Accord de traitement des données.

1. À propos de cet accord

Le présent accord de traitement des données (« DPA ») fait partie des conditions d’utilisation de Mijra conclues entre vous, le client, et Cornerz.io. Il s’applique chaque fois que Cornerz.io traite des données personnelles pour votre compte afin de fournir le service.

En acceptant les conditions d’utilisation, vous acceptez le présent DPA. Si vous avez besoin d’un exemplaire signé, consultez la section « Demander un exemplaire signé » ci-dessous.

2. Définitions

« Données personnelles du client » désigne les données personnelles de votre espace de travail que nous traitons pour votre compte, comme les messages, les coordonnées et les commandes de vos clients.

« Lois sur la protection des données » désigne les lois applicables à ce traitement, qui peuvent inclure la loi égyptienne sur la protection des données personnelles (loi n° 151 de 2020), la loi saoudienne sur la protection des données personnelles, les lois sur la protection des données des Émirats arabes unis et du Qatar, ainsi que le RGPD de l’UE et l’UK GDPR.

« Sous-traitant ultérieur » désigne un tiers auquel nous faisons appel pour traiter des données personnelles du client. Les termes « responsable du traitement », « sous-traitant », « personne concernée » et « violation de données personnelles » ont le sens que leur donnent les lois sur la protection des données.

3. Parties et rôles

Pour les données personnelles du client, vous êtes le responsable du traitement et Cornerz.io est le sous-traitant. Vous décidez des finalités et des moyens du traitement ; nous traitons les données pour vous fournir Mijra pour votre compte.

Cornerz.io n’est responsable du traitement que pour les données dont elle a besoin pour gérer sa propre activité, comme les données de votre compte, de facturation et du site web. Notre politique de confidentialité couvre ce traitement.

4. Objet, nature, finalité et durée

Objet : fournir Mijra, un Système d’exploitation des conversations client qui réunit vos canaux, votre boutique, vos outils de paiement et d’expédition dans un seul espace de travail.

Nature et finalité : recevoir, stocker, afficher, organiser, envoyer et analyser des messages et les enregistrements associés afin que vous, votre équipe et vos agents IA puissiez répondre aux clients, créer des commandes, envoyer des liens de paiement, réserver des expéditions et assurer les relances.

Durée : pendant toute la durée de votre utilisation du service, puis jusqu’à ce que les données soient restituées ou supprimées conformément à la section « Restitution et suppression ».

5. Types de données personnelles

Les coordonnées, comme les noms, numéros de téléphone, adresses e-mail et identifiants sur les réseaux sociaux ; le contenu des messages, y compris les textes, images, messages vocaux et fichiers ; et les métadonnées des conversations, comme l’horodatage, le canal et l’attribution.

Les données commerciales issues de la boutique et des outils que vous connectez : commandes, paniers, statut de paiement, adresses de livraison et suivi des expéditions. Les données de carte bancaire sont saisies sur la page du prestataire de paiement et ne nous sont pas transmises.

Les enregistrements que vous ou vos agents IA créez dans l’espace de travail, comme les étiquettes, les notes, les résumés et les fiches client.

Le service n’est pas conçu pour les catégories particulières de données, comme les données de santé. Si vous utilisez Mijra dans un secteur comme la santé, il vous appartient de déterminer si cette utilisation est licite, et vous ne devez collecter que les données dont vous avez besoin.

6. Catégories de personnes concernées

Vos clients, prospects et clients potentiels qui vous contactent ou que vous contactez par les canaux connectés ; les clients de votre boutique ; et les membres de votre équipe qui utilisent le service.

7. Vos instructions et responsabilités

Vos instructions sont constituées des présentes conditions, du présent DPA, ainsi que des réglages et actions que vous choisissez dans le produit, y compris les automatisations et les agents IA que vous activez.

Il vous incombe de disposer d’une base légale pour le traitement, de fournir à vos clients les informations requises en matière de confidentialité, et de recueillir et consigner un consentement valable et l’accord préalable (opt-in) des destinataires pour les messages que vous envoyez.

8. Nos obligations en tant que sous-traitant

Nous traitons les données personnelles du client uniquement sur vos instructions documentées, sauf si la loi exige le contraire. Dans ce cas, nous vous en informerons avant le traitement, sauf si la loi l’interdit.

Nous vous informerons si nous estimons qu’une instruction enfreint les lois sur la protection des données. Nous ne vendons pas les données personnelles du client et ne les utilisons pas à nos propres fins au-delà de la fourniture, de la sécurisation et du support du service.

9. Confidentialité du personnel

Seuls les employés et prestataires qui ont besoin d’y accéder pour fournir, assister ou sécuriser le service peuvent accéder aux données personnelles du client. Ils sont tenus à des obligations de confidentialité et reçoivent des consignes sur le traitement des données personnelles.

10. Mesures de sécurité

Nous maintenons des mesures techniques et organisationnelles adaptées au risque du traitement. L’annexe ci-dessous les résume. Nous les réexaminons à mesure que le service et les risques évoluent, et nous ne réduirons pas le niveau global de protection.

Nous ne revendiquons aucune certification au titre d’une norme de sécurité ni aucun chiffrement de bout en bout pour quelque canal que ce soit, car nous ne publions que des affirmations que nous pouvons étayer par des documents.

11. Annexe : mesures de sécurité

A. Accès officiel. WhatsApp est connecté via l’API officielle WhatsApp Business, par l’intermédiaire d’un partenaire Meta. Nous n’utilisons pas de clients WhatsApp non officiels ni d’outils d’automatisation non officiels.

B. Accès que vous approuvez. Les données de la boutique sont lues via l’application que vous installez depuis Salla, Zid ou Shopify, ou via la connexion que vous autorisez pour WooCommerce, et vous pouvez retirer cet accès à tout moment. Les espaces de travail sont séparés, chacun avec ses propres canaux, son équipe et ses conversations.

C. Contrôle des accès. Accès fondé sur les rôles dans chaque espace de travail, avec des rôles personnalisés et des restrictions d’adresses IP sur l’offre Scale. L’accès interne est limité aux personnes qui en ont besoin.

D. Contrôle humain de l’IA. Vous choisissez ce que les agents IA peuvent faire, et les conversations sont transférées à un humain de votre équipe lorsqu’un agent a un doute.

E. Chiffrement. Les données sont chiffrées en transit avec TLS et au repos avec AES 256 bits.

F. Hébergement et résilience. Le service fonctionne sur Amazon Web Services. Les données sont répliquées entre plusieurs centres de données et la base de données est sauvegardée chaque jour. [Région d’hébergement : à confirmer.]

G. Surveillance et réponse. Nous testons et surveillons régulièrement notre sécurité, réexaminons les règles de pare-feu et les restrictions d’accès, et appliquons une procédure de réponse aux incidents qui inclut la notification des violations.

H. Personnel. Les employés ayant accès aux données des clients sont formés et liés par des accords de confidentialité.

12. Sous-traitants ultérieurs

Vous nous autorisez à faire appel à des sous-traitants ultérieurs pour fournir le service. Il s’agit notamment de nos fournisseurs d’hébergement et d’infrastructure, de fournisseurs de modèles d’IA et des outils qui nous aident à assurer le support et l’envoi des e-mails. Nos sous-traitants ultérieurs actuels sont Amazon Web Services (infrastructure cloud), Google Cloud Platform (analyse et stockage), Stripe (traitement des paiements) et SendGrid (envoi des e-mails). [Localisation de chaque sous-traitant ultérieur et fournisseurs de modèles d’IA : à confirmer.]

Les services que vous connectez vous-même, comme Meta, Telegram, votre plateforme de boutique et vos prestataires de paiement et d’expédition, traitent les données dans le cadre de votre propre accord avec eux. Ils ne sont pas nos sous-traitants ultérieurs.

Nous imposons à chaque sous-traitant ultérieur des clauses de protection des données au moins aussi protectrices que le présent DPA, et nous restons responsables de leur exécution.

Nous vous informerons de tout sous-traitant ultérieur nouveau ou remplaçant au moins [30 jours : à confirmer] avant qu’il ne commence à traiter des données personnelles du client. Vous pouvez vous y opposer pour des motifs raisonnables liés à la protection des données ; si nous ne pouvons pas répondre à votre objection, vous pouvez mettre fin au service concerné et obtenir le remboursement des frais payés d’avance pour la période non utilisée.

13. Transferts internationaux

Les données personnelles du client peuvent être traitées dans d’autres pays que le vôtre, y compris là où nos sous-traitants ultérieurs exercent leur activité. [Région d’hébergement : à confirmer.]

Lorsque les lois sur la protection des données encadrent un transfert, nous nous appuyons sur un mécanisme de transfert licite, comme les clauses contractuelles types de l’UE (et l’avenant britannique, le cas échéant), ou les mécanismes exigés par le droit égyptien et saoudien.

14. Demandes des personnes concernées

Si une personne concernée nous contacte directement au sujet de données personnelles du client, nous vous transmettrons la demande et n’y répondrons pas nous-mêmes, sauf si vous nous le demandez ou si la loi l’exige.

Compte tenu de la nature du traitement, nous vous aiderons à répondre aux demandes d’accès, de rectification, d’effacement, de limitation ou d’exportation des données personnelles, via le produit lorsque c’est possible et, à défaut, sur demande.

15. Violations de données personnelles

Si nous avons connaissance d’une violation de données personnelles affectant des données personnelles du client, nous vous en informerons dans les meilleurs délais et, en tout état de cause, dans un délai de 72 heures.

Notre notification décrira, dans la mesure de ce que nous savons à ce moment-là, ce qui s’est passé, les données et les personnes susceptibles d’être concernées, les conséquences probables, ainsi que les mesures que nous avons prises ou proposons. Nous vous tiendrons informé à mesure que nous en apprendrons davantage.

Le fait de vous notifier une violation ne constitue pas une reconnaissance de faute ou de responsabilité.

16. Analyses d’impact et consultation

Nous vous fournirons des informations raisonnables pour vous aider à réaliser une analyse d’impact relative à la protection des données, ainsi que toute consultation préalable d’une autorité de contrôle, lorsque la loi l’exige pour votre utilisation du service.

17. Audits

Sur demande raisonnable, nous mettrons à votre disposition les informations nécessaires pour démontrer que nous respectons le présent DPA, comme des réponses à des questionnaires de sécurité et des synthèses de nos pratiques.

Si ces informations ne suffisent pas à satisfaire une exigence légale, vous pouvez réaliser un audit, à vos frais, moyennant un préavis écrit d’au moins 30 jours, pendant les heures ouvrables, au maximum une fois par an, dans le cadre de clauses de confidentialité et sans accès aux données des autres clients.

18. Restitution et suppression

Vous pouvez exporter vos données tant que votre compte est actif. À la fin du service, vous disposez de 90 jours pour les exporter, après quoi nous supprimons les données personnelles du client du service actif.

Les copies figurant dans les sauvegardes sont supprimées selon le cycle normal de sauvegarde [durée de conservation des sauvegardes : à confirmer]. Nous ne pouvons conserver les données plus longtemps que lorsque la loi l’exige, et nous continuons à les protéger pendant cette période.

19. Responsabilité

La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations et exclusions de responsabilité prévues par les conditions d’utilisation, dans la mesure permise par les lois sur la protection des données.

20. Ordre de priorité

En cas de contradiction entre le présent DPA et les conditions d’utilisation concernant le traitement des données personnelles, le présent DPA prévaut. Si les clauses contractuelles types s’appliquent et contredisent le présent DPA, les clauses contractuelles types prévalent.

21. Demander un exemplaire signé

Si votre organisation a besoin d’un exemplaire contresigné du présent DPA, contactez-nous à hello@mijra.io. Les questions relatives au traitement des données peuvent être envoyées à dpo@mijra.io. Cornerz.io, 3 Makram Ebeid St, Nasr City, Le Caire, Égypte.

22. Contact

Vous pouvez envoyer vos questions sur ce document à hello@mijra.io ou passer par la page de contact. Pour toute question relative à la vie privée, aux cookies et à la protection des données, écrivez à privacy@mijra.io.

Cornerz.io, 3 Makram Ebeid St, Nasr City, Le Caire, Égypte.