Avenant de Traitement des Données

Avenant de Traitement des Données

Cet Avenant de Traitement des Données (« ATD ») fait partie et est soumis aux Conditions d'Utilisation de Whispie ou à tout autre accord écrit ou électronique entre Black Eagle Group LLC (« Whispie », « nous », « nos ») et vous (« Client », « vous ») pour l'achat de services (l'« Accord »).

Cet ATD reflète l'accord des parties concernant le Traitement des Données Personnelles conformément aux exigences des Lois et Réglementations sur la Protection des Données.

2. Rôles et responsabilités

2.1 Whispie en tant que Sous-traitant

Whispie agit en tant que Sous-traitant lors du Traitement des Données Personnelles pour le compte du Client. Whispie devra :

• Traiter les Données Personnelles uniquement conformément aux instructions documentées du Client
• Mettre en œuvre des mesures techniques et organisationnelles appropriées
• Veiller à ce que les personnes autorisées à traiter les Données Personnelles se soient engagées à la confidentialité
• Aider le Client à répondre aux demandes des Personnes Concernées

2.2 Le Client en tant que Responsable du Traitement

Le Client agit en tant que Responsable du Traitement et est responsable de :

• S'assurer de la base légale du Traitement
• Fournir les avis de confidentialité nécessaires aux Personnes Concernées
• Obtenir les consentements requis
• Répondre aux demandes de droits des Personnes Concernées

3. Détails du traitement

3.1 Objet et durée

L'objet du Traitement concerne les services de gestion des données du bébé et de la famille. La durée du Traitement correspond à la durée de l'Accord.

3.2 Nature et finalité

Les opérations de Traitement incluent la collecte, le stockage, l'analyse et le partage des données de développement du bébé, des informations de santé et des données de gestion familiale aux fins de la fourniture des services Whispie.

3.3 Catégories de Personnes Concernées

• Bébés et enfants
• Parents et tuteurs légaux
• Membres de la famille et soignants
• Prestataires de soins de santé

3.4 Types de Données Personnelles

• Informations d'identité de base (noms, dates de naissance)
• Informations de contact (e-mail, numéros de téléphone)
• Données de santé et médicales (vaccinations, métriques de croissance)
• Informations de développement (étapes, activités)
• Données de relations familiales
• Données techniques (adresses IP, informations sur l'appareil)

3.5 Catégories spéciales de données

Les Services impliquent le Traitement de catégories spéciales de données incluant :

• Données de santé (Article 9 RGPD)
• Données concernant les enfants
• Données biométriques (mesures de croissance)

5. Sous-traitement

5.1 Sous-sous-traitants autorisés

Le Client donne une autorisation générale à Whispie pour engager les Sous-sous-traitants suivants :

Sous-sous-traitant	Service	Localisation	ATD en place
Supabase	Base de données et authentification	États-Unis	Oui
Stripe	Traitement des paiements	États-Unis	Oui
Twilio	Vérification SMS	États-Unis	Oui
Resend	Livraison d'e-mails	États-Unis	Disponible sur demande
Sentry	Surveillance des erreurs	États-Unis	Oui
Cloudflare	DNS et sécurité	Mondial	Oui

5.2 Obligations des Sous-sous-traitants

Whispie devra :

• S'assurer que les Sous-sous-traitants offrent des garanties suffisantes pour mettre en œuvre des mesures appropriées
• Conclure des accords écrits avec les Sous-sous-traitants contenant des obligations de protection des données
• Rester responsable de la performance des Sous-sous-traitants
• Notifier le Client de tout changement prévu concernant les Sous-sous-traitants

5.3 Droit d'objection

Le Client peut s'opposer à la désignation de nouveaux Sous-sous-traitants par Whispie pour des raisons raisonnables liées à la protection des données. Whispie travaillera avec le Client pour répondre aux préoccupations.

6. Transferts internationaux de données

6.1 Mécanismes de transfert

Lorsque des Données Personnelles sont transférées en dehors de l'EEE, du Royaume-Uni, de la Suisse ou d'autres juridictions avec des exigences d'adéquation, Whispie s'assure que des garanties appropriées sont en place :

• Clauses Contractuelles Types de l'UE (version 2021)
• Avenant de Transfert International de Données du Royaume-Uni
• Conformité à la Loi fédérale suisse sur la protection des données
• Décisions d'adéquation le cas échéant

6.2 Mesures supplémentaires

Whispie met en œuvre des mesures supplémentaires incluant :

• Chiffrement des données en transit et au repos
• Pseudonymisation lorsque faisable
• Contrôles d'accès stricts
• Évaluations de sécurité régulières

7. Droits des Personnes Concernées

7.1 Obligations d'assistance

Whispie devra, compte tenu de la nature du Traitement, aider le Client par des mesures techniques et organisationnelles appropriées à remplir les obligations du Client pour répondre aux demandes des Personnes Concernées en vertu des Lois sur la Protection des Données.

7.2 Gestion des demandes

Whispie devra :

• Notifier rapidement le Client des demandes des Personnes Concernées
• Ne pas répondre à ces demandes sans l'instruction du Client
• Fournir les informations nécessaires pour permettre au Client de répondre
• Mettre en œuvre des mesures techniques pour faciliter l'exercice des droits

8. Gestion des incidents de sécurité

8.1 Notification d'incident

Whispie notifiera le Client sans délai indu après avoir pris connaissance d'une violation de Données Personnelles. Les notifications incluront :

• Description de la nature de la violation
• Catégories et nombre approximatif de Personnes Concernées affectées
• Catégories et nombre approximatif d'enregistrements de Données Personnelles concernés
• Conséquences probables de la violation
• Mesures prises ou proposées pour remédier à la violation

8.2 Coopération

Whispie coopérera avec le Client et prendra les mesures commerciales raisonnables demandées par le Client pour aider à l'investigation, à l'atténuation et à la remédiation de chaque violation de Données Personnelles.

9. Droits d'audit

9.1 Procédures d'audit

Le Client peut auditer la conformité de Whispie à cet ATD jusqu'à une fois par an. Les audits devront :

• Être effectués pendant les heures ouvrables normales
• Ne pas interférer déraisonnablement avec les activités commerciales de Whispie
• Être soumis à des obligations de confidentialité raisonnables
• Être aux frais du Client

9.2 Preuves alternatives

En lieu et place d'un audit, Whispie peut fournir :

• Des rapports d'audit tiers (SOC 2, ISO 27001)
• Des certifications
• Toute autre documentation raisonnablement demandée

10. Restitution et suppression des données

10.1 Restitution ou suppression

À la résiliation de l'Accord, Whispie devra, au choix du Client, supprimer ou restituer toutes les Données Personnelles au Client, et supprimer les copies existantes sauf si la loi applicable exige le stockage des Données Personnelles.

10.2 Périodes de conservation

Les Données Personnelles seront conservées uniquement aussi longtemps que nécessaire pour fournir les Services et conformément aux périodes de conservation spécifiées à l'Annexe 1.

11. Dispositions régionales spécifiques

11.1 Espace Économique Européen

Pour les Données Personnelles soumises au RGPD, les Clauses Contractuelles Types de l'UE s'appliquent et sont incorporées par référence.

11.2 Royaume-Uni

Pour les Données Personnelles soumises à l'UK-RGPD, l'Avenant de Transfert International de Données du Royaume-Uni s'applique.

11.3 Turquie

Pour les Données Personnelles soumises au KVKK, Whispie se conformera aux obligations du Responsable du Traitement en vertu de la Loi n° 6698 et des réglementations pertinentes.

11.4 États-Unis - Californie

Pour les Données Personnelles soumises au CCPA/CPRA, Whispie se conformera aux obligations du Prestataire de Services et ne Vendra ni ne Partagera les Données Personnelles.

11.5 Autres régions

Whispie se conformera aux lois sur la protection des données dans toutes les juridictions où elle opère, incluant mais sans s'y limiter :

• Arabie Saoudite (PDPL)
• Émirats Arabes Unis (Loi sur la protection des données)
• Singapour (PDPA)
• Japon (APPI)
• Russie (Loi fédérale 152-FZ)

12. Dispositions générales

12.1 Ordre de préséance

En cas de conflit ou d'incohérence entre cet ATD et l'Accord, cet ATD prévaudra dans la mesure du conflit.

12.2 Responsabilité

La responsabilité de chaque partie découlant de ou liée à cet ATD sera soumise aux limitations de responsabilité de l'Accord.

12.3 Droit applicable

Cet ATD sera régi par le droit de l'État du Delaware, sans égard à ses principes de conflits de lois.