Accord sur le traitement des données personnelles (art. 28 RGPD)

Traduction de courtoisie. En cas de divergence, le texte italien prévaut.

Le présent Accord (accord de sous-traitance) régit le traitement des données personnelles que Business Gates S.r.l. effectue pour le compte du Client dans le cadre de la fourniture du Service BGates, au sens de l’art. 28, par. 3, du Règlement (UE) 2016/679 (ci-après le « RGPD »).

Il constitue l’Annexe des Conditions pour les clients et les administrateurs (/condizioni-amministratori) et s’accepte avec elles : il ne requiert pas de case propre. Il ne remplace pas et ne répète pas la Politique de confidentialité (/privacy), qui est un acte de transparence envers les Personnes concernées et non un contrat.

Périmètre. Il concerne le GT PRO 4G, c’est-à-dire l’Appareil connecté au réseau mobile qui commande un Accès, et le Service qui le gère. Il ne concerne pas le modèle de base qui fonctionne uniquement par SMS, ni l’appairage par Bluetooth.

Termes définis. Les mots qui commencent par une majuscule — Client, Administrateur, Opérateur BGates, Utilisateur, Appareil, Accès, Service, Plateforme, Abonnement, Numéro autorisé, Invitation, QR code permanent, QR code à usage unique, QR code d’activation, Journal des ouvertures, Répertoire personnel, Répertoire embarqué, Compte, Espace personnel, Fournisseurs, Personne concernée, Responsable du traitement, Distributeur, Installateur — ont le sens défini dans les documents du Service et rappelé ici lorsque c’est nécessaire.

1. Les parties

BGates n’a pas désigné de représentant au sens de l’art. 27 du RGPD, parce qu’elle est établie dans l’Union européenne.

2. Comment le présent Accord s’accepte, et à partir de quand il s’applique

Le présent Accord est conclu lorsque le Client accepte les Conditions pour les clients et les administrateurs dans l’Espace personnel ou dans l’app BGates. De l’acceptation, BGates enregistre : le slug du document, la version, la date et l’heure, l’adresse IP, le type de navigateur, l’écran et le canal. L’enregistrement est conservé à titre de preuve pendant la durée de la relation et pendant les dix années qui suivent.

Si un Client professionnel a besoin d’un exemplaire signé, BGates le lui fournit sur demande écrite à info@bgates.it, avec un contenu identique à celui du présent texte.

3. Ce que le présent Accord régit, et ce qu’il ne régit pas

Il régit les traitements que BGates effectue pour le compte du Client : la gestion des Numéros autorisés, l’acheminement des Invitations, le Répertoire embarqué de l’Appareil pour les numéros qui passent par le Service, les QR codes de l’Accès et les demandes d’autorisation qui en découlent, le Journal des ouvertures de l’Accès du Client, le Répertoire personnel des utilisateurs du Client, les données d’ambiance de l’Accès pour la partie qui concerne les personnes autres que le Client qui vivent ou travaillent dans le lieu, et le journal embarqué de l’Appareil lorsqu’il est téléchargé pour une intervention d’assistance.

Il ne régit pas :

• les traitements pour lesquels BGates est Responsable du traitement autonome, énumérés de manière limitative à la section 4.3 (pour ceux-ci s’appliquent les Conditions d’utilisation et la Politique de confidentialité, et non le présent Accord) ;
• les relations entre le Client et les Personnes concernées, auxquelles le Client doit fournir sa propre notice d’information : BGates fournit à ceux qui sont atteints par une Invitation, un QR code permanent ou un QR code à usage unique la Notice pour les personnes autorisées à ouvrir un Accès (/informativa-utilizzatori), mais cette notice ne remplace pas celle du Client lorsque le Client traite les mêmes données également en dehors du Service ;
• la fourniture de l’Appareil et l’Abonnement, régis par les Conditions générales de vente.

Les Personnes concernées ne sont pas parties au présent Accord et n’en tirent aucun droit contractuel ; les droits que le RGPD leur reconnaît directement demeurent intacts.

4. Les rôles

4.1 Le Client est Responsable du traitement

Le Client décide qui peut ouvrir son Accès, à partir de quand, quels jours et dans quelles plages horaires, jusqu’à quand, et quand révoquer. Il décide s’il génère un QR code, s’il approuve une demande d’autorisation, s’il consulte et exporte le Journal des ouvertures, et dans quel but. Ce sont ses décisions : elles déterminent la finalité du traitement et font donc de lui un Responsable du traitement au sens de l’art. 4, point 7, du RGPD.

La base juridique de ces traitements est l’intérêt légitime du Client (art. 6, par. 1, point f), du RGPD) à la sécurité et à la gestion des entrées par son Accès. Ce n’est pas le consentement : le consentement appartient à la Personne concernée (art. 4, point 11) et personne ne peut le donner pour le compte d’autrui. Le Client effectue et conserve la mise en balance entre son propre intérêt et les droits des Personnes concernées ; BGates met à disposition, sur demande à info@bgates.it (objet « privacy »), un modèle de mise en balance utilisable.

4.2 BGates est Sous-traitant

Pour les traitements de la section 3, BGates traite les données uniquement sur instruction documentée du Client (art. 28, par. 3, point a), du RGPD), dans les limites et selon les modalités du présent Accord.

4.3 Les traitements pour lesquels BGates est Responsable du traitement autonome, même s’ils portent sur des données du Client

La liste est limitative : en dehors d’elle, pour les données de la section 3, BGates est Sous-traitant.

1. Sécurité du Service, prévention des fraudes, détection et lutte contre les abus.
2. Enregistrements techniques de l’infrastructure (serveur web, courtier de messagerie, service d’authentification des Appareils, processus applicatifs) et leur conservation.
3. Diagnostic du réseau, y compris la position de l’Appareil déduite de la cellule du réseau mobile.
4. Assistance fournie par les Opérateurs BGates, y compris la correspondance sur le canal WhatsApp de l’entreprise.
5. Obligations légales, comptables et fiscales.
6. Preuve technique de l’acheminement des Invitations (résultat renvoyé par la passerelle SMS, identifiant du message renvoyé par le fournisseur de messagerie).
7. Amélioration du Service à partir de données pseudonymisées.
8. Registre des actions administratives des Opérateurs BGates.

Pour ces traitements, BGates détermine les finalités et les moyens et en répond directement, comme le prévoit l’art. 28, par. 10, du RGPD. L’adresse IP de celui qui remplit le formulaire public associé à un QR code permanent relève du point 1 : elle sert à BGates pour protéger un formulaire ouvert au public ; le Client ne la voit pas et n’en dispose pas.

4.4 Pourquoi il n’y a pas de responsabilité conjointe

Les déterminations des deux parties sont séparées et successives, et non conjointes : BGates détermine les finalités et les moyens de la Plateforme, le Client décide, à l’intérieur de la Plateforme, qui entre par son Accès et quand. Il manque l’exigence de complémentarité nécessaire posée par les lignes directrices 07/2020 de l’EDPB (le comité européen de la protection des données) concernant les notions de responsable du traitement et de sous-traitant. L’art. 26 du RGPD ne s’applique pas et les parties ne concluent pas d’accord de responsabilité conjointe.

4.5 Distributeurs et Installateurs

Lorsqu’un Distributeur ou un Installateur saisit des Numéros autorisés, génère des QR codes ou crée des Comptes pour le compte d’un Client, il agit pour le compte de ce Client et sous sa responsabilité : le Client répond de ses actes comme des siens propres. Lorsqu’il traite les données de ses propres clients commerciaux à ses propres fins, il est Responsable du traitement autonome et le présent Accord ne le concerne pas.

4.6 Le Client personne physique et l’usage domestique

Si le Client est une personne physique qui utilise l’Appareil dans le cadre d’une activité strictement personnelle ou domestique, le RGPD peut ne pas s’appliquer à son traitement (art. 2, par. 2, point c), du RGPD). BGates n’est pas en mesure de le vérifier à l’avance et applique en tout état de cause le présent Accord : son application n’impose pas au Client domestique des obligations dont l’exemption le dispenserait, alors que son absence laisserait les Personnes concernées sans protection.

Lorsque l’exemption s’applique, le Client n’est pas Responsable du traitement au sens du Règlement et BGates traite ces données en tant que Responsable du traitement, sur la base de son propre intérêt légitime (art. 6, par. 1, point f)) à fournir le Service demandé par le Client et à en garantir la sécurité, avec la mise en balance documentée dans l’analyse d’impact interne. Dans ce cas, BGates fournit directement aux Personnes concernées l’information prévue à l’art. 14 et décide elle-même de leurs demandes, y compris l’opposition et l’effacement, sans les renvoyer au Client. La même règle est écrite, dans les mêmes termes, dans la Politique de confidentialité (/privacy) et dans la Notice pour les personnes autorisées à ouvrir un Accès (/informativa-utilizzatori) : une Personne concernée ne doit jamais être renvoyée vers un Responsable du traitement qui n’en est pas un.

5. Durée

Le présent Accord s’applique pendant toute la durée de la relation entre les parties — de l’acceptation jusqu’à la cessation du dernier Abonnement ou, si elle est postérieure, jusqu’à la clôture du Compte du Client — et, en tout état de cause, tant que BGates traite ne serait-ce qu’une seule donnée personnelle pour le compte du Client.

Survivent à la cessation, jusqu’à leur extinction : les obligations de la section 22 (restitution et effacement), l’obligation de confidentialité de la section 12, l’obligation de conservation prévue par la loi et la responsabilité pour les faits antérieurs.

6. Nature et finalité du traitement

Les mêmes données d’ambiance, en tant qu’elles se rapportent au Client personne physique, sont traitées par BGates en tant que Responsable du traitement pour exécuter le contrat (art. 6, par. 1, point b), du RGPD) : cet aspect est décrit dans la Politique de confidentialité et non dans le présent Accord. Seul importe ici l’aspect qui concerne les autres personnes qui vivent ou travaillent dans le lieu.

BGates n’utilise pas les données de la section 3 à des fins propres autres que celles de la section 4.3, ne les cède pas à des tiers, ne les utilise pas à des fins de marketing et ne les utilise pas pour entraîner des systèmes d’intelligence artificielle.

7. Types de données personnelles

Le traitement ne nécessite ni catégories particulières de données au sens de l’art. 9 du RGPD ni données relatives aux condamnations pénales et aux infractions au sens de l’art. 10.

8. Catégories de Personnes concernées

• Les Utilisateurs : les personnes dont le numéro a été autorisé à ouvrir un Accès du Client, avec ou sans Compte. Ce sont, selon le contexte du Client, des collaborateurs, des salariés, des membres de la famille, des personnes vivant sous le même toit, des copropriétaires, des locataires, des hôtes, des fournisseurs, des livreurs, des techniciens d’entretien.
• Les demandeurs : ceux qui scannent un QR code permanent ou reçoivent un QR code à usage unique et demandent à être autorisés.
• Quiconque téléphone à l’Accès, même s’il n’est pas autorisé et même s’il s’est trompé de numéro. L’Appareil ne répond pas à l’appel — il raccroche immédiatement, et l’appel ne coûte rien à celui qui le passe — mais le numéro est capté avant que l’Appareil raccroche.
• Les personnes figurant dans le Répertoire personnel des utilisateurs du Client, qui peuvent n’avoir aucune relation ni avec le Client ni avec BGates.
• Les personnes physiques qui agissent pour le Client : Administrateurs de l’Accès, référents, Distributeurs et Installateurs mandatés.

9. Données qui ne doivent pas entrer dans le Service

Le Service n’est pas conçu pour traiter des catégories particulières de données. Le Client s’engage à ne pas saisir dans les champs libres — libellé du Numéro autorisé, notes du Répertoire personnel, description de l’Appareil, notes de la fiche d’identification — des données qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, des données génétiques ou biométriques, des données concernant la santé, la vie sexuelle ou l’orientation sexuelle, ni des données relatives aux condamnations pénales et aux infractions. Si BGates en constate la présence, elle le signale au Client et peut les supprimer, en l’en informant.

10. Instructions documentées

10.1 Ce que sont les instructions

Les instructions documentées du Client au sens de l’art. 28, par. 3, point a), du RGPD sont, dans cet ordre :

1. l’utilisation de la Plateforme conformément aux documents du Service : les Conditions d’utilisation, les Conditions pour les clients et les administrateurs, les Règles d’usage autorisé, les Règles de sécurité du compte, des numéros, des QR codes et des téléphones, la Politique de conservation des données, le présent Accord et la documentation technique de l’Appareil. Chaque opération que le Client, ou celui qui agit pour lui, effectue dans l’Espace personnel, dans l’app BGates ou sur l’Appareil est une instruction de sa part, et elle est enregistrée par le Service ;
2. les réglages que le Client configure : numéros, jours, plages horaires, dates de fin, QR codes, notifications, droits des utilisateurs associés à son Accès ;
3. les demandes écrites envoyées à info@bgates.it ou ouvertes par l’intermédiaire de l’assistance, lorsque le Client demande une opération que la Plateforme ne permet pas d’effectuer seule (par exemple une extraction, une rectification en masse ou un effacement anticipé).

BGates ne traite pas les données de la section 3 à d’autres fins, y compris en ce qui concerne les transferts vers des pays tiers, à moins qu’elle n’y soit tenue par le droit de l’Union ou de l’État membre : dans ce cas, elle en informe préalablement le Client, sauf si ce droit l’interdit pour des motifs importants d’intérêt public.

Les demandes qui impliquent une activité non comprise dans le prix de l’Abonnement font l’objet d’un devis avant leur exécution ; celles qui sont nécessaires pour satisfaire à une obligation légale ou pour donner suite à un droit d’une Personne concernée ne sont jamais subordonnées à un paiement.

10.2 Si une instruction est contraire à la loi

Si, selon BGates, une instruction constitue une violation du RGPD ou d’autres dispositions relatives à la protection des données, BGates en informe immédiatement le Client (art. 28, par. 3, dernier alinéa) et suspend l’exécution de la seule partie contestée jusqu’à ce que le Client la confirme par écrit ou la modifie. Si le Client confirme une instruction que BGates estime manifestement illicite, BGates peut en refuser l’exécution et, dans les cas graves, suspendre le Service conformément aux Conditions d’utilisation.

10.3 Ce que les instructions ne déplacent pas

Les instructions du Client ne transfèrent pas au Client la responsabilité de BGates quant à la conception et à la sécurité de la Plateforme (art. 25 et 32 du RGPD). En particulier, BGates répond du fait que le Service permette d’autoriser le numéro d’une personne sans aucune vérification que cette personne le détient, ainsi que des réglages par défaut du Service ; le Client répond du choix de la personne, de l’information donnée à cette personne et de la révocation. La déclaration par laquelle l’Administrateur confirme avoir informé la personne déplace une obligation du Client, elle n’efface pas une obligation de BGates.

11. Obligations du Client en tant que Responsable du traitement

Le Client :

1. informe les personnes dont il autorise le numéro, en leur fournissant les informations prévues à l’art. 14 du RGPD, avant la première utilisation de l’Accès ou, au plus tard, au moment de celle-ci. BGates achemine avec l’Invitation un lien vers la Notice pour les personnes autorisées à ouvrir un Accès : c’est une aide, et non l’exécution de l’obligation du Client ;
2. vérifie qu’il a un titre pour autoriser ce numéro, et n’autorise pas les numéros d’autrui à l’insu de la personne ;
3. révoque le Numéro autorisé le jour même où la personne ne doit plus entrer. Un numéro de portable peut être réattribué par l’opérateur à une autre personne : s’il reste autorisé, c’est elle qui ouvre ;
4. décide où afficher le QR code permanent et à qui remettre les QR codes à usage unique, et les révoque lorsqu’ils ne servent plus ;
5. n’utilise pas le Journal des ouvertures à des fins de contrôle à distance de l’activité des travailleurs. Si l’Accès donne sur un lieu de travail, le Client satisfait lui-même aux exigences de l’art. 4 de la legge 20 maggio 1970, n. 300 (le Statut des travailleurs italien), y compris l’information des travailleurs et, lorsqu’elle est requise, la procédure d’accord ou d’autorisation ;
6. tient ses propres utilisateurs — Administrateurs, référents, Distributeurs et Installateurs qui agissent pour lui — liés par la confidentialité et instruits de l’utilisation ;
7. tient à jour les coordonnées nécessaires aux communications prévues par le présent Accord, y compris celle relative aux violations ;
8. effectue sa propre évaluation de l’intérêt légitime et, le cas échéant, l’analyse d’impact relative à la protection des données concernant sa propre installation.

Le Client garantit à BGates que les données qu’il lui fournit ou lui fait traiter sont collectées licitement et que les instructions qu’il donne sont conformes à la loi.

12. Confidentialité et personnes autorisées

BGates garantit que les personnes autorisées à traiter les données pour le compte du Client :

• sont désignées par écrit comme personnes autorisées au sens de l’art. 2-quaterdecies du Codice in materia di protezione dei dati personali (le Code italien de la protection des données personnelles, décret législatif n° 196/2003), avec la liste précise des opérations autorisées. C’est ainsi que le Service est conçu, mais ce n’est pas encore en service au 22 septembre 2026 : à la date de la présente version, les Opérateurs BGates agissent sans désignation individuelle écrite et les lettres sont en préparation.
• se sont engagées à la confidentialité ou y sont tenues par une obligation légale ou contractuelle (art. 28, par. 3, point b), du RGPD), et cet engagement survit à la fin de la relation de travail ou de collaboration ;
• n’agissent que sur instruction du Responsable du traitement (art. 29 du RGPD) ;
• n’accèdent aux données du Client que lorsque c’est nécessaire pour fournir le Service ou pour donner suite à une demande d’assistance, et non par curiosité ou à des fins propres.

Ce qui reste écrit. Les accès des Opérateurs BGates aux informations les plus sensibles — lecture des Répertoires personnels, lecture du Répertoire embarqué, export du Journal des ouvertures, téléchargement des journaux de l’Appareil, impression des QR codes, lecture de la correspondance d’assistance, modification des rôles, suppression d’utilisateurs, export des données — sont enregistrés dans un registre des actions administratives conservé 24 mois. Sur demande écrite, le Client reçoit l’extrait des lignes qui concernent ses données, dans un délai de 30 jours.

13. Mesures de sécurité

BGates met en œuvre les mesures techniques et organisationnelles prévues à l’art. 32 du RGPD, décrites à l’Annexe B. L’Annexe B distingue, sans rien adoucir, ce qui fonctionne aujourd’hui, ce qui est en cours de mise en place et ce qui n’existe pas aujourd’hui : elle est écrite pour être lue par celui qui doit évaluer un risque, et non pour rassurer.

Aucune partie du présent Accord n’affirme que les données sont en sécurité de manière absolue : aucune mesure ne le garantit. BGates s’engage à ne pas réduire le niveau global des mesures pendant toute la durée de l’Accord et à mettre à jour l’Annexe B lorsqu’il change.

14. Sous-traitants ultérieurs

Autorisation générale. Le Client autorise BGates, au sens de l’art. 28, par. 2, du RGPD, à recourir aux sous-traitants ultérieurs énumérés dans le document Fournisseurs (/fornitori), qui fait partie intégrante du présent Accord par renvoi. La liste indique, pour chacun, la dénomination complète de l’entité contractante, le service fourni, les catégories de données traitées, le pays et la base du transfert hors de l’Espace économique européen. L’Annexe C reproduit les sous-traitants ultérieurs qui, à la date de la présente version, traitent des données du Client.

Ajouts et remplacements. BGates informe le Client de son intention d’ajouter ou de remplacer un sous-traitant ultérieur moyennant un préavis d’au moins 15 jours, par e-mail à l’adresse du Compte et par la mise à jour du document Fournisseurs. C’est le même délai que celui de la section 10 du document Fournisseurs (/fornitori) et du § 22 des Conditions pour les clients et les administrateurs.

Opposition. Dans le délai de préavis, le Client peut s’y opposer, par écrit et pour des motifs liés à la protection des données. Dans ce cas, les parties recherchent de bonne foi une solution alternative dans un délai de 30 jours ; si elles n’en trouvent pas, le Client peut résilier la partie du Service concernée, ou l’Abonnement, sans pénalités, avec le remboursement de la part payée et non utilisée. Jusqu’à l’expiration du préavis et, en cas d’opposition, jusqu’à la résolution du désaccord, BGates ne confie pas les données du Client à ce sous-traitant ultérieur. Si le recours à ce sous-traitant ultérieur est indispensable pour fournir le Service, BGates le déclare dans la communication de préavis : dans ce cas, le Client choisit, dans un délai de trente jours, entre accepter le sous-traitant ultérieur et résilier l’Abonnement sans pénalités, avec le remboursement de la part payée et non utilisée, et, jusqu’à son choix, le Service se poursuit sans que ses données soient confiées au nouveau sous-traitant ultérieur.

Remplacement urgent. Si un sous-traitant ultérieur cesse son service ou si sa fiabilité n’est plus assurée, BGates peut le remplacer moyennant un préavis plus court, en informant le Client dans un délai de 5 jours à compter du remplacement et en en indiquant le motif ; le droit d’opposition demeure, avec les mêmes effets.

Conditions. BGates impose par contrat à chaque sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles prévues par le présent Accord (art. 28, par. 4, du RGPD). BGates répond envers le Client de l’inexécution de ses sous-traitants ultérieurs comme de la sienne propre.

15. Assistance pour les droits des Personnes concernées

BGates aide le Client, par des mesures techniques et organisationnelles appropriées, à donner suite aux demandes des Personnes concernées (art. 28, par. 3, point e), du RGPD).

Si la demande parvient à BGates. BGates ne répond pas sur le fond pour le compte du Client. Elle la prend en charge dans un délai de 24 heures, la transmet au Client dans un délai de 5 jours ouvrables avec tout ce dont il a besoin pour répondre, indique à la Personne concernée à qui elle l’a transmise et reste à la disposition du Client pour l’extraction des données. Si la Personne concernée le demande, BGates peut suspendre immédiatement l’autorisation du numéro dans l’attente de la décision du Client : c’est une mesure conservatoire technique, et non une décision sur le fond de la demande.

Si la demande parvient au Client. BGates fournit, dans un délai de 10 jours ouvrables à compter de la demande écrite, les données et les informations que le Client ne peut pas obtenir seul depuis l’Espace personnel.

Ce que le Client peut faire seul. Depuis l’Espace personnel, le Client consulte et exporte les Numéros autorisés et le Journal des ouvertures de son Accès, révoque un numéro, révoque un QR code, corrige le libellé associé à un numéro, supprime une ligne du Répertoire personnel.

Droit d’opposition. La base du traitement étant l’intérêt légitime du Client, la Personne concernée peut s’y opposer au sens de l’art. 21 du RGPD. La décision appartient au Client, qui doit la rendre par écrit et la motiver ; en l’absence de motifs légitimes impérieux prévalents, le numéro doit être retiré. BGates exécute la décision et en conserve une trace.

16. Assistance en matière de sécurité, de violations et d’analyses d’impact

BGates aide le Client à respecter les obligations prévues aux art. 32 à 36 du RGPD (art. 28, par. 3, point f)), compte tenu de la nature du traitement et des informations à sa disposition. Concrètement : elle fournit la description des mesures de sécurité (Annexe B), les informations sur les flux de données et sur les sous-traitants ultérieurs, les données nécessaires à une analyse d’impact, et l’assistance prévue aux sections 17 et 18.

BGates met en outre à la disposition du Client, sur demande, l’extrait de son registre des catégories d’activités de traitement effectuées pour son compte (art. 30, par. 2, du RGPD).

17. Violations de données à caractère personnel

Qui notifie. Si la violation concerne des données traitées pour le compte du Client, le Responsable du traitement est le Client : la notification au Garante per la protezione dei dati personali (l’autorité italienne de protection des données) et l’éventuelle communication aux Personnes concernées lui incombent. BGates ne notifie pas à sa place et ne se substitue pas à son évaluation.

Ce que fait BGates. Elle informe le Client dans les meilleurs délais et, en tout état de cause, dans un délai de 24 heures après en avoir pris connaissance (art. 33, par. 2, du RGPD). Ce délai est de 24 heures parce que le Client doit conserver au moins 48 des 72 heures que lui accorde l’art. 33, par. 1, pour décider et notifier.

Moment de la prise de connaissance. C’est le moment où BGates a un degré raisonnable de certitude qu’un incident de sécurité a concerné des données personnelles. La date et l’heure sont consignées dans le registre interne des violations avant toute autre activité.

Contenu de la communication au Client, dans la mesure de ce qui est connu à ce moment-là, avec des compléments ultérieurs sans attendre que la situation soit entièrement connue :

Assistance. À la demande du Client, BGates l’aide pour la notification au Garante et pour la communication aux Personnes concernées, et lui fournit les éléments en sa possession. Lorsque la seule coordonnée disponible pour une Personne concernée est le numéro de téléphone, BGates l’utilise pour le compte du Client, avec un message bref et non promotionnel.

Registre des violations. BGates documente chaque violation qui la concerne, y compris celles qui ne sont pas notifiées, comme l’exige l’art. 33, par. 5, du RGPD.

Une seconde horloge, qui n’est pas celle du RGPD. Si l’incident concerne une vulnérabilité de l’Appareil ou du Service, BGates est également soumise aux obligations de signalement du règlement (UE) 2024/2847 relatif à la cybersécurité des produits comportant des éléments numériques : alerte précoce dans un délai de 24 heures, notification dans un délai de 72 heures, rapport final, et information des utilisateurs. Ce sont des délais et des destinataires différents de ceux de l’art. 33 du RGPD, et ils courent en parallèle. La procédure est décrite dans le document Gestion des violations et des incidents (/incidenti).

18. Analyse d’impact et consultation préalable

BGates a réalisé, pour les traitements de la Plateforme, sa propre analyse d’impact relative à la protection des données et la tient à jour.

Le Client évalue de manière autonome si son utilisation du Service nécessite une analyse d’impact au sens de l’art. 35 du RGPD. C’est le cas, en particulier, lorsque l’Accès donne sur un lieu de travail ou lorsque le Journal des ouvertures concerne un nombre élevé de personnes. BGates fournit, sur demande écrite et sans frais supplémentaires, les informations sur le fonctionnement du Service, sur les flux de données, sur les sous-traitants ultérieurs et sur les mesures de sécurité nécessaires pour la compléter, dans un délai de 20 jours ouvrables.

Si le Client doit consulter préalablement le Garante au sens de l’art. 36 du RGPD, BGates lui fournit les informations utiles dans le même délai.

19. Audits et inspections

BGates met à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations de l’art. 28 du RGPD et permet la réalisation d’audits, y compris d’inspections, et y contribue (art. 28, par. 3, point h)).

Audit documentaire. Une fois par an, le Client peut demander : la description à jour des mesures de sécurité, la liste des sous-traitants ultérieurs, l’extrait du registre des traitements effectués pour son compte, l’extrait du registre des actions administratives qui concernent ses données, et la réponse à un questionnaire d’audit. BGates répond dans un délai de 30 jours à compter de la demande.

Inspection sur place. Le Client peut effectuer une inspection chez BGates, directement ou par l’intermédiaire d’un auditeur indépendant qui n’est pas un concurrent de BGates et qui est tenu à la confidentialité, aux conditions suivantes :

1. préavis écrit d’au moins 30 jours, avec l’indication du périmètre et des noms des personnes ;
2. une fois par an, sauf si l’inspection est demandée par l’autorité de contrôle ou fait suite à une violation de données qui a concerné le Client : dans ces cas, la limite de fréquence ne s’applique pas et le préavis est réduit à 5 jours ouvrables ;
3. pendant les heures ouvrables, sans interrompre la fourniture du Service ;
4. sans accès aux données d’autres clients, aux secrets d’affaires et aux identifiants, et sans copie de documents contenant des données de tiers ;
5. aux frais du Client, y compris les frais de l’éventuel auditeur. Restent à la charge de BGates ses propres activités ordinaires de réponse ; si l’inspection établit une inexécution grave de BGates, les frais raisonnables sont à la charge de BGates.

Le rapport d’inspection est confidentiel entre les parties, sauf l’obligation de le remettre à l’autorité de contrôle qui le demande.

Aucune clause de la présente section n’exclut ni ne limite les pouvoirs du Garante et des autres autorités de contrôle.

20. Lieu du traitement et transferts hors de l’Espace économique européen

Les données de la section 3 sont conservées sur des serveurs situés à Nuremberg, en Allemagne, chez netcup GmbH.

Certains sous-traitants ultérieurs traitent des données hors de l’Espace économique européen, et sont indiqués comme tels à l’Annexe C et dans le document Fournisseurs. Pour ceux qui sont certifiés sur la liste du Data Privacy Framework (cadre de protection des données UE–États-Unis), le transfert repose sur la décision d’adéquation (UE) 2023/1795 (art. 45 du RGPD) ; la décision est en vigueur, elle a été confirmée en première instance par le Tribunal de l’Union européenne le 3 septembre 2025 (affaire T-553/23) et le pourvoi est pendant. Pour ceux qui ne sont pas certifiés, le transfert repose sur les clauses contractuelles types adoptées par la Commission (art. 46, par. 2, point c), du RGPD), accompagnées d’une évaluation du transfert. Les clauses restent en vigueur également avec les fournisseurs certifiés.

Le Client peut demander une copie des garanties applicables à un transfert déterminé en écrivant à info@bgates.it.

BGates ne transfère pas les données du Client hors de l’Espace économique européen à des fins autres que la fourniture du Service et ne le fait pas de sa propre initiative sans en informer le Client.

21. Conservation

Pendant la durée de la relation, BGates conserve les données traitées pour le compte du Client selon les durées de la Politique de conservation des données (/conservazione), qui est le document où ces durées sont fixées. Elles sont reproduites à l’Annexe A pour faciliter la lecture : si les deux textes venaient à diverger, c’est la Politique de conservation des données qui prévaut.

Les durées s’appliquent également pendant que la relation est en cours : elles ne sont pas un effet de la cessation. Le Client peut demander des durées plus courtes pour son Accès ; il ne peut pas demander des durées plus longues que celles qui sont déclarées.

22. Fin de la relation : restitution et effacement

À la cessation de la relation, au choix du Client, BGates restitue ou efface toutes les données personnelles traitées pour son compte (art. 28, par. 3, point g), du RGPD).

Ce qui reste, et pourquoi. Restent uniquement : les données que BGates doit conserver en vertu d’une obligation légale — en particulier les données comptables et fiscales, pendant 10 ans au sens de l’art. 2220 du Codice civile (le Code civil italien) — et les enregistrements des acceptations des documents, conservés pendant 10 ans après la fin de la relation à titre de preuve de ce qui a été accepté et à quel moment. Ces données ne sont plus traitées pour le compte du Client : BGates les conserve en tant que Responsable du traitement, sous une forme bloquée, et ne les utilise que pour l’obligation à laquelle elles servent.

Restent en outre les données anonymes et les statistiques agrégées qui ne permettent pas de remonter à une personne physique.

23. Mise hors service de l’Appareil

À la cessation, au remplacement ou à la revente de l’Appareil, les données personnelles qui se trouvent dans l’Appareil — le Répertoire embarqué et les journaux de l’Appareil — ne s’effacent pas d’elles-mêmes, et la commande de réinitialisation de la configuration n’efface pas le Répertoire embarqué. Le Client et BGates exécutent la procédure de mise hors service décrite dans la documentation du Service : remise de l’Appareil aux réglages d’usine, vérification que le Répertoire embarqué est vide, effacement des fichiers de configuration et de journal éventuellement téléversés sur le serveur de maintenance, effacement des lignes du Journal des ouvertures conformément à la section 22. La mise hors service laisse une trace.

24. Responsabilité

Chaque partie répond du respect des obligations que le RGPD met à sa charge. Envers les Personnes concernées et envers l’autorité de contrôle, les art. 82 et 83 du RGPD s’appliquent : en particulier, le sous-traitant n’est tenu pour responsable du dommage causé par le traitement que s’il n’a pas respecté les obligations qui incombent spécifiquement aux sous-traitants ou qu’il a agi en dehors des instructions licites du responsable du traitement ou contrairement à celles-ci (art. 82, par. 2).

Si une partie a réparé totalement le dommage subi par une Personne concernée, elle peut réclamer à l’autre la part de la réparation correspondant à sa part de responsabilité (art. 82, par. 5).

Ce qui ne se limite pas. Les limitations de responsabilité prévues par les Conditions d’utilisation ne s’appliquent pas aux obligations du présent Accord : la protection des données personnelles relève de l’ordre public, et l’art. 1229, alinéa 2, du Codice civile frappe de nullité la clause qui en limite à l’avance la responsabilité. La responsabilité pour dol ou faute lourde n’est limitée en aucun cas (art. 1229, alinéa 1).

Aucune obligation d’indemnisation en matière de données personnelles. Les parties ne se consentent pas réciproquement de garanties d’indemnisation pour les violations de la réglementation relative à la protection des données personnelles : chacune répond de sa propre inexécution. Restent intactes les garanties que le Client donne à BGates sur la licéité de ses instructions (section 11) et les conséquences contractuelles de leur inexécution.

25. Rapport avec les autres documents, loi applicable, juridiction compétente

En cas de contradiction entre le présent Accord et les autres documents du Service en matière de protection des données personnelles, le présent Accord prévaut. Pour toute autre matière, ce sont les Conditions d’utilisation et les Conditions applicables qui prévalent.

Le présent Accord est régi par la loi italienne. Pour les litiges, la juridiction compétente est celle convenue dans les Conditions d’utilisation ; si le Client est un Consommateur, le tribunal du lieu de sa résidence ou de son domicile élu reste compétent. Les pouvoirs du Garante per la protezione dei dati personali et le droit des Personnes concernées d’introduire une réclamation au sens de l’art. 77 du RGPD demeurent intacts.

Si une clause est nulle ou sans effet, les autres restent valables et la clause est remplacée par la clause licite la plus proche de l’intention des parties.

Annexe A — Traitements, données, Personnes concernées et durée

Annexe B — Mesures techniques et organisationnelles (art. 32 RGPD)

La présente annexe décrit l’état réel des mesures à la date de la version. Elle est mise à jour à chaque modification substantielle.

B.1 Ce qui fonctionne aujourd’hui

B.2 Ce qui est en cours de mise en place

B.3 Ce qui n’existe pas aujourd’hui, et qu’il faut savoir

Cette partie ne s’omet pas. Un Client qui doit évaluer un risque a le droit de la connaître, et un document qui la passerait sous silence serait une fausse déclaration.

1. La connexion entre l’Appareil et le Service n’est pas chiffrée sur les Appareils installés : les numéros de téléphone et les commandes circulent en clair sur le canal de messagerie. Le canal est accessible depuis Internet.
2. Le canal de maintenance de l’Appareil n’est pas chiffré : les fichiers de configuration et de journal que l’Appareil téléverse — et qui contiennent l’intégralité du Répertoire embarqué — transitent en clair.
3. Il n’y a pas de chiffrement des données au repos : ni au niveau des colonnes, ni du volume, ni du disque. Les sauvegardes sont en revanche chiffrées.
4. Il n’y a pas d’authentification en deux étapes, pas même pour les comptes administratifs, et il n’y a pas de blocage du compte après un certain nombre de tentatives erronées : la protection est la limite de fréquence par adresse.
5. Il n’y a pas de séparation des données au niveau de la base de données : la séparation entre clients est appliquée par le Service, et non par le moteur de la base de données.
6. Il n’y a pas de sauvegarde hors site : la perte de la machine entraînerait aussi la perte des sauvegardes.
7. L’autorisation d’un numéro ne vérifie pas que ce numéro appartient à la personne autorisée. C’est une limite de conception connue, dont BGates répond (section 10.3), et dont la correction est planifiée.
8. Le mot de passe de l’Appareil comporte quatre chiffres, et il existe une valeur par défaut sur le produit : le changement à la remise de l’installation est une obligation du Client, indiquée dans les Règles de sécurité du compte, des numéros, des QR codes et des téléphones.

Annexe C — Sous-traitants ultérieurs qui traitent des données du Client

À la date de la présente version. La liste complète et à jour, avec la date de la dernière vérification, figure dans le document Fournisseurs (/fornitori), qui prévaut sur la présente annexe.

Deux précisions qui évitent un malentendu. Le fournisseur des paiements et l’opérateur des SIM traitent des données à des fins pour lesquelles BGates est Responsable du traitement (facturation, connectivité) : ce ne sont pas des sous-traitants ultérieurs au sens du présent Accord, et ils figurent dans la Politique de confidentialité. Les services qui transforment l’identifiant de cellule en une position approximative relèvent du diagnostic du réseau de l’Appareil, dont BGates est également Responsable du traitement.

Modifications du présent Accord

BGates peut modifier le présent Accord pour l’adapter à une modification législative, à une décision de l’autorité de contrôle, à un changement du Service ou à l’arrivée d’un sous-traitant ultérieur. La modification est communiquée au Client à l’adresse e-mail du Compte moyennant un préavis d’au moins 30 jours, avec l’indication de ce qui change ; pour les seuls sous-traitants ultérieurs, s’applique le préavis plus court de la section 14, qui est de 15 jours, avec le droit d’opposition qui y est prévu.

Si la modification réduit les protections du Client ou des Personnes concernées, le Client peut résilier l’Abonnement sans pénalités dans un délai de 30 jours à compter de la communication, avec le remboursement de la part payée et non utilisée. Les modifications qui se bornent à transposer une obligation légale ou à ajouter une garantie entrent en vigueur à la date indiquée, sans droit de résiliation.

Les versions précédentes restent disponibles sur demande.

Version 2026.09.22-1 — en vigueur depuis le 22 septembre 2026. Quand nous modifions quelque chose de substantiel — une nouvelle finalité, un nouveau fournisseur, une durée de conservation plus longue — nous publions ici la nouvelle version, avec sa date, et si tu as un Compte, nous te le communiquons par e-mail. Ce document ne s’accepte pas : il se lit, et nous ne te demandons de cocher aucune case. Les corrections de forme ne changent pas la version. Les versions précédentes restent disponibles sur demande à info@bgates.it.