Accord de traitement des données

Le présent Accord de traitement des données (« DPA » ou « Avenant »), y compris les Clauses contractuelles types (telles que définies ci-dessous) annexées aux présentes (collectivement, le « DPA »), est conclu à compter de la date d'entrée en vigueur (la « Date d'entrée en vigueur ») de l'acceptation par le client concerné (le « Client ») des Conditions d'utilisation entre Zenovay (la « Société » ou « Zenovay ») et le Client auquel ce DPA est joint et incorporé (l'« Accord »). Tous les termes en majuscules non autrement définis dans ce DPA auront la signification qui leur est donnée dans l'Accord.

Cet Avenant deviendra juridiquement contraignant à compter de la conclusion de l'Accord par le Client ou de la signature de cet Avenant.

1. Définitions

Pour les besoins de ce DPA, les termes suivants ont les significations définies ci-dessous :

• « Affilié » désigne (i) une entité dont une partie détient directement ou indirectement cinquante pour cent (50 %) ou plus du capital ou des participations, (ii) une entité qui détient au moins cinquante pour cent (50 %) ou plus du capital ou des participations d'une partie, ou (iii) une entité qui est sous contrôle commun avec une partie en ayant au moins cinquante pour cent (50 %) ou plus du capital ou des participations de cette entité et d'une partie détenus par la même personne, mais cette entité ne sera considérée comme un Affilié que tant que cette propriété existe.
• « Personne concernée » désigne une personne physique identifiée ou identifiable dont les Informations personnelles sont protégées par les Lois sur la protection des données applicables, et inclut un « consommateur » tel que ce terme est défini dans le CCPA ainsi que les termes équivalents d'autres Lois sur la protection des données applicables.
• « Données client » désigne tout contenu, donnée, information ou autre matériel (y compris les informations personnelles) que le Client, les utilisateurs finaux ou les Affiliés du Client soumettent, ou qui sont collectés par les Services pour traitement par Zenovay dans le cadre des Services.
• « EEE » désigne l'Espace économique européen.
• « Lois sur la protection des données » désigne l'ensemble des lois et réglementations relatives à la vie privée et à la protection des données applicables au Traitement des Informations personnelles dans le cadre de l'Accord, y compris, lorsque et dans la mesure où elles s'appliquent : le Règlement (UE) 2016/679 (RGPD) et ses lois nationales de mise en œuvre ; le UK GDPR et le Data Protection Act 2018 ; la Directive 2002/58/CE (ePrivacy) telle que transposée au niveau national ; la loi fédérale suisse sur la protection des données du 25 septembre 2020 (nLPD/revDSG, en vigueur depuis le 1er septembre 2023) et son ordonnance ; ainsi que les lois applicables des États des États-Unis en matière de vie privée, y compris le California Consumer Privacy Act tel que modifié (CCPA). Les références faites dans le présent DPA à une disposition de l'une de ces lois s'entendent, à l'égard d'une Personne concernée protégée par une autre d'entre elles, comme des références à la disposition fonctionnellement équivalente de cette autre loi.
• « Informations personnelles » ou « Données personnelles » désigne les informations qui identifient, sont liées à, décrivent, sont raisonnablement susceptibles d'être associées à, ou pourraient raisonnablement être reliées, directement ou indirectement, à une personne concernée particulière. Les informations personnelles comprennent les informations considérées comme des « données personnelles », des « informations personnellement identifiables » ou des termes similaires tels que définis par les lois applicables sur la protection des données.
• « Traitement » désigne toute opération ou ensemble d'opérations effectuées sur des informations personnelles, que ce soit ou non par des moyens automatisés, telles que la collecte, l'enregistrement, l'organisation, la structuration, le stockage, l'adaptation, la récupération, la consultation, l'utilisation, la divulgation, la diffusion, la restriction, l'effacement ou la destruction.
• « Clauses contractuelles types » ou « CCT » désigne les clauses contractuelles types pour le transfert de données personnelles vers des sous-traitants établis dans des pays tiers approuvées par la Décision de la Commission européenne 2021/914 du 4 juin 2021.
• « Sous-traitant ultérieur » désigne tout sous-traitant tiers engagé par Zenovay ou ses Affiliés pour traiter des informations personnelles pour le compte du Client dans le cadre de l'Accord.

2. Relation des parties ; Traitement des données

2.1 Rôles et étendue du traitement

Les parties reconnaissent et conviennent que, en ce qui concerne le traitement des informations personnelles, le Client est le responsable du traitement des données (ou « entreprise » au sens du CCPA) et Zenovay est le sous-traitant des données (ou « prestataire de services » au sens du CCPA). Le Client devra, dans son utilisation des Services, traiter les informations personnelles conformément aux exigences des lois applicables sur la protection des données. Les instructions du Client pour le traitement des informations personnelles devront être conformes aux lois applicables sur la protection des données. Le Client est seul responsable de l'exactitude, de la qualité et de la légalité des informations personnelles et des moyens par lesquels le Client a acquis ces informations personnelles.

2.2 Instructions de traitement du Client

En concluant ce DPA, le Client charge Zenovay de traiter les informations personnelles uniquement conformément à la loi applicable : (a) pour fournir les Services et le support technique associé ; (b) comme spécifié davantage par l'utilisation par le Client des Services (y compris via le tableau de bord, l'API ou d'autres interfaces) ; (c) comme documenté dans l'Accord, y compris ce DPA ; et (d) comme documenté davantage dans toute autre instruction écrite donnée par le Client et reconnue par Zenovay comme constituant des instructions aux fins de ce DPA.

2.3 Conformité de Zenovay aux instructions

Zenovay ne traitera les informations personnelles que conformément aux instructions documentées du Client, sauf si le traitement est requis par les lois applicables auxquelles Zenovay est soumise, auquel cas Zenovay informera le Client de cette exigence légale avant le traitement, sauf si cette loi interdit une telle information pour des raisons importantes d'intérêt public.

2.4 Détails du traitement

L'objet, la nature, la finalité, la durée et les types d'informations personnelles et les catégories de personnes concernées traités dans le cadre de ce DPA sont décrits à l'Annexe A (Détails du traitement) ci-jointe.

3. Confidentialité

Zenovay s'assurera que toute personne autorisée à traiter des informations personnelles en son nom est soumise à une obligation de confidentialité, que ce soit par contrat ou obligation légale.

4. Sécurité

4.1 Mesures de sécurité

Compte tenu de l'état de la technique, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques de probabilité et de gravité variables pour les droits et libertés des personnes physiques, Zenovay mettra en œuvre et maintiendra des mesures techniques et organisationnelles appropriées pour protéger les informations personnelles contre les incidents de sécurité (tels que définis ci-dessous) et pour préserver la sécurité et la confidentialité des informations personnelles, comme décrit à l'Annexe B (Mesures de sécurité) ci-jointe.

4.2 Notification d'incident de sécurité

« Incident de sécurité » désigne une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée d'Informations personnelles Traitées par Zenovay au titre du présent DPA, ou l'accès non autorisé à celles-ci. Cela n'inclut pas les tentatives infructueuses ni les activités qui ne compromettent pas la sécurité des Informations personnelles, telles que les pings, les balayages de ports, les échecs de connexion, les attaques par déni de service ou l'analyse de paquets sur l'infrastructure réseau. Zenovay notifiera le Client sans délai injustifié, et en tout état de cause dans les soixante-douze (72) heures, après avoir pris connaissance d'un Incident de sécurité. Zenovay est un sous-traitant et ne notifie pas les autorités de contrôle ni les Personnes concernées pour le compte du Client ; le Client, en qualité de responsable du traitement, demeure responsable de toute notification de ce type et de la détermination de son caractère requis. La notification de Zenovay ne constitue pas, et ne saurait être interprétée comme, une reconnaissance de faute ou de responsabilité. Cette notification devra, dans la mesure où l'information est alors disponible pour Zenovay :

• Décrire la nature de l'incident de sécurité, y compris les catégories et le nombre approximatif de personnes concernées et d'enregistrements d'informations personnelles concernés
• Communiquer les coordonnées du contact protection des données désigné par Zenovay ([email protected]) auprès duquel des informations supplémentaires peuvent être obtenues
• Décrire les conséquences probables de l'incident de sécurité
• Décrire les mesures prises ou envisagées pour remédier à l'incident de sécurité et en atténuer les effets négatifs possibles

5. Sous-traitants ultérieurs

5.1 Sous-traitants ultérieurs autorisés

Le Client reconnaît et accepte que Zenovay puisse engager des sous-traitants ultérieurs pour traiter des informations personnelles pour le compte du Client. La liste actuelle des sous-traitants ultérieurs est disponible sur zenovay.com/legal/subprocessors.

5.2 Obligations des sous-traitants ultérieurs

Zenovay devra :

• Conclure un accord écrit avec chaque sous-traitant ultérieur imposant des obligations de protection des données substantiellement similaires à celles imposées à Zenovay dans le cadre de ce DPA
• Rester pleinement responsable envers le Client de l'exécution des obligations de chaque sous-traitant ultérieur
• Sélectionner des Sous-traitants ultérieurs présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, en tenant compte de la nature du Traitement qui leur est confié, et tenir à jour en conséquence le registre publié des Sous-traitants ultérieurs

5.3 Modifications des sous-traitants ultérieurs

Zenovay fournira au Client un préavis écrit d'au moins 30 jours avant l'ajout de tout nouveau sous-traitant ultérieur. Le Client peut s'opposer à l'utilisation par Zenovay d'un nouveau sous-traitant ultérieur en notifiant Zenovay par écrit dans les 10 jours suivant la réception de l'avis de Zenovay, à condition que cette opposition soit fondée sur des motifs raisonnables liés à la protection des données. Si le Client s'oppose raisonnablement à un nouveau sous-traitant ultérieur et que Zenovay ne peut pas fournir une alternative commercialement raisonnable, le Client peut résilier les Services concernés en fournissant un avis écrit à Zenovay.

6. Droits des personnes concernées

Zenovay devra, dans la mesure permise par la loi et dans le cadre de son rôle de sous-traitant, notifier rapidement le Client si Zenovay reçoit une demande d'une personne concernée pour l'accès, la correction, la modification ou la suppression de ses informations personnelles. Zenovay devra, compte tenu de la nature du traitement, aider le Client par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, pour l'exécution des obligations du Client de répondre aux demandes d'exercice des droits des personnes concernées en vertu des lois sur la protection des données, y compris le droit d'accès, de rectification, d'effacement, de limitation du traitement, de portabilité des données et d'opposition au traitement.

7. Retour et suppression des données

7.1 Périodes de conservation des données

Les informations personnelles sont conservées selon le plan d'abonnement du Client :

• Plan gratuit : 1 an (365 jours)
• Plan Pro : 2 ans (730 jours)
• Plan Scale : 4 ans (1 460 jours)
• Plan Entreprise : Période de conservation personnalisée telle que convenue dans le Bon de commande applicable

7.2 Expiration de la conservation : masquage, délai de grâce, suppression

Lorsque des Informations personnelles dépassent la période de conservation applicable au plan du Client, elles passent par trois étapes avant d'être supprimées :

• Phase 1 - Masquage temporaire : Les informations personnelles plus anciennes que la période de conservation sont marquées comme masquées et exclues des requêtes d'analyse du Client. Les données restent dans les systèmes de Zenovay mais ne sont pas accessibles via les Services.
• Phase 2 - Période de grâce : Le Client est informé par e-mail que des données ont été masquées. Une période de grâce de 30 jours commence, pendant laquelle le Client peut passer à un plan supérieur pour récupérer les données masquées.
• Phase 3 - Suppression définitive : Après l'expiration de la période de grâce de 30 jours, les informations personnelles masquées sont définitivement supprimées à l'aide de méthodes de suppression sécurisées.

7.3 Récupération des données

Si le Client passe à un plan avec une période de conservation plus longue pendant la période de grâce, Zenovay récupérera automatiquement (démasquera) les informations personnelles qui entrent dans la nouvelle période de conservation. Les données définitivement supprimées ne peuvent pas être récupérées.

7.4 Suppression lors de la résiliation

Lors de la résiliation ou de l'expiration de l'Accord, le Client peut, dans un délai de trente (30) jours, indiquer par écrit que Zenovay (a) mette les Informations personnelles à disposition pour export via les Services, ou (b) les supprime. À défaut d'un tel choix, Zenovay supprimera les Informations personnelles de ses systèmes de production actifs dans les quatre-vingt-dix (90) jours suivant la fin de cette période de trente jours. La suppression dans les sauvegardes chiffrées de routine intervient à l'expiration ordinaire du cycle de sauvegarde applicable et non sur demande ; jusqu'à cette expiration, les Informations personnelles sauvegardées ne sont pas consultées et sont protégées par les mesures figurant à l'Annexe B. La présente Section ne s'applique pas dans la mesure où Zenovay est tenue par la loi applicable de conserver des Informations personnelles, ou les conserve sous une forme agrégée ou dépersonnalisée qui n'est plus attribuable à une Personne concernée, ou conserve des données de facturation, fiscales, de journaux d'audit et de prévention des abus comme la loi le permet ou l'exige, auquel cas Zenovay les isolera et les protégera de tout Traitement ultérieur sauf dans la mesure requise par cette loi. La suppression du compte du Client via les Services supprime les Informations personnelles associées immédiatement et définitivement ; il incombe au Client d'exporter au préalable tout ce qu'il souhaite conserver.

8. Droits d'audit

Zenovay mettra à la disposition du Client, sur demande raisonnable et sous réserve d'obligations de confidentialité, toutes les informations nécessaires pour démontrer la conformité à ce DPA et permettra et contribuera aux audits, y compris les inspections, menés par le Client ou un auditeur mandaté par le Client. Le Client peut exercer ses droits d'audit dans le cadre de cette section en :

• Examinant les certifications et attestations de sécurité maintenues par les fournisseurs d'infrastructure de Zenovay (Cloudflare : SOC 2 Type II, ISO 27001, ISO 27018 ; Oracle Cloud Infrastructure : SOC 2, ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018), fournies sur demande raisonnable. Zenovay lui-même n'est pas actuellement certifié SOC 2 ; nous mettrons à jour cette divulgation dès qu'un audit sera réalisé.
• Envoyant à Zenovay un questionnaire concernant les pratiques de protection des données de Zenovay (limité à une fois par an sauf si requis par les lois sur la protection des données)
• Dans des circonstances exceptionnelles, en effectuant un audit sur site ou à distance des pratiques de protection des données de Zenovay, sous réserve d'un préavis raisonnable, d'obligations de confidentialité et du remboursement des coûts raisonnables de Zenovay

9. Transferts internationaux

9.1 Transferts de données

Zenovay est établie en Suisse. La Commission européenne a reconnu que la Suisse assure un niveau de protection adéquat (Décision 2000/518/CE, telle que maintenue), et le Royaume-Uni a repris cette constatation, de sorte qu'un transfert d'Informations personnelles depuis l'EEE ou le Royaume-Uni vers Zenovay en Suisse ne nécessite pas en soi d'outil de transfert supplémentaire. Lorsque Zenovay transfère ultérieurement des Informations personnelles à un Sous-traitant ultérieur situé dans un pays qui n'a pas été reconnu comme adéquat par la Commission européenne, les autorités britanniques ou le Conseil fédéral suisse, ce transfert est effectué sur l'un des fondements suivants :

• Cadre de protection des données UE-États-Unis (DPF) / DPF Suisse-États-Unis : Pour les transferts vers un Sous-traitant ultérieur établi aux États-Unis qui est activement certifié au titre du programme Data Privacy Framework pertinent pour les catégories de données concernées, recours à la décision d'exécution (UE) 2023/1795 de la Commission du 10 juillet 2023, à l'extension britannique en vigueur depuis le 12 octobre 2023 et à la reconnaissance suisse effective au 15 septembre 2024. Zenovay ne déclare pas qu'un Sous-traitant ultérieur donné est ainsi certifié ; le mécanisme retenu pour chacun est indiqué sur la page Sous-traitants ultérieurs.
• Clauses contractuelles types (CCT) : Comme détaillé à la Section 9.2 ci-dessous.
• Mesures supplémentaires : Évaluations d'impact des transferts, chiffrement en transit et au repos, contrôles d'accès et autres mesures recommandées par le CEPD et le PFPDT à la lumière de l'arrêt Schrems II.

9.2 Clauses contractuelles types

Les transferts d'Informations personnelles du Client depuis l'EEE ou le Royaume-Uni vers Zenovay en Suisse sont effectués sur le fondement des décisions d'adéquation visées à la Section 9.1. Si une décision d'adéquation couvrant la Suisse est abrogée, suspendue, annulée ou cesse autrement de constituer une base valable pour de tels transferts, les parties seront réputées, à compter de cette date et sans autre formalité, avoir conclu les Clauses contractuelles types, Module Deux (responsable du traitement vers sous-traitant), le Client étant l'exportateur de données et Zenovay l'importateur de données. Lorsque Zenovay transfère ultérieurement des Informations personnelles à un Sous-traitant ultérieur situé hors de Suisse et hors de tout pays adéquat et que ce Sous-traitant ultérieur n'est pas couvert par la Section 9.1(a), Zenovay conclut avec lui les Clauses contractuelles types, Module Trois (sous-traitant vers sous-traitant), en qualité d'exportateur de données, accompagnées de l'Addendum britannique relatif aux transferts internationaux de données lorsque des données britanniques sont concernées et des adaptations reconnues par le Préposé fédéral suisse à la protection des données et à la transparence lorsque des données suisses sont concernées. Aux fins de toute Clause contractuelle type conclue au titre de la présente Section :

• Dans le cadre du Module Deux, le Client est l'« exportateur de données » et Zenovay est l'« importateur de données » ; dans le cadre du Module Trois, Zenovay est l'« exportateur de données » et le Sous-traitant ultérieur concerné est l'« importateur de données »
• Les parties acceptent les clauses optionnelles de la Clause 7, de la Clause 11 et de la Clause 9(a)
• La loi de l'État membre applicable sera la loi de l'État membre dans lequel le Client est établi ou, si le Client n'est pas établi dans un État membre, la loi d'Irlande
• L'autorité de contrôle compétente sera l'autorité de contrôle de l'État membre dans lequel le Client est établi ; pour les Clients suisses, le PFPDT (Préposé fédéral à la protection des données et à la transparence) ; pour les Clients non établis dans un État membre ou en Suisse, la Commission irlandaise de protection des données
• Pour les transferts soumis au droit suisse, les adaptations reconnues par le Préposé fédéral suisse à la protection des données et à la transparence s'appliquent : les références au RGPD s'entendent comme des références à la nLPD, l'autorité de contrôle compétente est le PFPDT, et les références à l'UE ou à l'EEE s'entendent comme des références à la Suisse. Pour les transferts soumis au droit britannique, l'Addendum britannique relatif aux transferts internationaux de données s'applique et prévaut en cas de conflit
• La description du transfert est établie à l'Annexe A (Détails du traitement)
• Les mesures techniques et organisationnelles sont établies à l'Annexe B (Mesures de sécurité)

10. Limitation de responsabilité

La responsabilité de chaque partie découlant du présent DPA ou en lien avec celui-ci est soumise aux exclusions et limitations de responsabilité prévues dans l'Accord, et le plafond prévu dans l'Accord constitue un plafond global unique couvrant ensemble l'Accord et le présent DPA, et non un plafond distinct pour chacun. Aucune disposition du présent DPA ou de l'Accord ne limite la responsabilité de l'une ou l'autre partie envers une Personne concernée au titre de l'article 82 du RGPD ou de toute disposition légale équivalente, ni n'affecte les droits dont une Personne concernée dispose directement à l'encontre d'un responsable du traitement ou d'un sous-traitant en vertu des Lois sur la protection des données applicables ; la limitation ne joue qu'entre les parties. Lorsque des Clauses contractuelles types sont conclues au titre de la Section 9.2, aucune disposition de la présente Section ne limite la responsabilité de l'une ou l'autre partie au titre de ces Clauses envers une Personne concernée.

11. Dispositions générales

11.1 Ordre de préséance

En cas de conflit ou d'incohérence entre ce DPA et l'Accord, les dispositions de ce DPA prévaudront dans la mesure de ce conflit ou de cette incohérence.

11.2 Modification

Zenovay peut mettre à jour ce DPA de temps à autre pour refléter les changements dans les lois sur la protection des données, les orientations réglementaires ou les meilleures pratiques du secteur. Les modifications importantes seront notifiées au Client au moins 30 jours avant leur entrée en vigueur.

11.3 Divisibilité

Si une disposition de ce DPA est jugée invalide ou inapplicable, les dispositions restantes resteront pleinement en vigueur.

11.4 Force majeure

Aucune des parties ne sera responsable de tout manquement ou retard dans l'execution de ses obligations en vertu du present DPA (autres que les obligations de paiement) dans la mesure ou ils sont causes par un événement de force majeure tel que defini dans l'Accord. Sans limiter la generalite de ce qui precede, Zenovay sera exoneree de ses obligations de sous-traitant en vertu du present DPA dans la mesure ou l'execution est empechee, entravee ou retardee par une panne, une defaillance, un incident de sécurité, un ordre réglementaire ou une résiliation contractuelle affectant tout sous-traitant ulterieur figurant sur la page des Sous-traitants ulterieurs, y compris notamment Cloudflare, Oracle Cloud Infrastructure, Stripe, Resend, OpenAI (via Cloudflare AI Gateway), Anthropic, LemonSqueezy, Polar, IPwho.is, Mapbox et Sentry. Zenovay deploiera des efforts commercialement raisonnables et de bonne foi pour notifier au Client tout événement de force majeure materiel affectant le traitement des Informations personnelles et pour en attenuer l'impact, sans pour autant creer d'engagement de niveau de service.

Pour éviter tout doute, la clause de force majeure ne dispense pas Zenovay de son obligation, en qualité de sous-traitant, de notifier au Client un Incident de sécurité sans délai injustifié après en avoir pris connaissance, obligation que l'article 33(2) du RGPD et l'article 24(3) de la loi fédérale suisse sur la protection des données imposent sans délai fixe et que la Section 4.2 du présent DPA complète par une limite extérieure de soixante-douze heures. Zenovay s'acquittera de cette obligation de notification indépendamment de l'événement de force majeure, en utilisant tous les canaux de communication demeurant disponibles, y compris des canaux hors bande tels que SMS, téléphone, ou une notification publiée sur la page d'état de Zenovay lorsque le canal courriel principal est indisponible.

Si un événement de force majeure empeche Zenovay d'executer ses obligations materielles de sous-traitant pendant plus de trente (30) jours calendaires consecutifs, le Client peut résilier le present DPA sur notification ecrite. La résiliation du present DPA ne résilié pas, en soi, l'Accord, qui demeure regi par ses propres dispositions de force majeure et de résiliation.

11.5 Droit applicable et juridiction

Ce DPA sera régi et interprété conformément aux dispositions relatives au droit applicable et à la juridiction dans l'Accord, sauf disposition contraire des Clauses contractuelles types.

Annexe A : Détails du traitement

Liste des parties

Exportateur de données : Client (tel que défini dans l'Accord)

Importateur de données : Zenovay, Wanderstrasse 19, 4054 Basel, Suisse

Description du transfert

Objet : L'objet du traitement des données est la fourniture de services d'analyse de sites web.

Nature et finalité du traitement : Zenovay traitera les informations personnelles pour fournir des services d'analyse de sites web et d'applications, notamment :

• La collecte et l'analyse des données des visiteurs du site web
• La génération de rapports et d'insights d'analyse
• La fourniture de services de tableau de bord et de visualisation des données
• Le stockage et la maintenance des données d'analyse
• La notation automatisée de la valeur des visiteurs : un score de 0 à 100 dérivé de signaux comportementaux, de la géographie approximative et de données d'appareil, calculé sur instruction du Client et affiché à celui-ci. Zenovay n'entreprend aucune action automatisée sur la base de ce score
• Les fonctionnalités d'analyse assistées par IA, acheminées via Cloudflare AI Gateway vers OpenAI lorsqu'elles sont utilisées par le Client. Selon la requête, les données envoyées au modèle peuvent inclure des enregistrements analytiques individuels et des identifiants que le Client a transmis via la fonction d'identification
• La fourniture de support client et de gestion de compte

Durée du traitement : la durée de l'Accord plus la période de conservation des données applicable au plan d'abonnement du Client (1 an pour Free, 2 ans pour Pro, 4 ans pour Scale, ou selon ce qui est convenu pour Enterprise). Les Informations personnelles qui dépassent la période de conservation sont soumises au processus de masquage, de délai de grâce et de suppression décrit à la Section 7.2, et les Informations personnelles subsistant à la fin de l'Accord sont traitées conformément à la Section 7.4.

Catégories d'informations personnelles : Les catégories d'informations personnelles transférées peuvent inclure :

• Données réseau : Adresses IP. L'adresse est utilisée en clair pour déterminer la localisation approximative, appliquer des limites de débit et détecter les abus, puis convertie en un hachage SHA-256 salé quotidiennement ; c'est le hachage, et non l'adresse, qui est inscrit dans la base de données analytique. Géolocalisation approximative (pays, région, ville)
• Données d'appareil : Chaînes user-agent, type d'appareil, navigateur, système d'exploitation, résolution d'écran
• Données de navigation : URL de pages visitées, titres de pages, URL de référence, horodatages, temps passé sur les pages
• Données comportementales : Profondeur de défilement, nombre de clics, interactions avec les formulaires (champs sensibles exclus), métriques d'engagement
• Données de campagne : Paramètres UTM, identifiants de clics de plateformes publicitaires (p. ex. Google, Facebook, TikTok)
• Données de conversion : Événements personnalisés, réalisations d'objectifs et valeurs associées tels que configurés par le Client
• Données de session : Identifiants de session, durée, pages par session, statut de visiteur récurrent

Données optionnelles (lorsque les fonctionnalités sont activées par le Client) :

• Replay de session : Captures DOM, mouvements de souris, clics et comportement de défilement. Les champs de saisie sont masqués et les champs de mot de passe et de carte de paiement sont bloqués par défaut ; le texte affiché par la page est capturé tel qu'affiché, sauf si le Client active le masquage du texte, de sorte qu'il incombe au Client de ne pas afficher d'Informations personnelles qu'il ne souhaite pas voir enregistrées
• Cartes thermiques : Données agrégées de position des clics et du défilement
• Identification des utilisateurs : Nom, e-mail, téléphone, entreprise et identifiants personnalisés lorsque fournis par l'implémentation du Client
• Enrichissement B2B : Nom d'entreprise, domaine, secteur, taille et autres attributs professionnels dérivés de services d'enrichissement tiers

Le Client est responsable de déterminer quelles informations personnelles sont collectées et d'assurer la conformité aux lois applicables sur la protection de la vie privée.

Catégories de personnes concernées : Les personnes concernées dont les informations personnelles sont traitées comprennent :

• Les visiteurs des sites web et applications du Client
• Les utilisateurs des services en ligne du Client
• Les clients des produits ou services du Client
• Les employés ou représentants du Client (à des fins de gestion de compte)

Données sensibles : Zenovay n'a pas l'intention de traiter des données personnelles sensibles (p. ex. informations de santé, données biométriques, coordonnées de comptes financiers). Le Client est interdit de transmettre des données personnelles sensibles à Zenovay sans accord écrit préalable et garanties appropriées.

Fréquence du transfert : La fréquence de transfert des données personnelles est continue, jusqu'à la fin de l'accord.

Annexe B : Mesures de sécurité

La présente Annexe décrit les mesures techniques et organisationnelles en place à la date de dernière mise à jour du présent DPA. Zenovay exploite une infrastructure réduite et fortement automatisée et s'appuie sur ses fournisseurs d'infrastructure pour une part substantielle de ces mesures ; lorsqu'une mesure est opérée par un fournisseur plutôt que mise en œuvre directement par Zenovay, cela est indiqué. Zenovay peut modifier des mesures individuelles au fil du temps, y compris en réponse à des évolutions technologiques ou du paysage des menaces, à condition que le niveau global de sécurité ne soit pas sensiblement réduit. Ces mesures sont celles que Zenovay considère appropriées au risque au sens de l'article 32 du RGPD et des dispositions équivalentes des autres Lois sur la protection des données. Elles ne constituent pas une garantie que les Informations personnelles ne seront pas affectées par un Incident de sécurité.

1. Sécurité physique et environnementale (assurée par les fournisseurs d'infrastructure)

• Le calcul, la mise en cache et la sécurité réseau sont fournis par Cloudflare, Inc. sur son réseau périphérique mondial. Cloudflare maintient les certifications SOC 2 Type II, ISO 27001 et ISO 27018 ; il s'agit des certifications de Cloudflare, et non de celles de Zenovay
• Depuis le 28 octobre 2026, la base de données principale (y compris les données d'authentification) et ses sauvegardes sont hébergées sur Oracle Cloud Infrastructure en Suisse (eu-zurich-1, Zurich), où Zenovay exploite lui-même le logiciel de base de données ; la base de données d'analyse et ses sauvegardes y sont hébergées depuis le 23 octobre 2026. Les certifications d'Oracle sont celles d'Oracle, et non celles de Zenovay. Depuis le 29 octobre 2026, les fichiers (images et pièces jointes téléversées, replays de session et captures d'écran de cartes thermiques) sont stockés chez Backblaze, Inc. dans l'Union européenne (eu-central, Amsterdam, Pays-Bas) ; les certifications de Backblaze sont celles de Backblaze, et non celles de Zenovay. Depuis le 31 octobre 2026, Backblaze, Inc. stocke également une copie chiffrée des sauvegardes nocturnes de la base de données principale et de la base de données d'analyse.
• Zenovay n'exploite aucun centre de données, salle serveur ou autre installation qui lui soit propre, et ne détient aucune Information personnelle sur des supports physiques contrôlés par Zenovay dans le cadre ordinaire de la fourniture des Services. L'ensemble des contrôles physiques et environnementaux des systèmes qui hébergent des Informations personnelles relève de la responsabilité des fournisseurs nommés ci-dessus
• Le contrôle d'accès aux installations, la surveillance et la protection environnementale sont assurés par ces fournisseurs et sont décrits dans leurs propres certifications et rapports d'audit publiés, que Zenovay met à la disposition du Client sur demande en lieu et place d'une inspection sur site

2. Contrôles d'accès aux systèmes

• L'accès administratif à la console d'exploitation interne de Zenovay est protégé par un périmètre d'accès zero trust revérifié à l'origine, par une session authentifiée et par un contrôle d'autorisation effectué au regard d'une liste explicite d'administrateurs conservée dans la configuration d'environnement plutôt que dans la base de données, de sorte qu'une compromission de la base de données ne puisse pas accorder d'accès administratif. Un défi par passkey adossé à du matériel est déployé comme facteur supplémentaire
• Contrôle d'accès basé sur les rôles. Au sein de l'espace de travail du Client, l'accès est limité par rôle (propriétaire, administrateur, éditeur, lecteur). Du côté de Zenovay, les capacités administratives sont délimitées par une matrice d'autorisations de lecture/écriture par section, la gestion des rôles et des membres étant réservée à l'exploitant et ne pouvant jamais être accordée via cette matrice
• Comptes nominatifs individuels pour l'accès administratif ; aucun identifiant administratif partagé ou générique n'est utilisé
• L'authentification multifacteur, par mot de passe à usage unique fondé sur le temps ou par passkey, est disponible pour les utilisateurs du Client. Il incombe au Client de l'activer pour ses propres Utilisateurs autorisés et de révoquer leur accès lorsqu'ils ne sont plus en fonction
• Les actions administratives et privilégiées sont inscrites dans des journaux d'audit en ajout seul, sans politique de mise à jour ni de suppression. Les écritures d'audit sont délibérément non bloquantes, afin qu'une défaillance de journalisation ne puisse pas bloquer l'action sous-jacente ; ces journaux constituent donc un élément de responsabilité et ne sont pas garantis comme un enregistrement complet de chaque événement

3. Contrôles d'accès aux données

• Toutes les connexions aux Services sont servies via HTTPS, avec terminaison TLS à la périphérie Cloudflare ; le trafic entre les ressources de calcul de Zenovay et la base de données est chiffré en transit
• Les Informations personnelles au repos sont chiffrées par les fournisseurs qui les stockent (Oracle Cloud Infrastructure, avec des clés gérées par Oracle, pour la base de données principale, la base de données d'analyse et leurs sauvegardes ; Backblaze, avec des clés gérées par Backblaze, pour le stockage de fichiers). Le chiffrement au repos et la gestion des clés associée sont des mesures opérées par les fournisseurs, à une exception près : la copie supplémentaire des sauvegardes nocturnes des bases de données stockée chez Backblaze est chiffrée par Zenovay avant son envoi, avec une clé que Zenovay conserve hors ligne et que Backblaze ne détient pas. Pour le reste, Zenovay n'exploite pas de couche distincte de chiffrement ou de gestion des clés au-dessus des Informations personnelles stockées.
• Accès aux informations personnelles limité au personnel autorisé uniquement
• Les Données client sont séparées logiquement par site web et par équipe. Row Level Security est activé sur chaque table de la base de données de production, et chaque chemin de requête applicative impose en outre un prédicat de locataire ; sur le chemin de l'API, qui s'authentifie avec un rôle de service, ce contrôle au niveau applicatif constitue la mesure principale et Row Level Security agit en défense en profondeur

4. Contrôles de transmission

• Chiffrement de la transmission des données à l'aide des protocoles TLS/SSL
• API sécurisées avec contrôles d'authentification et d'autorisation
• Limitation de débit, notation de la réputation des adresses IP et heuristiques anti-abus appliquées à la périphérie et dans la couche applicative

5. Contrôles d'entrée

• Journalisation d'audit de la création, modification et suppression de données
• Procédures de contrôle des versions et de gestion des changements
• Sauvegardes automatisées de la base de données principale et de la base de données d'analyse toutes les six heures, dont une chaque nuit, effectuées par Zenovay et stockées dans Oracle Cloud Infrastructure Object Storage en Suisse (eu-zurich-1, Zurich). Pour la base de données principale, les 4 dernières sauvegardes toutes les six heures et les 7 dernières sauvegardes nocturnes sont conservées ; pour la base de données d'analyse, les 3 dernières sauvegardes toutes les six heures et les 14 dernières sauvegardes nocturnes. La récupération à un moment précis n'est pas activée actuellement, de sorte qu'en fonctionnement normal l'objectif de point de reprise peut atteindre six (6) heures. Depuis le 31 octobre 2026, une copie supplémentaire de la sauvegarde nocturne de la base de données principale et de la base de données d'analyse est également stockée chez Backblaze, Inc. dans l'Union européenne (eu-central, Amsterdam, Pays-Bas), comme seconde copie indépendante au cas où le fournisseur d'infrastructure principal deviendrait indisponible. Cette copie est chiffrée sur les serveurs de Zenovay avant son envoi, en plus du chiffrement au repos de Backblaze ; la clé de déchiffrement est conservée hors ligne par Zenovay et n'est pas détenue par Backblaze. Les serveurs peuvent uniquement y ajouter des sauvegardes, sans pouvoir les lire ni les supprimer, et chaque copie est protégée contre la suppression pendant 14 jours. Les copies sont conservées 30 jours (base de données principale) ou 14 jours (base de données d'analyse), puis supprimées automatiquement

6. Contrôles de disponibilité

• Réseau périphérique mondial de Cloudflare, avec basculement entre les emplacements périphériques opéré par le fournisseur
• Serveurs de base de données sur Oracle Cloud Infrastructure, avec maintenance du matériel et des centres de données assurée par le fournisseur ; le logiciel de base de données est exploité et maintenu par Zenovay, avec des sauvegardes automatiques toutes les six heures
• La base de données principale fonctionne dans une seule région (eu-zurich-1, Zurich, Suisse), et ses sauvegardes toutes les six heures et nocturnes sont stockées dans Oracle Cloud Infrastructure Object Storage dans la même région ; en outre, une copie chiffrée de chaque sauvegarde nocturne est stockée chez Backblaze, Inc. dans l'Union européenne (Amsterdam, Pays-Bas). Zenovay n'exploite pas d'autre ensemble de sauvegardes réparti géographiquement
• Un manuel documenté de reprise après sinistre et de continuité des activités, dont les objectifs de rétablissement sont des cibles internes et non des engagements envers le Client
• Procédures de surveillance des systèmes et de réponse aux incidents
• Remarque : Aucun SLA de disponibilité spécifique n'est fourni sauf accord séparé dans un contrat Entreprise

7. Mesures organisationnelles

• L'accès aux Informations personnelles est limité à l'exploitant et aux personnes expressément autorisées par celui-ci, et n'est accordé que lorsqu'il est nécessaire pour fournir, sécuriser ou prendre en charge les Services
• Toute personne autorisée à traiter des Informations personnelles pour le compte de Zenovay est tenue à une obligation de confidentialité, contractuelle ou légale, comme indiqué à la Section 3
• Procédures de réponse aux incidents et de notification des violations
• Analyse de sécurité automatisée des dépôts de code de Zenovay selon une fréquence hebdomadaire, couvrant les vulnérabilités des dépendances, l'analyse statique et la détection de secrets. Zenovay surveille les mises à jour de sécurité du logiciel de base de données qu'il exploite et applique les mises à jour selon une procédure de mise à jour testée. Zenovay n'a pas commandité de test d'intrusion indépendant ni d'audit de sécurité par un tiers et ne prétend pas l'avoir fait
• Les Sous-traitants ultérieurs sont engagés sur la base de conditions écrites de traitement des données imposant des obligations de protection des données substantiellement similaires à celles du présent DPA, et sont consignés dans un registre que Zenovay tient et publie à l'adresse zenovay.com/legal/subprocessors

Coordonnées

Pour les questions concernant ce DPA ou les pratiques de traitement des données, veuillez contacter :