Politique de confidentialité Wiboo CPQ

Mise à jour le 23 juin 2026

L’annexe ci-dessous présente la politique de confidentialité de notre solution Wiboo CPQ. Elle s’applique donc aux utilisateurs de la solution. Pour connaître la politique de confidentialité du présent site, merci de vous rendre ici.

Traitement des données à caractère personnel

Les termes “Responsables de Traitement”, “Sous-traitant”, “Données Personnelles”, “Personnes Concernées” et “Traitement” doivent s’entendre selon le sens qui leur est attribué dans le RGPD.

Préambule :

Le Fournisseur édite une solution hébergée de configurateur produit (CPQ – Configure Price Quote), la solution Wiboo CPQ, également appelée le Configurateur des Industriels, permettant aux entreprises industrielles de configurer des produits complexes, de générer des devis automatisés et de gérer leurs catalogues produits. Dans le cadre de la génération de devis, celle-ci collecte des données à caractère personnel des prospects du Client.

Objet

La présente annexe a pour objet de définir les conditions dans lesquelles le Sous-traitant (Wiboo) s’engage à effectuer pour le compte du Responsable de traitement (le Client tel qu’identifié au Devis ou au Contrat) les opérations de Traitement de Données Personnelles ci-après. Dans le cadre de leurs relations contractuelles, les Parties s’engagent à respecter la réglementation sur les données à caractère personnel (la « Réglementation »).

Rôle et qualifications

Wiboo agit en qualité de Sous-Traitant du Client dans le cadre des présentes, pour la génération et envoi des devis aux prospects du Client.

Wiboo agit également en qualité de Responsable de Traitement indépendant pour ce qui concerne les Traitements effectués à des fins de gestion de la relation commerciale avec le Client, notamment :

Etablissement et gestion de la relation commerciale avec le Client, et facturation du Client,

Réalisation d’analyses statistiques,
Amélioration des produits et services de Wiboo.

III. Description du traitement faisant l’objet de la sous-traitance

Le Sous-traitant est autorisé à traiter pour le compte du Responsable de traitement les Données Personnelles nécessaires pour fournir le service Wiboo CPQ.

Étendue, Nature et Finalité du Traitement de Données Personnelles
- Objet et durée des opérations de Traitement : Les Parties sont convenues que le Sous-traitant procédera au Traitement des Données Personnelles pour le compte du Responsable de Traitement afin de lui permettre de générer et envoyer les devis via les Services et la Plateforme.
- Étendue du Traitement et durées de conservation des Données Personnelles : La durée des opérations de Traitement est celle de la durée du Contrat. Les Données Personnelles traitées pour le compte du Client sont conservées pour la durée du Contrat.
- Nature et finalités des opérations de Traitement : La finalité de Traitement est la génération et l’envoi des devis aux prospects du Client. Pour ce faire la nature des opérations de Traitements réalisées sont les suivantes :
  - Collecte de données,
  - Hébergement,
  - Stockage en base,
  - Extraction de données,
  - Envoi des données vers le site du Client,
  - Envoi des données vers le système du Client
  - Réalisation de statistiques,
  - Suppression de la donnée.

Catégories des Données Personnelles et des Personnes Concernées.

- Personnes Concernées : Les Données Personnelles du Responsable de Traitement concernent les catégories suivantes de personnes : prospects du Client.
- Catégories de Données Personnelles : Les Données Personnelles du Responsable de Traitement traitées sont les catégories suivantes de Données Personnelles :
  - Nom du client du client
  - Prénom du client du client
  - Adresse postale du client du client
  - Adresse email du client du client
  - Numéro de téléphone du client du client

III. Obligations du Sous-traitant vis-à-vis du Responsable de traitement

Le Sous-traitant s’engage à :

traiter les Données Personnelles uniquement pour la ou les seule(s) finalité(s) qui fait/font l’objet de la sous-traitance
traiter les Données Personnelles conformément aux instructions documentées du Responsable de Traitement, telles que fournies au sein du Contrat et dans la console des Services. Si le Sous-traitant considère qu’une instruction constitue une violation du règlement européen sur la protection des données ou de toute autre disposition du droit de l’Union ou du droit des États membres relative à la protection des données, il en informe le Responsable de Traitement . En outre, si le Sous-traitant est tenu de procéder à un transfert de données vers un pays tiers ou à une organisation internationale, en vertu du droit de l’Union ou du droit de l’État membre auquel il est soumis, il doit informer le Responsable du Traitement de cette obligation juridique avant le Traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d’intérêt public
garantir la confidentialité des Données Personnelles traitées dans le cadre du présent Contrat
veiller à ce que les personnes autorisées à traiter les Données Personnelles en vertu du présent Contrat (i) s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité et (ii) reçoivent la formation nécessaire en matière de protection des Données Personnelles
prendre en compte, s’agissant de ses outils, produits, applications ou services, les principes de protection des données dès la conception et de protection des données par défaut.

Sous-traitance

Le Sous-traitant est autorisé à faire appel aux entités suivantes (ci-après, le « sous-traitant ultérieur ») pour mener les activités suivantes :

Nom et adresse	Activité	Localisation
OVH	Hébergement	Union Européenne
HostMe	Infogérance	Union Européenne
Brevo	SMTP	Union Européenne

Le Sous-traitant garantit que les sous-traitants ultérieurs présentent des garanties suffisantes quant à la mise en oeuvre de mesures techniques et organisationnelles appropriées de manière à ce que les Traitements répondent aux exigences de la Réglementation et garantissent la protection des droits des Personnes Concernées.

Il appartient au Sous-traitant de s’assurer que le sous-traitant ultérieur présente les mêmes garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le Traitement réponde aux exigences du règlement européen sur la protection des données. Si le sous-traitant ultérieur ne remplit pas ses obligations en matière de protection des données (notamment les conditions de l’article 28 du RGPD), le Sous-traitant initial demeure pleinement responsable devant le Responsable de Traitement de l’exécution par le sous-traitant ultérieur de ses obligations.

Le Responsable de Traitement octroie au Sous-traitant l’autorisation générale de faire appel à des sous-traitants ultérieurs pour mener des activités de Traitement spécifiques. Dans ce cas, le Sous-traitant informe préalablement et par écrit le Responsable de traitement de tout changement envisagé concernant l’ajout ou le remplacement d’autres sous-traitants ultérieurs. Cette information doit indiquer clairement les activités de traitement sous-traitées, l’identité et la localisation des activités sous-traitées. Cette information est fournie de manière électronique par email. Le Responsable de Traitement peut émettre des objections à cette sous-traitance sous la forme écrite dans un délai de sept (7) jours calendaires après cette information, auquel cas (i) si pertinent, le Fournisseur pourra proposer toute alternative financièrement et techniquement raisonnable dans un délai de sept jours calendaires après cette objection à défaut de quoi (ii) chaque partie pourra immédiatement et ipso jure résilier le contrat sous réserve d’un préavis de trente (30) jours après l’envoi d’une demande formelle en ce sens par courrier recommandé avec accusé de réception.

Transferts

Le Responsable de Traitement octroie au Sous-traitant une autorisation générale d’avoir recours à des Sous-traitants ultérieurs impliquant un transfert de Données Personnelles hors UE et/ou EEA sous réserve:

qu’il existe une décision d’adéquation de la Commission européenne indiquant que le pays tiers destinataire assure une protection équivalente à celle octroyée par le RGPD,
ou que soit mise en œuvre une des garanties appropriées visées à l’article 46 du RGPD.

Dans ce cas, le Sous-traitant informe préalablement et par écrit le Responsable de traitement de tout changement envisagé concernant la mise en oeuvre d’un nouveau transfert. Cette information est fournie de manière électronique par email, et la liste des sous-traitants sera mise à jour a minima annuellement. Le Responsable peut émettre des objections à ce nouveau transfert sous la forme écrite dans un délai de sept (7) jours calendaires après cette information, auquel cas (i) si pertinent, le Fournisseur pourra proposer toute alternative financièrement et techniquement raisonnable dans un délai de sept jours calendaires après cette objection à défaut de quoi (ii) chaque partie pourra immédiatement et ipso jure résilier le contrat sous réserve d’un préavis de trente (30) jours après l’envoi d’une demande formelle en ce sens par courrier recommandé avec accusé de réception.

Le Fournisseur pourra conclure des clauses contractuelles types avec les sous-traitants ultérieurs si légalement requis (le module 3 des clauses contractuelles types serait applicable sauf si des modifications sont apportées par la Commission Européenne à celles-ci).

Pour le cas où le Sous-traitant serait tenu de procéder à un transfert vers un pays tiers ou une organisation internationale en vertu du droit de l’Union Européenne ou du droit de l’Etat membre auquel le Sous-traitant est soumis, le Sous-traitant informe préalablement le Responsable de traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d’intérêt public.

Exercice des droits des personnes

Dans la mesure du possible, le Sous-traitant doit aider par des mesures techniques et organisationnelles appropriées le Responsable de traitement à s’acquitter de son obligation de donner suite aux demandes d’exercice des droits des personnes tels que le droit d’accès et le droit à la suppression des Données. Lorsque les Personnes Concernées exercent auprès du Sous-traitant des demandes d’exercice de leurs droits, le Sous-traitant doit transmettre ces demandes dans les cinq (5) jours ouvrés suivant leur réception par courrier à l’adresse indiquée au devis ou à toute adresse électronique fournie à cet effet par le Responsable de traitement.

Notification des violations de Données Personnelles

Le Sous-traitant notifie au Responsable de traitement toute violation de Données Personnelles présentant un risque pour les Personnes Concernées, dans un délai maximum de quarante-huit (48) heures après en avoir pris connaissance par courrier à l’adresse indiquée au devis ou à toute adresse électronique fournie à cet effet par le Responsable de Traitement. Le Sous-traitant fera dans ce cas ses meilleurs efforts pour fournir au Responsable de Traitement les informations nécessaires afin de lui permettre de notifier l’autorité de protection des données compétente lorsque la Réglementation l’exige, à savoir :

Une description de la nature de la violation de Données Personnelles y compris, si possible, les catégories et le nombre approximatif de Personnes Concernées par la violation et les catégories et le nombre approximatif d’enregistrements de Données Personnelles concernés;
Une description des conséquences probables de la violation de Données Personnelles;
les mesures prises ou que le Sous-traitant propose de prendre pour remédier à la violation de Données Personnelles.

Si toutes les informations nécessaires ne sont pas disponibles lors de la notification initiale, une notification complémentaire sera adressée dès lors que les informations additionnelles seront disponibles.

Les Parties sont convenues qu’il incombe au Responsable de Traitement de procéder aux notifications pour le cas où une notification de l’autorité de contrôle compétente et/ou des Personnes Concernées seraient nécessaires.

Aide du Sous-traitant dans le cadre du respect par le Responsable de Traitement de ses obligations

Si cela est requis :

Le Sous-traitant aide le Responsable de Traitement pour la réalisation d’analyses d’impact relative à la protection des données.
Le Sous-traitant aide le Responsable de traitement pour la réalisation de la consultation préalable de l’autorité de contrôle.

Mesures de sécurité

Le Sous-traitant s’engage à mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités ainsi que des risques et ce conformément à l’article 32 du RGPD.

Les mesures de sécurité mises en œuvre par le Sous-traitant sont disponibles sur simple demande. Elles peuvent être mises à jour par le Sous-traitant à tout moment.

Sort des Données

Au terme de la prestation de services relatifs au traitement de ces données, le Sous-traitant s’engage, au choix du Responsable de Traitement :

à détruire toutes les données à caractère personnel ou
à renvoyer toutes les données à caractère personnel au responsable de traitement ou
à renvoyer les données à caractère personnel au sous-traitant désigné par le responsable de traitement

Le renvoi doit s’accompagner de la destruction de toutes les copies existantes dans les systèmes d’information du Sous-traitant, à l’exception des sauvegardes qui sont stockées de manière sécurisée dans le cadre de l’archivage automatisé du système d’information du Sous-traitant, conformément aux standards de l’industrie, à condition que leur accès reste strictement limité aux procédures de reprise après sinistre ou aux tests périodiques tels que documentés dans les politiques de sécurité de l’information du Sous-traitant. Une fois détruites, le Sous-traitant doit justifier par écrit de la destruction sur demande écrite du Responsable de Traitement.

Documentation et audit

Le Sous-traitant met à la disposition du Responsable de Traitement la documentation nécessaire pour démontrer le respect de toutes ses obligations au titre de cette Annexe.

A cet effet, le Sous-traitant permettra également la réalisation d’un (1) audit par année contractuelle par le Responsable du Traitement ou un autre auditeur qu’il a mandaté, et contribuer à ces audits. Ces audits seront exclusivement documentaires, sans audit sur site, dans les systèmes informatiques du Sous-traitant, ou au sein des locaux ou systèmes informatiques des Sous-traitants ultérieurs.

L’audit sera soumis à un préavis écrit de trente (30) jours par le Responsable de Traitement. Il peut être réalisé par le Responsable de Traitement, ou toute personne mandatée par ses soins, sous réserve d’être soumise à une obligation de confidentialité au moins équivalente à celle du Contrat, et de ne pas être un concurrent du Sous-traitant.

Le rapport d’audit est soumis au Sous-traitant pour avis.

En cas de constatation d’un manquement, les Parties échangeront sur les modalités de correction de celui-ci. Il est toutefois convenu que le Responsable de Traitement ne saurait imposer une modification des Services au Sous-traitant. Si les Parties ne trouvent pas une solution amiable afin de corriger le manquement constaté, dans un délai raisonnable, le Responsable de Traitement dispose d’un droit de résiliation unilatéral, par simple notification écrite, sans pénalité et avec remboursement pro-ratisé des sommes payées d’avance pour la période au cours de laquelle le Contrat est résilié.

Chaque Partie supporte ses propres frais d’audit.

Registre de traitement

Le Sous-traitant déclare tenir et maintenir à jour un registre des activités de Traitements effectués pour le compte du Responsable de Traitement contenant les informations énoncées à l’article 30.2 du RGPD.

Coordonnées du Délégué à la Protection des Données

Le sous-traitant communique au responsable de traitement le nom et les coordonnées de son délégué à la protection des données, s’il en a désigné un conformément à l’article 37 du règlement européen sur la protection des données

A défaut de contact Délégué à la Protection des Données du Client dans le Devis, l’adresse email de contact facturation du Client qui y figure sera utilisée pour toute notification relative à cette Annexe.

Obligations du Responsable de traitement vis-à-vis du Sous-traitant

Le Responsable de Traitement s’engage à :

Documenter par écrit toute instruction, ou utiliser les Services pour transmettre toute instruction, concernant le traitement des Données Personnelles par le Sous-traitant ;
Respecter toute législation applicable et s’assurer que les instructions adressées y sont conformes ;
Traiter les Données Personnelles conformément avec la Réglementation applicable, y compris en fournissant toute information nécessaire ;
Notifier le Fournisseur s’il apprenait que les Données Personnelles sont devenues inexactes ou périmées.