Annexe aux CGV — Module Rachat de collection, applicable aux Clients de l'offre Professionnel.
Le présent accord (« DPA ») fait partie intégrante des CGV et s'applique à tout client de l'offre Professionnel (« le Professionnel », responsable du traitement) utilisant le module Rachat de collection édité par DEXYU (« le Sous-traitant »).
DEXYU traite, pour le compte et sur instruction documentée du Professionnel, les données personnelles des clients de celui-ci aux seules fins suivantes : saisie et hébergement des données nécessaires aux projets de rachat ; génération des attestations de rachat et documents d'inventaire ; envoi de ces documents par e-mail au client du Professionnel ; conservation pour la durée définie à l'article 6.
DEXYU s'engage à : (a) ne traiter les données que sur instruction documentée du Professionnel, y compris en matière de transferts hors UE, et l'informer si une instruction constitue à son avis une violation du RGPD ; (b) garantir la confidentialité (personnel soumis à des engagements de confidentialité) ; (c) mettre en œuvre les mesures de sécurité de l'article 32 RGPD (chiffrement des communications, contrôle d'accès, journalisation, sauvegardes) ; (d) assister le Professionnel, compte tenu de la nature du traitement, dans la réponse aux demandes d'exercice des droits des personnes concernées et dans le respect des articles 32 à 36 RGPD ; (e) notifier au Professionnel toute violation de données le concernant dans les meilleurs délais et au plus tard 48 heures après en avoir eu connaissance, avec les informations de l'article 33-3 RGPD ; (f) au choix du Professionnel, supprimer ou restituer les données à la fin de l'abonnement, puis détruire les copies existantes, sauf obligation légale de conservation ; (g) mettre à disposition les informations nécessaires à la démonstration de la conformité et permettre des audits, au maximum une fois par an, à des conditions raisonnables de préavis et de confidentialité.
Le Professionnel autorise de manière générale le recours aux sous-traitants ultérieurs suivants : OVH SAS (hébergement, UE) et Brevo (envoi des attestations et documents par e-mail). DEXYU informera le Professionnel de tout changement envisagé (ajout ou remplacement) au moins 15 jours à l'avance, le Professionnel pouvant émettre des objections motivées. DEXYU impose à ses sous-traitants ultérieurs les mêmes obligations que celles du présent DPA et demeure pleinement responsable envers le Professionnel.
Le Professionnel garantit : qu'il dispose d'une base légale pour le traitement (exécution du contrat de rachat, obligations légales) ; qu'il délivre à ses clients l'information requise par les articles 13 et 14 RGPD ; qu'il ne saisit que des données exactes, pertinentes et limitées au nécessaire ; qu'il répond aux demandes d'exercice des droits de ses clients ; qu'il tient, le cas échéant, son registre des traitements.
Les données du module sont hébergées dans l'Union européenne. Tout transfert hors UE serait soumis aux garanties du chapitre V du RGPD et à l'information préalable du Professionnel.
Le présent DPA s'applique pendant toute la durée d'utilisation du module. À la résiliation de l'abonnement Professionnel, les données des clients du Professionnel sont restituées dans un format structuré puis supprimées dans un délai de 60 jours, sauf instruction contraire ou obligation légale.