WHATSWHAT PRIME
Accord de traitement des données (DPA)
Conformément à l'Article 28 du RGPD
Le présent Accord de traitement des données (« DPA ») fait partie intégrante de l'Accord de licence entre :
WhatsWhat Global Ltd, constituée en Irlande (« Responsable du traitement »),
et
[Licensed Partner Legal Name], (« Sous-traitant »).
Date d'entrée en vigueur : 2026-03-08
Le présent DPA s'applique lorsque le Sous-traitant traite des données personnelles pour le compte du Responsable du traitement dans le cadre du Visibility Assessment™, du Visibility Ladder™, du Visibility Index™, ou des services connexes de l'écosystème Prime.
1. Rôles des parties
Aux fins du RGPD :
- WhatsWhat Global Ltd agit en tant que Responsable du traitement.
- Le Partenaire agréé agit en tant que Sous-traitant.
Le Sous-traitant ne doit traiter les données personnelles que sur instructions documentées du Responsable du traitement.
2. Objet du traitement
Le Sous-traitant peut traiter des données personnelles strictement pour :
- Administrer les Visibility Assessments
- Générer des rapports d'évaluation
- Gérer l'intégration des clients
- Exploiter les services Prime autorisés
- Communiquer avec les clients en relation avec les services sous licence
Aucun autre traitement n'est autorisé.
3. Catégories de personnes concernées
Les personnes concernées peuvent inclure :
- Propriétaires d'entreprises
- Dirigeants de sociétés
- Employés
- Utilisateurs de comptes
- Participants à la Marketplace
- Représentants professionnels
4. Catégories de données personnelles
Le traitement peut inclure :
- Nom
- Adresse courriel
- Numéro de téléphone
- Coordonnées professionnelles
- Intitulé de poste
- Données d'évaluation
- Informations de profil
- Données d'utilisation technique
Le Sous-traitant ne doit pas traiter de données de catégorie spéciale (Article 9 du RGPD) à moins d'y être expressément autorisé par écrit.
5. Durée du traitement
Le traitement se poursuivra :
- Pour la durée de l'Accord de licence
- Jusqu'à la résiliation de la licence
- Ou jusqu'à instruction écrite du Responsable du traitement
À la résiliation, les données personnelles doivent être supprimées ou retournées conformément à la Clause 11.
6. Obligations du Sous-traitant
Le Sous-traitant doit :
- Traiter les données uniquement sur instructions documentées
- S'assurer que le personnel est soumis à des obligations de confidentialité
- Mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées
- Ne pas engager un autre sous-traitant sans autorisation écrite préalable
- Assister le Responsable du traitement pour répondre aux demandes des personnes concernées
- Assister dans la conformité aux Articles 32–36 du RGPD (sécurité, notification de violations, analyses d'impact)
- Tenir des registres des activités de traitement
- Mettre des informations à disposition pour les audits
7. Mesures de sécurité
Le Sous-traitant doit mettre en œuvre :
- Contrôles d'accès
- Politiques de mots de passe sécurisés
- Transmission chiffrée (HTTPS)
- Stockage sécurisé
- Accès aux données basé sur les rôles
- Contrôles de sécurité des appareils
La sécurité doit refléter le niveau de risque.
8. Sous-traitants ultérieurs
Le Sous-traitant ne doit pas désigner de sous-traitants ultérieurs sans :
- Approbation écrite préalable du Responsable du traitement
- Garanties contractuelles contraignantes
- Conformité équivalente au RGPD
Le Sous-traitant reste entièrement responsable des actions des sous-traitants ultérieurs.
9. Transferts internationaux
Le Sous-traitant ne doit pas transférer de données personnelles en dehors de l'EEE à moins que :
- Des garanties appropriées existent
- Des Standard Contractual Clauses soient mises en œuvre
- Une approbation écrite soit obtenue
10. Droits des personnes concernées
Si le Sous-traitant reçoit une demande d'une personne concernée (ex. : accès, suppression), il doit :
- Notifier immédiatement le Responsable du traitement
- Ne pas répondre directement sauf si autorisé
- Fournir une assistance si nécessaire
11. Suppression ou retour des données
À la résiliation de l'Accord de licence :
- Le Sous-traitant doit supprimer ou retourner toutes les données personnelles
- Confirmer la suppression par écrit
- Conserver uniquement les données requises par la loi
12. Notification de violation de données
Le Sous-traitant doit :
- Notifier le Responsable du traitement dans les 48 heures suivant la découverte d'une violation de données personnelles
- Fournir les détails de la violation
- Coopérer à la remédiation
Le Sous-traitant ne doit pas notifier les autorités de contrôle sans coordination.
13. Droits d'audit
Le Responsable du traitement peut :
- Demander de la documentation
- Mener des audits de conformité à distance
- Exiger des preuves des mesures de sécurité
La fréquence des audits doit être raisonnable.
14. Responsabilité
Chaque partie sera responsable conformément au RGPD et à l'Accord de licence.
Le Sous-traitant indemnise le Responsable du traitement pour les pertes causées par :
- Non-conformité au RGPD
- Violation du présent DPA
- Traitement non autorisé
15. Droit applicable
Le présent DPA est régi par le droit irlandais. Les litiges sont soumis aux tribunaux irlandais.
16. Ordre de préséance
En cas de conflit entre le présent DPA et l'Accord de licence, le présent DPA prévaut en ce qui concerne les questions de protection des données.