Avenant relatif au traitement des données (DPA).

Cet avenant est conclu entre le client organisationnel (“vous”, le “Responsable du traitement”) et LoveSync (le “Sous-traitant”) au titre des données personnelles traitées dans le cadre des Conditions générales d’utilisation de LoveSync.

Il s’applique chaque fois que LoveSync traite des données personnelles pour votre compte — c’est-à-dire lorsque votre organisation apporte LoveSync à un ensemble défini de membres (une cohorte, un pool de sièges ou un groupe privé) et que vous déterminez les finalités et les moyens de ce traitement.

Lorsque LoveSync traite des données personnelles à ses propres fins (par exemple, membres particuliers en direct, exploitation de la plateforme, protection des personnes), LoveSync agit en tant que responsable de traitement indépendant et le présent avenant ne s’applique pas — c’est alors la Politique de confidentialité de LoveSync qui s’applique.

“Données personnelles”, “Traitement”, “Responsable du traitement”, “Sous-traitant” et “Personne concernée” ont le sens qui leur est donné dans le RGPD, le RGPD britannique ou la législation locale équivalente applicable à votre juridiction.

“Sous-traitant ultérieur” désigne tout tiers engagé par LoveSync pour traiter des données personnelles dans le cadre du présent avenant.

“Transfert restreint” désigne un transfert de données personnelles hors de la juridiction d’origine qui exige des garanties en vertu de la législation applicable en matière de protection des données.

“CCT” désigne les Clauses contractuelles types adoptées par la Commission européenne et par l’Information Commissioner’s Office du Royaume-Uni pour les transferts internationaux de données.

Objet : la fourniture de la plateforme LoveSync aux membres de votre organisation dans le cadre des Conditions générales d’utilisation de LoveSync.

Durée : tant que votre organisation dispose d’un accord organisationnel LoveSync actif, augmentée des durées de conservation prévues par le présent avenant.

Nature et finalité : assurer les six espaces de LoveSync (Apprendre, Conseiller, Célébrer & offrir, Événements, Services, Communauté), traiter les paiements et les versements, assurer la protection des personnes et la modération, et accompagner votre organisation grâce à des rapports au niveau de la cohorte (anonymisés).

Catégories de personnes concernées : les membres de votre organisation qui créent ou activent des comptes LoveSync dans le cadre de votre plan de sièges.

Catégories de données personnelles : données d’identité (nom, e-mail, téléphone) ; données de profil (préférences, langage de l’amour, statut relationnel) ; données de pratique (rituels, invitations, contenu d’espace partagé) ; données de conseil (réservations, données de séance — soumises aux règles de confidentialité des conseillers) ; données de paiement (factures, écritures comptables) ; données techniques (appareil, session, télémétrie).

Vous garantissez disposer d’une base légale, au titre de la législation applicable en matière de protection des données, pour engager LoveSync en tant que Sous-traitant et pour les catégories de données personnelles décrites ci-dessus.

Vous êtes responsable de l’exactitude, de la qualité et de la licéité de toute donnée personnelle que vous fournissez directement à LoveSync (par exemple, listes de membres, attributions de sièges) et de l’obtention des consentements nécessaires de vos membres avant de les inscrire.

Vous répondrez aux demandes des personnes concernées lorsque celles-ci s’adressent directement à vous. LoveSync vous apportera une assistance technique raisonnable, comme décrit au § 8.

LoveSync ne traite les données personnelles que sur la base de vos instructions documentées, y compris en ce qui concerne les transferts restreints, sauf si une obligation légale l’impose (auquel cas LoveSync vous en informera avant le traitement, à moins que la loi n’interdise une telle notification).

LoveSync veille à ce que les personnes autorisées à traiter des données personnelles soient tenues à des obligations de confidentialité par écrit.

LoveSync met en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles (§ 7).

LoveSync respecte les conditions énoncées au § 6 pour engager des sous-traitants ultérieurs et vous informera de tout ajout ou remplacement envisagé.

LoveSync vous assiste, compte tenu de la nature du traitement, dans l’accomplissement de vos obligations de réponse aux demandes des personnes concernées (§ 8) et de respect des articles 32 à 36 du RGPD (ou équivalent) — sécurité, notification des violations, AIPD et consultation préalable.

Vous donnez à LoveSync une autorisation générale écrite d’engager des sous-traitants ultérieurs, sous réserve des conditions suivantes : (a) LoveSync tient à jour, sur demande, une liste des sous-traitants ultérieurs ; (b) LoveSync vous informe au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur pour les catégories de données personnelles que vous fournissez ; (c) chaque sous-traitant ultérieur est lié par des conditions écrites substantiellement équivalentes au présent avenant.

Vous pouvez vous opposer à un nouveau sous-traitant ultérieur proposé pour des motifs raisonnables liés à la protection des données, dans un délai de 14 jours à compter de la notification. Lorsque l’objection ne peut être résolue, chacune des parties peut résilier la partie concernée du service, avec remboursement au prorata des frais payés d’avance.

LoveSync met en œuvre et maintient des mesures techniques et organisationnelles appropriées pour protéger les données personnelles — notamment le chiffrement des données personnelles en transit et au repos pour les champs sensibles, des contrôles d’accès selon le principe du besoin d’en connaître, un journal d’audit en ajout seul pour les actions liées à la sécurité, des procédures formelles de réponse aux incidents et de notification des violations, ainsi que des tests de sécurité réguliers.

Des informations complémentaires sont disponibles sur demande sous accord de confidentialité, notamment notre statut SOC 2, des synthèses de tests d’intrusion et des évaluations de sécurité des sous-traitants ultérieurs.

Lorsqu’une personne concernée exerce ses droits d’accès, de rectification, d’effacement, de portabilité, de limitation ou d’opposition, LoveSync fournira les moyens techniques permettant de répondre directement à ces demandes via la console d’administration organisationnelle.

Lorsqu’une demande ne peut être satisfaite via la console d’administration, LoveSync vous apportera une assistance technique raisonnable, sans coût supplémentaire, dans un délai d’un mois civil à compter de votre demande écrite, ou dans le délai plus court exigé par la loi applicable.

LoveSync vous informera sans retard injustifié, et en tout état de cause dans les 72 heures suivant la prise de connaissance, de toute violation de données personnelles affectant vos données personnelles. La notification décrira la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés, les conséquences probables, ainsi que les mesures prises ou proposées.

Lorsque l’ensemble des informations n’est pas disponible dans les 72 heures, LoveSync fournira une notification initiale puis des précisions complémentaires au fur et à mesure de leur disponibilité. LoveSync vous accompagnera pour toute notification ultérieure que vous devez adresser aux autorités de contrôle ou aux personnes concernées.

Lorsque le traitement effectué par LoveSync implique un transfert restreint de données personnelles, nous nous appuyons sur une garantie approuvée au titre de la législation applicable — généralement les Clauses contractuelles types de l’UE, l’International Data Transfer Addendum du Royaume-Uni ou un mécanisme reconnu équivalent.

Lorsque vous exigez que les CCT s’appliquent entre nous, elles sont incorporées au présent avenant par référence et prévalent sur toute clause contraire.

LoveSync mettra à votre disposition toutes les informations nécessaires pour démontrer le respect du présent avenant, y compris l’accès aux rapports d’audit pertinents (par exemple, SOC 2 Type II).

Lorsque vous avez des préoccupations spécifiques que les documents d’audit disponibles ne traitent pas de manière adéquate, vous pouvez auditer la conformité de LoveSync moyennant un préavis écrit raisonnable (au moins 30 jours), pendant les heures ouvrables, à vos frais, sous réserve d’engagements de confidentialité raisonnables. Les audits répétés au cours d’une même période de 12 mois peuvent être raisonnablement refusés, sauf si la loi l’exige ou en cas d’incident spécifique.

À la fin de votre accord organisationnel, LoveSync procédera, à votre choix, à la restitution ou à la suppression de toutes les données personnelles traitées pour votre compte, et supprimera toute copie existante, sauf si la loi exige leur conservation ultérieure.

Les membres dont les comptes se poursuivent en tant que membres particuliers en direct de LoveSync après la fin de l’accord ne sont pas concernés par la présente clause — leurs données personnelles continuent d’être traitées par LoveSync en tant que responsable de traitement indépendant, dans le cadre de notre Politique de confidentialité.

La responsabilité au titre du présent avenant est soumise à la limitation de responsabilité prévue par les Conditions générales d’utilisation de LoveSync ou par votre accord organisationnel, selon celle qui s’applique.

En cas de conflit entre le présent avenant, les Conditions générales d’utilisation de LoveSync et tout accord organisationnel conclu entre nous, l’ordre de priorité suivant s’applique : (i) la législation impérative en matière de protection des données ; (ii) le présent avenant ; (iii) tout accord organisationnel ; (iv) les Conditions générales d’utilisation de LoveSync.

LoveSync peut mettre à jour le présent avenant de temps à autre afin de refléter les évolutions de la législation applicable, des dispositions relatives aux sous-traitants ultérieurs ou de l’architecture de la plateforme. Les modifications importantes vous seront notifiées au moins 30 jours à l’avance.

Si vous vous opposez à une modification importante pour des motifs raisonnables liés à la protection des données, nous en discuterons de bonne foi. Si nous ne parvenons pas à résoudre l’objection, chacune des parties peut résilier la partie concernée du service, avec remboursement au prorata des frais payés d’avance.

Délégué à la protection des données : [email protected]

Notifications juridiques : [email protected]

Pour toute question portant spécifiquement sur cet avenant : [email protected]