La présente Politique de Confidentialité fait partie intégrante des Conditions Générales Annonceurs, des Conditions Générales Affiliés et du Contrat d’Exploitation d’une Base de Données opt-in (ci-après ensemble les « Contrats ») si bien que les définitions utilisées dans ces derniers sont réutilisées dans la présente Politique Confidentialité.La présente Politique de Confidentialité a pour objet de :
Les termes utilisés en majuscule et non définis aux fins des présentes ont la signification qui leur est donnée aux termes des Contrats.
3.1 Dans le cadre des Prestations, SwarmiZ est mandatée par l’Annonceur :
Conformément au Code Général de Déontologie de la Communication Directe du Syndicat National de la Communication Directe (SNCD), SwarmiZ est sous-traitant de l'Annonceur lorsqu'ellelorsqu’elle agit en qualitéexclusivement comme intermédiaire technique et que les traitements sont effectués exclusivement pour le compte d’un Annonceur et conformément aux instructions documentées de maître d'ouvrage, d'intermédiaire en fichiers ou d'opérateur de traitement de ce dernier. Par exemple, lorsque des données sont collectées par un Affilié et sont communiquées à l’exception i) des un Annonceur en transitant sur les serveurs de SwarmiZ, cette dernière intervient comme sous-traitant de l’Annonceur.Par exemple, lorsque des données sont collectées par un Affilié et sont communiquées à un Annonceur en transitant sur les serveurs de SwarmiZ, cette dernière intervient comme sous-traitant de l’Annonceur. Les Prestations d’enrichissement de Bases de Données Annonceur sont également réalisées par SwarmiZ en qualité de sous-traitant.A toutes fins utiles il doit être précisé que les opérations i) de comptage et de contrôle des impressions des Campagnes des Annonceurs sur les Supports des Affiliés et ii) des opération de réalisation des statistiques commerciales et analyses marketing (notamment classification, score, etc.) des impressions des Campagnes des Annonceurs sur les Supports des Affiliés et iii) la communication des Campagnes publicitaires des Annonceurs sur ses propres Supports par SwarmiZ est une liste non exhaustive de traitements de données personnelles réalisés par SwarmiZ en qualité de responsable de traitement, le cas échéant responsable de traitement conjoint.
3.2 La sous-traitance de données personnelles par SwarmiZ est encadrée conformément aux dispositions de l’article 7 ci-après.
3.3 Dans le cadre des Prestations de coregistration/sponsoring et des Prestations de Routage en participant à la création et le cas échéant à la diffusion de ces Campagnes, Swarmiz influe de manière déterminante sur la collecte et la transmission des données personnelles des personnes concernées au profit de l’Annonceur.
3.4 Dans ces conditions, il doit être considéré que Swarmiz, l’Affilié et l’Annonceur déterminent conjointement les moyens à l’origine des opérations de collecte et de communication par transmission des données personnelles des personnes concernées.
3.5 Dans le cadre des Prestations de coregistration/sponsoring Swarmiz peut également, comme un Annonceur, collecter les données personnelles des personnes concernées générées par les Campagnes et les traiter en qualité de responsable de traitement autonome.
4.1 En participant à la création et à la diffusion des Campagnes, l’Annonceur et l’Affilié influent de manière déterminante sur la collecte et la transmission des données personnelles des personnes concernées au profit de l’Annonceur.
4.2 Dans ces conditions, il doit être considéré que Swarmiz, l’Annonceur et l’Affilié déterminent conjointement les moyens à l’origine des opérations de collecte et de communication par transmission des données personnelles des personnes concernées.
4.3 Par ailleurs, l’Annonceur collecte et traite les données personnelles des personnes concernées généré par les Campagnes en qualité de responsable de traitement autonome.
4.4 De la même façon, l’Exploitant d’une Base de Données a collecté les données personnelles des personnes concernées constituant sa Base de Données en qualité de responsable de traitement autonome et procède à la gestion et à la mise à jour de cette Base de Données toujours en qualité de responsable de traitement autonome.
5.1 Les Partenaires et SwarmiZ s’engagent respectivement à agir conformément à la Réglementation sur les Données personnelles dans le cadre de la mise en œuvre des Prestations et des obligations qui leur incombent en leur qualité de responsable de traitement.
5.2 En particulier, nonobstant les obligations à ce titre prévues dans le(s) Contrat(s), les Partenaires et SwarmiZ s’engagent à ce que les données personnelles collectées soient :
a. Information des personnes concernées
6.1 Les Campagnes doivent systématiquement permettre aux personnes concernées de prendre connaissance des Parties traitant leurs données personnelles en qualité de responsables conjoints de traitement et de leur politique ayant pour objet de leur fournir les informations requises par la Réglementation sur les Données personnelles, sans quoi, Swarmiz se réserve le droit de ne pas procéder à sa diffusion ou de suspendre celle-ci.
6.2 Les grandes lignes des obligations propres aux Parties en qualité de responsables conjoints de traitement sont mises à la disposition de la personne concernée par l’intermédiaire de la Politique de partage de données en Annexe I de la présente Politique de Confidentialité.
b. Exercice des droits des personnes concernées
6.3 La Partie qui collecte directement les données personnelles auprès des personnes concernées est l’entité désignée comme point de contact auprès des personnes concernées pour l'exercice de leurs droits, et sera le gestionnaire des demandes des personnes concernées. SwarmiZ devra toutefois donner son accord préalable sur le contenu de toute réponse écrite qui sera formulée par le gestionnaire à la personne concernée.
6.4 A réception par le gestionnaire précité d'une demande concernant des données personnelles traitées par une autre Partie, le gestionnaire informe la Partie concernée ainsi que SwarmiZ dans un délai maximum de (3) jours. Ces dernières apporteront toute leur assistance pour permettre au gestionnaire de répondre à la demande dans les délais prévus par la Règlementation sur les Données personnelles.
6.5 Dans l’hypothèse où la personne concernée exercerait auprès du gestionnaire précité une demande d’effacement de l’ensemble des Données personnelles conservées par les Partenaires, celui-ci s’engage à transmettre cette demande à SwarmiZ dans un délai maximum de (3) jours. SwarmiZ deviendra alors gestionnaire de la demande et répondra directement à la personne concernée. Dans ce cadre, les Partenaires s’engagent à apporter toute leur assistance pour permettre à SwarmiZ de répondre à la demande dans les délais prévus par la Réglementation sur les Données personnelles.
c. Sécurité
6.6 Les Parties s’engagent à mettre en œuvre les mesures de sécurité et de confidentialité nécessaires à la conformité des traitements à la Réglementation sur les Données personnelles, notamment des mesures organisationnelles et techniques de sécurité et de confidentialité, telles que mais non exclusivement :
6.7 Chacune des Parties assure la sécurité des traitements effectués par elle. En cas de manquement d’une des Parties à son obligation de sécurité entrainant une Violation de Données personnelles, celle-ci est seule tenue responsable des conséquences de cette violation auprès des personnes concernées, des autorités de contrôle et de tout tiers et en garantit intégralement les autres Parties.
6.8 Chacun des Partenaires remettra à première demande à SwarmiZ la documentation existante détaillant l’ensemble des mesures de sécurité technique et organisationnelles mises en place.
d. Violation des Données personnelles
6.9 Chaque Partie s’engage à disposer d’une procédure de gestion des violations de données personnelles opérationnelle et à la suivre en cas de violation de données personnelles collectées et traitées dans le cadre des Contrats.
6.10 Chacun des Partenaires remettra à première demande à SwarmiZ sa procédure de gestion des violations de données personnelles.
6.11 La Partie ayant identifié et qualifié une violation de données personnelles collectées et/ou traitées dans le cadre des Prestations notifie SwarmiZ sans délai mais également, dans la mesure du possible et dans les limites de ses connaissances ses responsables conjoints de traitements dans un délai maximum de quarante-huit (48) heures.
6.12 A la suite de la notification de la violation à l’autre Partie, et sur demande préalable de SwarmiZ les personnes en charge de la gestion des violations, désignées dans les procédures respectives de chacune des Parties se rencontreront sans délai afin de :
6.13 En cas d’accord sur les mesures visant à remédier à la violation, les Parties les mettent en œuvre sans délai
6.14 Lorsque les Parties se sont mises d’accord sur la notification, la Partie en charge de la communication doit communiquer à l’autorité de contrôle compétente voire aux personnes concernées. Elle effectue cette communication conformément à ses propres procédures de gestion des violations de données personnelles.
6.15 La Partie désignée pour la communication externe doit, avec l’aide des autres Parties, réaliser un rapport documenté d’incident résumant l’ensemble des informations (faits, effets, mesures prises) afin de permettre à l’autorité de contrôle compétente de vérifier la conformité des Parties à cette obligation le cas échéant.
6.16 En cas de doute sur le degré de risque, il revient à la Partie en charge de la communication externe de saisir l’autorité de contrôle compétente pour obtenir son assistance sur la question de savoir si une communication aux personnes concernées est nécessaire.
6.17 Dans l’hypothèse où les Parties ne se mettraient pas d’accord sur la désignation d’une personne en charge de la notification, chacun assumera son obligation pour son propre compte.
e. Coopération entre les Parties
6.18 Les autorités de contrôle compétentes en matière de protection des données personnelles peuvent effectuer des contrôles auprès de l’une ou l’autre des Parties aux fins de vérifier la conformité de ces dernières à la Réglementation sur les Données personnelles.
6.19 Dans le cas d’un contrôle, les Parties doivent
6.20 Les réponses seront apportées par chacune des Parties en fonction des demandes de l’autorité de contrôle, à moins que les Parties ne conviennent de désigner une seule des Parties en charge de centraliser les demandes et de communiquer les réponses, dans les limites permises par la Réglementation.
f. Gestion des litiges
6.21 Les Partenaires déclarent détenir toutes les informations nécessaires à la mise en œuvre des traitements de données personnelles dans le cadre de la réalisation des Prestations conformément à la Réglementation sur les Données personnelles ainsi qu’avoir obtenu toutes les autorisations nécessaires auprès de SwarmiZ.
6.22 Sans préjudice des dispositions de l’article 6.7, les Parties demeurent pleinement responsables auprès des personnes concernées des traitements des Données personnelles les concernant qu’elles réalisent en qualité de responsable de traitement et de responsable de traitement conjoint et, à ce titre, garantissent les autres Parties contre tout trouble, revendication, éviction et plus généralement toute action qui serait intentée à l’égard d’une autre Partie par une Personnes Concernée, y compris par une association de défense des consommateurs représentative au niveau national et agréée conformément aux dispositions de l’article L.623-1 et suivants du code de la consommation sur le fondement d'une violation de la Réglementation sur les Données Personnelles et dont la faute serait exclusivement imputable à la Partie appelée en garantie.
6.23 En cas de décision frappée d’exécution provisoire ou exécutoire de plein droit (tel qu’un référé), les stipulations précédentes seront également applicables, sous réserve de la décision de justice définitive qui sera rendue.
6.24 Cependant, SwarmiZ n'indemnisera la Partie demanderesse en aucune façon si les réclamations formulées par des tiers sont causées par :
6.25 Pour pouvoir bénéficier des garanties prévues au présent article, la Partie demanderesse doit :
6.26 Aucun accord transactionnel ne pourra intervenir sans l’accord de SwarmiZ.
g. Mise à disposition des grandes lignes de la présente Politique de Confidentialité aux personnes concernées par les Partenaires
6.27 Conformément aux dispositions de l’article 26 du RGPD, les Partenaires s’engagent à mettre à disposition des personnes concernées la Politique de Partage des Données en Annexe I, laquelle a pour objet de rappeler les grandes lignes de la présente Politique de Confidentialité, conformément à l’article 26 du RGPD.
7.1 SwarmiZ s’engage à traiter les données personnelles exclusivement aux fins d’exécution des Contrats et conformément aux instructions documentées du responsable de traitement. A ce sujet, les Parties déclarent et acceptent à titre de condition essentielle sans laquelle SwarmiZ n’aurait pas contacté que les instructions documentées sont constituées prioritairement des contrats souscrits entre les Parties, puis de la documentation opérationnelle, technique et commerciale de SwarmiZ, laquelle a été éprouvée et a justifié l’engagement de l’Annonceur, de l’Affilié et/ou de l’Exploitant de Bases de Données auprès de SwarmiZ et enfin, des échanges entre les Parties sous réserve d’une validation de l’instruction en cause tant par le responsable de traitement que par SwarmiZ.
7.2 Dans l’hypothèse où l’instruction en cause ne serait pas validée par SwarmiZ, le responsable de traitement s’engage à se concerter avec SwarmiZ et à prendre en compte ses observations et commentaires afin de lui proposer une nouvelle instruction étant de nature à répondre et correspondre aux pratiques juridique, commerciale et opérationnelle de SwarmiZ, et à défaut de justifier par écrit des écarts avec ces pratiques, et ce, jusqu’à validation de l’instruction documentée par SwarmiZ. A défaut d’une telle validation, les Parties se rapprocheront aux fins de fixer les modalités de mise en œuvre de cette instruction documentée et le montant de cette dernière. La réalisation de cette instruction documentée pourra, le cas échéant, faire l'objet d'un avenant au contrat entre le responsable de traitement et SwarmiZ et, à défaut, sera soumise au contrat existant.
7.3 SwarmiZ reconnaît présenter les garanties suffisantes, notamment en termes de connaissance, de fiabilité et de ressources pour la mise en œuvre des mesures techniques et organisationnelles satisfaisant aux obligations de la Règlementation sur les Données personnelles.
7.4 SwarmiZ garantit la confidentialité des données personnelles traitées pour le compte du responsable de traitement et veille à ce que les personnes autorisées à traiter lesdites données personnelles en vertu des Contrats s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité et reçoivent la formation nécessaire en matière de protection des données personnelles.
7.5 Il appartient au responsable de traitement de fournir l’information aux personnes concernées par les opérations de traitement au moment de la collecte des données personnelles. A ce titre, SwarmiZ s’engage à notifier l’Annonceur, dans les meilleurs délais, de toute demande exercée auprès de SwarmiZ par les personnes concernées relatives à l’exercice de leurs droits d’accès, de rectification, d’effacement et d’opposition, droit à la limitation du traitement, droit à la portabilité des données personnelles, droit de ne pas faire l’objet d’une décision individuelle automatisée (y compris le profilage).
Cette notification est transmise au responsable de traitement par courrier électronique à l’adresse indiquée au Bon de Commande.
SwarmiZ s’interdit de répondre à tout demande d’une personne concernée.
SwarmiZ s’engage sur devis préalablement accepté par le responsable de traitement à l’assister dans sa mise en conformité avec la Règlementation sur les Données Personnelles exclusivement pour les Données Personnelles concernées par les Contrats conclus avec le responsable de traitement. Cette assistance tient compte de la nature du traitement et des informations dont dispose SwarmiZ et comprend une assistance pour :
7.5 SwarmiZ s’engage, dans un délai minimum de vingt-quatre (24) heures à compter de la prise de connaissance d’une Violation de Données personnelles, à :
7.6 Au terme des Contrats, SwarmiZ s’engage à renvoyer toutes les données personnelles au responsable de traitement.
Le renvoi doit s’accompagner de la destruction de toutes les copies existantes dans les systèmes d’information de SwarmiZ à l’exception d’une copie de sauvegarde conservée par SwarmiZ en archivage intermédiaire pendant la durée nécessaire afin de lui permettre de respecter ses obligations légales et de se préserver une preuve dans l’hypothèse d’un contentieux. Une fois détruites, SwarmiZ doit justifier par écrit et sans délai de la destruction.
7.7 Lorsque SwarmiZ a recours à des prestataires externes pour la réalisation des Prestations conformément à l’article 3.1, celui-ci s’engage à imposer à ces sous-traitants ultérieurs les mêmes obligations en matière de protection des données que celles fixées dans la présente Politique de Confidentialité, en particulier de ce qui est de présenter des garanties suffisantes quant à la mise en œuvre des mesures techniques et opérationnelles appropriées.
Lorsque les sous-traitants ultérieurs ne remplissent pas leurs obligations en matière de protection des données, SwarmiZ demeure pleinement responsable devant le responsable de traitement de l'exécution par les sous-traitants ultérieurs de leurs obligations.
7.8 SwarmiZ met à la disposition du responsable de traitement la documentation nécessaire pour démontrer le respect de toutes ses obligations.
7.9 Conformément à la Réglementation sur les Données Personnelles, un audit unique est envisageable pendant la durée du Contrat, augmenté du nombre de faille(s) de sécurité qui serai(en)t identifiée(s) par le responsable de traitement après notification adressée à SwarmiZ par lettre recommandée avec avis de réception.
7.10 Tout audit souhaité par le responsable de traitement ne pourra être réalisé qu’après une concertation par le responsable de traitement et SwarmiZ portant sur :
7.11 Les Parties se réuniront à la suite dudit audit pour en tirer toutes les mesures adéquates.
7.12 Le cout d’un tel audit est exclusivement assumé par le responsable de traitement.