Avenant relatif au traitement des données

Le présent Avenant fait partie des Conditions générales de BrandsGateway (les « Conditions générales ») conclues entre Gateway Holdings OÜ, numéro d’immatriculation 14276496, Narva mnt 5, 10117 Tallinn, Estonie, exerçant sous le nom de BrandsGateway (le « Sous-traitant »), et chaque client professionnel qui accepte les Conditions générales (le « Client »). Le Client l’accepte en acceptant les Conditions générales. Il s’applique à compter de la date à laquelle le Client accepte les Conditions générales ou, pour les clients inscrits avant le 29 octobre 2026, à compter de cette date. Version 1.0.

Pour les données des consommateurs finaux que le Client transmet au Sous-traitant afin d’exécuter les commandes, le Client est le responsable du traitement et le Sous-traitant est son sous-traitant. Le Sous-traitant n’agit en tant que responsable du traitement indépendant que pour les documents de commande, de facturation, de douane et fiscaux qu’il est tenu de conserver en vertu de la loi, ainsi que pour les données dont il a besoin pour constater ou défendre des droits en justice, y compris des réclamations auprès des transporteurs.

Finalité : réception, exécution, expédition, suivi et retour des commandes du Client, ainsi que l’assistance s’y rapportant. Données : nom, adresse de livraison, téléphone, e-mail, contenu des commandes et données de suivi des consommateurs finaux du Client. Les données de chaque commande sont conservées aussi longtemps que nécessaire pour exécuter, livrer et retourner la commande et pour régler les réclamations la concernant, puis supprimées, à l’exception des documents visés à la clause 1, qui sont conservés pendant leur durée légale.

Le Client est responsable de la licéité du traitement et de l’information de ses consommateurs finaux, ne transmet que les données nécessaires à une commande et donne ses instructions par écrit.

Le Sous-traitant ne traite les données que sur instruction documentée du Client : les Conditions générales, le présent Avenant et les commandes du Client, y compris en ce qui concerne les transferts en dehors de l’EEE. Si le droit de l’Union ou le droit d’un État membre exige un autre traitement, le Sous-traitant en informe préalablement le Client, sauf si ce droit interdit une telle information pour des motifs importants d’intérêt public. Il informe immédiatement le Client s’il estime qu’une instruction constitue une violation du droit relatif à la protection des données, et peut suspendre l’exécution de cette instruction jusqu’à ce que le Client la confirme ou la modifie. Il n’utilise les données des consommateurs finaux à aucune fin qui lui soit propre, y compris le marketing, le profilage ou l’analyse de données.

Toutes les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité.

Le Sous-traitant met en œuvre au minimum les mesures figurant à l’annexe 1, les réexamine régulièrement et ne les modifie pas d’une manière qui abaisse le niveau de protection.

Le Client donne au Sous-traitant une autorisation générale de recourir à des sous-traitants ultérieurs des types suivants : les fournisseurs et les entrepôts qui exécutent les commandes ; l’hébergement et le stockage ; l’envoi d’e-mails ; les outils d’assistance ; la sécurité du réseau ; et la surveillance des erreurs. Certains d’entre eux sont établis aux États-Unis, dans les conditions de la clause 9. La liste actuelle est disponible sur demande à l’adresse [email protected].

Le Sous-traitant informe le Client par e-mail au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur. Le Client peut s’y opposer pour des motifs raisonnables liés à la protection des données ; si la question ne peut être résolue, il peut mettre fin aux services concernés. Le Sous-traitant impose par contrat à chaque sous-traitant ultérieur des obligations en matière de protection des données qui protègent les données au moins aussi bien que le présent Avenant, et en demeure pleinement responsable.

Pour livrer une commande, le Sous-traitant communique le nom, l’adresse, le téléphone et l’e-mail du destinataire ainsi que le contenu et la valeur du colis au transporteur et, si nécessaire, aux autorités douanières et aux agents en douane. Le Client donne cette instruction en passant la commande. Ces destinataires agissent en tant que responsables du traitement indépendants, conformément à leurs propres conditions.

Il n’est fait appel à des sous-traitants ultérieurs établis en dehors de l’EEE que lorsqu’une décision d’adéquation les couvre (pour les États-Unis, uniquement des organisations certifiées au titre du cadre de protection des données UE-États-Unis), ou sur la base des clauses contractuelles types de la décision d’exécution (UE) 2021/914 de la Commission, module 3. Pour un Client établi en dehors de l’EEE, dans un pays ne bénéficiant pas d’une décision d’adéquation, le module 4 de ces clauses fait partie du présent Avenant.

Le Sous-traitant aide le Client à répondre aux demandes des consommateurs finaux, en lui transmettant celles qu’il reçoit dans les meilleurs délais et au plus tard dans un délai de 3 jours ouvrés, et l’aide en matière de sécurité, de notification des violations et d’analyses d’impact (articles 32 à 36 du RGPD).

Le Sous-traitant notifie au Client, dans les meilleurs délais et au plus tard dans un délai de 48 heures après en avoir pris connaissance, toute violation affectant les données du Client, y compris chez un sous-traitant ultérieur, en indiquant ce qui est connu, les conséquences probables, les mesures prises et un point de contact.

À la fin des services, le Sous-traitant supprime ou restitue les données des consommateurs finaux dans un délai de 30 jours, au choix du Client, à l’exception des documents visés à la clause 1, et le confirme par écrit sur demande adressée à [email protected].

Le Sous-traitant fournit les informations nécessaires pour démontrer le respect de l’article 28 du RGPD. Si ces informations ne répondent pas aux questions raisonnables du Client, le Client ou son auditeur peut procéder à un audit, moyennant un préavis de 30 jours, au maximum une fois par an, sauf en présence d’indices de non-conformité ou de violation, ou si une autorité l’exige. Chaque partie supporte ses propres frais.

Les modifications du présent Avenant sont communiquées au Client par e-mail au moins 30 jours avant leur entrée en application ; le Client peut mettre fin aux services concernés avant cette date.

Le présent Avenant prévaut sur les Conditions générales en matière de protection des données. Sur demande, les parties signent les clauses contractuelles types de la décision d’exécution (UE) 2021/915 de la Commission, qui prévalent alors. Le droit estonien s’applique.

Nos serveurs, bases de données, fichiers et sauvegardes sont hébergés dans des centres de données situés dans l’UE. Nos sites web ne sont accessibles que par des connexions chiffrées (TLS), derrière une protection du réseau contre les attaques, et les bases de données contenant les commandes ne sont pas accessibles depuis Internet. Les bases de données sont sauvegardées quotidiennement et chiffrées avant de quitter le serveur.

Chaque personne utilise un compte personnel disposant uniquement des droits nécessaires à son travail. L’accès aux serveurs s’effectue au moyen de clés cryptographiques personnelles, et non de mots de passe.

Les fournisseurs et les entrepôts ne voient que les commandes qu’ils exécutent.

Les événements et les erreurs des applications sont journalisés de manière centralisée ; seule l’équipe technique peut consulter les journaux.

Le personnel et les prestataires sont soumis à une obligation de confidentialité.

Les violations présumées sont signalées à [email protected] et traitées par l’équipe technique ; les Clients en sont informés conformément à la clause 11.