AVIS DE CONFIDENTIALITÉ

Le présent document, ci-après dénommé “ l'Avis de confidentialité ”, décrit les pratiques de confidentialité de Partnerway OÜ, exerçant sous le nom commercial de Spendbase (“ “Nous", "nous", "notre", "Base de données Spendbase” “) et régit le traitement des données personnelles dans le cadre de la fourniture de nos services de banque digitale, de paiement et de technologie financière (« “Services” “) aux clients basés dans l'UE\EEE et au Royaume-Uni (« “Clients” ») définis ci-dessous.

Votre utilisation continue des Services constitue votre reconnaissance et votre acceptation des pratiques de confidentialité décrites dans le présent Avis de confidentialité. En cas de préoccupation relative à cet Avis de confidentialité ou à la manière dont nous traitons vos Données personnelles, n'hésitez pas à nous contacter à l'adresse suivante :

Délégué à la protection des données À l'attention de : E-mail Confidentialité et Conformité : privacy@test-domain-partnerway.prod.spendbase.co

Spendbase fournit des services de technologie financière interentreprises (B2B), y compris des programmes de cartes d'entreprise et des services de plateforme associés. Tous les comptes Spendbase sont ouverts et gérés exclusivement à des fins professionnelles.

Par conséquent, le présent Avis de confidentialité s'applique aux Clients, à savoir :

• Les Clients professionnels qui concluent une relation contractuelle avec Spendbase, qui sont traités comme des entités commerciales (“ “Client professionnel” »), et
• Les personnes physiques qui accèdent aux services de Spendbase ou les utilisent pour le compte d'un Client professionnel, y compris les employés, les dirigeants et les titulaires de cartes, qui agissent uniquement à titre professionnel ou dans le cadre de leur emploi (“ “Utilisateur autorisé”)

Aux fins du RGPD et du RGPD britannique, Spendbase agit en tant que responsable du traitement des données pour les activités de traitement décrites dans le présent Avis de confidentialité. Nos coordonnées sont détaillées ci-dessous.

Conformément à la législation applicable, Spendbase peut agir en tant que:

• Responsable de traitement indépendant pour les Données personnelles traitées pour ses propres obligations légales, de conformité, de prévention de la fraude, de sécurité et de LCB/FT (AML/KYC).
• Sous-traitant de données en ce qui concerne les Données personnelles des Utilisateurs autorisés traitées pour le compte des Clients professionnels à des fins d'administration de compte, de gestion des dépenses et de plateforme associée, en vertu des accords de traitement de données applicables.

Pour plus d'informations sur la manière dont cet arrangement à double capacité affecte le traitement des Données personnelles des Utilisateurs autorisés, veuillez vous reporter à la Section 12 (Utilisateurs autorisés) ci-dessous.

Un Accord de traitement des données (“ “DPA“ ») régissant le traitement des Données personnelles par Spendbase pour le compte des Clients professionnels est disponible sur demande. L'ATD définit les obligations de chaque partie dans le cadre du traitement des données des Utilisateurs autorisés et prévaut sur le présent Avis de confidentialité en cas d'incohérence.

Prestataires de services réglementés. Pour les Clients britanniques, les cartes et les comptes sont émis par Moorwand Ltd, une société constituée en Angleterre et au Pays de Galles (numéro de société 08491211), dont le siège social est sis Fora, 3 Lloyds Avenue, Londres, EC3N 3DS, agréée par la Financial Conduct Authority en vertu de l'Electronic Money Regulations 2011 (FRN 900709). Pour les Clients de l'EEE, les cartes et les comptes sont émis par Heuro SAS, en partenariat avec Moorwand Ltd. Heuro SAS est agréée par l'Autorité de Contrôle Prudentiel et de Résolution (ACPR) sous le numéro de licence 17478. Ces institutions, ainsi que Mastercard International et d'autres partenaires de réseaux de paiement qui participent à la fourniture des Services, traitent les Données personnelles en tant que responsables de traitement indépendants pour leurs propres fins réglementées — y compris la conformité LCB/FT, le filtrage des sanctions, le dépôt de déclarations de soupçon (SAR), la gestion du risque de fraude, les services de tokenisation et la fourniture de numéros de compte, ainsi que les obligations découlant de leurs propres agréments et de la réglementation applicable aux services financiers. Les flux de données vers ces parties constituent des divulgations entre responsables de traitement indépendants, et non des instructions de traitement de la part de Spendbase. Chacune de ces institutions est indépendamment responsable devant ses propres régulateurs (notamment la FCA, l'ACPR et les autorités nationales compétentes applicables) des Données personnelles qu'elle reçoit. Les Clients professionnels et les Utilisateurs autorisés peuvent être soumis aux propres avis de confidentialité de ces institutions en plus du présent Avis.

Le cas échéant, Spendbase traite les Données personnelles conformément à :

• Le Règlement (UE) 2016/679 (Règlement général sur la protection des données — RGPD) ;
• Le RGPD britannique (UK GDPR) et le Data Protection Act 2018 (pour les Clients britanniques) ;
• La Directive (UE) 2015/2366 (DSP2) et les mesures nationales de mise en œuvre applicables ;
• Le Règlement (UE) 2022/2554 (DORA) et ses normes techniques de réglementation ;
• Législation AML/KYC applicable, y compris la directive (UE) 2018/843 (5AMLD) et les mesures nationales d'exécution ;
• Obligations contractuelles avec nos prestataires de services réglementés, règles des réseaux de cartes et réglementation applicable aux services financiers.

Spendbase collecte et traite les données personnelles uniquement dans la mesure nécessaire pour fournir les Services, se conformer aux obligations légales et réglementaires applicables, prévenir la fraude et les abus, et exploiter et sécuriser Spendbase et ses Services. Selon le type de client, nous collectons les données personnelles comme suit :

Toutes les données personnelles des utilisateurs autorisés sont traitées uniquement dans le cadre de la relation professionnelle ou d'emploi de la personne avec le client professionnel concerné. Spendbase ne collecte pas intentionnellement de données personnelles à des fins personnelles, familiales ou domestiques, n'adresse pas ses services aux enfants et ne collecte pas sciemment de données personnelles auprès de personnes de moins de 18 ans.

Lorsque la loi le permet, Spendbase peut créer et utiliser des données agrégées ou anonymisées dérivées de données personnelles à des fins d'analyse, de reporting, d'analyse comparative et d'amélioration des services. Ces données ne permettent pas d'identifier une personne et ne sont pas traitées comme des données personnelles au sens de la loi applicable.

Spendbase collecte des données personnelles auprès des sources légales et transparentes suivantes :

En vertu du RGPD et du RGPD du Royaume-Uni, Spendbase est tenue d'identifier une base légale pour chaque activité de traitement. Spendbase traite les données personnelles sur les bases juridiques suivantes conformément à l'article 6 du RGPD (et, pour les catégories particulières de données, à l'article 9 du RGPD le cas échéant) et à des fins cohérentes avec la nature de nos services. Les données personnelles ne sont pas utilisées à des fins incompatibles avec la raison initiale pour laquelle elles ont été collectées.

 Évaluation des intérêts légitimes. Lorsque Spendbase s'appuie sur l'Art. 6(1)(f) (intérêts légitimes), elle a évalué que le traitement est nécessaire à l'intérêt légitime poursuivi, et que cet intérêt n'est pas supplanté par les intérêts ou les libertés et droits fondamentaux des personnes concernées. Les personnes concernées peuvent demander des informations complémentaires sur ces évaluations ou s'opposer à un tel traitement — voir la Section 14 (Droits des personnes concernées) ci-dessous.

Spendbase ne vend pas de Données Personnelles et ne les divulgue pas, sauf si cela est nécessaire pour exploiter les Services, se conformer aux obligations légales et réglementaires, protéger la sécurité et l'intégrité de la plateforme, ou de toute autre manière autorisée par la loi. Tous les prestataires de services sont contractuellement tenus de maintenir des pratiques de confidentialité et de sécurité conformes au présent Avis et à la loi applicable.

Les Données Personnelles ne sont conservées que pendant la durée nécessaire à la réalisation des finalités pour lesquelles elles ont été collectées, conformément aux exigences légales et réglementaires applicables, aux obligations contractuelles et à nos politiques internes de gouvernance des données.

Lorsque la conservation n'est plus requise, les Données Personnelles sont supprimées de manière sécurisée, anonymisées ou dé-identifiées conformément aux politiques et contrôles techniques applicables.

Spendbase met en œuvre et maintient des mesures de protection administratives, techniques et physiques conçues pour protéger les Données Personnelles contre tout accès, divulgation, altération ou destruction non autorisés, conformément à l'article 32 du RGPD et à la législation applicable, y compris les exigences de la DORA sur la gestion des risques liés aux TIC.

• Garanties administratives : Politiques et procédures régissant l'accès aux données, la confidentialité, la formation des employés, la réponse aux incidents, la gestion des sous-traitants et la surveillance de la conformité. L'accès aux Données Personnelles est limité au personnel et aux prestataires de services qui en ont besoin à des fins professionnelles légitimes et qui sont soumis à des obligations de confidentialité.
• Garanties techniques : Contrôles d'accès, authentification multifacteur, chiffrement en transit et au repos, journalisation et surveillance, contrôles de sécurité du réseau et gestion des vulnérabilités.
• Réponse aux incidents : Spendbase maintient des procédures pour détecter, répondre et se rétablir des incidents de sécurité. Conformément à l'Art. 33 du RGPD, Spendbase notifiera l'autorité de contrôle compétente dans les 72 heures suivant la prise de connaissance d'une violation de données personnelles devant faire l'objet d'une notification. Conformément à l'Art. 34, les personnes concernées touchées seront notifiées sans retard injustifié. Lorsque la violation affecte les opérations du programme de cartes, Spendbase en informera également Moorwand Ltd et Heuro SAS conformément à ses obligations contractuelles et aux exigences applicables en matière de notification d'incidents du réseau de cartes.

Bien que Spendbase prenne des mesures raisonnables et appropriées pour protéger les Données Personnelles, aucun système ou méthode de transmission ne peut être garanti comme totalement sécurisé. Les Clients Professionnels et les Utilisateurs Autorisés sont responsables du maintien de la confidentialité de leurs identifiants d'accès et de l'utilisation des Services de manière sécurisée.

Spendbase est une entreprise technologique mondiale. Les Données Personnelles collectées dans le cadre des Services peuvent être traitées dans des pays situés en dehors de l'UE/EEE ou du Royaume-Uni, y compris aux États-Unis. Les principaux fournisseurs d'infrastructure comprennent :

• Amazon Web Services (AWS) — principalement des régions de l'UE/EEE (y compris l'Irlande et Francfort), rarement les États-Unis ;
• Google Cloud Platform (GCP) — régions de l'UE/EEE et États-Unis ;
• D'autres sous-traitants ultérieurs comme indiqué dans l'accord de traitement des données (DPA).

Lorsque des Données Personnelles sont transférées vers un pays tiers, Spendbase s'appuie sur les mécanismes de transfert suivants, selon le cas :

• Décisions d'adéquation de la Commission européenne ;
• Clauses contractuelles types (CCT) et/ou accords de transfert international de données (IDTA) du Royaume-Uni
• D'autres garanties appropriées en vertu de l'Art. 46 du RGPD ou de l'Art. 46 du RGPD britannique, selon le cas.

Les Clients Professionnels peuvent demander des informations complémentaires sur les destinations de transfert, les garanties applicables, et des copies des mécanismes de transfert concernés en contactant privacy@test-domain-partnerway.prod.spendbase.co

Les Données Personnelles traitées par Moorwand Ltd et Heuro SAS en leur qualité de responsables de traitement indépendants peuvent être soumises à des dispositions de transfert international distinctes dans le cadre de leurs propres cadres réglementaires, y compris des transferts vers l'infrastructure de traitement de Mastercard International. Les clients doivent se référer aux avis de confidentialité de ces institutions pour plus d'informations.

Spendbase traite les Données Personnelles relatives aux Utilisateurs Autorisés uniquement dans le cadre des Services fournis au Client Professionnel concerné et conformément aux instructions du Client Professionnel, aux conditions contractuelles applicables et à la législation applicable.

Responsabilités du Client Professionnel. Les Clients Professionnels sont responsables de : (i) déterminer quelles personnes sont autorisées à accéder aux Services et gérer leurs droits d'accès et identifiants ; (ii) s'assurer que les informations relatives aux Utilisateurs Autorisés fournies à Spendbase sont exactes, à jour et obtenues légalement ; (iii) informer les Utilisateurs Autorisés de la manière dont leurs Données Personnelles sont collectées, utilisées et partagées dans le cadre des Services, y compris par le biais de politiques et d'avis internes lorsque cela est requis par les lois applicables sur l'emploi, la confidentialité et la protection des données ; et (iv) s'assurer que leur utilisation des données des Utilisateurs Autorisés est conforme à la législation applicable.

Le rôle de Spendbase. En ce qui concerne les données des Utilisateurs Autorisés traitées pour le compte des Clients Professionnels aux fins de l'administration de la plateforme, Spendbase agit en tant que Sous-traitant des données et ne contrôle ni ne détermine les finalités ou les moyens de ce traitement. En ce qui concerne les données traitées pour les propres obligations légales, de conformité, de prévention de la fraude et de sécurité de Spendbase, Spendbase agit en tant que Responsable de traitement indépendant.

Demandes des Utilisateurs Autorisés. Les Utilisateurs Autorisés doivent adresser leurs demandes relatives à l'accès, la rectification ou la suppression de leurs Données Personnelles principalement au Client Professionnel qui a autorisé leur accès aux Services. Lorsque la loi ou le contrat l'exige, Spendbase aidera les Clients Professionnels à répondre à ces demandes. Dans le cas où un Utilisateur Autorisé soumet une demande de confidentialité directement à Spendbase, Spendbase s'efforcera de transmettre la demande au Client Professionnel concerné sans retard injustifié et de fournir les informations autorisées par la loi.

Spendbase utilise des cookies et des technologies similaires en relation avec ses sites web et sa plateforme pour faire fonctionner, sécuriser et améliorer les Services. Ces technologies contribuent à assurer le fonctionnement de la plateforme, à protéger contre la fraude et les accès non autorisés, à soutenir les analyses et le suivi des performances, et à maintenir la fiabilité du service.

Les cookies et technologies similaires peuvent collecter des informations telles que les identifiants d'appareil, l'adresse IP, le type de navigateur, le système d'exploitation, les préférences linguistiques, les horodatages d'accès et les données d'interaction. Ces informations sont utilisées à des fins techniques, de sécurité et opérationnelles.

Spendbase utilise les catégories de technologies suivantes :

• Strictement nécessaires : Requis pour le fonctionnement, la sécurité et l'authentification de la plateforme. Ne peuvent pas être désactivés sans altérer les fonctionnalités.
• Fonctionnels et de performance : Aident à mémoriser les préférences de l'utilisateur, à analyser les performances de la plateforme et à diagnostiquer les problèmes techniques.
• Analyse : Aident à comprendre comment les Services sont utilisés et à en améliorer le fonctionnement. Les outils d'analyse sont configurés pour soutenir les opérations commerciales et ne sont pas utilisés pour la publicité comportementale intercontexte.

Spendbase ne pratique pas de publicité comportementale de type grand public et n'utilise pas de cookies pour la publicité comportementale intercontexte. Les cookies non essentiels (autres que ceux strictement nécessaires) ne sont placés qu'avec le consentement préalable de l'utilisateur, qui peut être retiré à tout moment via l'outil de gestion des cookies disponible sur le site web de Spendbase. Lorsque la législation applicable l'exige, Spendbase fournit les avis et choix appropriés concernant l'utilisation des cookies et technologies similaires par le biais des paramètres de la plateforme ou des commandes du navigateur.

En vertu du RGPD et du RGPD britannique, les personnes physiques dont les Données Personnelles sont traitées par Spendbase en tant que responsable du traitement disposent des droits suivants. Étant donné que Spendbase opère dans un contexte interentreprises (B2B) et traite la plupart des données à titre professionnel ou commercial, certains droits peuvent faire l'objet de limitations ou d'exemptions en vertu de la législation applicable.

Comment exercer vos droits. Pour exercer l'un des droits énumérés ci-dessus, le Client doit soumettre une demande écrite à privacy@test-domain-partnerway.prod.spendbase.co  avec la mention “ Demande de la personne concernée ” en objet et inclure : (i) le nom complet et l'adresse e-mail de la personne concernée associés au compte ; (ii) le nom du Client Professionnel auquel la personne concernée est affiliée ; (iii) une description du droit que la personne concernée souhaite exercer ; et (iv) toute information supplémentaire raisonnablement nécessaire pour vérifier l'identité.

Spendbase vérifiera l'identité avant de traiter toute demande et répondra dans un délai d'un mois civil à compter de la réception. Si les demandes sont complexes ou nombreuses, ce délai peut être prolongé jusqu'à deux mois supplémentaires, auquel cas Spendbase en informera la personne concernée dans le délai initial d'un mois. Spendbase n'exercera aucunes représailles contre une personne ayant exercé un droit à la vie privée ou déposé une plainte. Les Utilisateurs Autorisés doivent généralement adresser leurs demandes au Client Professionnel qui a autorisé leur accès aux Services.

Droit d'introduire une réclamation. Les Clients ont le droit d'introduire une réclamation auprès d'une autorité de contrôle. L'autorité de contrôle chef de file compétente pour Spendbase est l'

• Inspection estonienne de la protection des données (Andmekaitse Inspektsioon) — aki.ee— pour les questions relatives au RGPD de l'UE ;
• Information Commissioner’s Office (ICO) — ico.org.uk— pour les questions relatives au RGPD du Royaume-Uni.
• Les Clients ont également le droit d'introduire une réclamation auprès de l'autorité de protection des données de leur propre État membre de l'UE ou du Royaume-Uni.

Lorsque les Données Personnelles sont traitées par Moorwand Ltd ou Heuro SAS en leur qualité de responsables de traitement indépendants — y compris les relevés de transactions par carte et les données de comptes de monnaie électronique —, les personnes concernées doivent adresser les demandes relatives à ces données directement à l'établissement concerné en utilisant les coordonnées figurant dans leurs politiques de confidentialité respectives disponibles aux liens suivants : Moorwand Politique de confidentialité et  Heuro Charte de Confidentialité SAS.

Spendbase peut mettre à jour cette Charte de Confidentialité de temps à autre pour refléter les changements dans ses pratiques, ses services, ses obligations légales ou réglementaires, ou ses besoins opérationnels. Lorsque nous apportons des modifications substantielles, nous en informons les utilisateurs via la plateforme Spendbase en mettant à jour la Date d'Entrée en Vigueur indiquée sur ce document.

En cas de modifications importantes susceptibles d'affecter matériellement la manière dont les Données Personnelles sont traitées, Spendbase utilisera les moyens de communication disponibles pour en informer les Clients Professionnels et les Utilisateurs Autorisés concernés avant que les modifications ne prennent effet, conformément à la loi applicable.

L'utilisation continue des Services après l'entrée en vigueur d'une Charte de Confidentialité mise à jour constitue une acceptation de la Charte révisée, dans la mesure permise par la loi.

Aux fins de la présente Charte de Confidentialité, les termes suivants ont les significations définies ci-dessous :