Addendum sur le traitement des données

Cet Addendum sur le traitement des données («DPA») est mentionné et fait partie intégrante de SharpSpring Ads. Conditions d'utilisation (les "Conditions d'utilisation") et prend effet dès l'acceptation des conditions d'utilisation. Les termes utilisés dans ce DPA auront la signification indiquée ici. Les termes en majuscules non définis par ailleurs ont le sens qui leur est donné dans les Conditions d'utilisation. Sauf dans les cas modifiés ci-dessous, les conditions énoncées dans les Conditions d'utilisation resteront pleinement en vigueur. Compte tenu des obligations mutuelles énoncées dans les présentes, les parties conviennent par la présente que les conditions générales énoncées ci-dessous seront ajoutées en tant que DPA aux conditions d'utilisation.

1. Protection des données.

1.1 Définitions:

(une) "manette", "processeur", «Personne concernée»et "En traitement"; (et "traiter") a la signification donnée dans la loi applicable sur la protection des données.
(B) «Loi applicable sur la protection des données» désigne: (i) avant le 25 mai 2018, la directive 95/46 / CE du Parlement européen et du Conseil relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données; et (ii) à compter du 25 mai 2018, le règlement 2016/679 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95 / 46 / CE (règlement général sur la protection des données).
(c) "Données personnelles" désigne toute donnée relative à une personne physique individuelle identifiée ou identifiable; une personne identifiable est une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d'identification ou à un ou plusieurs facteurs propres à son identité physique, physiologique, mentale, économique, culturelle ou sociale.

1.2 Relation des parties: Toi le "manette") nomme SharpSpring Ads en tant que sous-traitant pour traiter les données personnelles décrites dans les conditions d'utilisation et son DPA. Chaque partie doit se conformer à cette DPA et à toutes les obligations qui lui sont applicables en vertu de la loi applicable sur la protection des données.

1.3 Données interdites: Vous ne devez pas divulguer (et ne permettre à aucune personne concernée de divulguer) des catégories spéciales de données personnelles à SharpSpring Ads pour traitement.

1.4 Limitation de la finalité: SharpSpring Ads traitera les données personnelles en tant que sous-traitant si nécessaire pour exécuter ses obligations en vertu des conditions d'utilisation et / ou strictement conformément à vos instructions documentées (le «Objectif autorisé»).

1.5 Transferts internationaux: SharpSpring Ads ne transférera pas de données personnelles (ni n'autorisera le transfert de données personnelles) en dehors des territoires européens, à moins qu'elle ne prenne les mesures nécessaires pour garantir que le transfert est conforme à la loi applicable en matière de protection des données. De telles mesures peuvent inclure (sans limitation) le transfert des données personnelles à un destinataire dans un pays dont la Commission européenne a décidé qu'il offre une protection adéquate des données personnelles, à un destinataire qui a obtenu l'autorisation contraignante des règles d'entreprise conformément à la loi applicable sur la protection des données, à un destinataire qui participe au programme de certification EU-US Privacy Shield, ou à un destinataire qui a exécuté des clauses contractuelles types adoptées ou approuvées par la Commission européenne.

1.6 Confidentialité du traitement: SharpSpring Ads s'assurera que toute personne qu'elle autorise à traiter des données personnelles (y compris le personnel, les agents et les sous-traitants de SharpSpring Ads) (un "Personne autorisée") est soumis à une obligation stricte de confidentialité (qu'il s'agisse d'une obligation contractuelle ou d'une obligation légale), et ne permet à aucune personne de traiter des données personnelles qui n'est pas soumise à une telle obligation de confidentialité.

1.7 Sécurité : SharpSpring Ads mettra en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles (i) contre la destruction accidentelle ou illégale, et (ii) la perte, l'altération, la divulgation non autorisée ou l'accès aux données personnelles (un «Incident de sécurité»).

1.8 Sous-traitant: Vous consentez à ce que SharpSpring Ads engage des sous-traitants tiers pour traiter les données personnelles aux fins autorisées à condition que: (i) SharpSpring Ads conserve une liste à jour de ses sous-traitants qui vous sera fournie sur demande, qu'elle mettra à jour avec des détails. de toute modification proposée un délai raisonnable avant la nomination ou le remplacement d'un sous-traitant; (ii) SharpSpring Ads impose des conditions de protection des données à tout sous-traitant qu'il désigne et qui l'exige pour protéger les données personnelles conformément aux normes requises par la loi applicable sur la protection des données et la présente DPA; et (iii) SharpSpring Ads reste responsable de toute violation de cette disposition causée par un acte, une erreur ou une omission de son sous-traitant. Une liste des sous-traitants approuvés est jointe avec Planifier un. Vous pouvez vous opposer à la nomination ou au remplacement d'un sous-traitant par SharpSpring Ads avant sa nomination ou son remplacement, à condition que cette objection soit fondée sur des motifs raisonnables liés à la protection des données. Dans un tel cas, SharpSpring Ads ne nommera ni ne remplacera le sous-traitant ou, si cela n'est pas possible, vous pourrez suspendre ou résilier les Conditions d'utilisation (sans préjudice des frais encourus par vous avant la suspension ou la résiliation) sous 30 jours par écrit. notification à SharpSpring Ads.

1.9 Coopération et droits des personnes concernées: SharpSpring Ads vous fournira toute l'assistance raisonnable et en temps opportun (y compris par des mesures techniques et organisationnelles appropriées) (à vos frais) pour vous permettre de répondre à: (i) toute demande d'une personne concernée d'exercer l'un de ses droits en vertu des données applicables. Loi sur la protection (y compris ses droits d'accès, de correction, d'opposition, d'effacement et de portabilité des données, le cas échéant); et (ii) toute autre correspondance, demande ou plainte reçue d'une personne concernée, d'un régulateur ou d'un autre tiers en relation avec le traitement des données personnelles. Dans le cas où une telle demande, correspondance, enquête ou plainte est adressée directement à SharpSpring Ads, SharpSpring Ads vous en informera rapidement en fournissant tous les détails à ce sujet.

1.10 Analyse d'impact sur la protection des données: SharpSpring Ads vous fournira une coopération raisonnable (à vos frais) dans le cadre de toute évaluation d'impact sur la protection des données que vous pourriez être amené à mener en vertu de la loi applicable sur la protection des données.

1.11 Incidents de sécurité: Dès qu'il aura connaissance d'un incident de sécurité, SharpSpring Ads vous en informera sans retard indu et vous fournira toutes les informations et la coopération opportunes dont vous pourriez avoir besoin pour vous permettre de remplir ses obligations de signalement de violation de données en ) Loi sur la protection des données applicable. SharpSpring Ads prendra en outre toutes les mesures et actions nécessaires pour remédier ou atténuer les effets de l'incident de sécurité et vous tiendra au courant de tous les développements liés à l'incident de sécurité.

1.12 Suppression ou retour de données personnelles: À la résiliation ou à l'expiration des Conditions d'utilisation, SharpSpring Ads détruira (à votre choix) ou vous restituera toutes les données personnelles en sa possession ou sous son contrôle (y compris toutes les données personnelles sous-traitées à un tiers pour traitement). Cette exigence ne s'applique pas dans la mesure où SharpSpring Ads est tenu par toute loi de l'UE (ou de tout État membre de l'UE) de conserver tout ou partie des données personnelles, auquel cas SharpSpring Ads doit isoler et protéger les données personnelles de tout traitement ultérieur. sauf dans la mesure requise par cette loi.

1.13 Vérification: SharpSpring Ads vous autorisera (ou vos auditeurs tiers désignés) à auditer la conformité de SharpSpring Ads à cette DPA, et mettra à votre disposition toutes les informations, systèmes et personnel raisonnablement nécessaires pour que vous (ou vos auditeurs tiers) réalisiez un tel audit. SharpSpring Ads reconnaît que vous (ou vos auditeurs tiers) pouvez entrer dans ses locaux aux fins de la réalisation de cet audit, à condition que vous fournissiez un préavis raisonnable de votre intention d'auditer, de mener votre audit pendant les heures normales de bureau et de prendre toutes les mesures raisonnables. pour éviter toute interruption inutile des opérations de SharpSpring Ads. Vous n'exercerez pas vos droits d'audit plus d'une fois par période de 12 mois calendaires, sauf (i) si et lorsque requis par instruction d'une autorité compétente en matière de protection des données; ou (ii) vous pensez qu'un audit supplémentaire est nécessaire en raison d'un incident de sécurité.

Annexe A: Appendice 1 aux Clauses contractuelles types

Exportateur de données

Vous êtes l'exportateur de données recevant des services conformément aux conditions d'utilisation.

Importateur de données

L'importateur de données est un logiciel en tant que fournisseur d'analyse publicitaire accessible sur Internet qui fournit des services conformément aux conditions d'utilisation et vise à mesurer, gérer et optimiser les budgets et les revenus publicitaires de ses clients.

Personnes concernées

Les Données Personnelles transférées concernent les catégories suivantes de personnes concernées: (i) les internautes accédant au site Web de l'exportateur de données et / ou utilisant les services en ligne de l'exportateur de données; (ii) les utilisateurs autorisés de l'application SharpSpring Ads; et / ou (iii) les clients potentiels et existants de l'exportateur de données.

Catégories de données

Les données personnelles transférées comprennent les éléments suivants: (i) ID de commande; (ii) ID du produit; (iii) code de devise; (iv) catégorie de produit; (v) Prix unitaire du produit; (vi) Type de conversion; (vii) agent utilisateur; (viii) Renvoyer la demande; et (ix) comportement sur site (clics sur la page).

Pour les utilisateurs de l'application SharpSpring Ads, les données personnelles transférées peuvent inclure les éléments suivants: (i) adresse e-mail; (ii) nom et prénom; (iii) numéro de téléphone; (iv) l'adresse postale de l'emploi; (v) les informations de carte de crédit; et (vi) les coordonnées bancaires.

Catégories spéciales de données (le cas échéant)

Les données personnelles transférées concernent les catégories particulières de données suivantes: Aucune.

Opérations de traitement

Les traitements suivants s'appliquent comme suit:

L'importateur de données collecte des données via le pixel de suivi SharpSpring Ads (cookie). Ce cookie est placé sur les sites Web de l'importateur de données par l'importateur de données pour la collecte de données. Ces données sont stockées et traitées par l'exportateur de données dans ses centres de données situés à Dublin en Irlande, en Californie aux États-Unis, en Virginie aux États-Unis et à Singapour. Les données personnelles traitées par l'importateur de données peuvent également être partagées avec certaines bourses publicitaires au nom de l'importateur de données pour enchérir sur des propriétés publicitaires sur Internet. L'importateur de données utilise les entités suivantes en tant que sous-traitants selon les conditions d'utilisation:

• Salesforce Incorporated - https://www.salesforce.com/company/privacy/full_privacy/
• Marketo Inc. - https://documents.marketo.com/legal/privacy/
• Amazon Webservices - https://aws.amazon.com/privacy/

• Google - https://gsuite.google.com/security/ & https://policies.google.com/privacy?hl=en
• Mixpanel - https://mixpanel.com/legal/privacy-policy/
• Interphone - https://www.intercom.com/terms-and-policies
• Mailgun - https://www.mailgun.com/gdpr
• MongoHQ - https://www.mongodb.com/cloud/compliance
• OpenRedis - https://openredis.com/privacy
• Heroku - https://www.heroku.com/policy/security

Annexe A: Appendice 2 aux Clauses contractuelles types

Description des mesures de sécurité techniques et organisationnelles mises en œuvre par l'importateur de données conformément aux clauses 4 (d) et 5 (c) (ou document / législation ci-joint):

1. Les personnes non autorisées ne peuvent pas accéder aux systèmes de traitement des données avec lesquels les données transférées sont traitées ou utilisées (contrôle d'accès physique):
   1. SharpSpring Ads exige de ses partenaires d'installations de co-implantation de restreindre l'accès physique aux personnes disposant d'une autorisation préalable et d'une identification par photo. Le centre de données de SharpSpring Ads est co-implanté dans une installation Tier IV Gold auditée par la SSAE n ° 16. Seules les personnes autorisées par SharpSpring Ads peuvent accéder à l'équipement de SharpSpring Ads. SharpSpring Ads exige de ses fournisseurs qu'ils appliquent la vérification des demandes de service SharpSpring Ads; les fournisseurs ne peuvent pas tenter d'obtenir un quelconque accès aux systèmes de SharpSpring Ads sans instructions écrites de SharpSpring Ads. Au-delà de cela, aucune connexion physique externe aux systèmes SharpSpring Ads n'est autorisée, y compris les claviers, les écrans et les systèmes de surveillance du réseau.
2. Les systèmes de traitement des données ne peuvent pas être utilisés sans autorisation (contrôle d'accès logique):
   1. Les systèmes de traitement des données ne peuvent pas être utilisés sans autorisation. L'accès administratif aux serveurs de SharpSpring Ads est limité aux membres formés et autorisés des données
      le personnel de l'importateur. L'accès administratif à l'application SharpSpring Ads est strictement contrôlé par l'importateur de données aux personnes autorisées sur la base du besoin d'en connaître. L'accès administratif à distance n'est disponible que via des connexions sécurisées par cryptographie.
   2. L'importateur de données utilise une politique de mot de passe fort et une authentification à deux facteurs pour accéder à tous les actifs informatiques de l'entreprise. L'accès à distance aux réseaux d'entreprise de l'importateur de données se fait via un VPN sécurisé. L'importateur de données stocke toutes les données derrière ses pare-feu et utilise des systèmes d'alerte avancés pour détecter les accès non autorisés. Toutes les tentatives d'accès sont enregistrées pour les applications et les systèmes d'entreprise de l'importateur de données.
3. Les personnes autorisées à utiliser un système de traitement de données à caractère personnel ne peuvent accéder qu'aux données auxquelles elles sont autorisées à accéder conformément à leurs droits d'accès et, au cours du traitement ou de l'utilisation et après stockage, les données à caractère personnel ne peuvent pas être lues, copiées, modifié ou supprimé sans autorisation (contrôle d'accès aux données):
   1. L'importateur de données utilise un processus d'approvisionnement basé sur les rôles lorsqu'il fournit l'accès aux applications SharpSpring Ads et à son logiciel tiers de gestion de la relation client (le «CRM»). Seules les personnes ayant un «besoin de savoir» ont accès aux données client dans les applications SharpSpring Ads et le CRM.
   2. L'importateur de données maintient un processus strict de vérification de fond pour tout le personnel et un processus de résiliation étroitement contrôlé pour la révocation de l'accès. Le provisionnement des utilisateurs pour les systèmes d'entreprise est revu deux fois par an. Les clients de l'importateur de données contrôlent le provisionnement des utilisateurs pour leurs utilisateurs dans les applications SharpSpring Ads.
4. Les données personnelles ne peuvent pas être lues, copiées, modifiées ou supprimées sans autorisation lors de la transmission électronique, du transport ou du stockage sur des supports de stockage, et il est possible de vérifier et d'établir à quels organismes le transfert de données personnelles au moyen d'installations de transmission de données est envisagé. (contrôle de transmission):
   1. Les données personnelles ne peuvent pas être lues, copiées, modifiées ou supprimées sans autorisation pendant la transmission électronique, le transport ou le stockage. Toutes les données personnelles des applications SharpSpring Ads sont protégées par des pare-feu sécurisés et tous les accès au stockage de données sont enregistrés dans les applications SharpSpring Ads et dans les journaux du serveur. SharpSpring Ads utilise un logiciel d'alerte pour fournir des alertes en cas d'accès non autorisé. Les informations de connexion à l'application SharpSpring Ads sont hachées dans le stockage et cryptées lors de la transmission.
5. Il est possible de vérifier et d'établir si et par qui des données personnelles ont été saisies, modifiées ou supprimées des systèmes de traitement de données (contrôle d'entrée):
   1. Il est possible d'examiner et d'établir rétroactivement si et par qui les données personnelles ont été traitées, consultées ou modifiées. Les applications SharpSpring Ads et les systèmes CRM contiennent des fonctionnalités de journalisation robustes qui identifient quand les données sont accessibles, modifiées ou supprimées. L'importateur de données et ses clients examinent ces journaux régulièrement.
6. Les données personnelles traitées sur la base d'un traitement commandé sont traitées strictement conformément aux instructions du responsable du traitement. (contrôle des travaux):
   1. L'importateur de données ne traite les données personnelles que sur la base des instructions de l'exportateur de données telles que décrites dans le contrat de services applicable entre les parties.
7. Les données personnelles sont protégées contre la destruction ou la perte accidentelles (contrôle de disponibilité):
   1. L'importateur de données maintient quotidiennement des procédures de sauvegarde appropriées et régulières pour éviter la destruction accidentelle ou la perte de données personnelles. Les données sont sauvegardées à intervalles réguliers tout au long de la journée et chaque sauvegarde complète des données est effectuée toutes les 24 heures.