Accord de traitement des données

1. Objet et parties

Le présent accord fixe les conditions dans lesquelles METASENSE, éditrice de la plateforme Playwiz, traite des données à caractère personnel pour le compte de l'organisation qui utilise la plateforme, au sens de l'article 28 du règlement (UE) 2016/679 (« le règlement »).

L'organisation est responsable du traitement : elle détermine les finalités et les moyens essentiels des traitements opérés au moyen de ses jeux. METASENSE est sous-traitant.

Il complète les conditions générales d'utilisation de la plateforme et, le cas échéant, les conditions générales de vente.

2. Description du traitement

3. Instructions documentées

METASENSE ne traite les données que sur instruction documentée de l'organisation, y compris en ce qui concerne les transferts vers un pays tiers ou une organisation internationale, à moins qu'elle ne soit tenue d'y procéder en vertu du droit de l'Union ou du droit d'un État membre auquel elle est soumise ; dans ce cas, elle informe l'organisation de cette obligation juridique avant le traitement, sauf si ce droit l'interdit pour des motifs importants d'intérêt public. Valent instructions : le présent accord, le paramétrage de ses projets dans la plateforme, et toute instruction écrite adressée à contact@playwiz.app.

METASENSE informe immédiatement l'organisation si une instruction lui paraît constituer une violation du règlement ou d'une autre disposition applicable.

METASENSE s'interdit tout traitement pour ses propres finalités, notamment à des fins d'analyse, de constitution de jeux de données ou d'entraînement de modèles algorithmiques.

4. Durées de conservation

L'organisation fixe les durées de conservation des données de ses participants. En acceptant le présent accord, elle adopte comme instructions les durées figurant en annexe, jusqu'à instruction contraire donnée par écrit ou, lorsque la plateforme le permet, dans ses paramètres.

Les purges automatiques des données de participation se déclenchent à la fin de chaque évènement, selon les durées ci-dessus.

5. Confidentialité

METASENSE veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale de confidentialité, et limite l'accès aux données à ce qui est nécessaire à l'exécution du service et au support.

6. Sécurité

METASENSE met en œuvre les mesures techniques et organisationnelles décrites à l'article 12 des conditions générales d'utilisation de la plateforme, conformément à l'article 32 du règlement. Ces mesures évoluent avec l'état de l'art sans diminuer le niveau de protection.

7. Sous-traitants ultérieurs

L'organisation donne à METASENSE une autorisation générale de recourir aux sous-traitants ultérieurs suivants :

METASENSE informe l'organisation, par courrier électronique et au moins trente jours à l'avance, de tout ajout ou remplacement d'un sous-traitant ultérieur. L'organisation peut s'y opposer pour un motif raisonnable lié à la protection des données ; à défaut d'accord, elle peut mettre fin à son utilisation de la plateforme, sans frais ; la part du prix correspondant à la période non exécutée lui est alors remboursée.

METASENSE impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent accord, et demeure responsable de leur exécution envers l'organisation.

8. Transferts hors de l'Union européenne

La base de données est stockée à Paris et les fonctions s'exécutent dans l'Union européenne. Des données sont toutefois transférées hors de l'Union : vers les États-Unis — envoi des courriers électroniques et, s'il est activé, des messages courts, journaux techniques et administration de l'hébergement — et vers les pays depuis lesquels les sous-traitants ultérieurs assurent leur assistance technique. Ces transferts reposent sur les clauses contractuelles types de la Commission européenne et, pour les prestataires américains qui y adhèrent, sur le cadre de protection des données UE–États-Unis. L'organisation donne instruction à METASENSE de procéder à ces transferts. Une copie des garanties est communiquée sur demande.

9. Droits des personnes

Les participants exercent leurs droits auprès de l'organisation. METASENSE met à sa disposition les outils d'export, de rectification et d'effacement de la plateforme, et lui transmet sans délai toute demande qu'elle recevrait directement, sans y répondre elle-même.

10. Violations de données

METASENSE notifie à l'organisation toute violation de données à caractère personnel dans les quarante-huit heures suivant le moment où elle en a pris connaissance, avec les informations dont elle dispose — nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements concernés, conséquences probables, mesures prises ou envisagées — puis les complète au fur et à mesure.

Il appartient à l'organisation, responsable du traitement, de notifier la violation à l'autorité de contrôle et, le cas échéant, aux personnes concernées. METASENSE l'y assiste.

11. Fin du traitement

Au terme de l'utilisation de la plateforme, l'organisation peut exporter ses données pendant trente jours, sans frais. Les données sont ensuite supprimées, ou supprimées plus tôt sur instruction écrite de l'organisation, dans un délai de cinq jours ouvrés. La suppression devient définitive dans les sauvegardes au terme d'une rotation glissante de sept jours.

METASENSE ne conserve aucune copie, sauf obligation légale.

12. Assistance et audit

METASENSE aide l'organisation à garantir le respect des obligations prévues aux articles 32 à 36 du règlement — sécurité, notification des violations, analyse d'impact, consultation de l'autorité de contrôle —, compte tenu de la nature du traitement et des informations dont elle dispose.

METASENSE met à la disposition de l'organisation, sur demande, les informations nécessaires pour démontrer le respect du présent accord. L'organisation peut faire réaliser un audit, une fois par an au plus, à ses frais, avec un préavis de trente jours, par un auditeur tenu au secret et qui ne soit pas un concurrent de METASENSE ; l'audit ne doit pas compromettre la sécurité ni la confidentialité des données des autres clients. La limite d'un audit par an et le préavis ne s'appliquent pas en cas de violation de données ou à la demande d'une autorité de contrôle.

13. Registre

METASENSE tient le registre des catégories d'activités de traitement effectuées pour le compte de ses clients, prévu à l'article 30.2 du règlement.

14. Articulation avec les autres documents

Lorsque l'organisation est liée à METASENSE par des documents contractuels négociés comportant un accord de traitement, cet accord prévaut sur le présent document.

La responsabilité de chaque partie est régie par le règlement et par les conditions générales de vente ou les documents contractuels négociés.

15. Cession

L'organisation consent par avance à la cession du présent accord par METASENSE à la société Playwiz SAS, ou à toute société qui reprendrait l'activité Playwiz. La cession produit effet à la date de sa notification à l'organisation (article 1216 du code civil).

16. Contact

contact@playwiz.app

Annexe — Durées de conservation par défaut

En acceptant le présent accord, l'organisation adopte les durées suivantes comme instructions, jusqu'à instruction contraire. Elles courent à compter de la fin de chaque évènement.