Accord de traitement des données
Le présent accord est conclu le 1er décembre 2026 entre :
- Brightwater Analytics Ltd, dont le siège est situé 20 Harbour Street, Dublin D02 AB12, Irlande, contact privacy@brightwater.example (ci-après « le Client ») ; et
- CloudMail Services GmbH, dont le siège est situé Hauptstrasse 14, 10115 Berlin, Allemagne, contact dpo@cloudmail.example (ci-après « le Prestataire »).
Il fait partie de le Contrat de services de la plateforme e-mail du 3 mars 2026 (ci-après « le Contrat principal »). En cas de contradiction entre le présent accord et le Contrat principal sur le traitement des données à caractère personnel, le présent accord prévaut.
1. Définitions
Dans le présent accord, les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée » et « violation de données à caractère personnel » ont le sens qui leur est donné par les lois applicables en matière de protection des données ou, lorsque ces lois emploient d'autres termes pour les mêmes notions, le sens le plus proche. « Lois sur la protection des données » désigne toutes les lois relatives à la protection des données et à la vie privée applicables au traitement des Données à caractère personnel du Client au titre du présent accord, y compris celles qui s'appliquent à une partie en raison de la localisation des personnes concernées. « Données à caractère personnel du Client » désigne les données à caractère personnel que le Prestataire traite pour le Client au titre du Contrat principal. « Sous-traitant ultérieur » désigne un tiers que le Prestataire utilise pour traiter les Données à caractère personnel du Client.
2. Rôles et périmètre
2.1 Pour les Données à caractère personnel du Client, le Client est le responsable du traitement et le Prestataire est le sous-traitant. Si le Client est lui-même sous-traitant pour un autre responsable du traitement, il garantit qu'il dispose de l'autorité de ce responsable pour donner les instructions prévues au présent accord, et le Prestataire agit en qualité de sous-traitant ultérieur.
2.2 Chaque partie respecte les Lois sur la protection des données qui lui sont applicables.
2.3 Le Client est responsable de disposer d'une base licite pour le traitement, de fournir aux personnes concernées les informations exigées par les Lois sur la protection des données, ainsi que de l'exactitude et de la licéité des données à caractère personnel qu'il communique au Prestataire.
3. Détails du traitement
3.1 Objet et finalité. Le Prestataire ne traite les Données à caractère personnel du Client que pour fournir les services au titre du Contrat principal, de la manière suivante :
Envoie et stocke les e-mails marketing et de service du client, et enregistre les ouvertures et les clics, afin de fournir la plateforme e-mail.
3.2 Durée. Le traitement dure pendant toute la durée du contrat principal, plus le temps nécessaire pour restituer ou supprimer les données.
3.3 Types de données à caractère personnel :
Noms, adresses e-mail, noms d'entreprises et enregistrements des e-mails envoyés, ouverts et cliqués.
3.4 Catégories de personnes concernées : les clients, prospects et abonnés à la newsletter du client.
3.5 Données à caractère personnel sensibles traitées : informations de santé que les patients écrivent dans les messages de prise de rendez-vous.
3.6 Lieu du traitement. Le Prestataire traite et stocke les Données à caractère personnel du Client dans des centres de données à Francfort, en Allemagne.
3.7 Le Client ne communique au Prestataire aucun autre type de données à caractère personnel, ni de données à caractère personnel sensibles non énumérées ci-dessus, sans l'accord écrit du Prestataire.
4. Instructions du Client
4.1 Le Prestataire ne traite les Données à caractère personnel du Client que sur les instructions documentées du Client, à savoir le présent accord, le Contrat principal et l'utilisation et les paramètres des services par le Client, sauf si une loi applicable au Prestataire en dispose autrement. Dans ce cas, le Prestataire en informe le Client avant le traitement, sauf si cette loi l'interdit.
4.2 Le Prestataire informe immédiatement le Client s'il estime qu'une instruction enfreint les Lois sur la protection des données. Il peut suspendre l'instruction jusqu'à ce que le Client la confirme ou la modifie.
4.3 Le Prestataire n'utilise pas les Données à caractère personnel du Client à ses propres fins, ne les vend pas et ne les combine pas avec des données provenant d'autres sources, sauf dans la mesure où les Lois sur la protection des données le permettent pour ses propres obligations légales.