1. Parties et rôles
Le client est le responsable du traitement : vous déterminez les finalités et les moyens du traitement. DIKKE KASSA est le sous-traitant : nous traitons les données personnelles uniquement sur vos instructions documentées.
Ce contrat s'applique à tous les services pour lesquels nous avons accès à des données personnelles dans vos systèmes, comme votre logiciel d'affiliation, votre compte réseau ou vos statistiques de boutique.
2. Objet et durée
Le traitement porte sur la création, la gestion et l'optimisation de programmes d'affiliation sur les marchés européens, y compris la gestion des éditeurs, la validation des transactions et le reporting.
Ce contrat court pendant toute la durée du contrat principal et prend fin lorsque nous ne traitons plus de données personnelles pour vous, sous réserve de l'article 11.
3. Nature et finalité du traitement
Nous traitons les données personnelles uniquement pour gérer votre programme d'affiliation : sélection et gestion des éditeurs, validation des transactions, établissement de rapports et résolution des problèmes de tracking.
Nous n'utilisons jamais ces données à nos propres fins, comme le profilage, la revente à des tiers ou la sollicitation de vos éditeurs pour d'autres marques.
4. Catégories de données et de personnes concernées
Selon la configuration de votre programme, le traitement peut couvrir les catégories suivantes.
- Personnes concernées : éditeurs, visiteurs du site et clients du client.
- Éditeurs : nom, adresse e-mail, site web, coordonnées de paiement et statistiques de performance.
- Données de transaction : références de commande, montants, commissions et identifiants de clic, associés ou non à un identifiant en ligne.
- Données techniques : adresses IP et données d'appareil dans la mesure où elles figurent dans les systèmes de tracking et de reporting.
5. Nos obligations en tant que sous-traitant
Nous nous engageons à :
- Traiter les données personnelles uniquement sur vos instructions documentées, y compris le présent contrat.
- Garantir que nos collaborateurs et les tiers mandatés sont tenus à la confidentialité.
- Mettre en œuvre des mesures techniques et organisationnelles appropriées (article 6).
- Vous aider à répondre aux demandes des personnes concernées et à vos obligations au titre des articles 32 à 36 du RGPD, comme les violations de données et les analyses d'impact.
- Supprimer ou restituer toutes les données à l'issue des prestations, selon votre choix.
6. Mesures de sécurité
Nous appliquons au minimum les mesures suivantes :
- Connexions chiffrées (HTTPS/TLS) pour tous les transferts de données.
- Accès selon le principe du besoin d'en connaître, avec des comptes individuels et une authentification forte.
- Stockage au sein de l'Union européenne auprès de prestataires assumant leur propre responsabilité de traitement dans l'UE.
- Mises à jour et correctifs de sécurité réguliers des systèmes utilisés.
- Séparation logique des données par client.
7. Sous-traitants ultérieurs
Vous nous accordez une autorisation générale de faire appel à des sous-traitants ultérieurs pour l'hébergement, l'e-mail, l'analytique et les plateformes d'affiliation. Nous vous informons au préalable de tout changement envisagé ; vous disposez alors de deux semaines pour vous y opposer.
Nous imposons à chaque sous-traitant ultérieur des obligations au moins équivalentes au présent contrat et restons pleinement responsables de leurs prestations.
8. Transferts hors de l'UE
En principe, nous traitons les données personnelles au sein de l'Union européenne. Un transfert vers un pays tiers n'intervient que si une garantie appropriée s'applique, comme une décision d'adéquation ou les clauses contractuelles types de la Commission européenne, et uniquement dans la mesure nécessaire à la prestation convenue.
9. Violations de données
Nous vous notifions, en tant que responsable du traitement, toute violation de données affectant les données que nous traitons sans retard injustifié, et au plus tard 48 heures après en avoir pris connaissance. La notification décrit la nature de la violation, les conséquences probables et les mesures prises ou envisagées, afin que vous puissiez remplir votre propre obligation de notification auprès de l'autorité de contrôle.
10. Audits et informations
Nous fournissons toutes les informations raisonnablement nécessaires pour démontrer le respect du présent contrat. Une fois par an, à vos frais et après notification préalable, vous pouvez faire réaliser un audit par un expert indépendant tenu à la confidentialité.
11. Fin des prestations
À l'issue de la collaboration, nous supprimons toutes les données personnelles traitées pour votre compte dans un délai de 60 jours, sauf si vous demandez par écrit leur restitution ou si une obligation légale de conservation nous impose de conserver certaines données plus longtemps.
12. Responsabilité et priorité
La responsabilité au titre du présent contrat est soumise aux mêmes limitations que nos conditions générales. En cas de contradiction entre ce contrat de sous-traitance et les conditions générales, le présent contrat prévaut en ce qui concerne le traitement des données personnelles.
Le présent contrat est régi par le droit néerlandais.