Accord de traitement des données

Client désigne la personne ou l'organisation identifiée dans l'Accord et l'enregistrement du compte. LensGo désigne Acosh, Sweelinckplantsoen 40, 1323 MT Almere, Pays-Bas. Le Client est le responsable de traitement et LensGo le sous-traitant des Données personnelles du Client. Lorsque le Client agit en tant que sous-traitant pour un autre responsable de traitement, il confirme son autorité à désigner LensGo comme sous-traitant et à transmettre les instructions de ce responsable.

Services désigne le service de partage de photos et vidéos d'événements de LensGo, incluant la collecte, le stockage, l'organisation, la modération, l'affichage et le téléchargement du contenu d'événements. Données personnelles du Client désigne les données personnelles traitées par LensGo pour le compte du Client afin de fournir ces Services. Un Sous-traitant est un prestataire engagé par LensGo pour traiter ces données pour le compte du Client.

RGPD désigne le Règlement (UE) 2016/679. Loi applicable en matière de protection des données désigne le RGPD et les lois le complétant. EEE désigne l'Espace économique européen. Responsable de traitement, sous-traitant, données personnelles, traitement, personne concernée, violation de données personnelles et autorité de contrôle ont la signification qui leur est donnée par le RGPD.

Le présent DPA ne régit pas les traitements pour lesquels LensGo détermine elle-même ses finalités, tels que l'administration de ses comptes, la facturation, ses obligations légales et son marketing. Ces traitements sont décrits dans la Politique de confidentialité. Le rôle d'un prestataire dépend du traitement concerné ; l'Annexe 3 distingue ces activités.

LensGo ne traite les Données personnelles du Client que sur la base d'instructions documentées du Client, y compris pour les transferts internationaux, sauf si le droit de l'Union ou d'un État membre l'exige autrement. Dans ce cas, LensGo informe le Client de l'obligation légale avant le traitement, sauf si cette loi interdit la notification pour des motifs importants d'intérêt public.

L'Accord, le présent DPA, les paramètres de service du Client et les demandes écrites documentent les instructions. L'Annexe 1 définit leur objet, leur durée, leur nature et leur finalité. Le Client détermine la base juridique, fournit les informations requises, obtient les consentements nécessaires et contrôle qui peut télécharger, consulter et télécharger le contenu des événements. Le Client peut émettre d'autres instructions conformes à la loi via le contact indiqué à la section 11.

LensGo informe immédiatement le Client si, selon elle, une instruction enfreint le RGPD ou d'autres dispositions du droit de l'Union ou d'un État membre en matière de protection des données. LensGo suspend l'instruction concernée jusqu'à ce que les parties résolvent la question ; elle ne substitue pas ses propres finalités aux instructions du Client.

LensGo restreint l'accès aux Données personnelles du Client aux personnes autorisées ayant besoin d'y accéder pour fournir les Services. Ces personnes sont tenues par des engagements de confidentialité ou une obligation légale de confidentialité appropriée et reçoivent des instructions adaptées à leurs responsabilités. Ces obligations persistent après la fin de leur accès.

LensGo met en œuvre et maintient des mesures techniques et organisationnelles adaptées au risque conformément à l'article 32 du RGPD, en tenant compte de l'état de l'art, des coûts de mise en œuvre et de la nature, de l'étendue, du contexte et des finalités du traitement. L'Annexe 2 précise les contrôles applicatifs et les obligations opérationnelles les soutenant.

En tenant compte de la nature du traitement et des informations dont elle dispose, LensGo assiste le Client dans le respect des articles 32 à 36 du RGPD, y compris en matière de sécurité, d'évaluation et de notifications de violations, d'évaluations d'impact sur la protection des données et de consultations préalables avec les autorités de contrôle. LensGo fournit les informations pertinentes et coopère avec l'autorité de contrôle compétente.

Le Client accorde une autorisation écrite générale à l'utilisation des sous-traitants listés dans l'Annexe 3 pour le traitement spécifié. LensGo notifie au Client par email au moins 30 jours calendaires avant d'ajouter ou de remplacer un sous-traitant, en identifiant sa fonction, ses lieux de traitement et les éventuelles garanties de protection des transferts internationaux. La simple mise à jour de cette page web ne constitue pas une notification.

Le Client peut faire objection pour des motifs raisonnables liés à la protection des données en contactant LensGo dans ce délai de notification. Les parties travaillent à résoudre l'objection, y compris en utilisant un prestataire alternatif ou en évitant le traitement concerné. LensGo ne donne pas accès au prestataire proposé aux données du Client ayant fait objection tant que l'objection n'est pas résolue. Si aucune solution n'est disponible, le Client peut résilier les Services concernés avant l'entrée en vigueur du changement et demander le retour ou la suppression conformément à la section 9.

Avant d'accorder l'accès, LensGo conclut un contrat écrit imposant les mêmes obligations en matière de protection des données que le présent DPA, incluant des garanties suffisantes de mesures techniques et organisationnelles appropriées. LensGo reste pleinement responsable envers le Client de l'exécution par chaque sous-traitant de ces obligations. Sur demande, LensGo fournit les informations de conformité et les garanties contractuelles pertinentes, sous réserve de la protection nécessaire des informations confidentielles.

Chaque partie au présent DPA s’engage à indemniser l’autre partie des dommages ou frais résultant de sa propre violation fautive du présent DPA, y compris toute violation fautive commise par son représentant légal, ses sous-traitants, ses salariés ou tout autre préposé. En outre, chaque partie s’engage à garantir l’autre partie contre toute réclamation formée par des tiers en raison de, ou en lien avec, toute violation fautive commise par l’autre partie.

Chaque partie est responsable du respect de ses obligations au titre du présent DPA et de la Loi applicable en matière de protection des données. Aucune disposition de l'Accord ou du présent DPA ne limite les droits des personnes concernées, la responsabilité de l'une ou l'autre partie au titre de l'article 82 du RGPD, les pouvoirs des autorités de contrôle ou la responsabilité de LensGo au titre de la section 5.

En tenant compte de la nature du traitement, LensGo assiste le Client, par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, pour répondre aux demandes au titre du chapitre III du RGPD. Cela inclut l'aide à localiser, exporter, rectifier, restreindre ou supprimer les Données personnelles du Client pertinentes.

LensGo transmet promptement les demandes concernant les Données personnelles du Client au Client et ne répond pas de manière indépendante sauf sur instruction documentée ou lorsque la loi l'exige. Lorsque cela est permis par la loi, LensGo informe le Client avant de répondre en vertu d'une obligation légale.

LensGo notifie au Client sans retard injustifié après avoir pris connaissance d'une violation de données personnelles affectant les Données personnelles du Client. La notification décrit la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, si connus, les conséquences probables, les mesures prises ou prévues et un contact pour obtenir des informations complémentaires. Les informations incomplètes sont fournies par étapes sans retard injustifié supplémentaire.

LensGo enquête, contient et corrige la violation, préserve les preuves pertinentes et coopère avec l'évaluation, les notifications et les communications du Client. Le Client décide des notifications aux autorités de contrôle et aux personnes concernées, sans préjudice des propres obligations légales de LensGo.

À la fin des Services impliquant un traitement, LensGo, au choix du Client, retourne l'intégralité des Données personnelles du Client dans un format électronique couramment utilisé et supprime les copies existantes, ou supprime l'intégralité des Données personnelles du Client et des copies. Le Client peut communiquer son choix via la section 11, y compris avant la résiliation. LensGo cherche à obtenir des instructions si aucun choix n'a été communiqué et ne considère pas le silence comme une renonciation au droit au retour.

LensGo achève le retour ou la suppression demandé dans un délai de 30 jours ouvrés après la fin des Services ou, si plus tardif, après réception du choix du Client. Jusqu'à l'achèvement, elle protège les données conformément au présent DPA et ne les traite que dans la mesure nécessaire pour le retour, la suppression ou la conservation requise par la loi. Elle obtient la même action de la part des sous-traitants et confirme l'achèvement par écrit sur demande.

Ces obligations couvrent les originaux, les dérivés, les exportations et les copies de sauvegarde. La seule exception est le droit de l'Union ou d'un État membre exigeant une conservation : LensGo identifie l'obligation légale et la période de conservation au Client sauf si cela est interdit, isole les données conservées, restreint le traitement à cette obligation et les supprime lorsque celle-ci prend fin. Les copies de sauvegarde ne doivent pas être utilisées à d'autres fins ; toute restauration doit réappliquer les instructions de suppression.

Le stockage dans l'EEE ne suffit pas à exclure les transferts internationaux via l'accès de support, le diagnostic ou la diffusion de contenu. LensGo ne transfère les Données personnelles du Client en dehors de l'EEE que sur instruction documentée et en conformité avec le chapitre V du RGPD, y compris pour les transferts ultérieurs.

Avant tout transfert, LensGo s’assure qu’il est couvert par une décision d’adéquation applicable ou des garanties appropriées au titre de l’article 46 du RGPD. Lorsqu'elle s'appuie sur les clauses contractuelles types de la Décision d'exécution (UE) 2021/914 de la Commission, LensGo exécute le module applicable avec le destinataire effectif, remplit ses annexes, évalue les lois et pratiques de la destination et met en œuvre les mesures complémentaires nécessaires. Pour un transfert de sous-traitant à sous-traitant, il s'agira normalement du Module Trois. LensGo fournit sur demande des informations sur le mécanisme et les garanties applicables et suspend les transferts si une protection adéquate ne peut être garantie.

Le présent DPA est un accord de traitement au titre de l'article 28 du RGPD. Il n'intègre pas un ensemble de clauses contractuelles types de transferts internationaux entre le Client et LensGo simplement parce que LensGo reçoit des données aux Pays-Bas. Les clauses contractuelles types requises s'appliquent à la relation de transfert effective ; l'Annexe 3 ne constitue pas en soi un mécanisme de transfert.

Envoyez les instructions, objections, demandes de droits et demandes de conformité à [email protected], à l'attention de Daan de Vos, Acosh / LensGo. LensGo envoie les notifications contractuelles et les notifications de violation à l'adresse email enregistrée du compte du Client ou à un contact désignée pour les questions de protection des données. Le Client maintient ces informations à jour.

Les parties protègent les informations confidentielles obtenues au titre du présent DPA. Cela n'empêche pas de partager le présent accord ou des informations de conformité nécessaires avec des conseillers professionnels, des auditeurs, des autorités de contrôle ou comme l'exige la loi.

Le présent DPA est régi par le droit néerlandais. Les litiges entre les parties sont soumis aux tribunaux compétents des Pays-Bas, sans préjudice du droit impératif, des droits des personnes concernées à engager des procédures ou des pouvoirs des autorités de contrôle compétentes.

LensGo met à disposition toutes les informations nécessaires pour démontrer la conformité avec l'article 28 du RGPD et le présent DPA, et permet et contribue aux audits, y compris les inspections, menés par le Client ou un auditeur mandaté par celui-ci.

Les parties coordonnent un préavis raisonnable, la confidentialité et des mesures pour protéger les données des autres clients. Les documents ou rapports indépendants peuvent aider à répondre à une demande, mais ne remplacent pas le droit à un audit lorsque des vérifications supplémentaires sont nécessaires. Ces dispositions ne doivent pas empêcher ou retarder de manière déraisonnable un audit, en particulier après un incident ou à la demande d'une autorité de contrôle. LensGo traite les lacunes identifiées sans retard injustifié.

Parties et contacts : le Client identifié dans l'Accord et son contact enregistré ou désigné ; sous-traitant Acosh, exploitant LensGo, Sweelinckplantsoen 40, 1323 MT Almere, Pays-Bas, contact Daan de Vos à [email protected]. Leurs rôles et responsabilités sont décrits aux sections 1 et 2.

Objet et finalité : exploitation d'albums d'événements et collecte, organisation, partage, affichage et exportation de photos, vidéos et soumissions d'événements selon les instructions du Client.

Nature et fréquence : collecte et réception continues de téléchargements et soumissions, stockage, récupération, conversion de format et génération de miniatures, organisation, modération, affichage, transmission, téléchargement, gestion des accès et suppression pendant l'utilisation des Services.

Personnes concernées : organisateurs et titulaires de comptes, leur personnel et collaborateurs, invités et personnes qui téléchargent, personnes visibles ou audibles dans les médias, et autres participants ou personnes identifiées dans les soumissions.

Données personnelles : noms et adresses email lorsqu'elles sont fournies ; photos, visages, vidéos et voix ; légendes, commentaires et réponses de formulaires ; noms de fichiers et métadonnées de fichiers (incluant l'heure et le lieu de capture si présents) ; identifiants d'événements et de personnes qui téléchargent ; adresses IP, informations sur le navigateur/appareil, horodatages et enregistrements d'accès ou d'activité du service lorsqu'ils sont collectés pour fournir les Services.

Données sensibles : les médias et les soumissions en texte libre peuvent révéler par inadvertance des données de catégorie spéciale concernant la santé, la religion, les opinions politiques, l'orientation sexuelle ou d'autres données sensibles, et peuvent inclure des enfants. Le Client détermine toute condition applicable de l'article 9 et des mesures de sécurité supplémentaires, limite la collecte et l'accès, et émet des instructions de suppression si nécessaire. LensGo n'utilise pas les médias d'événements pour l'identification biométrique.

Durée : pour la durée des Services et la période de conservation prévue dans l'Accord, le plan sélectionné et les instructions documentées du Client, suivie du retour ou de la suppression conformément à la section 9. La fin d'un événement ou d'une période de paiement ne signifie pas que tous les médias ont déjà été effacés.

Contrôles d'accès : comptes d'organisateurs authentifiés, mots de passe hachés, authentification à deux facteurs optionnelle, et vérifications d'autorisation pour la gestion des événements. Les paramètres des événements prennent en charge les mots de passe d'album et la modération. Les clients contrôlent les liens de partage et les autorisations ; les destinataires peuvent conserver les copies téléchargées.

Sécurités applicatives : validation des entrées, limitation du débit des requêtes sur les points de terminaison protégés, protection CSRF pour les changements d'état du navigateur et accès restreint aux médias non publiés. Les modifications applicatives sont soumises à des tests automatisés des opérations pertinentes d'authentification, d'autorisations et de médias.

Obligations opérationnelles : LensGo restreint les accès du personnel et des identifiants de service selon les besoins, maintient des engagements de confidentialité, examine les accès et les supprime lorsqu'ils ne sont plus nécessaires. Elle maintient un transport sécurisé, une maintenance de sécurité en temps opportun et une gestion des incidents conformément aux sections 3, 4 et 8.

Disponibilité et récupération : LensGo maintient des dispositions de récupération adaptées à l'évaluation des risques de l'article 32 du RGPD, évalue et teste régulièrement les mesures de sécurité et de restauration, et applique les instructions de conservation et de suppression aux copies de récupération. Les informations sur la portée actuelle des sauvegardes, les emplacements, la conservation et les dispositions de récupération sont mises à disposition conformément à la section 13.

Portée des garanties : le stockage des médias dans l'UE est distinct de la diffusion et d'autres traitements. La présente annexe ne revendique pas de chiffrement de bout en bout, de chiffrement universel au repos, de certification indépendante ou un temps de récupération particulier. LensGo fournit sur demande des preuves actuelles de l'infrastructure et de la sécurité conformément à la section 13 et ne réduit pas de manière significative la protection requise par le présent DPA.

Les prestataires suivants traitent les Données personnelles du Client lors de la fourniture des Services indiqués. Les changements sont soumis à la section 5 et les transferts à la section 10. Le lieu d'établissement d'un prestataire ne garantit pas que tout le traitement s'y déroule.

Hetzner — hébergement applicatif et infrastructure de base de données en Allemagne ; enregistrements d'événements, identifiants de compte et données traitées par l'application.

Bunny.net (Bunny Edge Storage) — stockage et diffusion de photos, vidéos, dérivés et archives téléchargeables téléversés ; noms de fichiers, métadonnées et données de requête de diffusion associés. Le stockage des médias est dans l'Union européenne ; la diffusion et l'accès à distance sont également soumis à la section 10.

Scaleway Email transactionnel — diffusion transactionnelle en France ; adresses des destinataires et contenu des notifications de service ou d'événement.

Cloudflare — proxy inverse, diffusion de contenu et protection du trafic ; adresses IP des requêtes, en-têtes et contenu passant par le service. Prestataire américain avec un réseau mondial ; le traitement international est soumis à la section 10.

Bugsink – utilisé pour la surveillance des erreurs ; les rapports d’erreur peuvent contenir des données techniques telles que des adresses IP, des identifiants d’utilisateur et des détails de requête (UE - FI/DE).

Crisp — support lorsque le Client fournit des données d'événement ou d'invité pour assistance ; coordonnées, messages et pièces jointes fournies. Prestataire français. Son traitement des informations relatives à la relation client de LensGo relève de la catégorie distincte ci-dessous.

Ces activités sont en dehors des instructions de traitement du Client et sont couvertes par la Politique de confidentialité et les conditions applicables des prestataires. Elles ne font pas de chaque prestataire listé un sous-traitant au titre du présent DPA ; les prestataires peuvent agir pour LensGo en tant que responsable de traitement ou en tant que responsables de traitement indépendants pour des activités particulières.

Mollie : paiements, abonnements et facturation. Google Sign-In et Connexion avec Apple : authentification de compte optionnelle. Google Ads : publicité propre à LensGo et mesure de conversion. Crisp : support commercial et de compte propre à LensGo.

Si l'un de ces prestataires doit traiter les Données personnelles du Client pour le compte du Client au-delà des activités listées ci-dessus, LensGo se conformera d'abord aux sections 5 et 10. Les médias d'événements ne sont pas autorisés pour la publicité propre à LensGo au titre du présent DPA.