Le présent accord (l’« Accord ») complète les Conditions générales et en fait partie intégrante. Il s’applique automatiquement dès que vous utilisez Swimlane, sans signature séparée. Il est conclu entre :

le Client, qui agit comme responsable du traitement (« vous ») ;
Berenger.dev SRL, Rue Sainte Anne, Termes 8, 6813 Chiny, Belgique, numéro d’entreprise 0787.693.448, qui agit comme sous-traitant (« nous »).

Les termes définis dans les Conditions générales et dans le règlement (UE) 2016/679 (« RGPD ») ont le même sens ici. En cas de contradiction entre le présent Accord et les Conditions générales sur la protection des données, le présent Accord prévaut.

1. Objet et répartition des rôles

Vous décidez qui vous prospectez, quelles données vous importez, quels messages vous envoyez et quelles automatisations vous configurez : vous déterminez les finalités et les moyens essentiels du traitement des Données Client, et en êtes responsable. Nous traitons ces données uniquement pour vous fournir le Service, selon vos instructions.

Le présent Accord ne couvre pas les données que nous traitons comme responsable du traitement (votre compte, la facturation, la sécurité, les statistiques d’utilisation), décrites dans la Politique de confidentialité.

2. Description du traitement

Nature et finalités : collecte depuis LinkedIn sur votre instruction, stockage, organisation, enrichissement, analyse (y compris par intelligence artificielle), consultation, envoi de messages et d’actions sur LinkedIn, suivi des interactions, export et suppression, dans le seul but de fournir le Service.
Durée : la durée du contrat, puis jusqu’à la suppression des données selon l’article 9.
Personnes concernées : vos prospects, contacts et relations LinkedIn ; les personnes avec lesquelles vous échangez des messages ; les personnes qui consultent votre profil, interagissent avec des publications ou vous envoient des invitations ; les Membres de votre Organisation.
Catégories de données : identité et informations professionnelles publiées sur LinkedIn (nom, photo, titre, poste, entreprise, secteur, localisation, biographie, URL et identifiants LinkedIn) ; relation avec vous (degré de connexion, invitations, possibilité d’envoyer un message) ; contenu des conversations et messages ; interactions (visites de profil, mentions « J’aime », réponses, clics sur les liens suivis, sans adresse IP) ; données que vous créez (notes, étiquettes, listes, étapes de pipeline, rappels) ; données dérivées (scores d’engagement, adéquation au profil de client idéal, analyses et suggestions générées par intelligence artificielle, langue estimée).
Catégories particulières : le Service n’est pas destiné à traiter des catégories particulières de données (article 9 du RGPD) ni des données relatives à des condamnations pénales. Vous vous engagez à ne pas en importer volontairement.

3. Vos instructions

Nous traitons les Données Client sur vos instructions documentées. Elles sont constituées par les Conditions générales, le présent Accord et l’usage que vous faites des fonctionnalités et paramètres du Service. Toute instruction supplémentaire doit être écrite et compatible avec le Service.

Si une instruction nous paraît contraire au RGPD ou à une autre règle de protection des données, nous vous en informons immédiatement. Si la loi nous impose un traitement, nous vous en informons avant de l’effectuer, sauf si elle l’interdit.

Nous pouvons utiliser les Données Client pour produire des statistiques agrégées et anonymisées afin d’améliorer le Service. Ces statistiques ne permettent d’identifier ni vous, ni vos Membres, ni les personnes concernées, et ne sont jamais partagées avec un autre client. Nous ne réutilisons pas les Données Client d’un client pour un autre client, et ne les utilisons pas pour entraîner des modèles d’intelligence artificielle.

4. Vos obligations

Vous garantissez que le traitement des Données Client que vous nous confiez est licite. Vous êtes notamment tenu :

de disposer d’une base légale pour chaque traitement, en particulier pour la prospection ;
d’informer les personnes concernées conformément à l’article 14 du RGPD, au plus tard lors de votre première communication avec elles, en indiquant notamment la source des données ;
de respecter leurs droits, en particulier leur droit d’opposition à la prospection ;
de respecter les règles applicables aux communications commerciales et les conditions des plateformes que vous utilisez.

5. Confidentialité

Seules les personnes qui en ont besoin pour fournir, maintenir ou sécuriser le Service accèdent aux Données Client. Elles sont tenues à une obligation de confidentialité.

6. Sécurité

Nous mettons en œuvre les mesures techniques et organisationnelles appropriées décrites en annexe, que nous pouvons faire évoluer sans en diminuer le niveau global de protection.

7. Sous-traitants ultérieurs

Vous nous accordez une autorisation générale de recourir aux sous-traitants ultérieurs listés sur la page Sous-traitants ultérieurs, qui indique pour chacun sa finalité, sa localisation et le mécanisme de transfert applicable.

Nous imposons à chaque sous-traitant ultérieur, par contrat, les mêmes obligations de protection des données que celles du présent Accord, et restons responsables envers vous de leur exécution.
Nous vous informons par e-mail au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur. Vous pouvez vous y opposer pour un motif raisonnable lié à la protection des données en écrivant à hello@getswimlane.com pendant ce délai. Si nous ne pouvons pas répondre à votre objection, vous pouvez résilier sans frais avant l’entrée en vigueur du changement ; la partie non utilisée de la période payée d’un Abonnement vous est remboursée.

LinkedIn n’est pas notre sous-traitant : c’est la plateforme avec laquelle vous nous demandez d’interagir pour votre compte, selon ses propres conditions.

8. Transferts hors de l’Espace économique européen

Les Données Client sont hébergées dans l’Union européenne. Certains sous-traitants ultérieurs peuvent y accéder depuis un pays tiers ou être soumis au droit d’un pays tiers. Tout transfert est encadré par une décision d’adéquation de la Commission européenne, notamment le cadre de protection des données UE–États-Unis pour les entreprises certifiées, ou par les clauses contractuelles types adoptées par la Commission, complétées au besoin par des mesures supplémentaires.

9. Fin du traitement

Les Données Client sont supprimées :

lorsque vous supprimez un contact dans le Service, immédiatement ; les autres éléments que vous supprimez (listes, campagnes, audiences, étiquettes…) disparaissent immédiatement du Service et sont effacés de notre base de données 30 jours plus tard ou, pour les listes, lors de la suppression de l’Organisation ;
lorsque vous supprimez votre compte ou votre Organisation ;
lorsqu’une Organisation est désactivée depuis plus de 12 mois, après un avertissement envoyé au moins 30 jours avant ;
à l’issue de la procédure de changement de fournisseur prévue à l’article 16 des Conditions générales, après la période de récupération ;
si nous cessons d’exploiter Swimlane, à l’issue du préavis prévu à l’article 10 des Conditions générales.

Avant la suppression, vous pouvez récupérer vos données comme indiqué à l’article 16 des Conditions générales. Les copies de sauvegarde sont effacées au fil de leur rotation, au plus tard 14 jours après la suppression. Nous ne conservons aucune Donnée Client au-delà de ces échéances, sauf obligation légale.

10. Assistance

Droits des personnes. Le Service vous permet de consulter, corriger, exporter et supprimer les données d’une personne. Si une personne concernée s’adresse directement à nous au sujet des Données Client, nous vous transmettons sa demande sans délai et ne lui répondons pas sur le fond sans votre instruction, sauf pour lui indiquer de s’adresser à vous.
Sécurité, analyses d’impact et consultation préalable. Nous vous fournissons les informations dont nous disposons et qui vous sont raisonnablement nécessaires pour respecter les articles 32 à 36 du RGPD.

11. Violations de données

Nous vous notifions toute violation de données à caractère personnel affectant les Données Client dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance. La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, ses conséquences probables et les mesures prises ou proposées. Nous complétons ces informations au fur et à mesure.

12. Audit

Nous mettons à votre disposition les informations nécessaires pour démontrer le respect du présent Accord. Si ces informations ne suffisent pas, vous pouvez, une fois par an et moyennant un préavis de 30 jours, faire réaliser un audit à vos frais, par vous-même ou par un auditeur indépendant tenu à la confidentialité, sans perturber le Service ni accéder aux données d’autres clients. Un audit supplémentaire est possible après une violation de données vous concernant ou sur demande d’une autorité de contrôle.

13. Responsabilité et durée

La responsabilité de chaque partie au titre du présent Accord suit les règles des Conditions générales, sans préjudice des droits des personnes concernées au titre de l’article 82 du RGPD. Le présent Accord s’applique aussi longtemps que nous traitons des Données Client pour votre compte.

Annexe — Mesures techniques et organisationnelles

Hébergement : serveurs d’application et base de données situés en France ; fichiers stockés aux Pays-Bas.
Chiffrement en transit : toutes les communications avec le Service et avec LinkedIn passent par des connexions chiffrées (TLS).
Chiffrement au repos des accès LinkedIn : les cookies de session et l’adresse e-mail de votre compte LinkedIn sont chiffrés (AES-256-GCM). Votre mot de passe LinkedIn n’est pas conservé, et l’enregistrement des mots de passe est désactivé dans les navigateurs que nous exécutons. Nos serveurs doivent pouvoir déchiffrer la session pour agir en votre nom : la clé est conservée séparément de la base de données, dans la configuration des serveurs.
Mots de passe du Service : stockés sous forme hachée.
Cloisonnement : les Données Client sont rattachées à une Organisation et ne sont accessibles qu’à ses Membres ; les caches techniques liés à LinkedIn sont propres à chaque compte connecté.
Contrôle d’accès : accès à la production limité aux personnes qui en ont besoin, par des identifiants individuels ; l’outil interne de statistiques ne lit que des vues restreintes, sans accès aux identifiants de connexion ni aux sessions LinkedIn.
Minimisation : pas d’adresse IP conservée pour les clics sur les liens suivis ; journaux techniques d’appels à LinkedIn conservés 7 jours ; autres journaux techniques conservés 12 mois au plus.
Sauvegardes : sauvegarde quotidienne de la base de données, conservée 14 jours.
Limitation des actions : plafonds quotidiens, espacement aléatoire et plages horaires pour les actions exécutées sur LinkedIn.
Incidents : les erreurs applicatives sont remontées automatiquement ; toute violation de données est traitée et notifiée selon l’article 11.

Accord de sous-traitance des données