Accord de traitement des données

La présente annexe (ci-après la « DPA ») a pour objet d'encadrer, conformément à l'article 28 du RGPD, les traitements de données à caractère personnel que la société WIMMOV, société par actions simplifiée immatriculée au RCS de Marseille sous le numéro 888 599 693, dont le siège social est situé 4 rue Léon Paulet, 13008 Marseille (ci-après « WIMMOV » ou le « Sous-traitant »), réalise pour le compte de son client (ci-après l'« ENTREPRISE » ou le « Responsable de traitement ») dans le cadre de l'hébergement d'une application mobile et/ou d'un site internet (ci-après les « Services »).

La présente DPA fait partie intégrante du contrat conclu entre WIMMOV et l'ENTREPRISE (ci-après le « Contrat »).

En cas de contradiction entre le Contrat et la présente DPA sur les questions de protection des données, la DPA prévaut.

La présente Annexe 1 ne décrit pas les traitements réalisés par WIMMOV en qualité de responsable de traitement au titre de l'Intégration Facebook (article 2 de la présente DPA), lesquels font l'objet de la Politique de confidentialité relative à l'intégration Facebook, distincte de la présente DPA.

Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « violation de données à caractère personnel », « personne concernée » et « autorité de contrôle » ont le sens qui leur est donné par l'article 4 du RGPD.

Le terme « Réglementation applicable » désigne le RGPD, la loi n° 78-17 du 6 janvier 1978 modifiée, et tout texte européen ou national relatif à la protection des données à caractère personnel applicable aux traitements objet de la présente DPA.

La présente DPA a pour objet de définir les conditions dans lesquelles WIMMOV s'engage à effectuer, pour le compte de l'ENTREPRISE, les opérations de traitement de données à caractère personnel décrites à l'Annexe 1, nécessaires à la fourniture des Services.

WIMMOV agit exclusivement en qualité de sous-traitant au sens de l'article 4, point 8, du RGPD et l'ENTREPRISE conserve la qualité de responsable de traitement au sens de l'article 4, point 7, pour l'ensemble des données de ses utilisateurs traitées au moyen des Services à l'exception des données issues de l’Intégration Facebook pour lesquelles WIMMOV agit en qualité de responsable de traitement.

La nature, la finalité, la durée du traitement, le type de données à caractère personnel et les catégories de personnes concernées sont décrits à l'Annexe 1 de la présente DPA.

L'ENTREPRISE est seule responsable de l'exactitude et de l'exhaustivité des informations qu'elle communique à ce titre, et de leur mise à jour en cas d'évolution du périmètre des données traitées au moyen des Services.

Dans le cadre de l'exécution des Services, WIMMOV s'engage à :

L'ENTREPRISE autorise, de façon générale, WIMMOV à recourir à des sous-traitants ultérieurs pour l'exécution de certaines prestations techniques nécessaires aux Services (hébergement, gestion de la relation commerciale, envoi de messages, recueil du consentement aux traceurs, encaissement des paiements, notamment).

La liste de ces sous-traitants ultérieurs, leur finalité, la localisation des données traitées et les mécanismes d'encadrement des transferts hors Union européenne figurent dans le registre des sous-traitants tenu à jour par WIMMOV (ci-après le « Registre »), dont la version en vigueur à la date de signature figure à l'Annexe 2 et qui est communicable à tout moment sur simple demande.

WIMMOV informe l'ENTREPRISE de tout ajout ou remplacement de sous-traitant ultérieur envisagé, par la mise à jour du Registre et sa mise à disposition, dans un délai raisonnable permettant à l'ENTREPRISE d'émettre des objections.

À défaut d'opposition écrite et motivée de l'ENTREPRISE dans un délai de quinze (15) jours à compter de cette information, le recours au nouveau sous-traitant est réputé accepté.

WIMMOV impose à chaque sous-traitant ultérieur, par contrat, les mêmes obligations en matière de protection des données que celles prévues par la présente DPA, en particulier des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées.

WIMMOV demeure pleinement responsable, à l'égard de l'ENTREPRISE, de l'exécution des obligations de ses sous-traitants ultérieurs.

Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités des traitements ainsi que des risques pour les droits et libertés des personnes physiques, WIMMOV met en œuvre les mesures techniques et organisationnelles appropriées, notamment :

Ces mesures sont détaillées dans la documentation de sécurité de WIMMOV, communicable à l'ENTREPRISE sur demande, et sont revues périodiquement pour tenir compte de l'évolution de l'état de l'art.

WIMMOV notifie à l'ENTREPRISE toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, et en tout état de cause dans un délai lui permettant de respecter, le cas échéant, le délai de soixante-douze (72) heures imparti au responsable de traitement par l'article 33 du RGPD pour notifier la violation à l'autorité de contrôle compétente.

Cette notification est accompagnée, dans la mesure des informations disponibles, d'une description de la nature de la violation, des catégories et du nombre approximatif de personnes concernées et d'enregistrements concernés, des conséquences probables de la violation, et des mesures prises ou proposées par WIMMOV pour remédier à la violation et en atténuer les éventuelles conséquences négatives.

Les demandes d'exercice de leurs droits (accès, rectification, effacement, limitation, opposition, portabilité) formulées par les utilisateurs des Services sont adressées par ces derniers à l'ENTREPRISE, seule responsable de traitement.

Si une telle demande est adressée directement à WIMMOV, celle-ci la transmet sans délai, et au plus tard dans un délai de cinq (5) jours ouvrés, à l'ENTREPRISE concernée, et en informe l'auteur de la demande.

WIMMOV met à la disposition de l'ENTREPRISE les moyens techniques nécessaires pour répondre à ces demandes et exécute, sur instruction de l'ENTREPRISE, les opérations techniques afférentes.

WIMMOV assiste l'ENTREPRISE, compte tenu de la nature du traitement et des informations à sa disposition, dans le respect de ses obligations au titre des articles 32 à 36 du RGPD, notamment pour la réalisation d'analyses d'impact relatives à la protection des données et, si nécessaire, la consultation préalable de l'autorité de contrôle.

Les traitements réalisés par WIMMOV et ses sous-traitants ultérieurs pour l'exécution des Services sont hébergés au sein de l'Union européenne.

Les transferts hors Union européenne identifiés dans le Registre sont encadrés, selon les cas, par les clauses contractuelles types adoptées par la Commission européenne et par le cadre européen d'adéquation applicable aux transferts vers les États-Unis.

WIMMOV informe l'ENTREPRISE de toute évolution significative de ce cadre susceptible d'affecter les garanties applicables aux transferts concernés.

Les transferts de données réalisés dans le cadre de l'Intégration Facebook, hors du périmètre de la présente DPA conformément à son article 2, sont décrits dans la Politique de confidentialité relative à l'intégration Facebook.

Au terme du Contrat, quelle qu'en soit la cause, WIMMOV, selon le choix notifié par l'ENTREPRISE, restitue à cette dernière l'ensemble des données à caractère personnel traitées pour son compte, sous un format structuré et couramment utilisé, ou procède à leur suppression, et détruit les copies existantes, sous réserve des obligations légales de conservation qui s'imposeraient à elle.

À défaut de choix exprimé par l'ENTREPRISE dans un délai de trente (30) jours à compter du terme du Contrat, WIMMOV procède à la suppression des données.

WIMMOV met à la disposition de l'ENTREPRISE toute information nécessaire pour démontrer le respect des obligations prévues à l'article 28 du RGPD et pour permettre la réalisation d'audits, y compris des inspections, par l'ENTREPRISE ou un tiers mandaté par elle, sous réserve d'un préavis raisonnable, du respect de la confidentialité des informations concernant les autres clients de WIMMOV, et d'une fréquence limitée à une fois par an, sauf en cas de violation de données ou de manquement avéré.

Chaque partie est responsable des dommages causés par un traitement effectué en violation des obligations du RGPD qui lui incombent spécifiquement en tant que responsable de traitement ou en tant que sous-traitant, ou lorsqu'elle a agi en dehors des instructions licites de l'ENTREPRISE ou contrairement à celles-ci, conformément à l'article 82 du RGPD.

Le présent article ne s'applique pas aux traitements réalisés au titre de l'Intégration Facebook, pour lesquels WIMMOV répond directement, en qualité de responsable de traitement, des manquements qui lui sont imputables au titre du RGPD.

La présente DPA prend effet à la date de souscription des services WIMMOV conformément aux CGV et demeure applicable pendant toute sa durée, y compris ses éventuels renouvellements, ainsi que, pour les seules stipulations qui le requièrent par nature (notamment celles relatives à la confidentialité et au sort des données), après son terme et jusqu'à la suppression ou la restitution complète des données conformément à l'article 10.

La présente DPA est régie par le droit français.

Elle peut être mise à jour par WIMMOV pour tenir compte de l'évolution de la Réglementation applicable ou des recommandations de la Commission européenne ou de la CNIL et toute modification substantielle est notifiée à l'ENTREPRISE avec un préavis raisonnable.

La présente synthèse reprend, à titre indicatif, l'état du Registre des sous-traitants de WIMMOV (v1.0, 2 septembre 2026).

Seule la version à jour du Registre, communicable sur demande à support@wimmov.com, fait foi.