Avenant relatif au traitement des données

Le présent Avenant relatif au traitement des données (le « DPA ») est conclu entre BlackLens Studio, 33/19B/8G, Lohiya Nagar, Balkeshwar, Agra, Uttar Pradesh 282005, India (« LumaKol », « nous ») et le client qui a accepté les Conditions d’utilisation de LumaKol (le « Client », « vous »).

Ce DPA fait partie des Conditions d’utilisation pour chaque Client et s’applique chaque fois que LumaKol traite des données personnelles pour le compte du Client — au titre du Digital Personal Data Protection Act, 2023 de l’Inde, du RGPD, du RGPD britannique ou de toute autre loi sur la protection des données. Il s’applique automatiquement ; vous n’avez pas besoin de le signer.

Si un Client souhaite un exemplaire contresigné pour ses archives, il peut le demander à [email protected]. En cas de contradiction entre ce DPA et les Conditions d’utilisation concernant la protection des données personnelles, ce DPA prévaut.

• « Législation sur la protection des données » désigne toute loi sur la protection des données applicable au traitement, notamment le Digital Personal Data Protection Act, 2023 de l’Inde et ses règles d’application (le « DPDP Act »), le Règlement général sur la protection des données de l’UE 2016/679 (RGPD), le RGPD britannique et le UK Data Protection Act 2018, ainsi que le California Consumer Privacy Act tel que modifié (le « CCPA »).
• « Données personnelles du Client » désigne les données personnelles que LumaKol traite pour le compte du Client afin de fournir le Service.
• « Responsable du traitement », « sous-traitant », « personne concernée », « violation de données personnelles » et « traitement » ont le sens qui leur est donné par la Législation sur la protection des données. Lorsque le DPDP Act s’applique, « responsable du traitement » désigne le Data Fiduciary, « sous-traitant » le Data Processor et « personne concernée » le Data Principal.
• « Sous-traitant ultérieur » désigne un tiers auquel LumaKol fait appel pour traiter des Données personnelles du Client.
• « CCT » désigne les clauses contractuelles types approuvées par la Commission européenne dans la décision d’exécution (UE) 2021/914, et l’« UK Addendum » désigne l’International Data Transfer Addendum publié par l’Information Commissioner du Royaume-Uni.

Les autres termes commençant par une majuscule ont le sens qui leur est donné dans les Conditions d’utilisation.

Le Client est le responsable du traitement des Données personnelles du Client et LumaKol est son sous-traitant. Lorsque le Client est lui-même un sous-traitant agissant pour un autre responsable du traitement, LumaKol est son sous-traitant ultérieur et il incombe au Client de transmettre les instructions pertinentes.

LumaKol est un responsable du traitement distinct pour les données personnelles dont il a besoin pour gérer le compte du Client, telles que les noms des utilisateurs, les informations de connexion et les documents de facturation. Ces données relèvent de la Politique de confidentialité, et non du présent DPA.

Lorsque le CCPA s’applique, le Client est une « business » et LumaKol son « service provider ». LumaKol ne vendra ni ne partagera les Données personnelles du Client, ne les conservera, n’utilisera ni ne divulguera à aucune autre fin que la fourniture du Service ou en dehors de sa relation commerciale directe avec le Client, et ne les combinera pas avec des données personnelles provenant d’autres sources, sauf dans la mesure permise par le CCPA. LumaKol informera le Client s’il n’est plus en mesure de respecter ces obligations.

Il incombe au Client de disposer d’une base légale (au titre du DPDP Act, le consentement ou un usage légitime) pour le traitement, de garantir l’exactitude des Données personnelles du Client, de fournir aux personnes qu’il contacte toute information exigée par la loi, et d’assurer sa propre conformité aux lois sur les appels marketing et l’enregistrement des appels.

• Objet : la fourniture de LumaKol, un CRM d’appels dans lequel l’équipe du Client gère des leads, passe des appels depuis ses propres téléphones mobiles et enregistre le résultat de chaque appel.
• Durée : aussi longtemps que le Client utilise le Service, puis jusqu’à la suppression des données conformément à « Suppression et restitution ».
• Nature : collecte, stockage, organisation, extraction, affichage, transmission aux utilisateurs et appareils du Client, et suppression.
• Finalité : fournir, sécuriser et assister le Service pour le Client, et à aucune autre fin.

LumaKol ne traite les Données personnelles du Client que sur les instructions documentées du Client. Les Conditions d’utilisation, le présent DPA ainsi que l’utilisation et la configuration du Service par le Client constituent ces instructions. LumaKol informera le Client s’il estime qu’une instruction enfreint la Législation sur la protection des données, sauf si la loi le lui interdit.

Si la loi exige que LumaKol traite les Données personnelles du Client d’une autre manière, il en informera le Client avant de le faire, sauf si la loi l’interdit.

LumaKol veille à ce que toute personne qu’il autorise à traiter des Données personnelles du Client soit tenue à une obligation de confidentialité. L’accès du personnel aux Données personnelles du Client est limité à ce dont il a besoin pour exploiter et assister le Service, et il est journalisé.

LumaKol maintient des mesures techniques et organisationnelles adaptées au risque, notamment :

• le chiffrement des données en transit (TLS), le chiffrement de la base de données au repos et une seconde couche de chiffrement AES-256 pour les secrets tels que les jetons et les mots de passe des boîtes mail connectées ;
• la séparation des données de chaque client par espace de travail, chaque requête étant filtrée par l’espace de travail du client ;
• des mots de passe hachés avec Argon2id et des jetons de session stockés uniquement sous forme de hachages ;
• la limitation du débit et le verrouillage à la connexion ;
• un accès par rôles dans le produit, avec des options pour masquer les numéros de téléphone, limiter les exports et restreindre l’écoute des enregistrements ;
• des journaux d’audit en ajout seul pour les actions sensibles ;
• l’authentification multifacteur pour le personnel de LumaKol, avec un accès journalisé aux données de production ;
• des sauvegardes pour la reprise après une panne, qui disparaissent en environ quatre semaines.

LumaKol peut mettre à jour ces mesures à condition que le niveau global de protection ne diminue pas.

Le Client autorise LumaKol à faire appel aux sous-traitants ultérieurs décrits dans le tableau ci-dessous. LumaKol lie chaque sous-traitant ultérieur par un contrat écrit à des obligations de protection des données au moins aussi protectrices que le présent DPA, et reste responsable envers le Client de l’exécution de chaque sous-traitant ultérieur. Les noms des sous-traitants ultérieurs actuels sont communiqués à tout Client sur demande à [email protected] et font partie du présent DPA.

Avant qu’un nouveau sous-traitant ultérieur ne commence à traiter des Données personnelles du Client, LumaKol en informera le propriétaire de l’espace de travail par e-mail au moins 30 jours à l’avance, en le nommant. Le Client peut s’y opposer pour des motifs raisonnables liés à la protection des données pendant ce délai. Si les parties ne parviennent pas à résoudre l’objection, le Client peut cesser d’utiliser la partie concernée du Service ou mettre fin à l’abonnement.

Lors de la sortie de l’application iPhone, le service propre à la plateforme iPhone acheminera ses notifications push ; nous l’ajouterons à cette liste, avec le préavis décrit ci-dessus, avant que cela n’ait lieu. Google Drive, Sheets et Agenda, le calendrier Microsoft Outlook et les publicités à formulaire Facebook et Instagram ne peuvent pas encore être connectés.

Les enregistrements d’appels sont stockés sur les serveurs de LumaKol. Les notes vocales et les photos de visites terrain seront enregistrées dans le Google Drive du membre de l’équipe qui le connecte, et non sur les serveurs de LumaKol.

Les e-mails qu’un client envoie à ses propres leads passent par la boîte mail du client (Paramètres → E-mail), et non par le prestataire d’e-mail de LumaKol. Les systèmes que le client connecte lui-même, tels que son propre site web, ses sources de leads, ses clients API et ses points de terminaison de webhook, reçoivent des données sur les instructions du client et ne sont pas des sous-traitants ultérieurs de LumaKol.

Le Service permet au Client de consulter, rectifier, exporter et supprimer les données de ses leads et de bloquer tout nouvel appel vers un lead, afin qu’il puisse répondre lui-même à la plupart des demandes des personnes concernées. Lorsqu’il ne le peut pas, LumaKol l’aidera sur demande, compte tenu de la nature du traitement.

Si LumaKol reçoit directement d’une personne concernée une demande relative aux Données personnelles du Client, il la transmettra au Client dans les meilleurs délais et n’y répondra que sur instruction du Client.

LumaKol apportera également une aide raisonnable aux analyses d’impact relatives à la protection des données du Client et à ses consultations des autorités de contrôle, dans la mesure où elles portent sur le traitement effectué par LumaKol.

LumaKol informera le Client dans les meilleurs délais, et en tout état de cause dans les 48 heures, après avoir eu connaissance d’une violation de données personnelles affectant les Données personnelles du Client, afin que le Client puisse remplir ses propres obligations de notification aux autorités et aux personnes concernées — par exemple dans les 72 heures au titre du RGPD et des règles du DPDP Act. La notification décrira, dans la mesure où elles sont alors connues, la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises ou envisagées, et indiquera un contact pour obtenir davantage d’informations.

LumaKol tiendra le Client informé à mesure que de nouveaux éléments seront connus et prendra des mesures raisonnables pour contenir la violation et en limiter les effets. La notification d’une violation ne vaut pas reconnaissance de faute.

Pendant l’abonnement, le Client peut exporter ses leads au format CSV et lire ses données via l’API publique. Lorsque le Client ferme son espace de travail, ou que ses données atteignent la fin de la durée de conservation prévue par les Conditions de paiement après une résiliation ou une mise en pause pour défaut de paiement, LumaKol supprime les Données personnelles du Client du Service.

Les copies présentes dans les sauvegardes expirent selon un calendrier glissant et sont alors supprimées. LumaKol ne peut conserver des données que lorsque la loi l’exige, et uniquement ces données, protégées au titre du présent DPA, aussi longtemps que la loi l’exige.

Sur demande raisonnable, LumaKol mettra à disposition les informations nécessaires pour démontrer qu’il respecte ses obligations au titre du présent DPA et de l’article 28 du RGPD, telles que des réponses écrites à des questionnaires de sécurité.

Lorsque ces informations ne suffisent pas, le Client peut auditer la conformité de LumaKol, lui-même ou par l’intermédiaire d’un auditeur indépendant tenu à la confidentialité, moyennant un préavis écrit d’au moins 30 jours, pendant les heures ouvrables, au plus une fois par an sauf exigence d’une autorité de contrôle ou après une violation de données personnelles, et aux frais du Client. Les parties conviendront à l’avance du périmètre afin que l’audit ne perturbe pas le Service et n’expose pas les données d’autres clients.

LumaKol traite les Données personnelles du Client en Inde, à Singapour et au Japon où le Service est hébergé, et dans les pays où opèrent ses sous-traitants ultérieurs. Lorsque cela implique un transfert de données personnelles hors de l’EEE, ou hors du Royaume-Uni, vers un pays ne bénéficiant pas d’une décision ou d’une réglementation d’adéquation, les parties conviennent que :

• pour les données de l’EEE, les CCT s’appliquent et sont intégrées au présent DPA par référence : le module deux (responsable du traitement à sous-traitant) lorsque le Client est responsable du traitement, et le module trois (sous-traitant à sous-traitant) lorsque le Client est sous-traitant, avec la clause d’adhésion facultative, l’option 2 (autorisation générale) de la clause 9, ainsi que le droit applicable et les juridictions de l’Irlande aux clauses 17 et 18 ;
• pour les données du Royaume-Uni, l’UK Addendum s’applique et est intégré par référence, ses tableaux étant complétés avec les informations du présent DPA ;
• les informations exigées par les CCT dans leurs annexes sont celles figurant ci-dessus dans « Parties », « Objet, durée, nature et finalité », « Personnes concernées et données personnelles », « Mesures de sécurité » et « Liste des sous-traitants ultérieurs ».

Lorsque le DPDP Act s’applique, LumaKol ne transférera pas de Données personnelles du Client vers un pays ou un territoire faisant l’objet d’une restriction par le gouvernement indien.

En cas de contradiction entre les CCT ou l’UK Addendum et le présent DPA, les premiers prévalent. LumaKol exige de ses sous-traitants ultérieurs qu’ils protègent les transferts ultérieurs par des garanties appropriées.

La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations prévues par les Conditions d’utilisation, sauf lorsque la Législation sur la protection des données ou les CCT ne permettent pas de limiter la responsabilité.

Le présent DPA reste en vigueur aussi longtemps que LumaKol traite des Données personnelles du Client. Les obligations qui, par leur nature, doivent survivre, telles que la confidentialité et la suppression, survivent à son terme. LumaKol peut mettre à jour le présent DPA pour refléter l’évolution de la loi ou du Service ; il ne réduira pas la protection accordée aux Données personnelles du Client, et la date de « Dernière mise à jour » ci-dessus indique la version en vigueur.

Les questions relatives au présent DPA, les notifications qui en découlent et les demandes d’exemplaire contresigné sont à adresser à [email protected].

Demander un exemplaire signé : écrivez à [email protected] en indiquant la dénomination sociale et l’adresse de votre organisation, et nous vous renverrons ce DPA contresigné.