Accord de traitement des données (DPA)

Le Responsable de traitement (Marchand) détermine les finalités et les moyens du traitement des Données Personnelles relatives à ses clients finaux. Le Sous-traitant (Wajub) traite les Données Personnelles uniquement sur instruction documentée du Responsable de traitement. Wajub s'interdit de traiter les Données Personnelles pour ses propres finalités, de les vendre à des tiers, ou de les utiliser à des fins marketing sans consentement séparé. Wajub informe immédiatement le Responsable de traitement si une instruction enfreint la législation sur la protection des données.

Wajub s'assure que toute personne autorisée à traiter des Données Personnelles s'est engagée à la confidentialité. L'accès est accordé sur la base du besoin d'en connaître, avec des rôles et permissions par membre d'équipe. Les mesures techniques comprennent : le chiffrement des communications (HTTPS), le chiffrement des identifiants des Connexions de paiement stockés, la signature HMAC-SHA256 des webhooks, l'isolation des environnements de test et de production dans des bases de données distinctes, l'authentification à deux facteurs, et la journalisation des appels d'API.

Le Responsable de traitement donne son autorisation générale à Wajub pour engager des sous-traitants ultérieurs. La liste actualisée est communiquée sur demande à hello@wajub.com. Wajub notifie le Responsable de traitement au moins 30 jours avant d'engager un nouveau sous-traitant. Le Responsable de traitement peut s'y opposer dans les 14 jours pour des motifs raisonnables liés à la protection des données. Si aucune solution n'est trouvée, le Responsable de traitement peut suspendre les Services concernés sans pénalité.

Le Responsable de traitement est chargé de répondre aux demandes des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition). Wajub assiste le Responsable en fournissant les Données Personnelles pertinentes dans un format structuré sous 7 jours, en mettant en œuvre des mesures techniques pour l'effacement ou la limitation, et en documentant les activités de traitement. Si Wajub reçoit une demande directe d'une personne concernée, elle la transmet au Responsable de traitement dans les 48 heures.

Wajub notifie le Responsable de traitement sans délai excessif (et dans les 24 heures suivant la prise de connaissance) de toute violation de Données Personnelles affectant les données traitées pour le compte du Responsable. La notification inclut la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les coordonnées de contact, les conséquences probables, et les mesures prises. Wajub assiste le Responsable de traitement dans le respect de ses obligations au titre des articles 33 et 34 du RGPD.

Durées de conservation : données de transaction 10 ans, logs API (production) 1 an, logs API (sandbox) 90 jours, documents KYC/KYB durée de la relation + 5 ans. Dans les 30 jours suivant la résiliation, le Responsable de traitement peut demander l'export des Données Personnelles. Passé ce délai, Wajub supprime les Données Personnelles, sous réserve des obligations légales de conservation.

Les Données Personnelles peuvent être traitées au Royaume-Uni, dans l'Union européenne, aux États-Unis et dans les pays où opèrent les sous-traitants ultérieurs et les Providers de paiement. Pour les transferts vers des pays sans décision d'adéquation, Wajub s'appuie sur les Clauses Contractuelles Types (décision 2021/914 de la Commission européenne) ou sur un mécanisme équivalent reconnu par le UK GDPR. Des copies de ces clauses sont disponibles sur demande auprès de hello@wajub.com.

Le Responsable de traitement peut auditer la conformité de Wajub au présent DPA une fois par an (ou plus fréquemment en cas de violation de données), pendant les heures ouvrables, avec un préavis raisonnable et aux frais du Responsable (sauf si une non-conformité est révélée). Wajub peut proposer, en alternative à un audit sur site, des réponses écrites à un questionnaire de sécurité et la documentation des mesures techniques et organisationnelles en place.

Chaque partie est responsable des dommages causés par sa propre violation du présent DPA. Si Wajub enfreint matériellement ce DPA, le Responsable de traitement peut suspendre le traitement des Données Personnelles jusqu'à rétablissement de la conformité. Si Wajub ne rétablit pas la conformité dans les 14 jours suivant la notification, le Responsable peut résilier les Services concernés sans pénalité. À la résiliation, Wajub supprime toutes les Données Personnelles (sous réserve des obligations légales) et certifie la suppression par écrit.

Catégories de Données Personnelles : données d'identité (nom, email, téléphone, adresse), données de transaction (montant, devise, date, référence, statut, moyen de paiement), données techniques (adresse IP, informations sur l'appareil et le navigateur), données d'authentification (résultat 3DS, confirmation mobile money), token de paiement, données de localisation approximative (pays), données de session, données de communication, et données KYC/KYB (pièce d'identité, images de vérification du vivant, documents d'entreprise). Catégories de Personnes Concernées : clients finaux (acheteurs/payeurs), bénéficiaires de payouts, représentants des marchands, vendeurs de plateformes. Wajub ne traite pas intentionnellement de catégories particulières de données (article 9 du RGPD), à l'exception des données biométriques utilisées pour la vérification du vivant lors du KYC, avec le consentement explicite de la personne.