Accord de traitement des données (DPA)

Responsable du traitement : l'Utilisateur, personne physique ou morale qui détermine les finalités et les moyens du traitement des données personnelles effectuées via la plateforme COMMERCIO.

Sous-traitant : Evixys, qui traite les données personnelles pour le compte et selon les instructions du Responsable du traitement, dans le cadre de la fourniture du service COMMERCIO.

Le Sous-traitant n'agit qu'avec les instructions documentées du Responsable du traitement et ne traite les données qu'aux fins prévues au présent accord.

Le présent accord couvre le traitement des données personnelles effectué par Evixys en tant que sous-traitant, dans le cadre de la fourniture du service COMMERCIO.

Catégories de données traitées : données d'identification (nom, prénom, email, téléphone), données professionnelles (entreprise, secteur, adresse), données de transaction commerciales (ventes, achats, factures).

Catégories de personnes concernées : les clients, fournisseurs et employés de l'Utilisateur dont les données sont saisies dans la plateforme.

Finalités du traitement : hébergement sécurisé, gestion du compte, maintenance technique, support client, sauvegarde et restauration des données.

Ne traiter les données qu'aux fins décrites au présent accord et uniquement sur instruction documentée du Responsable du traitement.

Garantir que les personnes autorisées à traiter les données s'engagent à respecter la confidentialité ou sont soumises à une obligation de secret professionnel adaptée.

Mettre en œuvre les mesures techniques et organisationnelles nécessaires pour assurer un niveau de sécurité adapté au risque, y compris le chiffrement, la gestion des accès, la détection des incidents et la sauvegarde.

Ne pas transférer les données vers un pays tiers sans autorisation préalable écrite du Responsable du traitement, sauf si les conditions du RGPD (article 49) ou de la loi sénégalaise sont réunies.

Supprimer ou restituer les données au choix du Responsable du traitement à la fin de la prestation, et supprimer les copies existantes sauf obligation légale de conservation.

Tenir un registre de toutes les catégories d'activités de traitement effectuées pour le compte du Responsable du traitement.

Chiffrement AES-256 des données au repos, protocole TLS 1.3 pour les données en transit.

Gestion des accès basée sur les rôles (RBAC) et principe du moindre privilège. Authentification à double facteur (2FA) disponible pour les comptes administrateurs.

Sauvegardes quotidiennes chiffrées avec rétention de 30 jours et tests de restauration périodiques.

Journalisation des accès aux données et surveillance en temps réel des activités suspectes.

Formation régulière du personnel de Evixys aux bonnes pratiques de protection des données.

Prestataires de sous-traitance en cascade : Evixys s'engage à n'engager des sous-traitants ultérieurs qu'avec l'autorisation préalable du Responsable du traitement et sous les mêmes obligations contractuelles.

En cas de violation de données à caractère personnel, Evixys notifie le Responsable du traitement dans les 72 heures suivant la connaissance de la violation, par email à l'adresse indiquée dans le compte ou à contact@evixys.com.

La notification comprend : la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les catégories de données concernées, les mesures prises ou proposées pour traiter la violation et ses conséquences.

Evixys coopérera pleinement avec le Responsable du traitement pour investiguer la violation, y limiter les conséquences et se conformer aux obligations de notification auprès des autorités de contrôle.

Evixys assiste le Responsable du traitement dans la réponse aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, portabilité, opposition).

L'assistance inclut la mise à disposition d'outils d'export de données dans un format structuré (CSV, JSON) et la prise en compte des demandes de suppression dans les délais requis.

Le Responsable du traitement peut auditer la conformité du Sous-traitant au présent accord, par inspection sur place ou par vérification documentaire, à condition de respecter un préavis raisonnable de 15 jours ouvrables.

Evixys mettra à disposition toute la documentation nécessaire : certificats de sécurité, rapports d'audit, registre des traitements, preuves de formation du personnel.

Le présent accord entre en vigueur à la date d'acceptation des CGU et reste en vigueur pendant toute la durée de l'abonnement.

En cas de résiliation de l'abonnement, Evixys supprime ou restitue les données dans les 90 jours suivant la résiliation, conformément aux instructions du Responsable du traitement.

Les obligations de confidentialité et de sécurité subsistent après la résiliation du présent accord, tant que les données n'ont pas été effectivement supprimées.

Le délégué à la protection des données (DPO) de Evixys est joignable à l'adresse privacy@evixys.com.

Pour toute demande relative au présent accord, contactez également contact@evixys.com.