Accord de protection des données

1. Objet

Cet Accord de protection des données définit les responsabilités respectives des parties en matière de protection des données lorsque nous fournissons des services de campagnes marketing par email, SMS ou combinaison de canaux en utilisant nos propres audiences opt-in.

Il vise à clarifier les rôles des parties, la répartition des responsabilités, le traitement des données d’audience opt-in, la gestion des demandes de désinscription et de STOP SMS, le traitement des plaintes et les limitations de responsabilité applicables en matière de protection des données.

Cet Accord est un document contractuel autonome et s’applique avec tout bon de commande, devis, confirmation de campagne, conditions générales de vente ou autre accord conclu entre le client et nous.

2. Parties

Le client désigne le client professionnel, annonceur, agence ou intermédiaire qui commande une campagne ou un service auprès de nous.

Lorsque le client agit pour le compte d’un annonceur ou d’un autre tiers, il garantit disposer de tous les pouvoirs nécessaires pour conclure cet Accord, approuver la campagne et engager l’annonceur final au respect des responsabilités applicables en matière de protection des données.

3. Définitions

Accord désigne le présent Accord de protection des données.

Lois applicables en matière de protection des données désigne toutes les lois relatives à la protection des données et à la vie privée applicables au traitement concerné, notamment le UK GDPR, le RGPD de l’Union européenne lorsque celui-ci est applicable, le Data Protection Act 2018, les Privacy and Electronic Communications Regulations et toute loi équivalente ou connexe applicable au marketing électronique, à la confidentialité, au marketing direct ou aux données personnelles.

Données d’audience désigne les données personnelles relatives aux personnes incluses dans nos propres audiences opt-in et utilisées par nous afin de sélectionner, router, mesurer, exclure ou gérer des campagnes marketing.

Campagne désigne toute campagne marketing par email, SMS ou multicanal commandée par le client et routée par nous sur nos propres audiences opt-in.

Contenu client désigne le contenu de campagne, l’offre commerciale, les textes, créations, liens, landing pages, formulaires, éléments de marque, mentions légales et tout autre élément fourni, approuvé ou contrôlé par le client.

Destinataire désigne une personne incluse dans nos audiences opt-in qui reçoit ou est susceptible de recevoir une campagne routée par nous.

Les termes responsable du traitement, données personnelles, traitement, personne concernée et autorité de contrôle ont le sens qui leur est donné par les Lois applicables en matière de protection des données.

4. Champ d’application de cet Accord

Cet Accord s’applique uniquement aux campagnes routées par nous sur nos propres audiences opt-in, sans vente, location, transfert ou livraison de fichiers de contacts au client.

Cet Accord ne régit pas les situations dans lesquelles le client nous fournirait ses propres bases de contacts à traiter pour son compte. Un tel traitement, s’il était convenu, nécessiterait des conditions écrites distinctes.

Les parties reconnaissent que le service standard couvert par cet Accord repose sur la sélection d’audience et le routage par nous, et non sur le transfert de données personnelles ou de fichiers de contacts au client.

5. Rôles des parties

Pour les campagnes routées sur nos propres audiences opt-in, nous agissons en qualité de responsable du traitement indépendant pour les Données d’audience, y compris la collecte, la gestion, la sélection, l’exclusion, le routage et les enregistrements de conformité relatifs à ces Données d’audience.

Le client agit en qualité de responsable du traitement indépendant pour le Contenu client, l’offre promue, la landing page, tout formulaire ou environnement numérique exploité par ou pour le client, et toute donnée personnelle collectée par le client après qu’un Destinataire a cliqué sur une campagne ou interagi autrement avec le client.

Les parties n’agissent pas en qualité de responsables conjoints du traitement, sauf accord écrit exprès. Rien dans cet Accord n’a pour objet de nous désigner comme sous-traitant du client concernant nos propres Données d’audience.

6. Absence de vente, location ou livraison de fichiers de contacts

Le client reconnaît que nos services n’incluent pas la vente, la location, la concession de licence, le transfert, la divulgation ou la livraison de fichiers de contacts, bases de données ou Données d’audience individuelles au client.

Le client peut sélectionner des critères de ciblage, pays, canaux, volumes et paramètres de campagne, mais le routage technique de la campagne est réalisé par nous ou par des prestataires techniques autorisés agissant sous notre responsabilité.

Le client ne doit pas tenter d’identifier, extraire, aspirer, reconstituer, copier, enrichir ou obtenir autrement les Données d’audience sous-jacentes, sauf lorsqu’un Destinataire fournit volontairement des données directement au client via une landing page, un formulaire ou un processus contrôlé par le client.

7. Nos responsabilités

Nous sommes responsables de veiller à ce que les Données d’audience utilisées pour les campagnes soient gérées conformément aux Lois applicables en matière de protection des données, y compris, le cas échéant, la collecte et la conservation des enregistrements opt-in, des listes d’exclusion et des enregistrements de conformité.

Nous sommes responsables de sélectionner les Destinataires selon les critères disponibles et les paramètres de campagne que nous avons acceptés, de router la campagne, de gérer les demandes de désinscription relatives à nos campagnes email, de traiter les demandes STOP SMS relatives à nos campagnes SMS et de maintenir des mécanismes d’exclusion appropriés.

Nous sommes également responsables du traitement des plaintes et des demandes réglementaires relatives à nos Données d’audience, à nos enregistrements opt-in, à nos activités de routage et à nos propres obligations de conformité, sous réserve que le client fournisse une coopération raisonnable lorsque la plainte ou la demande concerne le Contenu client, l’offre promue ou la landing page du client.

8. Responsabilités du client

Le client est seul responsable de la licéité, de l’exactitude et de la conformité du Contenu client, y compris l’offre promue, les allégations publicitaires, les prix, les conditions commerciales, la landing page, le site web, les formulaires, les politiques de confidentialité, les mécanismes de consentement et tout traitement ultérieur de données personnelles.

Le client garantit que le Contenu client ne porte atteinte à aucun droit de tiers, n’est pas trompeur, déloyal, frauduleux, illicite, discriminatoire, diffamatoire ou contraire aux Lois applicables en matière de protection des données, aux règles de protection des consommateurs, aux règles publicitaires ou aux réglementations sectorielles.

Le client est responsable de s’assurer que les produits ou services promus via une campagne peuvent être légalement annoncés, proposés et vendus dans les pays ciblés par la campagne.

Lorsque la campagne dirige les Destinataires vers une landing page, un formulaire ou un site web contrôlé par le client, celui-ci est responsable de fournir toutes les informations requises en matière de confidentialité, d’identifier une base légale valable, de collecter tout consentement requis et de répondre aux demandes d’exercice de droits concernant les données qu’il collecte.

9. Validation de campagne et contrôle de conformité

Avant le routage d’une campagne, le client doit fournir et approuver tous les éléments nécessaires à la campagne, y compris le contenu du message, l’offre commerciale, l’URL de destination, les critères de ciblage, le pays, le canal, le volume et toute mention légale ou commerciale requise.

Nous pouvons examiner le Contenu client à des fins opérationnelles, techniques, réputationnelles ou de conformité. Cet examen ne transfère pas à notre charge la responsabilité du Contenu client et ne constitue pas une validation juridique de la campagne ou de l’offre du client.

Nous nous réservons le droit de refuser, suspendre, retarder ou annuler toute campagne que nous considérons raisonnablement comme présentant un risque juridique, réglementaire, de confidentialité, réputationnel, de délivrabilité, technique ou opérationnel.

10. Bases légales et consentement

Nous sommes responsables de déterminer et de documenter les bases légales applicables à notre traitement des Données d’audience, y compris l’utilisation du consentement lorsque celui-ci est requis pour le marketing électronique destiné à des personnes physiques.

Le client est responsable de déterminer et de documenter les bases légales applicables à tout traitement qu’il réalise après qu’un Destinataire a cliqué vers un environnement contrôlé par le client ou a autrement fourni des données personnelles directement au client.

Le client ne doit faire aucune déclaration suggérant qu’il détient, contrôle ou a reçu les Données d’audience sous-jacentes, sauf si nous avons expressément autorisé cette déclaration par écrit.

11. Droits des personnes concernées

Nous sommes responsables du traitement des demandes d’exercice de droits relatives à nos Données d’audience, notamment les demandes d’accès, de rectification, d’effacement, de limitation, d’opposition, de retrait du consentement et d’exclusion des futures campagnes, lorsque cela est applicable.

Le client est responsable du traitement des demandes d’exercice de droits relatives à toute donnée personnelle qu’il collecte ou traite via son propre site web, landing page, formulaires, CRM, processus commercial ou autres systèmes contrôlés par le client.

Chaque partie fournit à l’autre une coopération raisonnable lorsqu’une demande d’exercice de droits, plainte ou demande réglementaire concerne à la fois la campagne routée par nous et un processus contrôlé par le client.

12. Désinscription, opposition et demandes STOP SMS

Nous gérons les demandes de désinscription, d’opposition et de STOP SMS relatives aux campagnes routées sur nos propres audiences, et nous conservons des enregistrements d’exclusion lorsque cela est nécessaire pour garantir le respect de ces demandes.

Le client ne doit pas interférer avec, désactiver, masquer ou supprimer tout lien de désinscription, instruction STOP, information d’expéditeur ou autre mécanisme requis pour respecter les Lois applicables en matière de protection des données ou les règles relatives aux communications électroniques.

Lorsqu’un Destinataire contacte directement le client pour s’opposer, se désinscrire, déposer une plainte ou demander une suppression en lien avec une campagne routée par nous, le client doit nous transmettre rapidement les informations pertinentes afin que nous puissions appliquer les mesures d’exclusion ou de traitement des plaintes appropriées.

13. Plaintes et demandes des autorités de contrôle

Si l’une des parties reçoit une plainte, question ou demande d’un Destinataire, d’une autorité de contrôle, d’un opérateur télécom, d’une plateforme, d’un fournisseur de messagerie ou de tout autre organisme compétent concernant une campagne, elle doit notifier l’autre partie sans délai excessif lorsque le sujet concerne les responsabilités de l’autre partie.

Nous gérons les plaintes et demandes des autorités relatives à nos Données d’audience, à nos enregistrements opt-in, à notre activité de routage et à nos systèmes d’exclusion.

Le client gère les plaintes et demandes des autorités relatives au Contenu client, à l’offre promue, à la landing page du client, à la collecte ultérieure de leads par le client, à son processus de vente ou à ses activités de traitement de données.

Le client doit fournir une coopération rapide et raisonnable, notamment des copies des landing pages, formulaires, politiques de confidentialité, communications clients, détails de l’offre et toute autre information raisonnablement nécessaire pour répondre à une plainte ou à une demande d’autorité.

14. Sécurité

Chaque partie met en œuvre des mesures techniques et organisationnelles appropriées destinées à protéger les données personnelles dont elle est responsable contre tout accès non autorisé, traitement illicite, perte accidentelle, destruction ou dommage.

Nous maintenons des mesures de sécurité adaptées à la nature des Données d’audience et aux risques associés à nos services de routage de campagnes, pouvant inclure des contrôles d’accès, un hébergement sécurisé, des obligations de confidentialité, une surveillance, des sauvegardes, le chiffrement ou la pseudonymisation lorsque cela est approprié et des procédures internes de conformité.

Le client maintient des mesures de sécurité appropriées pour toute donnée personnelle qu’il collecte ou traite via ses landing pages, sites web, formulaires, CRM, outils de vente ou autres systèmes du client.

15. Prestataires techniques et sous-traitants

Le client nous donne une autorisation générale d’utiliser des prestataires techniques, sous-traitants et fournisseurs de services lorsque cela est nécessaire pour héberger des données, exploiter nos services, router des campagnes email ou SMS, gérer la sécurité, mesurer les performances, fournir du support, maintenir les systèmes ou respecter des obligations légales.

Nous ne sommes pas tenus de nommer publiquement nos prestataires techniques ou sous-traitants, mais nous veillons à ce que les prestataires traitant des données personnelles pour nous soient soumis à des obligations contractuelles, de confidentialité et de sécurité appropriées.

Nous restons responsables de sélectionner des prestataires adaptés aux services qu’ils exécutent et de leur imposer des protections contractuelles adaptées à la nature du traitement.

16. Transferts internationaux

Les données personnelles peuvent être traitées au Royaume-Uni, dans l’Espace économique européen et dans d’autres pays où nous, le client ou nos prestataires respectifs opérons.

Lorsqu’une partie transfère des données personnelles en dehors du Royaume-Uni, de l’Espace économique européen ou du pays de résidence de la personne concernée, cette partie veille à ce qu’un mécanisme de transfert approprié soit en place lorsque les Lois applicables en matière de protection des données l’exigent.

Ces mécanismes peuvent inclure des règlements ou décisions d’adéquation, des clauses contractuelles types, le UK International Data Transfer Agreement ou Addendum, ou toute autre garantie légale reconnue par les Lois applicables en matière de protection des données.

17. Conservation des données et enregistrements de conformité

Nous pouvons conserver les Données d’audience, les enregistrements de campagne, les listes d’exclusion, les preuves de consentement, les enregistrements de plaintes et les enregistrements de conformité associés aussi longtemps que nécessaire pour exploiter nos services, respecter les demandes d’opposition, démontrer la conformité, traiter les plaintes, répondre aux autorités, résoudre les litiges et défendre des droits en justice.

Les preuves de consentement et les enregistrements de conformité associés peuvent être conservés pendant la durée du traitement concerné et jusqu’à cinq ans après la fin de ce traitement, lorsque cela est nécessaire pour démontrer la conformité, gérer des plaintes, défendre des droits en justice ou répondre aux autorités compétentes.

Les enregistrements de désinscription, d’opposition et de STOP SMS peuvent être conservés aussi longtemps que nécessaire pour garantir que la personne concernée ne soit pas recontactée en violation de sa demande.

18. Violations de données personnelles

Chaque partie est responsable du traitement des violations de données personnelles affectant les données personnelles pour lesquelles elle agit en qualité de responsable du traitement.

Lorsqu’une violation de données personnelles affecte nos Données d’audience ou nos systèmes de routage de campagnes, nous évaluons la violation et effectuons toute notification aux autorités de contrôle ou aux personnes concernées qui nous incombe en vertu des Lois applicables en matière de protection des données.

Lorsqu’une violation de données personnelles affecte la landing page, les formulaires, le site web, le CRM, les systèmes de vente, les bases clients ou tout autre traitement contrôlé par le client, le client évalue la violation et effectue toute notification requise.

Lorsqu’une violation peut affecter les responsabilités des deux parties, celles-ci coopèrent raisonnablement et sans délai excessif, chaque partie restant responsable de ses propres obligations légales.

19. Audits et informations de conformité

Nous pouvons fournir au client des informations raisonnables concernant nos pratiques de protection des données applicables aux services, lorsque ces informations sont raisonnablement nécessaires pour démontrer la conformité au présent Accord.

Toute demande d’information de conformité doit être raisonnable, proportionnée, limitée aux services concernés et soumise à des obligations de confidentialité appropriées.

Les audits physiques, l’accès illimité aux systèmes, l’accès à une infrastructure technique confidentielle, l’accès à des informations relatives à d’autres clients ou l’accès aux Données d’audience sous-jacentes ne sont pas autorisés, sauf si les Lois applicables en matière de protection des données l’exigent ou si nous l’acceptons expressément par écrit.

Nous pouvons refuser ou limiter toute demande d’audit ou d’information excessive, répétitive, disproportionnée, sensible sur le plan commercial, sensible sur le plan de la sécurité ou susceptible de compromettre les droits de tiers.

20. Indemnisation par le client

Le client nous indemnise et nous garantit contre toute réclamation, plainte, enquête, perte, coût, responsabilité, dommage, pénalité, amende, transaction, frais juridiques ou dépense découlant de ou en lien avec le Contenu client, l’offre promue, la landing page du client, les formulaires du client, la collecte ou le traitement ultérieur de leads par le client, ou toute violation par le client du présent Accord ou des Lois applicables en matière de protection des données.

Cette indemnisation inclut les réclamations ou plaintes alléguant que le Contenu client était trompeur, illicite, déloyal, non conforme, préjudiciable, insuffisamment documenté, non accompagné de mentions légales appropriées ou autrement contraire aux règles applicables en matière de marketing, publicité, protection des consommateurs ou protection des données.

Le client ne doit régler aucune réclamation ou plainte d’une manière qui reconnaît une responsabilité en notre nom, nous impose des obligations ou affecte nos Données d’audience ou nos enregistrements de conformité sans notre accord écrit préalable.

21. Limitation de responsabilité

Rien dans cet Accord n’exclut ou ne limite la responsabilité en cas de décès ou dommage corporel causé par une négligence, de fraude, de déclaration frauduleuse ou de toute responsabilité qui ne peut être légalement exclue ou limitée.

Sous réserve du paragraphe précédent, nous ne sommes pas responsables des pertes ou dommages indirects, accessoires, consécutifs, punitifs ou spéciaux, y compris les pertes de chiffre d’affaires, pertes de profit, pertes de marge, pertes d’activité, pertes de clientèle, atteintes à la réputation, pertes de chance, pertes d’économies anticipées, pertes de données, pertes de contrats, interruptions d’activité ou coûts de services de remplacement.

Nous ne sommes pas responsables de toute amende administrative, pénalité réglementaire, sanction, coût d’enquête, coût d’exécution ou autre montant imposé au client par une autorité de contrôle ou un autre organisme compétent, sauf dans la mesure où ce montant résulte directement de notre manquement prouvé au présent Accord et ne peut légalement être exclu.

Sous réserve des exclusions et limitations prévues au présent Accord, notre responsabilité globale découlant de ou liée à une campagne ne peut excéder les frais effectivement payés par le client à nous pour la campagne à l’origine de la réclamation.

Lorsqu’une réclamation n’est pas liée à une campagne spécifique, notre responsabilité globale ne peut excéder les frais effectivement payés par le client à nous au cours des trois mois précédant l’événement à l’origine de la réclamation.

Les limitations prévues dans cette section sont convenues par les parties comme raisonnables et proportionnées compte tenu de la nature des services, de l’absence de livraison de fichiers de contacts, de la responsabilité du client pour le Contenu client et les traitements contrôlés par le client, ainsi que des frais payables pour les services.

22. Confidentialité

Chaque partie garde confidentielle toute information non publique reçue de l’autre partie dans le cadre de cet Accord, y compris les informations techniques, commerciales, opérationnelles, de sécurité, de conformité ou juridiques.

Les informations confidentielles ne peuvent être divulguées que lorsque cela est nécessaire à l’exécution des services, requis par la loi, demandé par une autorité compétente, communiqué à des conseils professionnels soumis à une obligation de confidentialité ou autorisé par la partie divulgatrice.

Le client ne doit pas divulguer, publier ou utiliser toute information relative à nos Données d’audience, méthodes de conformité, sources de consentement, infrastructure de routage, prestataires ou mécanismes d’exclusion, sauf autorisation écrite expresse de notre part.

23. Ordre de priorité

En cas de contradiction entre cet Accord et toute condition commerciale, devis, bon de commande ou conditions générales de vente, cet Accord prévaut uniquement concernant les sujets spécifiques de protection des données qu’il couvre.

Toutes les dispositions commerciales, de paiement, d’annulation, d’exécution et de responsabilité générale qui ne sont pas spécifiquement traitées dans cet Accord restent régies par les conditions commerciales applicables convenues entre les parties.

24. Langue de référence

Cet Accord peut être mis à disposition en plusieurs langues afin d’en faciliter la compréhension par les clients situés dans différents pays.

En cas de divergence, contradiction ou difficulté d’interprétation entre les différentes versions linguistiques de cet Accord, la version anglaise prévaut.

25. Droit applicable et litiges

Cet Accord est régi par les lois d’Angleterre et du Pays de Galles, sans préjudice des règles impératives pouvant s’appliquer en vertu des Lois applicables en matière de protection des données.

Les parties chercheront à résoudre amiablement tout litige découlant de cet Accord avant d’engager une procédure judiciaire.

À défaut de résolution amiable, le litige sera soumis aux juridictions compétentes, sous réserve des règles impératives applicables.