Le présent accord de traitement des données (« DPA ») fait partie de l’accord régissant l’utilisation de la Plateforme et des Services KWIGA, y compris les Conditions générales de KWIGA (l’« Accord »), entre :
TUTERIA VCC, dont l’adresse enregistrée est 17A Vrabcha Street, Floor 1, Apt 3, 1000 Sofia, Bulgaria (« KWIGA », « TUTERIA », « nous », « notre » ou le « Sous-traitant »),
et
la personne physique, la société, l’organisation, l’école, l’Expert, le créateur de cours ou toute autre entité utilisant les Services KWIGA et déterminant les finalités et les moyens du traitement des données à caractère personnel via la Plateforme KWIGA (le « Client », l’« Utilisateur de la Plateforme » ou le « Responsable du traitement »).
Le présent DPA s’applique lorsque et dans la mesure où TUTERIA VCC traite des Données à caractère personnel pour le compte du Client dans le cadre de la fourniture des Services KWIGA.
Le présent DPA complète l’Accord et doit être interprété conjointement avec la Politique de confidentialité de KWIGA et les autres documents contractuels applicables.
Aux fins du présent DPA :
« Lois applicables en matière de protection des données » désigne l’ensemble des lois relatives à la protection des données et à la vie privée applicables au traitement des Données à caractère personnel au titre du présent DPA, y compris, le cas échéant, le règlement (UE) 2016/679 (« RGPD »).
« Responsable du traitement », « Sous-traitant », « Personne concernée », « Données à caractère personnel », « Traitement », « Violation de données à caractère personnel » et « Autorité de contrôle » ont la signification qui leur est donnée par le RGPD ou d’autres Lois applicables en matière de protection des données.
« Client » désigne l’Utilisateur de la Plateforme qui utilise les Services KWIGA et détermine les finalités et les moyens du Traitement des Données de service.
« Données de service » désigne les Données à caractère personnel téléversées sur la Plateforme KWIGA, collectées par son intermédiaire, générées en son sein ou autrement traitées par l’intermédiaire de celle-ci par le Client ou pour son compte dans le cadre de son utilisation des Services.
Les Données de service peuvent inclure des Données à caractère personnel traitées via le CRM KWIGA, le LMS, les cours, les programmes éducatifs, les fonctionnalités de gestion des étudiants et des clients, les outils de communication, les automatisations, les évaluations et les autres fonctionnalités de la Plateforme utilisées par le Client.
« Sous-traitant ultérieur » désigne un tiers engagé par KWIGA pour Traiter les Données de service pour le compte du Client.
Lorsque le Client détermine les finalités et les moyens du Traitement des Données de service, le Client agit en qualité de Responsable du traitement de ces Données à caractère personnel.
Le Client est responsable de ses activités de Traitement et du respect des obligations applicables aux Responsables du traitement en vertu des Lois applicables en matière de protection des données.
Lorsque TUTERIA VCC Traite les Données de service pour le compte du Client et conformément aux instructions du Client, TUTERIA VCC agit en qualité de Sous-traitant.
TUTERIA VCC doit Traiter ces Données de service conformément au présent DPA, à l’Accord, aux instructions documentées du Client et aux Lois applicables en matière de protection des données.
Certaines activités de Traitement peuvent être effectuées par TUTERIA VCC à des fins déterminées indépendamment par TUTERIA VCC.
Ces finalités peuvent inclure, le cas échéant :
l’administration et l’exploitation de la Plateforme KWIGA ;
la sécurité et l’intégrité de la Plateforme ;
la prévention de la fraude et des abus ;
la détection et l’enquête sur les accès non autorisés et les incidents de sécurité ;
le respect des obligations légales ou réglementaires ;
la gestion des propres relations contractuelles de TUTERIA VCC ;
l’établissement, l’exercice ou la défense de droits en justice ; et
d’autres finalités décrites dans la Politique de confidentialité de KWIGA.
Lorsque TUTERIA VCC détermine de manière indépendante les finalités et les moyens d’un tel Traitement, TUTERIA VCC agit en tant que Responsable du traitement indépendant à l’égard de ce Traitement.
Ce Traitement est régi par la Politique de confidentialité de KWIGA Politique de confidentialité et les Lois applicables en matière de protection des données et ne constitue pas un Traitement effectué par TUTERIA VCC en tant que Sous-traitant au titre du présent DPA.
Le fait que le Client et TUTERIA VCC puissent Traiter certaines informations relatives à la même Personne concernée ne signifie pas, en soi, que les parties agissent en tant que responsables conjoints du traitement.
Le rôle de chaque partie est déterminé par référence aux finalités et aux moyens de l’activité de Traitement concernée.
Le Client doit respecter les Lois applicables en matière de protection des données dans le cadre de sa collecte, de son utilisation, de sa divulgation et de tout autre Traitement des Données de service.
Le Client est responsable de veiller à ce que :
a. il dispose d’une base juridique appropriée pour le Traitement des Données de service ;
b. les Données de service aient été collectées légalement ;
c. les Données de service soient divulguées légalement ou autrement mises à la disposition de KWIGA aux fins de leur Traitement ;
d. les Personnes concernées reçoivent tous les avis de confidentialité et informations requis en vertu des Lois applicables en matière de protection des données ;
e. tout consentement requis pour les activités de Traitement du Client ait été valablement obtenu ;
f. les instructions du Client à KWIGA soient conformes aux Lois applicables en matière de protection des données ;
g. le Client ne Traite que les Données personnelles nécessaires à ses finalités légitimes et licites ; et
h. des durées de conservation appropriées soient établies pour les Données de service sous le contrôle du Client.
Le Client ne doit pas utiliser les Services pour collecter ou Traiter des Catégories particulières de Données personnelles au sens de l’article 9 du RGPD, sauf si le Client a établi une base juridique valide et, lorsque cela est requis, une condition applicable au titre de l’article 9 du RGPD pour un tel Traitement.
Lorsque le Client utilise des questionnaires, formulaires, champs personnalisés, contenus téléversés ou d’autres fonctionnalités des Services pour collecter ou Traiter de telles données, le Client agit en tant que Responsable du traitement et est responsable de déterminer la licéité, les finalités et la portée de ce Traitement, de fournir toute information requise aux Personnes concernées, d’obtenir un consentement explicite lorsque le consentement est invoqué, et de respecter toutes les autres exigences applicables des Lois applicables en matière de protection des données.
KWIGA Traite ces Données de service pour le compte du Client et conformément aux instructions documentées du Client et au présent DPA.
Le Client donne instruction à KWIGA de Traiter les Données de service dans la mesure nécessaire pour :
fournir les Services sélectionnés et configurés par le Client ;
héberger et maintenir les Données de service ;
fournir des fonctionnalités CRM, LMS et autres de la Plateforme ;
fournir l’accès aux cours et autres produits ;
administrer les fonctionnalités sélectionnées par le Client ;
fournir une assistance technique ;
maintenir et sécuriser les Services ; et
exécuter autrement le Contrat et les instructions documentées du Client.
L’utilisation et la configuration de la Plateforme KWIGA par le Client, y compris les paramètres, actions et fonctionnalités activés par le Client, ainsi que la création et la publication par le Client de pages web, formulaires, notifications et autres contenus au moyen de la Plateforme, peuvent être considérées comme des instructions documentées aux fins du présent DPA.
Le Client détermine de manière indépendante le contenu de sa Politique de confidentialité, de ses avis de confidentialité, formulaires et autres contenus fournis aux Personnes concernées au moyen de la Plateforme et est responsable de leur conformité à la Législation Applicable en matière de Protection des Données ainsi qu’au traitement effectif des données à caractère personnel du Client. KWIGA n’est pas tenue de vérifier ou d’approuver le contenu de ces documents.
Si KWIGA considère raisonnablement qu’une instruction du Client enfreint les Lois applicables en matière de protection des données, KWIGA en informe le Client dans les meilleurs délais.
KWIGA peut suspendre le Traitement concerné dans la mesure raisonnablement nécessaire jusqu’à ce que l’instruction soit modifiée, clarifiée ou confirmée comme étant licite.
KWIGA ne traite les Données de service que sur instructions documentées du Client, sauf si le Traitement est requis par le droit applicable de l’Union ou d’un État membre.
Lorsque KWIGA est tenu par la loi de Traiter les Données de service autrement que sur les instructions du Client, KWIGA informe le Client de cette obligation légale avant le Traitement, sauf si la loi interdit cette information pour des motifs importants d’intérêt public.
KWIGA veille à ce que les personnes autorisées à Traiter les Données de service :
ne traitent ces données que dans la mesure nécessaire à l’exécution de leurs fonctions ;
soient soumises à des obligations de confidentialité appropriées ; et
ne disposent d’un accès que lorsque cela est raisonnablement nécessaire.
KWIGA met en œuvre des mesures techniques et organisationnelles appropriées conçues pour protéger les Données de service conformément à la Section 7 et à l’Annexe B du présent DPA.
Compte tenu de la nature du Traitement et des informations disponibles pour KWIGA, KWIGA fournit une assistance raisonnable au Client dans l’exécution de ses obligations au titre des Lois applicables en matière de protection des données, y compris les obligations relatives à :
les demandes des Personnes concernées ;
la sécurité du Traitement ;
les Violations de données à caractère personnel ;
les analyses d’impact relatives à la protection des données ; et
les consultations des Autorités de contrôle, le cas échéant.
KWIGA tient des registres et des informations relatifs à ses activités de Traitement dans la mesure requise par les Lois applicables en matière de protection des données.
Le Client, en tant que Responsable du traitement, est principalement responsable de répondre aux demandes des Personnes concernées relatives aux Données de service Traitées par KWIGA pour le compte du Client.
KWIGA fournit au Client des fonctionnalités et/ou des mécanismes appropriés permettant d’accéder aux Données de service sous le contrôle du Client, de les gérer et de les exporter et, lorsque la fonctionnalité concernée le permet, de corriger ou de supprimer ces Données de service, sous réserve des exigences légales applicables.
Compte tenu de la nature du Traitement, KWIGA fournit une assistance raisonnable au Client, au moyen de mesures techniques et organisationnelles appropriées, dans la mesure du possible, afin de permettre au Client de s’acquitter de ses obligations de réponse aux demandes des Personnes concernées.
Si KWIGA reçoit une demande d’une Personne concernée portant principalement sur des Données de service dont le Client est le Responsable du traitement, KWIGA peut renvoyer la Personne concernée vers le Client et, le cas échéant, informer le Client de la demande.
KWIGA ne répond pas de manière indépendante à une telle demande au nom du Client, sauf :
sur instruction du Client ;
si cela est autorisé en vertu de l’Accord ; ou
si cela est requis par la loi applicable.
En acceptant le présent DPA, le Client donne à KWIGA une instruction documentée permanente visant à traiter et, le cas échéant, à supprimer ou à anonymiser les Données du Service en réponse aux demandes d'effacement présentées par les Personnes concernées.
Lorsque KWIGA reçoit une demande d'une Personne concernée relative aux Données du Service pour lesquelles le Client agit en qualité de Responsable du Traitement, KWIGA informe le Client de cette demande et lui donne la possibilité de fournir des instructions documentées supplémentaires ou contraires à l'instruction initiale.
Si le Client ne fournit pas d'instructions documentées contraires à l'instruction initiale dans un délai de quatorze (14) jours calendaires à compter de la date de notification de KWIGA, KWIGA est autorisée et tenue de procéder à la suppression ou à l'anonymisation des Données du Service concernées conformément au présent DPA et à la Législation Applicable en matière de Protection des Données. Le délai de quatorze (14) jours calendaires constitue un délai contractuel permettant au Client de fournir des instructions à KWIGA et n'établit ni ne modifie aucun délai légal applicable au Client ou à KWIGA en vertu de la Législation Applicable en matière de Protection des Données, notamment le RGPD, le California Consumer Privacy Act, tel que modifié, ou le Texas Data Privacy and Security Act.
KWIGA peut procéder à cette suppression ou anonymisation, sauf si le Client a fourni des instructions documentées contraires à l'instruction initiale dans le délai applicable de quatorze (14) jours calendaires. Les Données Personnelles ne doivent pas être supprimées ni anonymisées dans la mesure où leur conservation ou leur traitement ultérieurs sont requis par la Législation Applicable en matière de Protection des Données ou par le présent DPA.
Le Client, en tant que Responsable du traitement, est responsable de déterminer les périodes de conservation appropriées pour les Données de service Traitées aux fins déterminées par le Client, sous réserve des modalités de conservation et de suppression établies en vertu du présent DPA et de l’Accord.
Différentes durées de conservation peuvent s’appliquer aux Données du Service en fonction de la nature et de la finalité des données concernées ainsi que de la fonctionnalité par laquelle ces données sont Traitées.
À la suite de la résiliation ou de l’expiration de l’abonnement du Client, les Données du Service relatives au Client concerné peuvent être conservées pendant une période maximale de quatre-vingt-dix (90) jours à compter de la fin de la période d’abonnement du Client afin de permettre la réactivation, la récupération des données et la cessation ordonnée de l’utilisation des Services.
À l’expiration de la période de 90 jours susmentionnée, le compte et/ou l’école concernés peuvent être désactivés, masqués ou rendus autrement inaccessibles via l’interface habituelle de la Plateforme KWIGA, sans suppression ni modification des Données du Service qui y sont contenues.
Les Données du Service concernées peuvent être conservées pendant une période supplémentaire maximale de quatre-vingt-dix (90) jours afin de permettre leur restauration, de résoudre des questions techniques ou contractuelles et d’assurer l’achèvement ordonné de la fourniture des Services.
À l’expiration d’une période totale de cent quatre-vingts (180) jours à compter de la résiliation ou de l’expiration de l’abonnement, les Données du Service concernées seront supprimées des systèmes actifs de la Plateforme KWIGA conformément aux procédures applicables de conservation et de suppression des données.
La procédure qui précède s’applique sous réserve des instructions documentées du Responsable du traitement concerné, du présent DPA et des Lois Applicables en Matière de Protection des Données. Elle ne s’applique pas aux Données à Caractère Personnel que TUTERIA VCC Traite de manière indépendante et licite en qualité de Responsable du traitement indépendant conformément à la Section 5.7.
Les Données de service sont généralement conservées pendant toute la durée d’utilisation par le Client des Services KWIGA concernés et conformément à :
les instructions documentées du Client ;
le présent DPA ;
l’Accord ; et
Lois applicables en matière de protection des données.
Aucune disposition de la présente Section ne dégage le Client de sa responsabilité en tant que Responsable du traitement de déterminer si certaines Données de service restent nécessaires et doivent continuer à être conservées.
KWIGA fournit au Client des fonctionnalités et/ou des mécanismes appropriés pour accéder aux Données de service sous le contrôle du Client, les gérer et les exporter et, lorsque cela est pris en charge par les fonctionnalités concernées, supprimer ces Données de service, sous réserve des exigences légales applicables.
Lorsque le Client supprime manuellement un contact ou d’autres Données du Service via la Plateforme KWIGA, les données concernées feront dans un premier temps l’objet d’une suppression logique (soft deletion) et resteront récupérables pendant une période maximale de trente (30) jours à compter de la date de leur suppression. À l’issue de cette période, les Données à caractère personnel concernées seront définitivement supprimées des systèmes actifs de la Plateforme KWIGA, sous réserve des exigences légales applicables et de la conservation des données que le Sous-traitant est légalement autorisé ou tenu de conserver.
À la suite de la résiliation ou de l’expiration de l’abonnement du Client, les Données du Service peuvent être conservées conformément aux périodes et conditions définies à la Section 5.2.
Au cours des quatre-vingt-dix (90) premiers jours, le Client peut bénéficier d’une possibilité raisonnable de récupérer ou d’exporter les Données du Service, sous réserve des fonctionnalités des Services concernés.
À l’expiration de cette période, le compte et/ou l’école concernés peuvent être désactivés, masqués ou rendus inaccessibles via l’interface habituelle de la Plateforme KWIGA. Les Données du Service peuvent être conservées pendant une période supplémentaire maximale de quatre-vingt-dix (90) jours conformément à la Section 5.2.
À l’expiration d’une période totale de cent quatre-vingts (180) jours à compter de la résiliation ou de l’expiration de l’abonnement, les Données du Service concernées seront supprimées des systèmes actifs de la Plateforme KWIGA conformément aux procédures de suppression applicables, au présent DPA, aux instructions documentées du Responsable du traitement et aux Lois Applicables en Matière de Protection des Données.
Lorsque des Données de service restent temporairement dans des systèmes de sauvegarde, de reprise après sinistre ou similaires après leur suppression des systèmes actifs, ces données restent soumises à des mesures de sécurité appropriées et ne doivent pas être restaurées ni utilisées pour un Traitement ordinaire, sauf lorsque cela est nécessaire à la reprise après sinistre, à la sécurité, au respect des obligations légales ou à d'autres fins techniques légitimes.
Ces copies seront supprimées ou écrasées conformément aux procédures applicables de conservation des sauvegardes de KWIGA.
Lorsque les Données du Service sont supprimées manuellement par le Client, puis définitivement supprimées des systèmes actifs, des copies de ces données peuvent subsister dans les systèmes de sauvegarde créés avant leur suppression définitive pendant une période supplémentaire maximale de sept (7) jours. À l’issue de cette période, ces copies seront supprimées ou écrasées conformément aux procédures applicables de conservation des sauvegardes.
La présente Section s'applique aux Données de service Traitées par TUTERIA VCC en tant que Sous-traitant.
Elle n'exige pas que TUTERIA VCC supprime les Données personnelles que TUTERIA VCC Traite de manière indépendante et licite en sa qualité de Responsable du traitement.
Ces données peuvent être conservées lorsque cela est nécessaire aux fins décrites dans la Politique de confidentialité et conformément aux Lois applicables en matière de protection des données.
Le Client accorde une autorisation générale à KWIGA pour engager des Sous-traitants ultérieurs lorsque cela est raisonnablement nécessaire à la fourniture, à la maintenance, à l'assistance, à l'exploitation ou à la sécurité des Services KWIGA.
Avant d'autoriser un Sous-traitant ultérieur à Traiter des Données de service, KWIGA veille à ce que le Sous-traitant ultérieur soit soumis à des obligations contractuelles de protection des données garantissant un niveau de protection approprié des Données de service et conformes aux exigences applicables aux sous-traitants ultérieurs en vertu des Lois applicables en matière de protection des données.
KWIGA demeure responsable de l'exécution par ses Sous-traitants ultérieurs de leurs obligations en matière de protection des données dans la mesure requise par les Lois applicables en matière de protection des données.
KWIGA mettra à la disposition des Clients des informations concernant les Sous-traitants ultérieurs concernés par l'intermédiaire d'un mécanisme approprié.
Lorsque les Lois applicables en matière de protection des données l'exigent, KWIGA donnera un préavis raisonnable des modifications importantes envisagées concernant l'ajout ou le remplacement de Sous-traitants ultérieurs.
Le Client peut soulever des objections raisonnables portant spécifiquement sur les préoccupations en matière de protection des données découlant du Sous-traitant ultérieur proposé.
Les parties agiront de bonne foi afin de résoudre toute objection raisonnable de ce type.
Lorsqu'un Client active ou connecte de manière indépendante une intégration tierce à l'aide de son propre compte, de ses identifiants ou de ses clés API, TUTERIA traite et transmet les Données de service à ce tiers conformément aux instructions documentées du Client.
Le Client est responsable de déterminer si son utilisation d'un tel service tiers est conforme aux Lois applicables en matière de protection des données, y compris de mettre en place les dispositions contractuelles requises et les garanties de transfert international de données avec ce tiers.
Compte tenu de l'état de la technique, des coûts de mise en œuvre ainsi que de la nature, de la portée, du contexte et des finalités du Traitement, ainsi que des risques, dont la probabilité et la gravité varient, pour les droits et libertés des personnes physiques, KWIGA mettra en œuvre et maintiendra des mesures techniques et organisationnelles appropriées conçues pour assurer un niveau de sécurité adapté au risque.
Selon la nature et les risques du Traitement concerné, ces mesures peuvent inclure :
a. des mécanismes de contrôle d'accès et d'autorisation ;
b. des mesures conçues pour maintenir une séparation et une autorisation appropriées entre les environnements et les données des Clients ;
c. des mesures d'authentification et de gestion des accès ;
d. la journalisation et la surveillance ;
e. mesures conçues pour détecter les activités suspectes, les abus et les accès non autorisés ;
f. contrôles du trafic et des requêtes, y compris des contrôles de débit lorsque cela est approprié ;
g. gestion des vulnérabilités ;
h. tests de sécurité ;
i. procédures de détection des incidents et de réponse à ceux-ci ;
j. mesures de sauvegarde et de récupération ;
k. contrôles relatifs à l'accès par les sous-traitants, les prestataires de services et d'autres personnes autorisées ;
l. procédures d'examen des événements et incidents de sécurité ; et
m. examen et test périodiques des contrôles de sécurité techniques et organisationnels pertinents.
Des informations supplémentaires concernant les catégories de mesures techniques et organisationnelles mises en œuvre par KWIGA sont énoncées dans Annexe B.
KWIGA peut mettre à jour ses mesures techniques et organisationnelles de temps à autre afin de refléter :
les évolutions technologiques ;
les risques identifiés ;
les modifications apportées aux Services ;
les résultats des examens de sécurité ;
les incidents de sécurité ; et
les modifications du droit applicable.
Ces modifications ne réduiront pas de manière significative le niveau global de protection fourni aux Données de service.
KWIGA informera le Client sans retard injustifié après avoir pris connaissance d'une Violation de données à caractère personnel affectant les Données de service Traitées par KWIGA pour le compte du Client.
Dans la mesure où les informations pertinentes sont raisonnablement disponibles pour KWIGA, la notification comprendra :
a. une description de la nature de la Violation de données à caractère personnel ;
b. les catégories de Données à caractère personnel concernées ;
c. les catégories de Personnes concernées affectées ;
d. le nombre approximatif de Personnes concernées affectées, lorsqu'il est connu ;
e. le nombre approximatif d'enregistrements de Données à caractère personnel affectés, lorsqu'il est connu ;
f. les conséquences probables de la Violation de données à caractère personnel, lorsqu'elles peuvent raisonnablement être déterminées ;
g. les mesures prises ou proposées pour contenir, enquêter sur et remédier à la Violation de données à caractère personnel ; et
h. les coordonnées ou un autre canal de contact approprié permettant d'obtenir des informations supplémentaires.
Lorsque toutes les informations pertinentes ne sont pas disponibles au moment de la notification initiale, KWIGA peut fournir dans un premier temps les informations disponibles et les compléter par phases au fur et à mesure de l'avancement de l'enquête.
KWIGA prendra les mesures appropriées pour :
enquêter sur l'incident ;
identifier sa nature et son étendue ;
contenir l'incident ;
atténuer les effets défavorables raisonnablement prévisibles ;
préserver les preuves pertinentes ;
remédier aux vulnérabilités identifiées, le cas échéant ; et
prendre des mesures raisonnables visant à réduire le risque de récidive.
Compte tenu de la nature du Traitement et des informations disponibles à KWIGA, KWIGA fournira une assistance raisonnable au Client pour s’acquitter des obligations applicables relatives à :
la notification à une Autorité de contrôle ;
la communication avec les Personnes concernées affectées ;
l’évaluation des risques pour les droits et libertés des personnes ; et
la documentation de la Violation de données à caractère personnel.
Le Client demeure responsable, en sa qualité de Responsable du traitement, de déterminer si une Violation de données à caractère personnel affectant les Données du Service nécessite :
une notification à une Autorité de contrôle ;
une communication aux Personnes concernées affectées ; ou
toute autre mesure requise en vertu des Lois applicables sur la protection des données.
Cela n’affecte aucune obligation légale indépendante de TUTERIA VCC relative aux Données à caractère personnel pour lesquelles TUTERIA VCC agit en tant que Responsable du traitement.
La notification ou la coopération relative à une Violation de données à caractère personnel ne constitue pas, à elle seule, une reconnaissance de faute ou de responsabilité par l’une ou l’autre des parties.
Lorsque les Données du Service sont Traitées au sein de l’Espace économique européen (« EEE »), ce Traitement ne constitue pas un transfert vers un pays tiers aux fins du chapitre V du RGPD.
Lorsque KWIGA ou un Sous-traitant ultérieur autorisé transfère des Données du Service en dehors de l’EEE vers une juridiction qui n’a pas été reconnue comme assurant un niveau de protection adéquat en vertu du droit applicable, KWIGA veillera à ce qu’un mécanisme de transfert approprié soit mis en œuvre lorsque cela est requis.
Ces mécanismes peuvent inclure :
une décision d’adéquation adoptée par la Commission européenne ;
des Clauses contractuelles types approuvées par la Commission européenne ;
des Règles d’entreprise contraignantes, le cas échéant ; ou
un autre mécanisme de transfert licite reconnu en vertu des Lois applicables sur la protection des données.
Lorsque les Lois applicables sur la protection des données l’exigent, KWIGA mettra en œuvre des mesures supplémentaires appropriées au transfert concerné et aux risques associés.
KWIGA fournira, à la demande du Client, des informations raisonnables concernant les garanties applicables aux transferts internationaux lorsque les Lois applicables sur la protection des données l’exigent.
KWIGA mettra à la disposition du Client les informations raisonnablement nécessaires pour démontrer le respect par KWIGA de ses obligations en tant que Sous-traitant en vertu des Lois applicables sur la protection des données.
Sur demande écrite raisonnable, KWIGA fournira les informations pertinentes concernant :
son Traitement des Données du Service ;
les mesures techniques et organisationnelles applicables ;
les Sous-traitants ultérieurs concernés ; et
d’autres questions raisonnablement nécessaires pour permettre au Client d’évaluer la conformité de KWIGA au présent DPA.
Lorsque les informations mises à disposition par KWIGA ne sont pas raisonnablement suffisantes pour démontrer la conformité et qu’un audit est requis en vertu des Lois applicables sur la protection des données, KWIGA autorisera et contribuera à la réalisation d’audits ou d’inspections raisonnables relatifs au Traitement des Données du Service.
Sauf exigence contraire d’une Autorité de contrôle ou des Lois applicables sur la protection des données, le Client devra :
fournir un préavis écrit raisonnable avant un audit ;
limiter l’audit aux questions pertinentes pour le Traitement au titre du présent DPA ;
effectuer l’audit pendant les heures normales de bureau, dans la mesure du raisonnablement possible ;
éviter toute perturbation inutile des activités de KWIGA ; et
veiller à ce que les auditeurs soient soumis à des obligations de confidentialité appropriées.
Un audit ne donne pas au Client ni à son auditeur le droit d'accéder à :
des Données à caractère personnel appartenant à un autre Client ;
des informations confidentielles d'un autre Client ;
des informations qui compromettraient la sécurité des systèmes KWIGA ;
du code source ou d'autres éléments de propriété intellectuelle protégés, sauf lorsque la loi applicable l'exige expressément ; ou
des informations sans rapport avec les activités de Traitement du Client.
Les parties coopèrent de bonne foi concernant les demandes d'audit raisonnables émanant des Autorités de contrôle compétentes.
Compte tenu de la nature du Traitement et des informations dont dispose KWIGA, KWIGA fournit une assistance raisonnable au Client concernant les analyses d'impact relatives à la protection des données lorsque le Client est tenu de réaliser une telle analyse en vertu des Lois applicables en matière de protection des données.
Lorsque les Lois applicables en matière de protection des données l'exigent, KWIGA fournit une assistance raisonnable concernant la consultation préalable d'une Autorité de contrôle compétente au sujet du Traitement effectué par l'intermédiaire des Services.
Chaque partie protège les Données à caractère personnel et les informations confidentielles reçues dans le cadre du présent DPA contre toute divulgation non autorisée.
KWIGA veille à ce que les sous-traitants, prestataires de services et autres personnes autorisés à Traiter les Données de service soient soumis à des obligations de confidentialité appropriées ou à une obligation légale de confidentialité applicable.
Le Client veille à ce que les identifiants, droits d'accès et fonctionnalités administratives mis à disposition par l'intermédiaire de la Plateforme KWIGA soient utilisés uniquement par des personnes dûment autorisées.
Chaque partie tient des registres relatifs à ses activités de Traitement dans la mesure requise par les Lois applicables en matière de protection des données.
Les parties coopèrent raisonnablement entre elles lorsque cela est nécessaire pour répondre à des demandes légitimes des Autorités de contrôle relatives au Traitement régi par le présent DPA.
Aucune disposition du présent DPA n'oblige l'une ou l'autre partie à divulguer des informations lorsque leur divulgation est interdite par la loi applicable.
Chaque partie est responsable de sa propre conformité aux Lois applicables en matière de protection des données et des obligations qui lui sont attribuées au titre du présent DPA.
La responsabilité entre les parties découlant du présent DPA ou en lien avec celui-ci est soumise aux limitations et exclusions de responsabilité prévues dans le Contrat, dans la mesure permise par les Lois applicables en matière de protection des données.
Aucune disposition du présent DPA n'exclut ou ne limite la responsabilité lorsqu'une telle exclusion ou limitation est interdite par la loi applicable.
Le présent DPA prend effet lorsque le Client devient lié par le Contrat et que KWIGA commence à Traiter les Données de service pour le compte du Client.
Le présent DPA reste en vigueur tant que KWIGA Traite les Données de service pour le compte du Client.
La résiliation ou l'expiration du Contrat n'affecte pas les dispositions du présent DPA qui, par leur nature, sont destinées à survivre à la résiliation, y compris les dispositions relatives à la confidentialité, à la suppression ou à la restitution des Données de service, à la responsabilité et à la loi applicable.
Le présent DPA fait partie intégrante du Contrat conclu entre le Client et TUTERIA VCC régissant l'utilisation des Services KWIGA.
En cas de conflit entre le présent DPA et une autre disposition du Contrat concernant le Traitement des Données de service par TUTERIA VCC en tant que Sous-traitant, le présent DPA prévaut en ce qui concerne la question conflictuelle relative à la protection des données.
La KWIGA Politique de confidentialité régit les activités de Traitement pour lesquelles TUTERIA VCC agit en tant que Responsable du traitement.
Le présent DPA régit le Traitement des Données de service effectué par TUTERIA VCC pour le compte du Client en tant que Sous-traitant.
Le présent DPA est régi par le droit applicable au Contrat entre le Client et TUTERIA VCC, sans préjudice des dispositions impératives des Lois applicables en matière de protection des données.
Aucune disposition du présent DPA ne limite l'application du RGPD ni les pouvoirs et la compétence d'une Autorité de contrôle compétente lorsque ce droit ou cette compétence s'applique.
KWIGA peut mettre à jour le présent DPA lorsque cela est raisonnablement nécessaire pour :
se conformer aux modifications des Lois applicables en matière de protection des données ;
refléter les modifications apportées aux Services KWIGA ;
mettre à jour les mesures techniques ou organisationnelles ;
mettre à jour les modalités de Traitement ; ou
clarifier les droits et obligations des parties.
Lorsqu'une modification affecte de manière significative le Traitement des Données de Service ou les droits et obligations du Client en matière de protection des données, KWIGA fournira un préavis raisonnable lorsque la loi applicable ou le Contrat l'exige.
Les questions concernant le présent DPA ou le Traitement par KWIGA des Données de Service pour le compte d'un Client peuvent être adressées à :
TUTERIA VCC
17A rue Vrabcha, étage 1, appartement 3
1000 Sofia, Bulgarie
E-mail : support@kwiga.com
La présente Annexe fait partie intégrante de l'Accord de traitement des données.
Traitement des Données de Service par KWIGA, dans la mesure nécessaire pour fournir, maintenir, prendre en charge et sécuriser les Services KWIGA sélectionnés et configurés par le Client.
Pendant toute la durée d'utilisation par le Client des Services KWIGA concernés. Après la résiliation ou l'expiration de l'abonnement du Client, les Données de Service propres au Client peuvent être conservées pendant une période maximale de quatre-vingt-dix (90) jours à compter de la fin de la période d'abonnement du Client afin de permettre la réactivation, la récupération des données et la cessation ordonnée des Services.
Après l'expiration de cette période, les Données personnelles contenues dans les Données de Service propres au Client, y compris les données de commande associées, seront anonymisées conformément à la Section 5 du DPA et aux procédures de conservation applicables de KWIGA. Après quatre-vingt-dix (90) jours supplémentaires suivant cette anonymisation, les données correspondantes seront définitivement supprimées des systèmes actifs de la Plateforme KWIGA conformément aux procédures applicables de conservation et de suppression, sauf si leur conservation continue est requise par la loi applicable ou autrement autorisée en vertu du DPA. Lorsque TUTERIA VCC Traite des Données personnelles pour le compte du Client en qualité de Sous-traitant, ce processus de conservation et de suppression s'applique sous réserve des instructions documentées du Client, de l'accord de traitement des données applicable et des Lois applicables en matière de protection des données.
Les Données personnelles Traitées par TUTERIA VCC en sa qualité de Responsable du traitement indépendant sont soumises aux périodes de conservation applicables à ce Traitement.
Selon les Services sélectionnés et configurés par le Client, le Traitement peut inclure :
collecte ;
enregistrement ;
organisation ;
structuration ;
stockage ;
hébergement ;
adaptation ;
récupération ;
consultation ;
utilisation ;
transmission ;
mise à disposition ;
administration ;
analyse conformément aux instructions du Client ;
limitation ;
exportation ;
suppression ;
anonymisation ; et
autres traitements nécessaires à la fourniture des Services sélectionnés.
Traitement des Données de service aux fins déterminées par le Client, y compris, selon l’utilisation de KWIGA par le Client :
gestion des étudiants et des clients ;
fonctionnalités CRM ;
fonctionnalités LMS ;
diffusion et administration de cours et de programmes éducatifs ;
administration de l’accès aux produits numériques ;
tests, quiz et devoirs ;
suivi de la progression des cours ;
certificats ;
communication avec les étudiants et les clients ;
fonctionnalités d’e-mail et de notifications ;
automatisations ;
administration des commandes ;
fonctionnalités d’intégration ;
assistance client ;
rapports et analyses sélectionnés par le Client ; et
autres fonctionnalités activées ou configurées par le Client.
Selon l’utilisation des Services par le Client, les personnes concernées peuvent inclure :
étudiants ;
apprenants ;
clients ;
prospects ;
abonnés ;
participants aux cours ;
employés et prestataires du Client ;
instructeurs ;
administrateurs ;
assistants ;
représentants du Client ; et
autres personnes dont les Données personnelles sont soumises à la Plateforme KWIGA ou traitées par son intermédiaire par le Client ou en son nom.
Selon les Services utilisés par le Client, les Données de service peuvent inclure :
Informations d’identité et de profil
prénom ;
deuxième prénom ;
nom ;
image de profil ;
identifiants de compte ou de profil.
Coordonnées
adresse e-mail ;
numéro de téléphone ;
autres coordonnées fournies par le Client ou la Personne concernée.
Informations éducatives et d’apprentissage
cours et programmes ;
inscription ;
informations d’accès ;
progression dans le cours ;
achèvement des leçons ;
réponses aux quiz et aux tests ;
résultats des tests ;
scores ;
devoirs ;
commentaires ;
certificats ;
réalisations ;
points et statuts.
Informations CRM et de gestion des clients
étiquettes ;
groupes ;
statut du client ;
notes ;
historique client ;
historique des communications ;
champs personnalisés configurés par le Client.
Informations relatives aux commandes et aux transactions
identifiants de commande ;
produits ;
montants ;
devises ;
remises ;
codes promo ;
statut du paiement ;
dates des transactions ;
informations sur les remboursements ;
paramètres de paiement échelonné ou d’abonnement ;
autres informations de commande traitées pour le compte du Client.
KWIGA n’exige pas que les Clients saisissent des données de sécurité de carte de paiement, telles que les numéros de carte complets ou les codes CVC, dans les champs ordinaires de Données de service CRM ou LMS.
Communications
messages ;
e-mails ;
commentaires ;
informations relatives à l’assistance ;
autres communications traitées via les fonctionnalités sélectionnées par le Client.
Informations techniques
Dans la mesure où elles sont Traitées pour le compte du Client :
adresse IP ;
informations de connexion/d’activité ;
informations sur l’appareil ou le navigateur ;
identifiants techniques ;
horodatages.
Les Services KWIGA n’exigent pas que le Client Traite des Catégories particulières de Données à caractère personnel. Toutefois, les Données de service peuvent inclure des Catégories particulières de Données à caractère personnel lorsque le Client choisit de collecter ou de Traiter de toute autre manière ces données par le biais de questionnaires, formulaires, champs personnalisés, contenus téléversés, communications ou autres fonctionnalités configurables des Services.
Le Client détermine le contenu et les finalités d’un tel Traitement et est responsable de l’établissement d’une base juridique applicable et, lorsque cela est requis, d’une condition applicable au titre de l’article 9 du RGPD.
Le Traitement peut avoir lieu de manière continue ou périodique pendant toute la durée d’utilisation par le Client des Services concernés, selon les fonctionnalités sélectionnées et les instructions du Client.
TUTERIA VCC met en œuvre des mesures techniques et organisationnelles conçues pour assurer un niveau de sécurité adapté aux risques associés au Traitement des Données de service.
Les mesures décrites ci-dessous représentent des catégories de mesures de sécurité et peuvent être adaptées ou complétées périodiquement en fonction de la nature du Traitement, des évolutions technologiques, des risques identifiés et des modifications apportées aux Services KWIGA.
KWIGA met en œuvre des mesures conçues pour limiter l’accès aux Données à caractère personnel et aux fonctionnalités de la Plateforme aux utilisateurs, personnes et systèmes autorisés.
Ces mesures peuvent inclure :
authentification des utilisateurs ;
gestion des rôles et des autorisations ;
contrôles d’autorisation ;
restrictions d’accès fondées sur le contexte pertinent de l’utilisateur ou du Client ;
gestion et révision des droits d’accès internes ; et
mesures conçues pour empêcher tout accès non autorisé entre les environnements des Clients.
KWIGA met en œuvre des contrôles techniques conçus pour garantir que l’accès aux données des Clients est dûment restreint en fonction du Client, du compte, de l’établissement, du projet ou de tout autre contexte d’autorisation applicable.
Les contrôles d’autorisation sont examinés et testés selon ce qui est approprié pour les fonctionnalités concernées.
KWIGA utilise des mécanismes de journalisation et de surveillance adaptés au fonctionnement et à la sécurité des Services.
Ces mesures peuvent inclure :
journalisation des applications et des systèmes ;
surveillance des événements de sécurité ;
détection d’activités suspectes ;
surveillance des erreurs ;
surveillance du trafic ;
analyse d’activités inhabituelles ou potentiellement abusives ; et
tenue des registres pertinents relatifs aux incidents de sécurité.
KWIGA met en œuvre des mesures conçues pour détecter, limiter et répondre aux abus, aux accès non autorisés et à l’utilisation abusive automatisée des fonctionnalités de la Plateforme.
Selon le service ou le point de terminaison concerné, ces mesures peuvent inclure :
contrôles des requêtes ;
contrôles de débit ;
restrictions d’accès ;
mécanismes de blocage automatisés ou manuels ;
détection d’activités suspectes ; et
contrôles supplémentaires de vérification ou d’autorisation.
KWIGA maintient des processus permettant d’identifier, d’évaluer et de corriger les vulnérabilités de sécurité.
Ces mesures peuvent inclure :
examens de sécurité ;
tests des contrôles d’autorisation ;
tests automatisés, le cas échéant ;
correction des vulnérabilités ;
examen des constats de sécurité ;
tests de régression ; et
vérification des mesures correctives.
KWIGA maintient des processus conçus pour détecter, escalader, enquêter sur, contenir et corriger les incidents de sécurité et les violations de données personnelles.
Ces processus peuvent inclure :
escalade des incidents ;
enquête technique ;
préservation et analyse des journaux pertinents ;
mesures de confinement ;
correction ;
évaluation des risques ;
évaluation de la notification aux autorités réglementaires et aux Clients ;
examen post-incident ; et
mise en œuvre de mesures correctives.
Les personnes autorisées à accéder aux Données de service sont soumises à des obligations de confidentialité appropriées.
L’accès aux Données personnelles est fourni en fonction des exigences opérationnelles et est limité dans la mesure raisonnablement possible.
KWIGA maintient des processus de sauvegarde et de récupération adaptés aux Services et à l’infrastructure concernés.
Les données de sauvegarde sont soumises à des contrôles d’accès et de sécurité appropriés.
Les Données personnelles supprimées peuvent demeurer temporairement dans les systèmes de sauvegarde jusqu’à leur suppression ou leur écrasement conformément aux procédures applicables de conservation des sauvegardes.
KWIGA met en œuvre des mesures conçues pour soutenir la disponibilité et la résilience des Services, adaptées à la nature et au risque du Traitement concerné.
Les mesures techniques et organisationnelles peuvent être examinées et mises à jour en fonction des éléments suivants :
des modifications de la Plateforme ;
des risques de sécurité identifiés ;
des constatations de vulnérabilités ;
des incidents ;
des modifications des exigences légales applicables ; et
des évolutions technologiques.
Les mises à jour ne doivent pas réduire de manière significative le niveau global de protection fourni aux Données de service.