ANNEXE A

CLAUSES CONTRACTUELLES TYPES DE LA COMMISSION EUROPEENNE EN MATIERE D’EXPORTATION DES DONNEES A CARACTERE PERSONNEL

Clause première

Définitions

 Au sens des clauses :

a) «données à caractère personnel», «catégories particulières de données», «traiter/traitement», «responsable du traitement», «sous-traitant», «personne concernée» et «autorité de contrôle» ont la même signification que dans la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

b) l’«exportateur de données» est le responsable du traitement qui transfère les données à caractère personnel. En l’espèce, il s’agit de la Société ;

c) l’«importateur de données» est le sous-traitant qui accepte de recevoir de l’exportateur de données des données à caractère personnel destinées à être traitées pour le compte de ce dernier après le transfert conformément à ses instructions et aux termes des présentes clauses et qui n’est pas soumis au mécanisme d’un pays tiers assurant une protection adéquate au sens de l’article 25, paragraphe 1, de la directive 95/46/CE. En l’espèce, il s’agit d’Instaply ;

d) le «sous-traitant ultérieur» est le sous-traitant engagé par l’importateur de données ou par tout autre sous-traitant ultérieur de celui-ci, qui accepte de recevoir de l’importateur de données ou de tout autre sous-traitant ultérieur de celui-ci des données à caractère personnel exclusivement destinées à des activités de traitement à effectuer pour le compte de l’exportateur de données après le transfert conformément aux instructions de ce dernier, aux conditions énoncées dans les présentes clauses et selon les termes du contrat de sous-traitance écrit ;

e) le «droit applicable à la protection des données» est la législation protégeant les libertés et les droits fondamentaux des personnes, notamment le droit à la vie privée à l’égard du traitement des données à caractère personnel, et s’appliquant à un responsable du traitement dans l’État membre où l’exportateur de données est établi. En l’espèce, il s’agit du droit français ;

f) les «mesures techniques et d’organisation liées à la sécurité» sont les mesures destinées à protéger les données à caractère personnel contre une destruction fortuite ou illicite, une perte fortuite, une altération, une divulgation ou un accès non autorisé, notamment lorsque le traitement suppose la transmission de données par réseau, et contre toute autre forme illicite de traitement.

Clause 2

Détails du transfert

Les détails du transfert et, notamment, le cas échéant, les catégories particulières de données à caractère personnel, sont spécifiés dans l’appendice 1 qui fait partie intégrante des présentes clauses.

Clause 3

Clause du tiers bénéficiaire

1. La personne concernée, c’est-à-dire tout Consommateur, peut faire appliquer contre l’exportateur de données la présente clause, ainsi que la clause 4, points b) à i), la clause 5, points a) à e) et points g) à j), la clause 6, paragraphes 1 et 2, la clause 7, la clause 8, paragraphe 2, et les clauses 9 à 12 en tant que tiers bénéficiaire.

2. La personne concernée peut faire appliquer contre l’importateur de données la présente clause, ainsi que la clause 5, points a) à e) et g), la clause 6, la clause 7, la clause 8, paragraphe 2, et les clauses 9 à 12 dans les cas où l’exportateur de données a matériellement disparu ou a cessé d’exister en droit, à moins que l’ensemble de ses obligations juridiques ait été transféré, par contrat ou par effet de la loi, à l’entité qui lui succède, à laquelle reviennent par conséquent les droits et les obligations de l’exportateur de données, et contre laquelle la personne concernée peut donc faire appliquer lesdites clauses.

3. La personne concernée peut faire appliquer contre le sous-traitant ultérieur la présente clause, ainsi que la clause 5, points a) à e) et g), la clause 6, la clause 7, la clause 8, paragraphe 2, et les clauses 9 à 12, mais uniquement dans les cas où l’exportateur de données et l’importateur de données ont matériellement disparu, ont cessé d’exister en droit ou sont devenus insolvables, à moins que l’ensemble des obligations juridiques de l’exportateur de données ait été transféré, par contrat ou par effet de la loi, au successeur légal, auquel reviennent par conséquent les droits et les obligations de l’exportateur de données, et contre lequel la personne concernée peut donc faire appliquer lesdites clauses. Cette responsabilité civile du sous-traitant ultérieur doit être limitée à ses propres activités de traitement conformément aux présentes clauses.

4. Les Parties ne s’opposent pas à ce que la personne concernée soit représentée par une association ou un autre organisme si elle en exprime le souhait et si le droit national l’autorise.

Clause 4

Obligations de l’exportateur de données

L’exportateur de données accepte et garantit ce qui suit :

a) le traitement, y compris le transfert proprement dit des données à caractère personnel, a été et continuera d’être effectué conformément aux dispositions pertinentes du droit applicable à la protection des données (et, le cas échéant, a été notifié aux autorités compétentes de l’État membre dans lequel l’exportateur de données est établi) et n’enfreint pas les dispositions pertinentes dudit État ;

b) il a chargé, et chargera pendant toute la durée des services de traitement de données à caractère personnel, l’importateur de données de traiter les données à caractère personnel transférées pour le compte exclusif de l’exportateur de données et conformément au droit applicable à la protection des données et aux présentes clauses ;

c) l’importateur de données offrira suffisamment de garanties en ce qui concerne les mesures techniques et d’organisation liées à la sécurité spécifiées dans l’appendice 2 du présent contrat ;

d) après l’évaluation des exigences du droit applicable à la protection des données, les mesures de sécurité sont adéquates pour protéger les données à caractère personnel contre une destruction fortuite ou illicite, une perte fortuite, une altération, une divulgation ou un accès non autorisé, notamment lorsque le traitement suppose la transmission de données par réseau, et contre toute autre forme illicite de traitement et elles assurent un niveau de sécurité adapté aux risques liés au traitement et à la nature des données à protéger, eu égard au niveau technologique et au coût de mise en œuvre ;

e) il veillera au respect des mesures de sécurité ;

f) si le transfert porte sur des catégories particulières de données, la personne concernée a été informée ou sera informée avant le transfert ou dès que possible après le transfert que ses données pourraient être transmises à un pays tiers n’offrant pas un niveau de protection adéquat au sens de la directive 95/46/CE ;

g) il transmettra toute notification reçue de l’importateur de données ou de tout sous‑traitant ultérieur conformément à la clause 5, point b), et à la clause 8, paragraphe 3), à l’autorité de contrôle de la protection des données s’il décide de poursuivre le transfert ou de lever sa suspension ;

h) il mettra à la disposition des personnes concernées, si elles le demandent, une copie des présentes clauses, à l’exception de l’appendice 2, et une description sommaire des mesures de sécurité, ainsi qu’une copie de tout contrat de sous-traitance ultérieure ayant été conclu conformément aux présentes clauses, à moins que les clauses ou le contrat contienne(nt) des informations commerciales, auquel cas il pourra retirer ces informations ;

i) en cas de sous-traitance ultérieure, l’activité de traitement est effectuée conformément à la clause 11 par un sous-traitant ultérieur offrant au moins le même niveau de protection des données à caractère personnel et des droits de la personne concernée que l’importateur de données conformément aux présentes clauses ; et

j) il veillera au respect de la clause 4, points a) à i).

Clause 5

Obligations de l’importateur de données

L’importateur de données accepte et garantit ce qui suit :

a) il traitera les données à caractère personnel pour le compte exclusif de l’exportateur de données et conformément aux instructions de ce dernier et aux présentes clauses ; s’il est dans l’incapacité de s’y conformer pour quelque raison que ce soit, il accepte d’informer dans les meilleurs délais l’exportateur de données de son incapacité, auquel cas ce dernier a le droit de suspendre le transfert de données et/ou de résilier le contrat ;

b) il n’a aucune raison de croire que la législation le concernant l’empêche de remplir les instructions données par l’exportateur de données et les obligations qui lui incombent conformément au contrat, et si ladite législation fait l’objet d’une modification susceptible d’avoir des conséquences négatives importantes pour les garanties et les obligations offertes par les clauses, il communiquera la modification à l’exportateur de données sans retard après en avoir eu connaissance, auquel cas ce dernier a le droit de suspendre le transfert de données et/ou de résilier le contrat ;

c) il a mis en œuvre les mesures techniques et d’organisation liées à la sécurité spécifiées dans l’appendice 2 avant de traiter les données à caractère personnel transférées ;

d) il communiquera sans retard à l’exportateur de données :

i) toute demande contraignante de divulgation des données à caractère personnel émanant d’une autorité de maintien de l’ordre, sauf disposition contraire, telle qu’une interdiction de caractère pénal visant à préserver le secret d’une enquête policière ;

ii) tout accès fortuit ou non autorisé ; et

iii) toute demande reçue directement des personnes concernées sans répondre à cette demande, à moins qu’il n’ait été autorisé à le faire ;

e) il traitera rapidement et comme il se doit toutes les demandes de renseignements émanant de l’exportateur de données relatives à son traitement des données à caractère personnel qui font l’objet du transfert et se rangera à l’avis de l’autorité de contrôle en ce qui concerne le traitement des données transférées ;

f) à la demande de l’exportateur de données, il soumettra ses moyens de traitement de données à une vérification des activités de traitement couvertes par les présentes clauses qui sera effectuée par l’exportateur de données ou un organe de contrôle composé de membres indépendants possédant les qualifications professionnelles requises, soumis à une obligation de secret et choisis par l’exportateur de données, le cas échéant, avec l’accord de l’autorité de contrôle ;

g) il mettra à la disposition de la personne concernée, si elle le demande, une copie des présentes clauses, ou tout contrat de sous-traitance ultérieure existant, à moins que les clauses ou le contrat contienne(nt) des informations commerciales, auquel cas il pourra retirer ces informations, à l’exception de l’appendice 2, qui sera remplacé par une description sommaire des mesures de sécurité, lorsque la personne concernée n’est pas en mesure d’obtenir une copie de l’exportateur de données ;

h) en cas de sous-traitance ultérieure, il veillera au préalable à informer l’exportateur de données et à obtenir l’accord écrit de ce dernier ;

i) les services de traitement fournis par le sous-traitant ultérieur seront conformes à la clause 11 ;

j) il enverra dans les meilleurs délais une copie de tout accord de sous-traitance ultérieure conclu par lui en vertu des présentes clauses à l’exportateur de données.

Clause 6

Responsabilité

1. Les Parties conviennent que toute personne concernée ayant subi un dommage du fait d’un manquement aux obligations visées à la clause 3 ou à la clause 11 par une des parties ou par un sous-traitant ultérieur a le droit d’obtenir de l’exportateur de données réparation du préjudice subi.

2. Si une personne concernée est empêchée d’intenter l’action en réparation visée au paragraphe 1 contre l’exportateur de données pour manquement par l’importateur de données ou par son sous‑traitant ultérieur à l’une ou l’autre de ses obligations visées à la clause 3 ou à la clause 11, parce que l’exportateur de données a matériellement disparu, a cessé d’exister en droit ou est devenu insolvable, l’importateur de données accepte que la personne concernée puisse déposer une plainte à son encontre comme s’il était l’exportateur de données, à moins que l’ensemble des obligations juridiques de l’exportateur de données ait été transféré, par contrat ou par effet de la loi, à l’entité qui lui succède, contre laquelle la personne concernée peut alors faire valoir ses droits.

L’importateur de données ne peut invoquer un manquement par un sous-traitant ultérieur à ses obligations pour échapper à ses propres responsabilités.

3. Si une personne concernée est empêchée d’intenter l’action visée aux paragraphes 1 et 2 contre l’exportateur de données ou l’importateur de données pour manquement par le sous‑traitant ultérieur à l’une ou l’autre de ses obligations visées à la clause 3 ou à la clause 11, parce que l’exportateur de données et l’importateur de données ont matériellement disparu, ont cessé d’exister en droit ou sont devenus insolvables, le sous-traitant ultérieur accepte que la personne concernée puisse déposer une plainte à son encontre en ce qui concerne ses propres activités de traitement conformément aux présentes clauses comme s’il était l’exportateur de données ou l’importateur de données, à moins que l’ensemble des obligations juridiques de l’exportateur de données ou de l’importateur de données ait été transféré, par contrat ou par effet de la loi, au successeur légal, contre lequel la personne concernée peut alors faire valoir ses droits. La responsabilité du sous-traitant ultérieur doit être limitée à ses propres activités de traitement conformément aux présentes clauses.

Clause 7

Médiation et juridiction

1. L’importateur de données convient que si, en vertu des clauses, la personne concernée invoque à son encontre le droit du tiers bénéficiaire et/ou demande réparation du préjudice subi, il acceptera la décision de la personne concernée :

a) de soumettre le litige à la médiation d’une personne indépendante ou, le cas échéant, de l’autorité de contrôle ;

b) de porter le litige devant les tribunaux de l’État membre où l’exportateur de données est établi.

2. Les Parties conviennent que le choix effectué par la personne concernée ne remettra pas en cause le droit procédural ou matériel de cette dernière d’obtenir réparation conformément à d’autres dispositions du droit national ou international.

Clause 8

Coopération avec les autorités de contrôle

1. L’exportateur de données convient de déposer une copie du présent contrat auprès de l’autorité de contrôle si celle-ci l’exige ou si ce dépôt est prévu par le droit applicable à la protection des données.

2. Les Parties conviennent que l’autorité de contrôle a le droit d’effectuer des vérifications chez l’importateur de données et chez tout sous-traitant ultérieur dans la même mesure et dans les mêmes conditions qu’en cas de vérifications opérées chez l’exportateur de données conformément au droit applicable à la protection des données.

3. L’importateur de données informe l’exportateur de données dans les meilleurs délais de l’existence d’une législation le concernant ou concernant tout sous-traitant ultérieur faisant obstacle à ce que des vérifications soient effectuées chez lui ou chez tout sous-traitant ultérieur conformément au paragraphe 2. Dans ce cas, l’exportateur de données a le droit de prendre les mesures prévues par la clause 5, point b).

Clause 9

Droit applicable

Les clauses sont régies par le droit de l’État membre où l’exportateur de données est établi, à savoir le droit français.

Clause 10

Modification du contrat

Les Parties s’engagent à ne pas modifier les présentes clauses. Les Parties restent libres d’inclure d’autres clauses à caractère commercial qu’elles jugent nécessaires, à condition qu’elles ne contredisent pas les présentes clauses.

Clause 11

Sous-traitance ultérieure

1. L’importateur de données ne sous-traite aucune de ses activités de traitement effectuées pour le compte de l’exportateur de données conformément aux présentes clauses sans l’accord écrit préalable de l’exportateur de données. L’importateur de données ne sous-traite les obligations qui lui incombent conformément aux présentes clauses, avec l’accord de l’exportateur de données, qu’au moyen d’un accord écrit conclu avec le sous-traitant ultérieur, imposant à ce dernier les mêmes obligations que celles qui incombent à l’importateur de données conformément aux présentes clauses. En cas de manquement par le sous-traitant ultérieur aux obligations en matière de protection des données qui lui incombent conformément audit accord écrit, l’importateur de données reste pleinement responsable du respect de ces obligations envers l’exportateur de données.

2. Le contrat écrit préalable entre l’importateur de données et le sous-traitant ultérieur prévoit également une clause du tiers bénéficiaire telle qu’énoncée à la clause 3 pour les cas où la personne concernée est empêchée d’intenter l’action en réparation visée à la clause 6, paragraphe 1, contre l’exportateur de données ou l’importateur de données parce que ceux-ci ont matériellement disparu, ont cessé d’exister en droit ou sont devenus insolvables, et que l’ensemble des obligations juridiques de l’exportateur de données ou de l’importateur de données n’a pas été transféré, par contrat ou par effet de la loi, à une autre entité leur ayant succédé. Cette responsabilité civile du sous-traitant ultérieur doit être limitée à ses propres activités de traitement conformément aux présentes clauses.

3. Les dispositions relatives aux aspects de la sous‑traitance ultérieure liés à la protection des données du contrat visé au paragraphe 1 sont régies par le droit de l’État membre où l’exportateur de données est établi, à savoir le droit français.

4. L’exportateur de données tient une liste des accords de sous-traitance ultérieure conclus en vertu des présentes clauses et notifiés par l’importateur de données conformément à la clause 5, point j), qui sera mise à jour au moins une fois par an. Cette liste est mise à la disposition de l’autorité de contrôle de la protection des données de l’exportateur de données.

Clause 12

Obligation après la résiliation des services de traitement des données à caractère personnel

1. Les Parties conviennent qu’au terme des services de traitement des données, l’importateur de données et le sous-traitant ultérieur restitueront à l’exportateur de données, et à la convenance de celui-ci, l’ensemble des données à caractère personnel transférées ainsi que les copies ou détruiront l’ensemble de ces données et en apporteront la preuve à l’exportateur de données, à moins que la législation imposée à l’importateur de données l’empêche de restituer ou de détruire la totalité ou une partie des données à caractère personnel transférées. Dans ce cas, l’importateur de données garantit qu’il assurera la confidentialité des données à caractère personnel transférées et qu’il ne traitera plus activement ces données.

2. L’importateur de données et le sous-traitant ultérieur garantissent que si l’exportateur de données et/ou l’autorité de contrôle le demandent, ils soumettront leurs moyens de traitement de données à une vérification des mesures visées au paragraphe 1.

Appendice 1 des clauses contractuelles types

Exportateur de données

L’exportateur de données est le client d’INSTAPLY.

Importateur de données

L’importateur de données est la société INSTAPLY, qui fournit une plateforme de communication professionnelle et des services connexes.

Personnes concernées

Les données à caractère personnel transférées concernent les catégories suivantes de personnes concernées : clients, employés et prospects de la Société.

Catégories de données

Les données à caractère personnel transférées concernent les catégories suivantes de données : toutes les données à caractère personnel communiquées par les clients, employés et prospects de la Société, à savoir : numéro de téléphone des clients, identifiant Facebook Messenger des clients si la fonctionnalité adéquate est activée, nom, prénom et e-mail des employés, nom et ville du magasin (associés à leur compte d’Utilisateur Autorisé), fuseau horaire (associé à leur compte d’Utilisateur Autorisé), description et image de profil (s’ils en ont créé).

Traitement

Les données à caractère personnel transférées seront soumises aux activités de traitement de base suivantes : utilisation des données à caractère personnel pour favoriser la communication entre la Société et ses clients et prospects.

APPENDICE 2 DES CLAUSES CONTRACTUELLES TYPES

Description des mesures techniques et d’organisation liées à la sécurité mises en oeuvre par Instaply en tant qu’importateur de données conformément à la clause 4, point d), et à la clause 5, point c) :

Garanties relatives à la préservation de la confidentialité, de la sécurité et de l’intégrité de données personnelles à caractère sensibles.
Conservation de la traçabilité des connexions, journalisation des actions

Les journaux de connexions et des actions sont conservés et sont ensuite archivés et stockés à long terme. Aucun journal n’est éliminé du système.

Gestion des profils d’habilitation,

Les rôles et les profils sont configurés sur la base du principe de moindre privilège.

Procédure d’authentification,

Les utilisateurs doivent s’identifier avec un mot de passe sécurisé, conformément à notre politique de gestion des mots de passe. Les utilisateurs qui se connectent directement à un serveur doivent, par ailleurs, s’identifier avec un certificat côté client.

Chiffrement des transmissions aux fins de garantir la confidentialité et la sécurité des données

Toutes les données sont cryptées tant pendant leur transmission que pendant leur stockage. Toutes les données sont transmises via une connexion SSL depuis la source jusqu’à la cible. Pendant leur stockage, les bases de données sont cryptées et des copies cryptées en sont créées.

Détection d’éventuels accès illégitimes

Les systèmes de journalisation et de suivi nous permettent de détecter et d’être alertés en temps réel de toute éventuelle activité suspecte.

Limitation de l’accès aux données personnelles afin de garantir leur sécurité et protéger leur caractère confidentiel

Nous prenons toutes les mesures nécessaires pour sécuriser notre plateforme. Par exemple, la plateforme est entièrement isolée sur un cloud privé virtuel contrôlé de manière stricte par des groupes de sécurité. En outre, l’accès à ces systèmes, via un bastion, est également limité à un très petit nombre d’administrateurs.

Mise en œuvre d'un chiffrage et un cloisonnement de ses données d’avec celles détenues en propre par le soumissionnaire ou celles d'autres clients

Toutes les données sont cryptées pendant leur stockage; cependant, s’agissant d’une plateforme partagée, les données ne sont pas cloisonnées client par client.

Sécurité de la Solution
Pare-feu pour le filtrage du trafic

Seul le trafic souhaité est autorisé à traverser le pare-feu. Tout le reste est bloqué par défaut.

WAF (pare-feu d'application Web) pour identifier et stopper les requêtes Web suspectes (injections SQL, XSS, CSRF, ...)

Nous sommes en train d’installer le composant AWS WAF afin de mettre en place des pare-feu d’application web pour le produit. Par ailleurs, nous réalisons des tests de sécurité afin d’assurer la non vulnérabilité du système à ce type d’attaque.

Données sécurisées en import et export

Les données sont exportées et transmises dans un conteneur crypté.

Encryptage des échanges via SSL / TLS (HTTPS, FTPS) ou des clés SSH (SFTP)

Les échanges de données sont tous cryptés via SSL.

Possibilité de crypter les exports de fichiers de données.

Les exports sont transmis au client dans un conteneur crypté.

Données exportées dans une archive protégée par mot de passe

Les données exportées sont toujours transmises dans un conteneur crypté.

Accès via HTTPS uniquement

La plateforme fonctionne exclusivement avec HTTPS. Les requêtes en HTTP sont automatiquement redirigées vers HTTPS.

Politique de contrôle d’accès
Mot de passe

La politique actuelle d’Instaply exige des mots de passe d’au moins 8 caractères contenant au moins trois types de caractère. Aucun mot de passe générique n’est attribué par Instaply, il appartient à chaque utilisateur de le déterminer. Le compte utilisateur est bloqué pendant 30 minutes après 5 échecs de connexion.

Enregistrement de toutes les tentatives d'accès

Toutes les tentatives d’accès sont enregistrées et sauvegardées dans les journaux d’accès.

Echanges effectués à travers une connexion SSL

Toutes les connexions se font via SSL.

Personnel d’Instaply
Connexions à la plate-forme

L’accès à la plateforme est accordé à tout le personnel bénéficiant d’une adresse e-mail de la société. Dans un premier temps, l’accès n’est accordé qu’en lecture seule, en attendant l’éventuelle extension des droits d’accès.

Gestion des autorisations accordées aux administrateurs de la plateforme

Un contrôle extrêmement précis sur l’accès en écriture aux stockages de données et les tâches d’administration peut être mis en place par l’administrateur d’Instaply.

Administration de la plateforme

L’administration au sein de la plateforme Instaply requiert le certificat d’authentification du client.

Conséquence du départ d'un employé

Les droits d’accès au système peuvent être révoqués par l’administrateur, avec effet immédiat, et l’utilisateur est bloqué.

Transferts de données en dehors de l'Union Européenne

Toutes les données, métadonnées, etc., des clients et consommateurs sont stockées sur un cluster de serveurs situé en Europe (AWS Irlande). Il n’y a pas, en tant que tel, de transfert des données en dehors de l’Union Européenne.

Toutefois, le personnel d’Instaply basé aux Etats-Unis peut avoir accès à cette base de données, par exemple à des fins
de maintenance. Compte tenu de l’interprétation de la CNIL de la notion de « transfert international », de tels accès
peuvent être considérés comme des transferts internationaux et, par suite, nécessitent la signature de clauses contractuelles spécifiques. Néanmoins, ces accès sont purement ponctuels et ne se produisent qu’en cas de demande de la Société dans un but particulier.

Certains fournisseurs tiers situés en dehors de l’Union Européenne peuvent avoir accès aux données : Periscope, Twilio et Nexmo.

Cependant, ces fournisseurs ne sont pas considérés comme des destinataires des données en tant que telles, car des mesures techniques ont été prises pour protéger les données. Ainsi :

Periscope : Ce fournisseur est connecté à une base de données distincte.

Twilio : Serveur de messagerie intermédiaire. Twilio doit conserver certaines métadonnées afin de se conformer à ses propres règles, et pour les besoins de la facturation. Cependant, dans la mesure où cela pourrait être considéré comme une exportation, Instaply s’est engagé à appliquer les Clauses Contractuelles Types, en qualité de sous-traitant pour le compte du client, responsable du traitement.

Nexmo: Serveur de messagerie intermédiaire, comme Twilio. Nexmo doit également conserver certaines métadonnées. Le transfert de données est couvert par les Clauses Contractuelles Types régularisées avec ce prestataire.

Durée de conservation des données

Données visibles: Les données demeurent visibles sur la plateforme Instaply pendant 3 ans. Ce délai démarre à compter du dernier message échangé.

Archives intermédiaires: Après 3 ans d’inactivité, les données sont archivées (back-up) et conservés pour preuve pendant une nouvelle période de 3 ans durant laquelle elles sont inaccessibles aux clients et aux consommateurs.

Données supprimées: A l’issue de cette période de 3ans, elles sont définitivement supprimées, soit 6 ans après le dernier message échangé (3 ans + 3 ans).

Droit d'opposition (opt-out)

Dans l’hypothèse où un Utilisateur Final demande à ne plus recevoir de message en répondant « STOP », alors son numéro de téléphone est bloqué par le système et il ne recevra plus de SMS.