Trusted Shops conclut-il un accord de traitement des données en sous-traitance avec le membre de la boutique (article 28 RGPD) ?
Dans le cadre du contrat, Trusted Shops ne fournit pas de services en tant que sous-traitant au sens de l'article 28 RGPD. Il s'agit plutôt d'un traitement de données sous responsabilité conjointe. Par conséquent, un accord de contrôle conjoint (ACC), c'est-à-dire un accord sur la responsabilité conjointe conformément à l'article 26 du RGPD, tient lieu de contrat de traitement . L'ACC fait partie intégrante des conditions générales de Trusted Shops et comprend une réglementation complète sur le traitement des données lors de l'utilisation des services offerts par Trusted Shops.
Dans le cadre du contrat d'adhésion à Trusted Shops, Trusted Shops conclut un accord conformément à l'article 26 RGPD (responsabilité conjointe) avec le membre du magasin. En voici les conditions :
Responsabilité conjointe au sens du RGPD, ainsi quequ’un accord sur les mesures techniques et organisationnelles
Les opérations de traitement couvertes par l'accord sont précisées dans l'accord.
Il s'agit notamment de
- l'intégration du Trustbadge dans la présence en ligne.
- la transmission de données personnelles pour la conclusion de la protection de l'acheteur pour les commandes effectuées
- l'envoi d'invitations à émettre un avis en votre nom dans le cadre de la protection des acheteurs lors de l'utilisation des outils Review-Collector et AutoCollection ainsi que de l'API Trusted Shops ainsi que
- la collecte des avis via la plateforme d'avis et leur commentaire.
Quand les données sont-elles traitées et combien de temps sont-elles conservées ?
Responsabilités dans le cadre de la responsabilité partagée
|
Processus |
Trusted Shops |
Membre de la boutique |
|
Utilisation du système en ligne B2B |
Seul responsable |
|
|
Utilisation du système en ligne B2C |
Seul responsable |
|
|
Utilisation du système d'évaluation |
Seul responsable |
|
|
Contenu du trustbadge / utilisation des services Trusted Shops |
Commune |
Commune |
|
Affichage du Trustbadge dans le magasin |
Seul responsable |
|
| Envoi d'invitations par e-mail |
Commune |
Commune |
|
Revue Collector |
Commune |
Commune |
|
Collecte automatique |
Commune |
Commune |
|
Interface de programmation d'applications (API) |
Commune |
Commune |
|
Texte légal des Trusted Shops / générateur de l'annuaire de traitement |
Commune |
Commune |
Pour plus de détails, veuillez-vous reporter à l'accord sur la responsabilité partagée au sens du RGPD.
Pourquoi les informations concernant les destinataires des invitations à émettre un avis sont-elles partiellement cachées dans le centre de contrôle ?
Il existe deux aperçus dans le centre de contrôle :
- la chronique des invitations, c'est-à-dire l'aperçu des invitations à émettre un avis envoyées,
- et la boîte de réception des évaluations, c'est-à-dire l'aperçu des évaluations reçues.
Les invitations à émettre un avis envoyées en votre nom (voir ci-dessus) peuvent être affichées dans l'historique des invitations avec les informations associées sur les destinataires.
Cependant, les invitations à émettre un avis, dont l'envoi relève de la seule responsabilité de Trusted Shops, ne peuvent pas être présentées avec les informations associées sur les destinataires. Dans le cas contraire, cela signifierait un changement de la finalité du traitement. En outre, les données personnelles seraient transférées à un tiers et il n’existe pour cela aucune base juridique.
Trusted Shops envoie ces invitations à émettre un avis en sa qualité de partie responsable dans le cadre de l'exécution du contrat avec l'utilisateur final et n'obtient donc pas de consentement séparé dans ce cas.
Dans la boîte de réception des évaluations, l'adresse électronique de l'évaluateur peut être affichée en relation avec les évaluations soumises, car cet affichage est nécessaire pour que le commerçant puisse vérifier l'authenticité de la transaction et l'authenticité de l'évaluation. Les personnes concernées seront informées en conséquence avant que les données ne soient traitées.
Dois-je adapter ma déclaration de protection des données lorsque j'utilise le Trustbadge ?
Lors de l'affichage du Trustbadge / lors de l'utilisation du Trustbadge dans le processus de commande sur votre présence en ligne, vous devez, en tant que personne responsable avec une responsabilité conjointe en vertu des dispositionssur la protection des données, :
- Compléter les informations dans votre registre des activités de traitement,
- procéder à une mise en balance des intérêts conformément à l'article 6 I . fRGPD et
- adapter votre déclaration de protection des données.
Vous pouvez utiliser les docuements de travail suivants pour vous aider dans ces ajustements :
- Outil de confidentialité - Affichage du Trustbadge
- Outil de confidentialité - Reconnaissance des clients enregistrés de Trusted Shops
- Outil de confidentialité - Fourniture des données de commande requises
- Outil de confidentialité - ReviewCollector, AutoCollection et API
- Outil de confidentialité - Génération de liens de révision via API
- Exemple de texte pour votre politique de confidentialité
Quelles données de nos clients sont traitées et stockées ?
Les données minimales requises en cas de traitement de données sous responsabilité partagée sont les suivantes : pour l'affichage du Trustbadge, l'adresse IP des clients est traitée. Toutefois, celle-ci est immédiatement anonymisée. L'adresse électronique, le numéro de commande et la date de la commande sont des éléments minimaux requis pour l'envoi d'invitations via le Review Collector, AutoCollection ou l'API. En option, d'autres données telles que le prénom, le nom et les détails du produit (uniquement pour les évaluations de produits) peuvent être transmises et traitées.
Les données sont-elles traitées - uniquement afin d’envoyer des invitations à émettre un avis ?
Lorsque vous utilisez Review-Collector et Auto-Collect ou l'API, Trusted Shops envoie des invitations à émettre un avis en votre nom. Trusted Shops n'utilise ni ne stocke aucune autre donnée. Ce n'est que si le destinataire de l'invitation soumet un avis qu'il accepte les conditions d'utilisation de Trusted Shops et consent à l'utilisation ultérieure des données aux fins de traitement du contrat.
Les données sont-elles transmises à Trusted Shops lorsqu'un client clique sur le lien présent dans la demande d'évaluation du commerçant ?
Si vous cliquez sur un lien de Trusted Shops afin de soumettre un avis, votre adresse électronique et votre numéro de commande seront transmis à Trusted Shops afin de pré-remplir le formulaire d'évaluation.
Cette transmission est nécessaire à la réalisation de nos intérêts légitimes prépondérants et ceux de Trusted Shops dans la fourniture des services de notation transactionnelle liés à la commande et pour éviter les erreurs de saisie conformément à l'article 6 paragraphe1 phrase 1 f RGPD .
Si vous ne soumettez pas le formulaire d'évaluation par la suite, les données transmises seront automatiquement supprimées et utilisées par Trusted Shops exclusivement pour l'exécution du contrat relatif à l'utilisation du système d'évaluation.
Les dispositions ci-dessus ne s'appliquent qu'aux liens d'évaluation créés manuellement par le membre de la boutique et par l'intermédiaire desquels une évaluation de la boutique et non une évaluation du produit doit être soumise.
Les données sont-elles transmises - si oui : à quels tiers ? Qu’en est-il de la transmission vers des pays tiers ?
Trusted Shops fait appel à des fournisseurs de services d'hébergement et d'infrastructure. Les services d'Amazon Web Services (AWS) sont utilisés dans ce cadre. AWS est basé aux États-Unis. Cependant, Trusted Shops et AWS se sont mis d'accord sur l'Allemagne comme lieu de serveur et de traitement. Par conséquent, les articles 44 et suivants du RGPD sur le transfert de données personnelles vers un pays tiers ne sont pas applicables. L'arrêt Schrems II de la CJCE n'a donc aucun impact direct sur le traitement.
Un transfert vers les États-Unis ne peut avoir lieu que dans le cas exceptionnel suivant : afin d'afficher correctement le Trustbadge, AWS est utilisé comme fournisseur de CDN. Le traitement nécessaire à cet effet a généralement lieu sur des serveurs situés dans l'Union européenne, en particulier en Allemagne. Toutefois, il se peut que des serveurs situés dans des pays tiers soient également utilisés si l’affichage du site web est effectué depuis un tel pays.
En outre, lorsque le site web est consulté et que le badge de confiance est affiché, un fichier log est écrit et stocké sur les serveurs fournis par AWS. Dans ce cas également, le traitement a lieu au sein de l'Union européenne.
Un niveau approprié de protection des données est assuré par la conclusion de clauses contractuelles types de l'UE.
Les données sont-elles anonymes ?
Un cryptage de de pointe est utilisé pour la transmission des données personnelles. L'adresse IP traitée lors de l'affichage du Trustbadge est immédiatement anonymisée.
Combien de temps ces données clients sont-elles conservées ? Y a-t-il ensuite une suppression automatique ? (Périodes de suppression/concept ?)
Lorsque le Trustbadge apparaît, le serveur web enregistre automatiquement un fichier log du serveur, qui contient également votre adresse IP, la date et l'heure de l'appel, la quantité de données transférées et le fournisseur demandeur (données d'accès) et documente l'affichage. L'adresse IP est rendue anonyme immédiatement après la collecte, de sorte que les données stockées ne peuvent pas être rattachées personnellement. Les données anonymes sont utilisées notamment à des fins statistiques et d'analyse des erreurs.
Les données traitées pour l'envoi des invitations à soumettre un avis sont automatiquement supprimées après l'expiration du délai de soumission d'une évaluation.
Si le destinataire soumet un avis, les données reçues continueront d'être utilisées dans le cadre de l'accord d'utilisation.
Comment pouvons-nous répondre aux demandes des clients concernant la suppression de leurs données personnelles ? Devons-nous informer Trusted Shops de chaque demande du client afin que les données soient également supprimées chez Trusted Shops ?
Conformément à l'article 19 RGPD, tous les destinataires des données doivent être informés de l'exercice de leurs droits par les personnes concernées, c'est-à-dire également Trusted Shops, s'il s'agit de clients dont les données ont été traitées par Trusted Shops .
Faut-il avertir de la possibilité de faire opposition (art. 21 RGPD) ?
Affichage du Trustbadge
Le membre est conjointement responsable, avec Trusted Shops, de l'affichage du Trustbadge. Le membre doit informer de la possibilité de s'opposer conformément à l'article 21 RGPD. L'option la plus simple consiste à fournir une adresse de contact pour les oppositions. En outre, il peut être fait référence, à titre facultatif, à des outils à l'aide desquels l'utilisateur des pages peut supprimer lui-même les contenus tiers du site web, par exemple Privacy Badger ou Ghostery.
Ce dernier n'est pas obligatoire, car avant que l'opposition du client dans le cas individuel ne devienne effective, le responsable du traitement doit être en mesure de vérifier si le traitement des données est nécessaire pour faire valoir, exercer ou défendre des droits en justice, ou si des motifs légitimes impérieux pour le traitement peuvent être démontrés qui l'emporteraient sur les intérêts, les droits et les libertés de la personne concernée.
Par conséquent, même dans les cas où le traitement a déjà eu lieu, il sera possible de poursuivre le traitement sur la base de l'article 21 paragraphe1 phrase 2 RGPD. Comme vous pouvez le constater dans le texte type de votre déclaration de protection des données, l'adresse IP (aucune autre données pb n'est impliquée) est rendue anonyme immédiatement après la collecte.
Traitement des données dans le cadre de la reconnaissance des membres acheteurs enregistrés de Trusted Shops
Pour la reconnaissance via Trustbadge, les données nécessaires (pseudonyme de l'adresse e-mail, valeur de hachage) sont automatiquement collectées à partir des données de la commande. En ce qui concerne les droits d'opposition de la personne concernée, il est renvoyé aux déclarations ci-dessus, qui s'appliquent par analogie.
Trusted Shops est responsable de ce traitement avec le membre . Trusted Shops informe les utilisateurs dans sa propre déclaration de protection des données , qui est rattachée au Trustbadge et documente la prise en compte des intérêts. La base juridique est l'article 6 para.graphe1 p. 1 . f RGPD. Le membre doit informer les personnes concernées de la collecte des données et de la base juridique.
Qui est le délégué à la protection des données de Trusted Shops SE?
Le délégué à la protection des données de Trusted Shops SE:
Trusted Shops SE,
le délégué à la protection des données,
Subbelrather Str. 15c,
50823 Cologne, Allemagne