Accord de sous-traitance des données personnelles (RGPD) SMS Proxima

Article 1 — Objet et parties

Le présent Accord de sous-traitance des données personnelles (ci-après « l’Accord ») constitue une annexe aux Conditions Générales de Vente et d’Utilisation (CGVU) de SMS PROXIMA. Il définit les conditions dans lesquelles SMS PROXIMA traite des données à caractère personnel pour le compte de ses clients professionnels, conformément au règlement (UE) 2016/679 du 27 avril 2016 (RGPD), notamment son article 28.

Le Responsable du traitement : le CLIENT, tel qu’identifié dans son compte professionnel SMS PROXIMA ou dans un contrat particulier, sous réserve du cas prévu au dernier alinéa du présent article.
Le Sous-traitant : SMS PROXIMA, société par actions simplifiée à capital variable, immatriculée au RCS de Narbonne sous le numéro 828 166 108, dont le siège est situé au 14 bis place de l’Église, 11200 Boutenac, France.

L’Accord s’applique aux traitements effectués par SMS PROXIMA pour le compte du CLIENT dans le cadre des services souscrits. Les traitements pour lesquels SMS PROXIMA agit elle-même comme responsable du traitement, notamment pour la gestion administrative de ses propres clients, ne relèvent pas du présent Accord.

Lorsque le CLIENT agit lui-même en qualité de sous-traitant pour le compte d’un tiers responsable du traitement (notamment une agence, un prestataire ou un organisme intervenant pour le compte des établissements d’un réseau), il garantit disposer de l’autorisation écrite de ce responsable du traitement pour recourir à SMS PROXIMA, qui intervient alors en qualité de sous-traitant ultérieur. Le CLIENT répercute auprès du responsable du traitement les informations et engagements prévus par le présent Accord.

Article 2 — Nature et finalités des traitements

SMS PROXIMA est autorisée à effectuer, sur instructions documentées du CLIENT, les opérations nécessaires à la fourniture des services souscrits, notamment :

L’importation, l’enregistrement, l’organisation, la modification et la suppression de contacts.
La constitution et la gestion de listes de destinataires.
La préparation, la personnalisation, la programmation et l’envoi de messages SMS.
La gestion des campagnes automatisées, notamment anniversaires et notifications transactionnelles.
L’hébergement et le traitement des informations associées aux SMS enrichis et aux formulaires.
La gestion des désinscriptions, oppositions et listes d’exclusion.
Le suivi technique des envois et la production de rapports.
L’assistance technique et les opérations de maintenance nécessaires à l’exécution du service.

Ces traitements ont pour seules finalités la fourniture des services demandés, leur bon fonctionnement, leur sécurisation et le respect des obligations légales applicables. SMS PROXIMA ne commercialise pas les fichiers de contacts importés par ses clients et ne les utilise pas pour ses propres campagnes de prospection.

Les services complémentaires impliquant des traitements de nature différente peuvent faire l’objet de stipulations particulières.

Article 3 — Catégories de données et personnes concernées

Selon les services utilisés, les données traitées peuvent comprendre :

Les numéros de téléphone mobile.
Les noms, prénoms et autres informations d’identification.
Les dates d’anniversaire.
Les informations complémentaires importées par le CLIENT.
Le contenu des messages et les données nécessaires à leur personnalisation.
Les données relatives aux envois, à leur statut et aux demandes de désinscription.
Les réponses aux formulaires et les données techniques associées aux SMS enrichis, lorsque ces fonctionnalités sont utilisées.

Les personnes concernées sont les clients, prospects, collaborateurs, usagers ou autres destinataires définis par le CLIENT. Le CLIENT détermine les catégories effectivement utilisées en fonction de ses finalités. Les traitements portant sur des catégories particulières de données au sens de l’article 9 du RGPD nécessitent une évaluation et, le cas échéant, des garanties spécifiques convenues préalablement.

Article 4 — Obligations du Responsable du traitement

Le CLIENT demeure responsable des traitements de données personnelles qu’il réalise au moyen des services SMS PROXIMA. À ce titre, il lui appartient notamment :

De déterminer les finalités et les bases légales de ses traitements.
De garantir la licéité de la collecte et de l’utilisation de ses fichiers.
D’informer les personnes concernées conformément à la réglementation applicable.
De recueillir et conserver, lorsque cela est requis, la preuve du consentement des destinataires.
De respecter les demandes d’opposition, notamment en matière de prospection commerciale.
De définir les durées de conservation appropriées.
De répondre aux demandes d’exercice des droits des personnes concernées.
De veiller à ce que les données confiées à SMS PROXIMA soient adéquates, pertinentes et limitées aux finalités poursuivies.

Le CLIENT donne ses instructions documentées à SMS PROXIMA notamment par l’utilisation de la plateforme, de l’API, des paramètres de campagne et, le cas échéant, par tout échange écrit complémentaire.

Article 5 — Obligations de SMS PROXIMA

En sa qualité de sous-traitant, SMS PROXIMA s’engage à :

Traiter les données uniquement sur instructions documentées du CLIENT, sauf obligation légale contraire ; dans ce cas, SMS PROXIMA informe le CLIENT de cette obligation avant le traitement, sauf si la loi interdit cette information pour des motifs importants d’intérêt public.
Garantir la confidentialité des données confiées et veiller à ce que les personnes autorisées à les traiter s’engagent à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.
Mettre en œuvre les mesures techniques et organisationnelles appropriées aux risques.
Ne pas utiliser les données des destinataires pour ses propres finalités commerciales.
Assister le CLIENT, compte tenu de la nature du traitement, dans le traitement des demandes d’exercice des droits.
Coopérer avec le CLIENT en cas d’incident de sécurité ou de violation de données personnelles.
Mettre à disposition les informations nécessaires pour démontrer le respect de ses obligations contractuelles et réglementaires.
Informer le CLIENT si une instruction lui paraît constituer une violation du RGPD ou d’autres dispositions applicables en matière de protection des données.

SMS PROXIMA pourra refuser ou suspendre une instruction manifestement illicite, dans les conditions prévues par les CGVU et la réglementation applicable.

Article 6 — Confidentialité, sécurité et cloisonnement

SMS PROXIMA met en œuvre des mesures de sécurité appropriées à la nature des données traitées et aux risques présentés par les services, comprenant notamment :

La sécurisation des communications avec la plateforme.
Des mécanismes d’authentification et de contrôle des accès.
La séparation logique des données entre comptes clients.
La restriction des accès administratifs aux besoins autorisés.
La protection des infrastructures et la maintenance des composants logiciels.
Des procédures de sauvegarde, de restauration et de gestion des incidents.
Des mécanismes de gestion des oppositions et de prévention des envois non autorisés.

Le personnel habilité de SMS PROXIMA n’accède au compte du CLIENT et aux données qu’il contient que dans la mesure nécessaire à l’assistance demandée par le CLIENT, au contrôle de conformité des campagnes avant envoi, à la prévention des abus et à la maintenance du service. Ce personnel est soumis à une obligation de confidentialité.

Les modalités techniques peuvent évoluer afin de maintenir un niveau de protection adapté, sans réduire le niveau global de sécurité des traitements.

Article 7 — Hébergement et localisation des données

Les données de contacts, listes et campagnes hébergées sur la plateforme SMS PROXIMA sont stockées sur des infrastructures situées en France.

Pour permettre l’acheminement des SMS, les seules données nécessaires à cette opération sont transmises aux prestataires techniques et opérateurs de télécommunications concernés. En fonction de la destination des messages et des modalités d’interconnexion des réseaux, leur acheminement peut impliquer des traitements ou transits techniques en dehors du territoire français.

Certaines fonctionnalités optionnelles des landing pages, comme l’affichage d’une carte interactive, font appel à des services tiers susceptibles de recevoir des données techniques de connexion des visiteurs (adresse IP, navigateur), y compris hors de l’Union européenne. Elles sont signalées dans la documentation relative aux sous-traitants ultérieurs.

SMS PROXIMA respecte les obligations applicables aux éventuels transferts de données personnelles en dehors de l’Espace économique européen, notamment les dispositions du chapitre V du RGPD. Les lieux de traitement et les garanties applicables sont précisés dans la documentation relative aux sous-traitants ultérieurs, mise à disposition du CLIENT conformément à l’article 8.

Article 8 — Sous-traitants ultérieurs

Pour assurer la fourniture de ses services, SMS PROXIMA peut recourir à des prestataires techniques spécialisés, notamment pour l’hébergement des données, la maintenance des infrastructures et le routage technique des messages (agrégateurs SMS et opérateurs de télécommunications). Ces interventions sont limitées aux opérations nécessaires à l’exécution des services souscrits par le CLIENT.

Le CLIENT accorde à SMS PROXIMA une autorisation générale de recours à des sous-traitants ultérieurs dans les conditions prévues à l’article 28 du RGPD.

La liste nominative actualisée des sous-traitants ultérieurs, précisant leur identité, leurs missions, les données concernées et la localisation des traitements, fait l’objet d’un document distinct, communiqué au CLIENT sur simple demande écrite adressée à contact@sms-proxima.com, dans un délai de quarante-huit (48) heures ouvrées.

SMS PROXIMA informe les clients concernés par e-mail, au moins trente (30) jours à l’avance, de tout ajout ou remplacement envisagé d’un sous-traitant ultérieur. Le CLIENT peut formuler une objection motivée pendant ce délai. À défaut d’accord entre les parties, le CLIENT peut résilier les services concernés sans frais avant la prise d’effet du changement ; ses crédits non consommés lui sont alors remboursés au tarif d’acquisition.

Lorsque le remplacement est imposé par l’urgence (défaillance ou cessation d’activité d’un prestataire, impératif de sécurité), ce délai peut être réduit. Le CLIENT en est alors informé dans les meilleurs délais et conserve la même faculté de résiliation.

SMS PROXIMA impose à ses sous-traitants ultérieurs des obligations de protection des données offrant un niveau de garanties équivalent à celui prévu par le présent Accord, conformément à l’article 28, paragraphe 4, du RGPD. SMS PROXIMA demeure responsable envers le CLIENT de l’exécution des obligations confiées à ses sous-traitants ultérieurs.

La qualification juridique des opérateurs de télécommunications intervenant dans l’acheminement des messages est appréciée selon leur rôle effectif au regard du RGPD. Certains peuvent intervenir en qualité de responsables du traitement indépendants plutôt que de sous-traitants ultérieurs.

Article 9 — Violations de données personnelles

En cas de violation de données personnelles concernant des traitements réalisés pour le compte du CLIENT, SMS PROXIMA informe celui-ci dans les meilleurs délais et au plus tard quarante-huit (48) heures après en avoir pris connaissance. Cette information comprend, dans la mesure des éléments disponibles :

La nature de l’incident.
Les catégories de données concernées.
Les conséquences identifiées ou raisonnablement prévisibles.
Les mesures prises ou envisagées pour remédier à l’incident.

Lorsque toutes les informations ne sont pas immédiatement disponibles, elles peuvent être communiquées progressivement. SMS PROXIMA apporte au CLIENT l’assistance appropriée pour lui permettre de respecter ses propres obligations de notification et d’information.

Article 10 — Exercice des droits et assistance

Le CLIENT demeure l’interlocuteur principal des personnes concernées pour l’exercice de leurs droits d’accès, de rectification, d’effacement, d’opposition, de limitation et, le cas échéant, de portabilité.

SMS PROXIMA fournit au CLIENT, compte tenu de la nature des traitements et des informations dont elle dispose, une assistance appropriée pour répondre à ces demandes.

Lorsque SMS PROXIMA reçoit directement une demande relative aux données traitées pour le compte d’un CLIENT, elle l’oriente vers ce dernier ou lui transmet la demande, sauf obligation légale contraire.

SMS PROXIMA assiste également le CLIENT, dans la mesure applicable et compte tenu des informations dont elle dispose, pour ses obligations relatives à la sécurité, aux analyses d’impact et aux consultations préalables des autorités compétentes.

Article 11 — Durée de conservation, restitution et suppression

Les données personnelles sont traitées pendant la durée nécessaire à l’exécution des services souscrits et conformément aux instructions documentées du CLIENT.

Le CLIENT peut, dans les limites fonctionnelles du service, gérer, exporter ou supprimer ses données depuis son espace professionnel.

À la cessation définitive des services, SMS PROXIMA procède, au choix du CLIENT, à la restitution ou à la suppression des données personnelles actives traitées pour son compte, dans un délai de trente (30) jours suivant sa demande écrite, sauf obligation légale imposant leur conservation. La restitution s’effectue au moyen des exports disponibles dans l’espace professionnel du CLIENT ou, à défaut, sous la forme de fichiers dans un format courant.

Les copies résiduelles présentes dans les sauvegardes techniques ne sont pas utilisées pour les traitements courants ; elles sont supprimées au terme des cycles de renouvellement des sauvegardes, sauf obligation légale contraire. Les délais applicables sont précisés dans la politique de conservation, communiquée au CLIENT sur simple demande écrite. Les données devant être conservées pour satisfaire une obligation légale demeurent protégées et ne peuvent être utilisées à d’autres fins.

Article 12 — Contrôle et documentation

SMS PROXIMA met à disposition du CLIENT, sur demande raisonnable, les informations nécessaires pour démontrer le respect des obligations prévues par l’article 28 du RGPD.

Le CLIENT peut solliciter un audit ou une vérification appropriée, directement ou par l’intermédiaire d’un auditeur mandaté, selon des modalités convenues préalablement. Ces opérations sont organisées de façon proportionnée afin de préserver la confidentialité, la sécurité des systèmes et les données des autres clients, sans priver le CLIENT des droits prévus par l’article 28 du RGPD.

Sauf violation de données personnelles ou demande d’une autorité de contrôle, les audits sont limités à un (1) par année civile et notifiés par écrit au moins trente (30) jours à l’avance. Ils sont réalisés aux frais du CLIENT, pendant les heures ouvrées, par le CLIENT ou par un auditeur indépendant tenu au secret professionnel et non concurrent de SMS PROXIMA.

Article 13 — Comptes appartenant à un réseau ou à un groupement

Lorsqu’un CLIENT est rattaché à un réseau, une franchise, une centrale ou un groupement utilisant les fonctionnalités dédiées de SMS PROXIMA, ce rattachement n’emporte pas, à lui seul, un droit d’accès aux données personnelles du CLIENT par la tête de réseau.

En l’absence de stipulation particulière :

Chaque établissement conserve son propre compte et l’administration de ses contacts.
La tête de réseau peut financer les envois ou mettre à disposition des modèles de messages.
Les droits d’accès de la tête de réseau sont limités aux fonctionnalités de gestion réseau expressément prévues.
Aucune consultation des fichiers de contacts, des numéros des destinataires ou des listes d’envoi des établissements n’est autorisée à la tête de réseau.

Les informations de gestion mises à disposition de la tête de réseau peuvent comprendre des données de consommation agrégées par établissement et des statistiques agrégées des campagnes réalisées à partir de ses modèles (nombre de campagnes, d’envois, de remises et de désinscriptions), dans les limites des fonctionnalités contractuellement autorisées, sans identification des destinataires.

Lorsque les rôles, les finalités ou les droits d’accès diffèrent de ce fonctionnement, les parties peuvent conclure des conditions particulières complémentaires. La répartition des responsabilités RGPD est déterminée selon les décisions effectivement prises par chaque partie au sujet des finalités et des moyens des traitements.

Article 14 — Entrée en vigueur et articulation avec les CGVU

Le présent Accord fait partie intégrante des CGVU SMS PROXIMA. Il entre en vigueur à compter de son acceptation par le CLIENT, de sa signature ou de son incorporation valable à un contrat conclu entre les parties.

Il demeure applicable pendant la durée des traitements de données personnelles réalisés par SMS PROXIMA pour le compte du CLIENT.

En cas de contradiction entre les CGVU et le présent Accord concernant la protection des données personnelles traitées en sous-traitance, les stipulations du présent Accord prévalent.

Toute modification substantielle affectant les obligations de protection des données est notifiée aux clients concernés par e-mail au moins trente (30) jours avant son entrée en vigueur. Le CLIENT qui la refuse peut résilier les services sans frais avant cette date.

Contact pour les questions relatives à la protection des données : contact@sms-proxima.com.