Objet et champ
Cet accord fait partie des Conditions générales d’utilisation. Il s’applique dès qu’un client utilise le Service pour envoyer ou recevoir des SMS. Il fixe les conditions dans lesquelles GetSMS (le « Sous-traitant ») traite des données personnelles pour le compte du client (le « Responsable du traitement »), conformément à la loi n° 09-08, notamment ses articles 23 et 24 relatifs à la sécurité des traitements et au recours à un sous-traitant.
En cas de contradiction, cet accord prévaut sur les Conditions pour ce qui concerne la protection des données personnelles.
Description du traitement
| Nature | Réception par l’API, stockage, acheminement par le parc de numéros et les opérateurs mobiles, réception des réponses, transmission des statuts et réponses par webhook, affichage dans le tableau de bord |
| Finalité | Envoyer et recevoir les SMS du client, et lutter contre les abus |
| Données | Numéros de téléphone des destinataires, contenu des messages envoyés et reçus, statuts, horodatages, liste d’opposition, données éventuellement contenues dans les messages |
| Personnes concernées | Destinataires des messages du client (clients, prospects, utilisateurs, salariés…) |
| Durée | Durée du contrat, puis les durées de conservation de la Politique de confidentialité |
| Lieu | Maroc (Oracle Cloud, région de Casablanca) |
Obligations du client
Le client, responsable du traitement :
- s’assure de la licéité de ses traitements, notamment de l’accomplissement de ses propres formalités auprès de la CNDP lorsqu’elles sont requises ;
- informe ses destinataires et recueille leur consentement lorsqu’il est requis, conformément à la Politique d’usage acceptable ;
- ne fait transiter des données sensibles dans ses messages que s’il dispose d’une base légale ;
- répond aux demandes de ses destinataires relatives à leurs droits ;
- donne ses instructions par l’utilisation du Service (API, tableau de bord, réglages) ou par écrit.
Instructions
GetSMS ne traite les données des messages que sur instruction documentée du client. L’utilisation du Service, les réglages choisis (par exemple la durée de conservation des contenus) et le présent accord constituent ces instructions.
GetSMS peut toutefois traiter ces données lorsque la loi l’y oblige, notamment sur réquisition d’une autorité habilitée ; il en informe le client, sauf si la loi l’interdit. Si une instruction lui paraît contraire à la loi, il en informe le client et peut suspendre son exécution.
GetSMS n’utilise pas les données des messages pour son propre compte, sauf pour la sécurité du Service et la lutte contre les abus (filtrage automatique, traitement des signalements, statistiques agrégées non nominatives).
Confidentialité
GetSMS veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité. L’accès du personnel aux contenus des messages est limité au support demandé par le client, à la conformité et à la sécurité ; il est soumis à double authentification et journalisé, avec motif obligatoire pour l’accès en lecture au compte d’un client.
Mesures de sécurité
GetSMS met en œuvre des mesures techniques et organisationnelles adaptées au risque, notamment :
- hébergement au Maroc, chiffrement des disques et des sauvegardes, sauvegardes quotidiennes hors du serveur principal ;
- chiffrement des échanges (HTTPS) avec l’API, le tableau de bord et les téléphones du parc ;
- clés d’API hachées, clé propre à chaque téléphone du parc, révocable à distance ;
- contrôle des droits à chaque requête, double authentification pour les rôles sensibles et le personnel ;
- journal d’audit des actions sensibles ;
- notifications envoyées aux téléphones du parc ne contenant qu’un identifiant technique, sans contenu ni numéro ;
- webhooks signés ;
- absence de secrets et de numéros complets dans les journaux techniques ;
- procédure de gestion des incidents.
GetSMS peut faire évoluer ces mesures, à condition de ne pas réduire le niveau de protection.
Sous-traitants ultérieurs
Le client autorise GetSMS à recourir aux sous-traitants listés sur la page Sous-traitants. GetSMS impose à chacun, par contrat, des obligations de protection au moins équivalentes à celles du présent accord et reste responsable de leur exécution envers le client.
GetSMS informe le client de tout ajout ou remplacement d’un sous-traitant au moins 30 jours à l’avance, par e-mail au propriétaire de l’organisation et sur la page Sous-traitants. Le client peut s’y opposer pour un motif raisonnable lié à la protection des données, par écrit à privacy@getsms.tech, pendant ce délai. Si aucune solution n’est trouvée, le client peut résilier le contrat sans frais, avec remboursement des crédits restants.
En cas d’urgence (sécurité, défaillance d’un sous-traitant), le délai peut être réduit ; le client en est informé au plus tôt.
Les opérateurs mobiles qui acheminent les SMS jusqu’aux destinataires agissent dans le cadre de leurs obligations légales d’opérateurs de télécommunications.
Transferts hors du Maroc
Les données des messages sont hébergées et traitées au Maroc. GetSMS ne les transfère pas hors du Maroc sans en informer préalablement le client et sans respecter les articles 43 et 44 de la loi 09-08, notamment l’autorisation de la CNDP lorsqu’elle est requise.
Assistance au client
Dans la mesure du possible et compte tenu de la nature du traitement, GetSMS aide le client :
- à répondre aux demandes de ses destinataires (accès, rectification, opposition, suppression), notamment par la consultation, l’export et la suppression des messages depuis le tableau de bord ou l’API ;
- à assurer la sécurité du traitement ;
- à réaliser une analyse de risque ou à répondre à la CNDP, en lui fournissant les informations utiles.
Si un destinataire s’adresse directement à GetSMS, celui-ci transmet la demande au client sans délai et n’y répond pas lui-même, sauf instruction du client ou obligation légale.
Violation de données
GetSMS informe le client par e-mail dans les 72 heures après avoir pris connaissance d’une violation de données touchant ses données de messages. La notification décrit, dans la mesure où ces informations sont disponibles : la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables et les mesures prises ou envisagées. Les informations peuvent être communiquées en plusieurs fois.
GetSMS prend sans délai les mesures nécessaires pour contenir la violation et en limiter les effets, et coopère avec le client pour les notifications éventuelles aux autorités et aux personnes concernées. Le cas échéant, GetSMS procède aux déclarations d’incident prévues par la loi n° 05-20 relative à la cybersécurité.
Fin du traitement
À la fin du contrat, GetSMS cesse tout traitement des données des messages, hors conservation légale. Avant la fermeture, le client peut exporter ses messages depuis le tableau de bord ou l’API. Les données sont ensuite supprimées selon les durées de la Politique de confidentialité, et au plus tard dans les 90 jours suivant la fermeture pour les contenus des messages, sauf obligation légale de conservation. Les copies présentes dans les sauvegardes disparaissent à l’issue de leur cycle de rotation.
Sur demande écrite, GetSMS confirme la suppression.
Audits
GetSMS met à la disposition du client les informations nécessaires pour démontrer le respect du présent accord, notamment par un questionnaire de sécurité renseigné et la description de ses mesures.
Le client peut, à ses frais, une fois par an et en cas de motif sérieux, faire réaliser un audit par un auditeur indépendant tenu au secret, sur préavis écrit de 30 jours, pendant les heures ouvrées et sans perturber le Service ni porter atteinte à la confidentialité des autres clients. Un audit peut aussi être réalisé à la demande de la CNDP.
Responsabilité et durée
La responsabilité de chaque partie au titre du présent accord est régie par les Conditions générales d’utilisation. L’accord prend effet à l’acceptation des Conditions et reste en vigueur tant que GetSMS traite des données pour le compte du client.