Accord de traitement des données

Cet accord est conclu entre l’organisation titulaire d’un compte WebMetric (« vous », le responsable du traitement) et Mivo Solutions Ltd, KN 78 St, Nyarugenge, Kigali, Rwanda (« nous », le sous-traitant). Il fait partie des conditions d’utilisation et s’applique dès que vous les acceptez. Aucune signature séparée n’est nécessaire.

Il s’applique aux données personnelles que nous traitons pour vous en vertu du RGPD, du RGPD britannique, de la loi rwandaise sur la protection des données personnelles et de la vie privée, et de toute autre loi sur la protection des données applicable à ce traitement. Si vous êtes vous-même sous-traitant pour quelqu’un d’autre, vous confirmez que votre responsable du traitement vous a autorisé à faire appel à nous.

• Objet : fournir WebMetric, qui collecte, stocke, agrège et affiche des données de comportement provenant des sites web sur lesquels vous l’installez.
• Nature et finalité : recevoir les événements de vos sites, les transformer en sessions, cartes de chaleur, entonnoirs et rapports, et, si votre forfait l’inclut, stocker et rejouer des enregistrements de sessions masqués.
• Durée : tant que votre compte est ouvert, puis jusqu’à la suppression des données prévue à la section 13.

Les personnes concernées sont les visiteurs de vos sites web et les membres de votre organisation.

Vous ne devez pas envoyer de données sensibles, et vous devez tenir les données personnelles comme les adresses e-mail et les noms à l’écart des propriétés personnalisées et des URL, comme l’exigent les conditions.

Nous traitons les données personnelles uniquement sur vos instructions documentées. Ce sont les conditions, cet accord, les réglages que vous choisissez dans WebMetric et toute autre instruction écrite que vous nous donnez. Si nous estimons qu’une instruction enfreint la loi sur la protection des données, nous vous le disons. Si la loi nous oblige à traiter des données autrement, nous vous prévenons d’abord, sauf si la loi l’interdit.

Tous les membres de notre équipe qui peuvent accéder à vos données sont tenus à une obligation de confidentialité. Leur accès est limité à ce dont ils ont besoin pour faire fonctionner et assister le service.

Nous appliquons les mesures techniques et organisationnelles suivantes :

• Notre script n’écrit rien sur l’appareil du visiteur : ni cookie, ni stockage dans le navigateur.
• Les adresses IP sont supprimées au collecteur. Aucune colonne stockée n’en contient.
• Do Not Track et Global Privacy Control sont respectés dans le script puis de nouveau au collecteur.
• Le replay de sessions est masqué par défaut dans le navigateur du visiteur. Les champs de mot de passe ne sont jamais capturés, et leur masquage ne peut pas être désactivé.
• Les captures de page des cartes de chaleur masquent tout le texte de la page, ainsi que les champs de formulaire, dans le navigateur du visiteur avant l’envoi.
• Les adresses de page perdent la partie qui suit un # et chaque paramètre de requête autre que les balises de campagne, dans le navigateur puis à nouveau au collecteur.
• Les robots connus sont écartés à l’ingestion.
• Chaque requête à l’API est autorisée par rapport à l’organisation propriétaire des données.
• Les enregistrements de sessions ne sont servis que par l’API, après cette vérification. Il n’existe aucun lien partageable vers eux.
• Les mots de passe et les clés de lecture sont hachés avec Argon2id. Les jetons de session ne sont stockés que sous forme d’empreintes.
• Le service qui reçoit les événements ne peut qu’écrire dans le stockage d’objets. Le service qui sert le tableau de bord ne peut que lire, lister et supprimer.
• Les enregistrements expirés sont supprimés par une tâche qui s’exécute toutes les heures.
• L’accès de l’équipe d’assistance est limité comme décrit à la section 11.

Nous ne détenons à ce jour aucune certification de sécurité délivrée par un tiers.

Vous nous donnez une autorisation générale de recourir à des sous-traitants ultérieurs. La liste actuelle, avec la finalité et la région de chacun, figure sur la page des sous-traitants. Chaque sous-traitant ultérieur est lié par des engagements de protection des données au moins équivalents à ceux de cet accord, et nous restons responsables de son travail.

Nous prévenons les administrateurs de votre organisation au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur. Vous pouvez vous y opposer pour des motifs raisonnables liés à la protection des données pendant ce délai. Si nous ne pouvons pas répondre à l’objection, vous pouvez fermer votre compte avant l’entrée en vigueur du changement.

Sur chaque forfait, vous pouvez exporter vos données et effacer vous-même un visiteur, ce qui supprime ses événements, ses sessions, ses enregistrements de sessions et les captures de page prises pendant ses visites. Si ces outils ne vous permettent pas de répondre à une demande, nous vous aidons dans un délai raisonnable. Si une personne concernée nous écrit directement, nous vous transmettons sa demande.

Nous vous prévenons dans les meilleurs délais, et au plus tard dans les 72 heures, après avoir pris connaissance d’une violation de données personnelles touchant vos données. Nous vous disons ce que nous savons et ce que nous faisons, et nous vous tenons informé à mesure que nous en apprenons davantage.

Nous vous fournissons les informations dont vous avez raisonnablement besoin pour une analyse d’impact relative à la protection des données ou une consultation d’une autorité de contrôle au sujet de WebMetric.

Notre équipe d’assistance ne peut consulter votre espace que dans une session d’assistance. Une session couvre une seule organisation, dure une heure, exige un motif écrit et est inscrite dans votre journal d’audit à son début et à sa fin. Elle est en lecture seule et ne peut ni ouvrir les enregistrements de sessions ni lire la liste de vos membres. La politique de confidentialité donne la liste complète des limites.

Les enregistrements de sessions sont conservés 30 jours. Les agrégats sont conservés 25 mois. Les journaux d’audit sont conservés 12 mois. Les événements bruts sont conservés pendant la durée d’historique de votre forfait :

Pendant 30 jours après la fermeture de votre compte, vous pouvez nous demander un export de vos données. Nous les supprimons de nos systèmes actifs, agrégats compris, dans les 30 jours suivant la fermeture du compte, et les copies dans nos sauvegardes disparaissent dans un délai supplémentaire de 35 jours. Nous ne conservons des données plus longtemps que si la loi l’exige.

Nous mettons à votre disposition les informations dont vous avez raisonnablement besoin pour démontrer que nous respectons cet accord. Si cela ne suffit pas, vous pouvez auditer notre conformité, ou la faire auditer par un auditeur indépendant, avec un préavis raisonnable, pendant les heures ouvrables et au plus une fois par an, sauf si une violation ou une autorité de contrôle l’exige. Les frais de votre audit sont à votre charge.

Vos données sont hébergées sur notre propre serveur, dans un centre de données situé dans l’Union européenne, comme l’indique la page des sous-traitants. Nous sommes établis au Rwanda : l’accès de notre équipe constitue donc un transfert hors de l’Espace économique européen. Pour cet accès, et chaque fois que des données concernant des personnes de l’Espace économique européen sont transférées vers un pays sans décision d’adéquation, les clauses contractuelles types adoptées par la Commission européenne dans la décision (UE) 2021/914 s’appliquent et sont intégrées au présent accord :

• Le module deux (responsable du traitement vers sous-traitant) s’applique lorsque vous êtes responsable du traitement.
• Le module trois (sous-traitant vers sous-traitant) s’applique lorsque vous êtes sous-traitant.
• À la clause 9, l’option 2 s’applique : autorisation écrite générale pour les sous-traitants ultérieurs, avec un préavis de 30 jours comme prévu à la section 7.
• La formulation facultative de la clause 11 ne s’applique pas.
• Clauses 17 et 18 : les clauses sont régies par le droit irlandais, et les litiges qui en découlent sont tranchés par les tribunaux irlandais.
• L’annexe I est complétée par les sections 1 à 3 de cet accord, l’annexe II par la section 6, et l’annexe III par la page des sous-traitants.

Pour les données concernant des personnes au Royaume-Uni, l’avenant britannique relatif aux transferts internationaux de données s’applique en complément des clauses. Pour la Suisse, les clauses s’appliquent en lisant les références au RGPD comme des références au droit suisse. En cas de conflit entre cet accord et les clauses, les clauses l’emportent.

En cas de conflit entre cet accord et les conditions d’utilisation sur la protection des données, cet accord l’emporte. Les questions à son sujet sont à adresser à [email protected].