Accord de traitement des données

La présente page est une traduction de référence en français de l'Accord de traitement des données (DPA) de GeneX, fournie à titre de commodité. La version anglaise originale est la seule version faisant autorité ; en cas de divergence, la version anglaise prévaudra.

Le présent Accord de traitement des données (« DPA ») fait partie intégrante des Conditions d'utilisation entre vous (« le Client ») et EASTAR ASSET MANAGEMENT LIMITED (« GeneX », « nous ») et s'applique lorsque GeneX traite des données personnelles pour votre compte dans le cadre des Services. En cas de conflit entre le présent DPA et les Conditions d'utilisation en matière de protection des données, le présent DPA prévaut.

1. Rôles des parties.

Pour les données personnelles contenues dans les Données Client (les conversations, contacts et contenus que vous traitez via les Services), vous êtes le responsable du traitement et GeneX est le sous-traitant, agissant uniquement sur vos instructions. Pour les données relatives à votre compte, à la facturation et aux visites du site web (telles que l'e-mail de votre compte, l'adresse IP et les paramètres d'attribution marketing), GeneX agit en tant que responsable indépendant au titre de notre Politique de confidentialité.

2. Détails du traitement.

• Objet : hébergement, transmission et traitement des Données Client via la plateforme GeneX.
• Finalités : fourniture, sécurisation et prise en charge des Services au titre des Conditions d'utilisation.
• Catégories de personnes concernées : vos clients et contacts (« Utilisateurs finaux »), vos membres du personnel (« Agents »).
• Catégories de données : identifiants de contact (noms, numéros de téléphone), contenus des messages et conversations, fichiers médias, métadonnées d'appareil et d'usage, et données de compte des Agents.
• Catégories particulières : vous ne devez pas soumettre de données personnelles de catégories particulières (santé, données biométriques, opinions politiques, convictions religieuses et similaires) via les Services sans notre accord écrit préalable.

3. Instructions de traitement.

Nous ne traitons les Données Client que pour fournir les Services, comme documenté dans les Conditions d'utilisation, le présent DPA et votre configuration produit. Nous vous informerons si nous estimons qu'une instruction enfreint le droit applicable en matière de protection des données.

4. Confidentialité.

Les membres de notre personnel qui traitent des Données Client sont soumis à des obligations de confidentialité et ne reçoivent un accès que strictement selon le principe du besoin d'en connaître.

5. Mesures de sécurité.

Nous mettons en œuvre des mesures techniques et organisationnelles incluant : le chiffrement des données en transit (TLS) et au repos ; le contrôle d'accès fondé sur les rôles et l'authentification multifacteur pour les accès administratifs ; la journalisation d'audit des actions administratives ; la troncature des adresses IP dans les enregistrements d'analytique et d'attribution marketing ; la suppression automatique des données de prospects non inscrits dans un délai de 90 jours ; les pratiques du moindre privilège et de développement sécurisé ; et des sauvegardes chiffrées. Nous pouvons mettre à jour ces mesures de temps à autre, mais sans en réduire substantiellement le niveau global de protection.

6. Sous-traitance ultérieure.

Vous nous donnez une autorisation écrite générale pour recourir à des sous-traitants ultérieurs. Nous tenons la liste à jour dans l'Annexe A et donnons un préavis d'au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur traitant des Données Client ; vous pouvez vous opposer pour des motifs raisonnables liés à la protection des données, auquel cas nous travaillerons avec vous de bonne foi et, si l'objection ne peut être résolue, vous pourrez résilier les Services concernés avec un remboursement au prorata des frais prépayés. Nous demeurons responsables de l'exécution de ces obligations par nos sous-traitants ultérieurs comme s'il s'agissait de la nôtre, et nous imposons à chacun d'eux des conditions de protection des données au moins aussi protectrices que le présent DPA.

7. Demandes des personnes concernées.

Si nous recevons une demande de l'un de vos Utilisateurs finaux ou Agents relative à ses données personnelles contenues dans les Données Client, nous vous en informerons (sauf interdiction légale) et, lorsque cela est possible, dirigerons la personne concernée vers vous. Nous fournissons des outils en libre-service pour l'accès, la rectification, l'export et la suppression, et apportons par ailleurs une assistance raisonnable à de telles demandes.

8. Violations de données personnelles.

Nous vous notifierons sans délai injustifié, et le cas échéant dans un délai de 72 heures, la prise de connaissance d'une violation de données personnelles affectant les Données Client, y compris ce que nous savons de la nature de la violation, les catégories et le nombre approximatif d'enregistrements et de personnes concernés, les conséquences probables, ainsi que les mesures prises ou envisagées. Nous prendrons des mesures raisonnables pour vous aider à remplir vos propres obligations de notification.

9. Transferts internationaux.

Nous hébergeons les Données Client et les données de compte sur des serveurs sécurisés à Singapour, avec des sauvegardes chiffrées. Singapour bénéficie de la décision d'adéquation de la Commission européenne. Lorsque des données personnelles sont transférées vers un prestataire situé hors de l'EEE, du Royaume-Uni ou de la Suisse (par exemple, notre prestataire de distribution d'e-mails aux États-Unis), les Clauses contractuelles types de l'UE (décision d'exécution (UE) 2021/914 de la Commission, module 2 lorsque vous êtes responsable du traitement et module 3 lorsque vous êtes sous-traitant) et, pour le Royaume-Uni, l'Addendum relatif aux transferts internationaux de données, s'appliquent et sont incorporés par référence. Nos mesures de sécurité visées à la Section 5, ainsi que les évaluations d'impact des transferts disponibles sur demande raisonnable, constituent des mesures supplémentaires.

10. Audits et certifications.

Nous maintenons des certifications délivrées par des tiers au niveau du groupe, notamment ISO/IEC 27001. Sur demande raisonnable et sous réserve de confidentialité, nous fournirons notre documentation de sécurité et les rapports d'audit applicables. Lorsque vos obligations au titre du droit applicable ne peuvent être satisfaites au moyen de cette documentation, nous conviendrons avec vous, à l'avance, d'une procédure d'audit.

11. Suppression et restitution des données.

Pendant votre abonnement, vous pouvez exporter les Données Client à l'aide des outils du produit. Après la résiliation ou l'expiration, vous disposez d'une fenêtre d'export de 30 jours ; passé ce délai, nous supprimons les Données Client dans un délai de 90 jours, à l'exception des sauvegardes, supprimées selon leur cycle de rotation habituel n'excédant pas 90 jours, et des données que nous devons conserver en vertu de la loi. Nous confirmerons la suppression sur demande.

12. Registres du traitement.

Nous tenons des registres de nos activités de traitement pour les Services, conformément à l'article 30, paragraphe 2, du RGPD, et mettons les informations pertinentes à votre disposition sur demande raisonnable.

13. Ordre de priorité.

En matière de protection des données : les Clauses contractuelles types (lorsqu'elles s'appliquent) prévalent sur le présent DPA, et le présent DPA prévaut sur les Conditions d'utilisation.

14. Contact.

Questions relatives à la protection des données : [email protected].

Annexe A. Sous-traitants ultérieurs.

Sous-traitants ultérieurs actuels susceptibles de traiter des données personnelles contenues dans les Données Client ou les données de compte (à la date d'entrée en vigueur du présent DPA) :

• Alibaba Cloud — infrastructure cloud (ECS) hébergeant nos systèmes de production. Lieu de traitement : Singapour. Conditions de traitement des données : Alibaba Cloud Data Processing Addendum (inclut les CCT de l'UE et l'Addendum britannique).
• Resend, Inc. — distribution d'e-mails transactionnels et de notification. Lieu de traitement : États-Unis. Conditions de traitement des données : Resend Data Processing Agreement (inclut les CCT de l'UE ; certifié SOC 2 Type II).

Prestataires de paiement. Nous utilisons des prestataires de paiement tiers pour traiter les paiements. Ces prestataires ne sont pas des sous-traitants ultérieurs des Données Client :

• Airwallex (Hong Kong) Limited — traitement des paiements. Airwallex agit en tant que responsable indépendant des données de compte du payeur et de transaction (à des fins de prévention de la fraude, de conformité et de réseau de paiement) et en tant que sous-traitant pour les données d'instruction et de facturation que nous fournissons, au titre de son Data Processing Addendum (double module : responsable-à-responsable et responsable-à-sous-traitant).
• PayPal — traitement des paiements. PayPal agit en tant que responsable indépendant des données du payeur, à ses propres fins de prévention de la fraude, de conformité et de réseau de paiement, comme indiqué dans son Data Protection Addendum for Payment Processing Products.

Notes. (i) Notre registrar de noms de domaine et fournisseur DNS (Namecheap) et notre autorité de certification TLS (Let's Encrypt) ne traitent pas de données personnelles d'utilisateurs finaux et ne sont mentionnés ici qu'à titre de transparence. (ii) Les composants principaux du service (bases de données, cache et service web) sont des logiciels open source auto-hébergés s'exécutant sur l'infrastructure ci-dessus. (iii) Les systèmes produit GeneX, y compris genex.eastarasset.com, sont exploités par EASTAR ASSET MANAGEMENT LIMITED elle-même et ne constituent pas des sous-traitants ultérieurs tiers. Si nous faisions jamais appel à une société du groupe ou à tout autre prestataire pour traiter des Données Client, celui-ci serait ajouté à la présente liste dans les mêmes conditions de préavis et de droit d'opposition que celles de la Section 6.

En vigueur le 13 octobre 2026 · EASTAR ASSET MANAGEMENT LIMITED