Addendum sur le traitement des données (DPA)

Date d'entrée en vigueur : 29 décembre 2025
Dernière mise à jour : 29 décembre 2025

Cet Addendum sur le traitement des données (« DPA ») fait partie de l'accord entre WebCreationSuite s.r.l. (« WCS », « Sous-traitant », « nous », « notre ») et l'entité client acceptant ce DPA (« Client », « Responsable du traitement », « vous ») (l'« Accord »), et s'applique dans la mesure où WCS traite les Données personnelles au nom du Client en relation avec les services WCS.

En cas de conflit entre le présent DPA et l'accord concernant le traitement des données personnelles, ce DPA prévaudra.

1. Parties

Sous-traitant : WebCreationSuite s.r.l.
Siège social : [●]
TVA/numéro fiscal : [●]
PEC : [●]

Responsable du traitement : L'entité juridique qui signe ou accepte l'accord et le présent DPA.
Les coordonnées du Responsable du traitement sont celles fournies par le client dans le compte, le formulaire de commande ou tout autre document.

Contact confidentialité / DPO (le cas échéant) : Antonio Marin — privacy@webcreationsuite.com

2. Définitions

Les termes commençant par une majuscule et non définis dans le présent DPA ont la signification qui leur est donnée dans le Contrat. Dans ce DPA :

« Lois sur la protection des données » désigne les lois et réglementations applicables en matière de protection des données et de confidentialité, y compris (le cas échéant) le RGPD, le RGPD du Royaume-Uni et les lois pertinentes des États américains sur la confidentialité.
« RGPD » désigne le Règlement (UE) 2016/679.
« UK GDPR » désigne le RGPD tel qu'incorporé dans la loi britannique.
« Données personnelles » désigne toute information traitée par WCS pour le compte du Client et relative à une personne physique identifiée ou identifiable.
« Traitement », « Responsable du traitement », « Sous-traitant », « Autorité de contrôle » ont la signification donnée par les lois applicables en matière de protection des données.
« Sous-traitant ultérieur » désigne tout sous-traitant ultérieur engagé par WCS pour traiter les données personnelles au nom du client.

3. Portée et rôles

3.1 Responsable du traitement et sous-traitant. Le Client est le Responsable du traitement des données personnelles traitées dans le cadre de l'utilisation des Services par le Client. WCS agit en tant que sous-traitant auprès du client pour ce traitement.

3.2 WCS en tant que responsable du traitement pour ses propres fins. WCS peut traiter certaines données en tant que responsable du traitement indépendant (par exemple, administration du compte, facturation, sécurité du service, prévention de la fraude et marketing auprès du client lorsque cela est autorisé). Ce DPA ne s’applique pas au traitement de WCS en tant que responsable du traitement indépendant.

3.3 Services couverts. Le présent DPA s'applique aux services de l'écosystème WCS fournis dans le cadre de l'accord, y compris (tels qu'actuellement disponibles) PrintFlow, Parcely et les fonctionnalités de base de myBusiness (gestion d'entreprise, équipes/utilisateurs, calendrier, chat, gestion de projet), ainsi que tous les modules supplémentaires publiés ultérieurement qui impliquent le traitement des données personnelles des clients.

4. Détails du traitement

L'objet, la durée, la nature et la finalité du traitement, les catégories de données personnelles et les catégories de personnes concernées sont décrits dans l'Annexe 1 (Détails du traitement).

5. Obligations du sous-traitant

5.1 Instructions documentées. WCS traitera les données personnelles uniquement sur instructions documentées du client, y compris en ce qui concerne les transferts de données personnelles vers un pays tiers, sauf si la loi applicable l'exige autrement. Si la loi exige que WCS traite les données en dehors des instructions du client, WCS informera le client de cette exigence légale, sauf interdiction légale.

5.2 Confidentialité. WCS veillera à ce que les personnes autorisées à traiter les données personnelles se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale de confidentialité appropriée.

5.3 Sécurité. WCS mettra en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles, comme décrit dans Annexe 2 (Mesures de sécurité).

5.4 Assistance en matière de protection des données. Compte tenu de la nature du traitement et des informations dont WCS dispose, WCS fournira une assistance raisonnable au client pour :

répondre aux demandes des Personnes Concernées (accès, suppression, etc.) ;
mener des analyses d'impact sur la protection des données (AIPD) et, le cas échéant, des consultations avec les autorités de contrôle.

5.5 Notification de violation. WCS informera le client sans délai injustifié après avoir pris connaissance d'une violation de données personnelles affectant les données personnelles du client, et fournira les informations disponibles raisonnablement nécessaires pour que le client puisse remplir ses obligations en vertu des lois sur la protection des données.

5.6 Suppression ou retour. À la résiliation ou à l'expiration du Contrat, et au choix du Client, WCS retournera ou supprimera les Données personnelles du Client, à moins que la loi applicable n'exige le stockage. Les détails et la méthode pratique sont décrits dans l'Annexe 1 et/ou dans l'Accord.

5.7 Audits et informations de conformité. WCS mettra à la disposition du client les informations raisonnablement nécessaires pour démontrer la conformité au présent DPA et permettra et contribuera aux audits, y compris les inspections, menés par le client ou un auditeur mandaté par le client, sous réserve de la section 10 (Conditions d'audit).

6. Obligations du client

Le client déclare et garantit que :

il dispose d'une base juridique valable pour collecter et fournir des données personnelles à WCS et pour demander à WCS de traiter ces données personnelles ;
il a fourni toutes les notifications requises et obtenu tous les consentements requis des personnes concernées ;
ses instructions à WCS sont conformes aux lois sur la protection des données ;
il ne fournira pas de catégories spéciales de données (données sensibles) ou de données réglementées (par exemple, données de santé, données de carte de paiement) à WCS, sauf accord explicite par écrit et que des garanties appropriées soient mises en œuvre.

7. Sous-traitants ultérieurs

7.1 Autorisation. Le client accorde à WCS une autorisation générale pour engager des sous-traitants ultérieurs pour le traitement des données personnelles du client.

7.2 Obligations des sous-traitants ultérieurs. WCS imposera aux sous-traitants ultérieurs des obligations de protection des données qui ne sont pas moins protectrices que celles du présent DPA pour le traitement concerné.

7.3 Modifications et objections. WCS maintiendra une liste à jour des sous-traitants ultérieurs dans Annexe 3 et/ou sur une page publique (si disponible). WCS informera les sous-traitants des changements importants. Si le Client a des motifs raisonnables de s'opposer, il peut s'y opposer par écrit ; les parties travailleront de bonne foi pour répondre à l’objection, notamment en proposant une solution alternative lorsque cela est possible. Si aucune solution réalisable n'existe, le Client peut résilier les Services concernés conformément au Contrat.

8. Transferts internationaux de données

8.1 Région d'hébergement. WCS a l'intention d'héberger l'infrastructure de service principale dans l'EEE/Europe ; cependant, les sous-traitants ultérieurs peuvent opérer à l’échelle mondiale.

8.2 Garanties de transfert. Lorsqu'un transfert de données personnelles vers un pays en dehors de l'EEE/Royaume-Uni nécessite un mécanisme de transfert en vertu des lois sur la protection des données, les parties s'appuieront sur un mécanisme approprié (par exemple, les SCC et/ou l'addendum du Royaume-Uni/les mécanismes de transfert du Royaume-Uni), le cas échéant.

9. Tenue de dossiers

Lorsque les lois sur la protection des données l'exigent, WCS conservera des enregistrements des activités de traitement effectuées au nom du client.

10. Conditions d'audit

10.1 Fréquence. Le Client ne peut pas effectuer un audit plus de une fois par période de 12 mois, sauf si (i) cela est requis par une Autorité de Contrôle, ou (ii) suite à une violation confirmée des Données Personnelles affectant le Client.

10.2 Portée et protections. Les audits seront :

limité aux informations pertinentes pour le traitement des données personnelles du client ;
effectués pendant les heures normales de bureau avec un préavis raisonnable (au moins 30 jours, sauf urgence) ;
soumis à des obligations et restrictions de confidentialité pour protéger la sécurité du WCS, les données des autres clients et les secrets commerciaux.

10.3 Frais. Le client supporte ses propres frais d'audit. Si un audit révèle une non-conformité importante de la part de WCS, WCS y remédiera rapidement et (le cas échéant) discutera d'une répartition raisonnable des coûts.

11. Responsabilité

La responsabilité en vertu du présent DPA est soumise aux limitations et exclusions de responsabilité énoncées dans le Contrat, sauf interdiction par la loi applicable.

12. Durée et résiliation

Ce DPA reste en vigueur pendant toute la durée du Contrat et aussi longtemps que WCS traite les Données personnelles du Client au nom du Client.

13. Ordre de préséance

En cas de conflit :

le présent DPA régit le traitement des données personnelles des clients ;
le Contrat régit toutes les autres conditions.

14. Contact

Questions sur ce DPA : privacy@webcreationsuite.com

Annexe 1 — Détails du traitement

A. Sujet

Fourniture de services WCS et de support associé, y compris l'hébergement, le stockage, la transmission, le traitement, l'affichage et la gestion du contenu et des données opérationnelles du Client.

B. Durée

Pour la durée du Contrat, plus toute période de conservation configurée par le Client et/ou requise par la loi applicable, comme décrit ci-dessous.

C. Nature et objet

WCS traite les données personnelles des clients pour :

fournir et exploiter les Services (notamment les modules PrintFlow, Parcely, myBusiness) ;
effectuer l'authentification et la gestion des comptes des utilisateurs du Client ;
fournir un support client et résoudre les problèmes ;
assurer la sécurité du service, prévenir les abus et tenir des journaux ;
activer les intégrations explicitement configurées par le Client.

D. Catégories de personnes concernées

Utilisateurs finaux des clients (employés, sous-traitants, membres de l'équipe)
Contacts/clients du client (lorsque le client télécharge ces données)
Les visiteurs du site Web interagissant avec les fonctionnalités contrôlées par le client (le cas échéant)

E. Types de données personnelles (typiques)

En fonction de l'utilisation et de la configuration du Client, les Données personnelles peuvent inclure :

Données d'identité/contact : nom, email, téléphone (si fourni), entreprise, fonction
Données de compte/d'authentification : identifiant utilisateur, informations d'identification hachées, jetons d'authentification
Données de support/helpdesk : contenu du ticket, messages, pièces jointes, métadonnées
Données de chat/projet : messages, titres/descriptions de tâches, métadonnées de projet, pièces jointes
Données opérationnelles PrintFlow/Parcely : métadonnées des tâches d'expédition/d'impression, adresses (si téléchargées), bons de livraison, étiquettes, pièces jointes
Données techniques : adresse IP, appareil/agent utilisateur, horodatages, journaux, diagnostics
Choix cookies/consentement : statut "wcs_consent" (si utilisé)

F. Catégories spéciales de données

Non destiné à être traité. Le client doit éviter de télécharger des catégories spéciales, sauf accord explicite par écrit avec des garanties supplémentaires.

G. Opérations de traitement

Collecte, enregistrement, organisation, structuration, stockage, adaptation, récupération, consultation, utilisation, divulgation par transmission, alignement, restriction, suppression et destruction.

H. Conservation et suppression/retour

Le Client peut demander la suppression/l'exportation comme pris en charge par les Services.
En cas de résiliation, WCS supprimera ou restituera les données personnelles du client dans un délai commercialement raisonnable, sauf si une conservation légale est requise.
Sauvegardes : les données peuvent persister dans les sauvegardes pendant une période limitée, après quoi elles sont écrasées selon le cycle de vie des sauvegardes WCS.

Annexe 2 — Mesures de sécurité (mesures techniques et organisationnelles)

WCS met en œuvre des mesures adaptées au risque, qui peuvent inclure :

A. Contrôles organisationnels

Politique de contrôle d'accès (moindre privilège), accès basé sur les rôles le cas échéant
Sensibilisation à la sécurité et obligations de confidentialité du personnel
Procédures de réponse aux incidents et voies d'escalade
Processus d'examen des fournisseurs/sous-traitants
Gestion du changement pour les systèmes de production (le cas échéant)

B. Contrôles techniques

Chiffrement en transit (TLS) pour les points de terminaison du service
Chiffrement au repos pour les systèmes de stockage pris en charge par l'infrastructure
Contrôles d'authentification (politique de mot de passe forte, MFA en option/si disponible)
Journalisation et surveillance des événements liés à la sécurité
Protection du réseau (pare-feu/protections WAF/CDN le cas échéant)
Segmentation entre les environnements (par exemple, production vs staging), le cas échéant
Procédures de sauvegarde et de restauration avec vérification périodique (le cas échéant)
Pratiques de gestion des vulnérabilités et de correctifs

C. Sécurité physique

Les contrôles de sécurité physique sont principalement assurés par les fournisseurs d'hébergement WCS et les opérateurs de centres de données.

WCS peut mettre à jour ces mesures au fil du temps, à condition que le niveau global de sécurité ne soit pas sensiblement réduit.

Annexe 3 — Sous-traitants ultérieurs (indicatif)

WCS peut engager les catégories suivantes de sous-traitants ultérieurs. Les détails exacts (nom de l'entité, objectif et région) peuvent être conservés sur une page de liste des sous-traitants et mis à jour de temps à autre.

| Sous-traitant ultérieur | Objectif | Lieu de traitement | |---|---|---| | Contabo | Hébergement cloud / calcul / stockage | Europe (EEE) | | Cloudflare | CDN, WAF/sécurité, performances | Global (la configuration peut acheminer globalement) | | bunny.net | CDN / performances | Mondial | | Qbox Mail | Envoi d'e-mails transactionnels et marketing | [●] | | Amazon Web Services (facultatif) | Composants de messagerie et/ou d'infrastructure (par exemple, SES) | [●] |

WCS fournira un avis des mises à jour importantes aux sous-traitants ultérieurs comme décrit à la section 7.

Annexe 4 — Addendum sur la confidentialité de l'État américain (CCPA/CPRA – Fournisseur de services/entrepreneur)

Si et dans la mesure où la California Consumer Privacy Act, telle que modifiée par la CPRA (« CCPA/CPRA »), s'applique et que le client est une « entreprise », alors pour les informations personnelles traitées au nom du client :

Rôle. WCS agit en tant que Fournisseur de services et/ou Entrepreneur du Client (le cas échéant) dans le but commercial limité de fournir les Services en vertu du Contrat.
Aucune vente/partage. WCS ne vendre ni partager les informations personnelles traitées au nom du client.
Utilisation limitée. WCS ne conservera, n'utilisera ou ne divulguera pas ces informations personnelles à des fins autres que l'exécution des services et les fins commerciales autorisées connexes spécifiées dans l'accord, sauf autorisation contraire de la CCPA/CPRA.
Aucune combinaison. WCS ne combinera pas les informations personnelles traitées au nom du client avec les informations personnelles reçues d'une autre personne/entité ou collectées lors de l'interaction de WCS avec les consommateurs, sauf dans la mesure permise par CCPA/CPRA.
Assistance. Sur demande raisonnable du Client, WCS aidera le Client à répondre aux demandes des consommateurs dans la mesure applicable au rôle de traitement de WCS.
Sous-traitants. WCS imposera des restrictions conformes au CCPA/CPRA aux sous-traitants qui traitent les informations personnelles au nom du client.

Cette annexe s’applique uniquement dans la mesure requise par le CCPA/CPRA et n’étend pas les obligations de WCS au-delà de ce qui est requis par la loi applicable.

Ultimo aggiornamento: 9/6/2026