas de contradiction, le présent Avenant prévaut sur les Conditions générales de service et sur la Politique de confidentialité pour le traitement effectué pour le compte du Client. Lorsque les clauses contractuelles types s'appliquent, elles prévalent sur le présent Avenant.

Il devient contraignant lorsque les deux parties le signent ou lorsqu'il est expressément intégré à une Commande. Le bloc de signature, les informations relatives aux entités et la date d'entrée en vigueur sont complétés sur l'exemplaire signé du présent Avenant.

2. Définitions et rôles

Les termes « responsable du traitement », « sous-traitant », « personne concernée », « données à caractère personnel », « traitement » et « violation de données à caractère personnel » ont le sens qui leur est donné dans le RGPD.

Le Client est le responsable du traitement des données à caractère personnel contenues dans les Preuves et dans la configuration qu'il soumet, et garantit qu'il dispose d'une base licite pour ce traitement, qu'il a fourni toutes les informations et qu'il a obtenu tous les consentements requis.

Witnio est le sous-traitant de ces données et ne les traite que sur instruction documentée du Client.

Witnio est un responsable du traitement indépendant pour les données de compte, de facturation, d'assistance et du site web, ainsi que pour les registres de sécurité et d'audit qu'elle est tenue de conserver. Ce traitement est régi par la Politique de confidentialité, et non par le présent Avenant.

3. Objet, durée, nature et finalité

Objet : fourniture des services d'observation sur appareils réels et de preuves commandés par le Client.

Durée : la durée des Conditions générales de service, augmentée des périodes d'exportation et de suppression prévues ci-dessous.

Nature et finalité : exécution de vérifications sur des appareils physiques ; enregistrement de ce qui a été observé ; masquage et minimisation de ce qui est capté ; génération, calcul d'empreinte et signature des Preuves ; conservation des Preuves et mise à disposition de celles-ci au Client ; alertes ; et assistance.

Opérations de traitement : collecte, enregistrement, organisation, structuration, conservation, extraction, consultation, utilisation, limitation, effacement et destruction.

4. Catégories de personnes concernées et de données à caractère personnel

Catégories de personnes concernées : le personnel et les utilisateurs autorisés du Client ; les personnes physiques dont les identifiants apparaissent dans le trafic que le Client dirige vers un numéro Witnio ; et toute personne physique visible sur une capture d'écran ou un enregistrement d'une cible configurée par le Client.

Catégories de données à caractère personnel : numéros de téléphone et identifiants d'émetteur, conservés sous forme masquée ; contenu des messages, conservé sous forme masquée et tronquée avec une empreinte de l'original ; horodatages et latence ; contexte de l'appareil, du système d'exploitation, de l'application de numérotation, de la SIM, de l'opérateur et du corridor ; résultats des requêtes web, chaînes de redirections, cookies et état du consentement observés sur une cible ; captures d'écran et, pour certains produits, vidéo de l'écran de l'appareil ; et le manifeste signé qui relie ces éléments entre eux.

Catégories particulières de données à caractère personnel : aucune n'est demandée, et le Client ne doit pas configurer de vérification entraînant leur traitement. Si des données relevant de catégories particulières sont néanmoins captées, le Client doit en informer Witnio sans délai afin qu'elles puissent être supprimées.

Fréquence : continue, aussi longtemps que les vérifications du Client sont actives.

5. Instructions du Client

Witnio ne traite les données à caractère personnel que sur instruction documentée du Client, laquelle est constituée du présent Avenant, des Conditions générales de service, de la Commande et de la configuration définie par le Client dans le service — sauf si une loi à laquelle Witnio est soumise l'exige autrement, auquel cas Witnio en informera le Client avant le traitement, sauf si cette loi l'interdit.

Witnio informera le Client si, selon elle, une instruction constitue une violation du RGPD ou d'une autre disposition relative à la protection des données, et pourra suspendre le traitement concerné jusqu'à ce que l'instruction soit rectifiée.

Le Client donne instruction à Witnio d'appliquer à tout ce qui est capté le masquage et la minimisation décrits dans la Politique de confidentialité, et reconnaît que cela réduit les données à caractère personnel effectivement conservées.

Le Client ne soumettra pas de données à caractère personnel au-delà de ce que la vérification exige et utilisera du trafic de test plutôt que les communications réelles d'utilisateurs finaux.

6. Confidentialité du personnel

Witnio veille à ce que chaque personne autorisée à traiter des données à caractère personnel en vertu du présent Avenant soit tenue à une obligation de confidentialité qui survit à la fin de sa mission, soit formée à ses obligations et n'ait accès qu'aux données dont elle a besoin.

L'accès aux données de production est limité à des membres du personnel nommément désignés, authentifiés par authentification multifacteur, et est journalisé.

7. Mesures de sécurité

Witnio met en œuvre les mesures techniques et organisationnelles énoncées à l'annexe II ci-dessous, compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que du risque pour les personnes concernées.

Witnio peut modifier une mesure à condition que la modification ne réduise pas le niveau global de sécurité. Les mesures en vigueur à tout moment sont publiées sur la page Sécurité de ce site web, qui fait partie intégrante de l'annexe II.

8. Sous-traitants ultérieurs

Le Client donne à Witnio une autorisation écrite générale de recourir à des sous-traitants ultérieurs. Ceux auxquels il est fait appel à la date du présent Avenant sont énumérés dans la Politique de confidentialité, avec l'indication de leur rôle.

Witnio impose à chaque sous-traitant ultérieur, par contrat écrit, des obligations en matière de protection des données qui ne sont pas moins protectrices que celles du présent Avenant, et demeure pleinement responsable envers le Client de l'exécution par le sous-traitant ultérieur de ses obligations.

Witnio informera le Client au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur, par courrier électronique adressé au contact du compte et par la mise à jour de la liste publiée. Le Client peut s'y opposer pour des motifs raisonnables liés à la protection des données pendant ce délai ; les parties examineront l'objection de bonne foi et, si elle ne peut être résolue, le Client pourra résilier l'abonnement concerné et obtenir le remboursement des frais prépayés non utilisés afférents.

Les sous-traitants ultérieurs désignés dans le présent document (Stripe, PayPal, Cloudflare, l'infrastructure propre de Witnio et Telegram pour les alertes internes uniquement) ; les clients reçoivent les avis de modification en écrivant à [email protected]

9. Assistance concernant les droits des personnes concernées

Witnio aidera le Client, par des mesures techniques et organisationnelles appropriées et dans toute la mesure du possible, à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées.

Lorsqu'une personne concernée contacte directement Witnio au sujet de données traitées pour le compte du Client, Witnio ne répondra pas sur le fond et transmettra la demande au Client dans les meilleurs délais.

Le service met à la disposition du Client des fonctions d'exportation et de suppression, qui constituent le principal moyen de satisfaire aux demandes d'accès, de portabilité et d'effacement. Toute assistance allant au-delà est facturée aux tarifs raisonnables de Witnio lorsque l'effort requis n'est pas négligeable.

10. Assistance en matière de sécurité, d'analyses d'impact et de violations

Witnio aidera le Client à garantir le respect des articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations dont elle dispose, notamment en fournissant les informations nécessaires à une analyse d'impact relative à la protection des données et à une consultation préalable.

Witnio notifiera au Client toute violation de données à caractère personnel affectant les données à caractère personnel du Client dans les meilleurs délais et, en tout état de cause, dans un délai de 72 heures après en avoir pris connaissance, en décrivant la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés dans la mesure où ils sont connus, les conséquences probables, les mesures prises ou proposées, ainsi qu'un point de contact auprès duquel des informations supplémentaires peuvent être obtenues. D'autres informations suivront au fur et à mesure de l'enquête.

Witnio ne notifiera pas une autorité de contrôle ou une personne concernée pour le compte du Client, sauf si le Client lui en donne instruction et si les parties conviennent de la formulation.

11. Suppression et restitution

Au terme du service, Witnio, selon le choix du Client, restituera les données à caractère personnel traitées pour son compte ou les supprimera.

Les Données du Client restent disponibles à l'exportation par l'intermédiaire du service pendant 30 jours après la résiliation. À l'issue de cette période, Witnio les supprime ou les anonymise de manière irréversible, sauf dans la mesure où une loi à laquelle Witnio est soumise en exige la conservation, auquel cas Witnio en préserve la confidentialité et ne les traite qu'à cette fin.

Les copies présentes uniquement dans des sauvegardes sont supprimées lorsque ces sauvegardes sont écrasées selon leur cycle normal. Witnio confirmera la suppression par écrit sur demande.

12. Audits et informations

Witnio mettra à la disposition du Client les informations nécessaires pour démontrer le respect de l'article 28 du RGPD.

Le Client peut exercer son droit d'audit en examinant la documentation que Witnio publie et fournit — y compris la page Sécurité, le mécanisme de signature des preuves et les réponses écrites de Witnio à un questionnaire de sécurité, que Witnio retournera dans les 30 jours suivant une demande raisonnable.

Lorsque cela ne suffit pas à satisfaire une exigence réglementaire démontrée, le Client peut effectuer, ou désigner un auditeur indépendant tenu à la confidentialité pour effectuer, un audit sur site une fois par période de douze mois, moyennant un préavis écrit d'au moins 30 jours, pendant les heures ouvrables, sans perturbation déraisonnable et aux frais du Client, y compris le temps raisonnable consacré par Witnio. Une autorité de contrôle peut procéder à un audit dans les conditions prévues par la loi.

Un auditeur ne peut pas être un concurrent de Witnio et ne peut accéder ni aux données d'un autre client, ni au code source de Witnio, ni à aucun identifiant.

13. Transferts internationaux

Witnio traite les données à caractère personnel sur une infrastructure qu'elle exploite au Costa Rica et fait appel à des sous-traitants ultérieurs établis aux États-Unis et ailleurs.

Pour les transferts de données à caractère personnel depuis l'Espace économique européen, le Royaume-Uni ou la Suisse vers un pays ne bénéficiant pas d'une décision d'adéquation, les parties intègrent par référence les clauses contractuelles types approuvées par la Commission européenne dans la décision d'exécution (UE) 2021/914, le module deux (responsable du traitement à sous-traitant) s'appliquant entre le Client en tant qu'exportateur de données et Witnio en tant qu'importateur de données, la clause d'adhésion s'appliquant, l'autorité de contrôle et le droit applicable étant ceux du lieu d'établissement du Client, et l'annexe I et l'annexe II du présent Avenant complétant les annexes correspondantes de ces clauses.

Pour le Royaume-Uni, l'avenant relatif aux transferts internationaux de données du Royaume-Uni (UK International Data Transfer Addendum) à ces clauses s'applique. Pour la Suisse, les références au RGPD s'entendent comme des références à la LPD, et le Préposé fédéral à la protection des données et à la transparence est l'autorité compétente.

Witnio informera le Client si elle n'est plus en mesure de respecter ces clauses, et le Client pourra alors suspendre le transfert ou résilier.

Breneshold LLC en qualité d'importateur de données au titre du module 2 (responsable du traitement à sous-traitant) des clauses contractuelles types approuvées par la décision d'exécution (UE) 2021/914 de la Commission, la clause d'adhésion facultative n'étant pas retenue ; une analyse d'impact des transferts est documentée avant le premier transfert depuis l'UE.

14. Responsabilité

La responsabilité de chaque partie au titre du présent Avenant est soumise aux exclusions et au plafond global prévus dans les Conditions générales de service, et ce plafond est un plafond unique et combiné couvrant les Conditions générales de service et le présent Avenant, et non un plafond distinct.

Aucune disposition du présent Avenant ne limite les droits d'une personne concernée à l'égard de l'une ou l'autre partie, ni la responsabilité d'une partie lorsque la loi applicable ne permet pas de la limiter. Lorsque les clauses contractuelles types s'appliquent, aucune disposition du présent article ne limite la responsabilité découlant de celles-ci envers une personne concernée.

15. Annexe I — description du traitement

Exportateur de données : le Client identifié dans la Commande, agissant en qualité de responsable du traitement. Contact : le contact du compte enregistré dans le service.

Importateur de données : Breneshold LLC (Floride, États-Unis), [email protected] ; l'adresse postale est indiquée dans le compte et sur les factures ; agissant en qualité de sous-traitant et fournissant des services d'observation sur appareils réels et de preuves.

Catégories de personnes concernées, catégories de données à caractère personnel, catégories particulières, fréquence, nature et finalité, durée et informations relatives aux sous-traitants ultérieurs : comme indiqué aux articles 3, 4, 8 et 11 du présent Avenant.

Autorité de contrôle compétente : l'autorité du lieu d'établissement du Client dans l'Espace économique européen ou, lorsque le Client n'y est pas établi, l'autorité de l'État membre dans lequel son représentant est établi ou dans lequel se trouvent les personnes concernées.

16. Annexe II — mesures techniques et organisationnelles

Contrôle d'accès : authentification multifacteur ; contrôle d'accès fondé sur les rôles ; autorisation refusée par défaut ; cloisonnement par locataire sur chaque requête portant sur des données appartenant à un locataire ; jetons de courte durée avec rotation lors du rafraîchissement ; sessions révocables ; inventaire des sessions et des appareils ; protection contre les attaques par force brute ; et clés d'API à périmètre défini et renouvelables, soumises à des quotas et à une limitation de débit.

Réseau et plateforme : toute interface publique considérée comme hostile ; une passerelle en périphérie et une limitation de débit en amont du plan de contrôle ; la ferme d'appareils jamais exposée directement à internet ; et des en-têtes de réponse de sécurité sur chaque page.

Minimisation et masquage des données : codes à usage unique, numéros de tiers, contenus sensibles, jetons, cookies et identifiants non nécessaires masqués ou minimisés avant la conservation et avant tout traitement par IA ; corps des messages conservés sous forme masquée et tronquée, avec une empreinte de l'original.

Intégrité : une empreinte SHA-256 pour chaque élément ; des manifestes JSON canoniques signés avec une clé Ed25519 conservée en dehors du dépôt de code, sur l'hôte de signature ; une clé publique publiée permettant de vérifier un manifeste de manière indépendante ; et la détection de toute altération lors de la vérification.

Confidentialité des secrets : aucun identifiant, code à usage unique, cookie ou jeton de session dans le dépôt de code, dans les journaux ou dans les traces ; secrets conservés dans un gestionnaire de secrets.

Tests et assurance : analyse des dépendances, des secrets, des conteneurs et des paramètres par défaut non sécurisés à chaque version ; tests de non-régression portant sur les abus d'authentification et l'accès entre locataires ; et validation de la configuration cross-origin.

Disponibilité et résilience : contrôles de suspension ciblés qui isolent une clé, un utilisateur ou un locataire abusif sans arrêter la plateforme ; Preuves préservées en cas de suspension ; et procédures de reprise documentées en cas de défaillance des appareils, du réseau ou du téléversement des preuves.

Gouvernance : journalisation d'audit des actions privilégiées ; une procédure documentée de gestion des incidents consistant à détecter, contenir, révoquer, préserver les preuves, analyser la cause première, corriger, effectuer des tests de non-régression, tester à nouveau et documenter ; et des durées de conservation appliquées par un processus de conservation automatisé.

Les mesures en vigueur à tout moment sont publiées sur la page Sécurité de Witnio, qui fait partie intégrante de la présente annexe.

17. Contact

Questions relatives à la protection des données et notifications au titre du présent Avenant : [email protected].

Délégué à la protection des données ou représentant dans l'UE/au Royaume-Uni, lorsqu'il en est désigné un : Breneshold LLC, [email protected].