Accord de traitement des données
Le présent Accord de traitement des données régit les traitements effectués par BuildHype pour le compte de ses clients dans le cadre de la fourniture des services.
1. Objet et champ d’application
Le présent Accord de traitement des données (« DPA ») complète les Conditions de service de BuildHype lorsque Schermo 33 S.r.l. traite des données à caractère personnel pour le compte d’un client dans le cadre de la fourniture des services BuildHype.
En cas de conflit entre le présent DPA et les Conditions de service concernant le traitement de données à caractère personnel pour le compte du client, le présent DPA prévaut.
2. Parties et rôles en matière de protection des données
Le client détermine les finalités et les moyens essentiels du traitement des données à caractère personnel saisies, collectées ou gérées via BuildHype et agit normalement en qualité de responsable du traitement.
Schermo 33 S.r.l., Via Prisciano 72, 00136 Rome (RM), Italie, n° de TVA IT08373631004, agit en qualité de sous-traitant dans la mesure où elle traite ces données exclusivement pour le compte du client.
Lorsque Schermo 33 S.r.l. traite des données pour ses propres finalités, notamment la gestion des comptes, la facturation, la sécurité, le respect des obligations légales ou les relations commerciales directes, ces traitements sont régis par la Politique de confidentialité de BuildHype.
3. Traitement sur instruction du client
BuildHype traite les données à caractère personnel exclusivement sur la base des instructions documentées du client, y compris celles découlant de l’utilisation et de la configuration du service, sauf lorsqu’une obligation légale impose un traitement différent.
Le client est responsable de la licéité de ses instructions, de la base juridique du traitement, des informations fournies aux personnes concernées et de l’exactitude des données saisies dans la plateforme.
BuildHype informe le client s’il estime qu’une instruction enfreint la législation applicable en matière de protection des données, dans la mesure permise par la loi.
4. Confidentialité
Les personnes autorisées par BuildHype à traiter des données à caractère personnel sont soumises à des obligations de confidentialité appropriées et ne peuvent accéder aux données que dans la mesure nécessaire à l’exercice de leurs fonctions respectives.
5. Sécurité du traitement
BuildHype met en œuvre des mesures techniques et organisationnelles adaptées au risque, en tenant compte de la nature des données, du contexte du traitement, de l’état de l’art et des risques pour les droits et libertés des personnes physiques.
Ces mesures peuvent inclure des contrôles d’accès, la gestion des identifiants, la protection des communications, la séparation logique des données des clients, la journalisation, les sauvegardes, la mise à jour des systèmes et des mesures visant à garantir la confidentialité, l’intégrité et la disponibilité du service.
6. Sous-traitants ultérieurs
Le client autorise BuildHype à recourir à des sous-traitants ultérieurs lorsque cela est nécessaire à la fourniture du service. BuildHype impose à ces sous-traitants des obligations de protection des données cohérentes avec celles applicables aux traitements qui leur sont confiés.
Selon les fonctionnalités du service utilisées par le client, BuildHype peut recourir à des prestataires externes qui traitent des données à caractère personnel pour le compte de Schermo 33 S.r.l.
- Aruba, pour l’hébergement, l’infrastructure et le fonctionnement technique de la plateforme, dans la mesure où ces services impliquent un traitement de données à caractère personnel pour le compte de BuildHype.
- DeepSeek, pour le traitement des demandes soumises aux fonctionnalités d’assistance IA lorsque celles-ci sont utilisées.
- SerpApi, lorsqu’une fonctionnalité IA autorisée nécessite l’accès à des résultats ou à des informations disponibles sur le web.
- tout prestataire de services de messagerie, de sécurité, de sauvegarde ou d’infrastructure technique utilisé par BuildHype pour fournir le service.
D’autres services, notamment Stripe, Google, Microsoft, Apple, Shopify et les autres plateformes e-commerce intégrées, peuvent agir en qualité de responsables de traitement indépendants, de sous-traitants ou selon d’autres rôles en fonction du traitement concerné et de la relation établie directement avec le client.
BuildHype tient à jour l’organisation de ses sous-traitants ultérieurs et impose aux parties qui traitent des données pour son compte des obligations de protection des données cohérentes avec le présent DPA.
7. Transferts internationaux
Lorsque le traitement implique le transfert de données à caractère personnel en dehors de l’Espace économique européen vers un pays ne bénéficiant pas d’une décision d’adéquation, BuildHype utilise un mécanisme de transfert valide au regard de la législation applicable, notamment, lorsque cela est pertinent, les Clauses Contractuelles Types approuvées par la Commission européenne.
BuildHype exige de ses sous-traitants ultérieurs qu’ils adoptent des garanties équivalentes lorsqu’ils effectuent des transferts internationaux soumis à ces exigences.
8. Demandes des personnes concernées
Compte tenu de la nature du traitement, BuildHype aide le client, dans la mesure raisonnablement possible, à répondre aux demandes des personnes concernées visant à exercer les droits prévus par la législation applicable.
Si BuildHype reçoit directement une demande concernant des données traitées exclusivement pour le compte du client, BuildHype peut orienter la personne concernée vers le client, sauf obligation légale contraire.
9. Violations de données à caractère personnel
En cas de violation de données à caractère personnel concernant des données traitées pour le compte du client, BuildHype informe le client sans retard injustifié après en avoir pris connaissance et lui fournit les informations raisonnablement disponibles nécessaires au respect des obligations de notification applicables.
10. Assistance relative aux obligations du client
Compte tenu de la nature du traitement et des informations disponibles, BuildHype apporte au client une assistance raisonnable concernant les obligations applicables en matière de sécurité, de notification des violations, d’analyses d’impact relatives à la protection des données et de consultations préalables des autorités de contrôle.
11. Restitution et suppression des données
À la cessation des services, à la demande du client et sous réserve des obligations légales de conservation, BuildHype supprime ou rend inaccessibles les données à caractère personnel traitées pour le compte du client conformément aux procédures techniques et dans le délai raisonnablement nécessaire pour achever la suppression, y compris les éventuels cycles de sauvegarde.
Sauf obligation légale ou instruction documentée du client imposant le contraire, les données à caractère personnel traitées pour le compte du client sont normalement supprimées ou rendues inaccessibles dans un délai de 90 jours suivant la cessation du service. Les éventuelles copies résiduelles présentes dans les sauvegardes sont supprimées selon les cycles normaux de rotation des sauvegardes.
12. Informations et audits
BuildHype met à la disposition du client les informations raisonnablement nécessaires pour démontrer le respect des obligations applicables à un sous-traitant.
Tout audit ou contrôle demandé par le client doit être proportionné, convenu à l’avance, réalisé sans compromettre la sécurité, la confidentialité ou les données d’autres clients et, lorsque cela est approprié, s’appuyer en priorité sur la documentation et les évaluations déjà disponibles.
13. Responsabilités des parties
Chaque partie est responsable du respect des obligations que la législation applicable attribue à son rôle. Le client est responsable des données qu’il choisit de traiter via BuildHype, des finalités poursuivies et des instructions qu’il fournit.
Les limitations de responsabilité prévues dans les Conditions de service s’appliquent également au présent DPA dans la mesure permise par la législation sur la protection des données.
14. Durée
Le présent DPA reste en vigueur aussi longtemps que BuildHype traite des données à caractère personnel pour le compte du client et continue de s’appliquer, pour les obligations concernées, jusqu’à ce que ces données aient été supprimées ou restituées.
Annexe 1 — Détails du traitement
| Objet | Fourniture de la plateforme BuildHype et des fonctionnalités configurées par le client. |
|---|---|
| Durée | Pendant la durée de la relation contractuelle et toute période ultérieure nécessaire à la suppression ou à la conservation imposée par la loi. |
| Nature du traitement | Collecte, enregistrement, organisation, conservation, consultation, utilisation, transmission technique, modification, extraction, suppression et autres opérations nécessaires à la fourniture du service. |
| Finalité | Fournir les configurateurs, l’éditeur, les comptes, les intégrations e-commerce, l’assistance IA et les autres fonctionnalités BuildHype demandées par le client. |
| Personnes concernées | Utilisateurs et collaborateurs du client, clients finaux de la boutique et autres personnes dont les données sont saisies ou traitées par le client via BuildHype. |
| Catégories de données | Données d’identification et de contact, notamment le nom, l’adresse e-mail et le numéro de téléphone ; données de compte ; données techniques telles que l’adresse IP, l’agent utilisateur et l’origine de la demande ; données relatives aux configurations de produits, aux demandes de devis, aux notes et aux contenus fournis par le client ou ses utilisateurs finaux ; ainsi que toute autre donnée à caractère personnel que le client choisit de traiter via le service. |
| Catégories particulières de données | BuildHype n’est pas conçu pour demander des catégories particulières de données à caractère personnel au sens de l’article 9 du RGPD. Le client ne doit pas saisir de telles données sauf si cela est strictement nécessaire, repose sur une base juridique valable et fait l’objet d’un accord spécifique. |
Annexe 2 — Mesures techniques et organisationnelles
Selon le service et le niveau de risque, BuildHype applique des mesures raisonnables pouvant notamment comprendre :
- des contrôles d’authentification et d’autorisation ;
- l’application du principe du moindre privilège pour les comptes administratifs ;
- la protection des identifiants et des secrets applicatifs ;
- la séparation logique des données des clients ;
- la protection des communications au moyen de protocoles sécurisés ;
- la journalisation et la surveillance des événements techniques et de sécurité ;
- des procédures appropriées de sauvegarde et de restauration ;
- la mise à jour et la maintenance des composants logiciels ;
- des procédures de gestion des incidents de sécurité ;
- l’évaluation des prestataires qui traitent des données à caractère personnel pour le compte de BuildHype.
15. Contact
Pour toute demande relative au présent DPA : info@buildhypeapp.com.
Le présent DPA doit être lu conjointement avec les Conditions of Service et la Confidentialité Policy de BuildHype.
