CONDITIONS DE CONFIDENTIALITÉ COMMERÇANT
Date d’Entrée en Vigueur : 20 mars 2025
Les présentes Conditions de Confidentialité Commerçant de Connexity (« Conditions de Confidentialité Commerçant ») s’appliquent aux services de publicité digitale de Connexity, notamment lorsque Connexity, Inc. (« Connexity ») ou un membre des Sociétés Connexity (définies ci-après) distribue le Contenu Commerçant dans le Réseau Connexity, conformément à un contrat conclu entre Connexity et un Commerçant (« Contrat »), et les présentes Conditions de Confidentialité Commerçant sont réputées incorporées à un tel Contrat et en font partie intégrante. Connexity conclut les présentes Conditions de Confidentialité Commerçant en son nom propre et au nom de sa société affiliée, Taboola.com, Ltd. (« Taboola »). Connexity et Taboola sont collectivement appelées les « Sociétés Connexity ». Les présentes Conditions de Confidentialité Commerçant définissent les rôles et les responsabilités des Sociétés Connexity et du Commerçant en ce qui concerne les Données Personnelles.
1. Ordre de prévalence. En cas de conflit entre les Conditions de Confidentialité Commerçant et le Contrat, les Conditions de Confidentialité Commerçant prévaudront dans la limite de ce conflit, à moins que la disposition litigieuse du Contrat ne fasse expressément référence à la disposition litigieuse des présentes Conditions de Confidentialité Commerçant et ne précise qu’elle prévaut sur cette disposition conflictuelle.
2. Définitions. Les termes définis dans la présente section ont la signification indiquée ci-après, et les termes similaires sont interprétés en conséquence. Les termes en majuscules utilisés mais non définis dans les présentes Conditions de Confidentialité Commerçant ont le sens qui leur est donné dans le Contrat. La référence à une « partie » dans les présentes Conditions de Confidentialité Commerçant doit être interprétée comme faisant référence au Commerçant ou aux Sociétés Connexity, selon le contexte, et le terme « parties » doit être interprété en conséquence.
a. « Lois Applicables sur la Protection des Données » désigne toutes les lois fédérales, nationales, étatiques ou autres lois sur la protection de la vie privée et des données qui s’appliquent au Traitement faisant l’objet du Contrat et des présentes Conditions de Confidentialité Commerçant, telles que modifiées ou remplacées de temps à autre.
b. « Loi Californienne sur la Protection de la Vie Privée » désigne la loi Californienne sur la Protection de la Vie Privée des Consommateurs de 2018, le Code Civil Californien § 1798.100 et suivants (« CCPA »), tels que modifiés (y compris par la Loi Californienne sur la Protection de la Vie Privée des Consommateurs), et toute législation subordonnée et règlementations d’application.
c. « Données Collectées » désigne les Données Personnelles visées à l’Annexe A, Partie B, que chaque partie collecte auprès des Personnes Concernées sur ou via ses serveurs ou réseaux (y compris toutes les données collectées passivement ou lisibles par machine, telles que les données basées sur le type de navigateur et les identifiants d’appareil) ou qu’elle reçoit de l’autre partie dans le cadre de la fourniture ou de la réception du Service.
d. « Responsable de Traitement » désigne (i) une entité qui détermine les finalités et les moyens du Traitement des Données Personnelles, et (ii) toute personne qui entre dans le champ d’application du terme « responsable de traitement » (ou de tout terme substantiellement similaire) tel que défini par les Lois Applicables sur la Protection des Données.
e. « Personne Concernée » désigne (i) une personne physique identifiée ou identifiable (et, pour ces finalités, une personne physique identifiable est une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne ou à un ou plusieurs éléments spécifiques propres à l’identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale de cette personne physique), et (ii) toute personne qui entre dans le champ d’application des termes « personne concernée », « consommateur » (ou tout terme substantiellement similaire) tels que définis dans les Lois Applicables sur la Protection des Données.
f. « Loi de l’UE sur la Protection des Données » désigne : (i) le Règlement Général de l’UE sur la Protection des Données (Règlement 2016/679) (« RGPD de l’UE ») ; (ii) la Directive de l’UE sur la Vie Privée et les Communications Electroniques (Directive 2002/58/CE) ; et (iii) toute loi nationale sur la protection des données adoptée en vertu ou en application de (i) ou (ii), chacune pouvant être modifiée ou remplacée de temps à autre.
g. « Finalités Autorisées » a la signification donnée à la section 3.
h. « Données Personnelles » désigne toute information relative à une Personne Concernée (y compris, si les Lois Applicables sur la Protection des Données l’exigent, les identifiants uniques de navigateur ou d’appareil).
i. « Traitement » désigne toute opération ou ensemble d’opérations effectuées sur des Données Personnelles ou sur des ensembles de Données Personnelles, que ce soit ou non par des moyens automatisés, telles que la collecte, la réception, l’enregistrement, l’organisation, la structuration, l’utilisation, la transmission, l’accès, le partage, la divulgation, le transfert, le stockage, l’adaptation ou la modification, l’extraction, la consultation, la diffusion ou toute autre forme de mise à disposition, l’alignement ou la combinaison, l’agrégation, la déduction, la dérivation, l’analyse, la restriction, l’effacement, la destruction ou l’élimination ou tout autre traitement de Données Personnelles, y compris la manière dont ce terme est défini en vertu des Lois Applicables sur la Protection des Données.
j. « Sous-traitant » désigne : (i) une entité qui Traite des Données Personnelles pour le compte d’un Responsable de Traitement, et (ii) toute personne qui entre dans le champ d’application du terme « Sous-traitant » (ou de tout terme substantiellement analogue) tel que défini par les Lois Applicables sur la Protection des Données.
k. « Transfert Restreint » désigne : (i) lorsque le RGPD de l’UE s’applique, un transfert de Données Personnelles de l’EEE vers un pays en dehors de l’EEE qui n’est pas soumis à une décision d’adéquation de la Commission Européenne (un « Transfert Restreint de l’UE ») ; et (ii) lorsque le RGPD du Royaume-Uni s’applique, un transfert de Données Personnelles du Royaume-Uni vers tout autre pays qui n’est pas soumis ou basé sur des règlements d’adéquation en vertu de l’Article 17A de la Loi Britannique sur la Protection des Données de 2018 (un « Transfert Restreint du Royaume-Uni »).
l. « Vente » et « Vendre » désignent l’échange de Données Personnelles contre de l’argent ou une autre contrepartie de valeur, et comprennent la manière dont ces termes sont définis en vertu des Lois Applicables sur la Protection des Données.
m. « Service » désigne les services fournis par les Sociétés Connexity dans le cadre du Contrat avec le Commerçant.
n. « Incident de Sécurité » désigne une brèche de sécurité entraînant accidentellement ou illégalement la destruction, la perte, l’altération, la divulgation non autorisée de Données Personnelles ou l’accès à celles-ci.
o. « Clauses Contractuelles Types » désigne : (i) lorsque le RGPD de l’UE s’applique, les clauses contractuelles annexées à la Décision d’Exécution 2021/914 de la Commission Européenne du 4 juin 2021 relative aux Clauses Contractuelles Types pour le transfert de données à caractère personnel vers des pays tiers en vertu du Règlement (UE) 2016/679 du Parlement Européen et du Conseil (« CCT de l’UE ») ; et (ii) lorsque le RGPD du Royaume-Uni s’applique, l’ « Addendum sur le transfert international de données aux Clauses Contractuelles Types de la Commission de l’UE » publié par le Bureau du Commissaire à l’Information en vertu de l’Article 119.A(1) de la Loi du Royaume-Uni sur la Protection des Données de 2018 (« l’Addendum du Royaume-Uni »).
p. « Tiers » signifie une entreprise qui agit en tant que Responsable de Traitement relativement à des Données Personnelles et qui n’est pas l’entreprise avec laquelle la Personne Concernée dont les Données Personnelles sont Traitées a intentionnellement interagi ; le terme comprend la manière dont ce terme est défini en vertu des Lois Applicables sur la Protection des Données.
q. « Loi du Royaume-Uni sur la Protection des Données » désigne : (i) la loi du Royaume-Uni de 2018 sur la Protection des Données, (ii) le RGPD du Royaume-Uni (tel que défini à l’Article 3(10) de la Loi du Royaume-Uni de 2018 sur la Protection des Données) (le « RGPD du Royaume-Uni »), (iii) le Règlement du Royaume-Uni de 2003 sur la Protection de la Vie Privée et les Communications Electroniques (Directive CE), et (iv) toute autre loi britannique adoptée en vertu ou en application de (i), (ii) ou (iii), chacune pouvant être modifiée ou remplacée de temps à autre.
3. Limitation des Finalités. Chaque partie Traite les Données Collectées qu’elle recueille ou reçoit de l’autre partie pour les finalités énoncées à l’Annexe A, Partie B (les « Finalités Autorisées »).
4. Relation entre les Parties. Chaque partie Traite les Données Collectées qu’elle recueille ou reçoit de l’autre partie en tant que Responsable du traitement.
a. Si les Lois Applicables sur la Protection des Données en vigueur aux États-Unis s’appliquent aux Données Collectées, y compris, sans s’y limiter, la Loi Californienne sur la Protection de la Vie Privée, alors, dans la mesure où les Sociétés Connexity reçoivent des Données Collectées par l’entremise des Pixels des Sociétés Connexity installés sur le(s) site(s) Web du Commerçant en lien avec le Service, les Sociétés Connexity recevront les Données Collectées en qualité de Tiers. Les Sociétés Connexity Traiteront ces Données Personnelles pour les Finalités Autorisées. Les Sociétés Connexity fourniront le même niveau de protection de la vie privée aux Données Collectées que celui exigé des Responsables du traitement ou des Entreprises par les Lois Applicables sur la Protection des Données aux États-Unis, y compris, s’il y a lieu, la Loi Californienne sur la Protection de la Vie Privée. Les Sociétés Connexity informeront le Commerçant dans le délai requis par les Lois Applicables sur la Protection des Données aux États-Unis si elles déterminent qu’elles ne sont plus en mesure de respecter leurs obligations en vertu de ces Lois Applicables sur la Protection des Données. Après en avoir avisé Connexity, le Commerçant a le droit de prendre des mesures raisonnables et appropriées pour mettre fin à l’utilisation non autorisée des Données Collectées qu’il met à la disposition des Sociétés Connexity et pour y remédier.
5. Lois Applicables sur la Protection des Données. Les parties reconnaissent que les Lois Applicables sur la Protection des Données peuvent s’appliquer au Traitement des Données Collectées par chaque partie et, sous réserve de la section 7, chaque partie est individuellement responsable de son propre respect des Lois Applicables sur la Protection des Données Applicables, y compris toutes obligations concernant : (i) la transparence vis-à-vis des Personnes Concernées, (ii) le consentement ou une autre base légale pour le Traitement, et (iii) la mise à disposition d’un point de contact par lequel les Personnes Concernées peuvent exercer leurs droits en matière de protection des données.
6. Transferts Internationaux. Si l’une des parties effectue un Transfert Restreint de Données Collectées à l’autre partie, les dispositions de l’Annexe C s’appliquent.
7. Transparence pour les Utilisateurs sur la Page d’Accueil du Commerçant. Les Sociétés Connexity utilisent les Pixels des Sociétés Connexity pour fournir le Service. Nonobstant la section 5, dans la mesure où les Sociétés Connexity collectent des Données Collectées sur le(s) site(s) web du Commerçant en utilisant le(s) pixel(s) des Sociétés Connexity, le Commerçant doit : (i) fournir tous les avis de transparence requis aux Personnes Concernées concernant l’utilisation par les Sociétés Connexity des Pixels des Sociétés Connexity pour recueillir des Données Collectées à partir du ou des sites Web du Commerçant pour les Finalités Autorisées, et (ii) obtenir (et, à la demande de Connexity en tout temps, fournir la preuve appropriée) le consentement des Personnes Concernées à l’utilisation des Pixels des Sociétés Connexity pour les Finalités Autorisées, dans chaque cas conformément aux exigences des Lois Applicables en matière de Protection des Données. Les obligations du Commerçant à cet égard comprennent l’identification des Sociétés Connexity et de son utilisation des Pixels des Sociétés Connexity pour les Finalités Autorisées expressément dans les avis de transparence et les demandes de consentement que le Commerçant fournit aux Personnes Concernées, ainsi que toute autre information requise par les Lois Applicables en matière de Protection des Données, afin que les Sociétés Connexity puissent fournir leur Service légalement par l’entremise de ces propriétés numériques et traiter les Données Collectées pour les Finalités Autorisées. Sur demande écrite, Connexity fournira au Commerçant les renseignements nécessaires sur le(s) Pixel(s) des Sociétés Connexity et sur le Traitement par les Sociétés Connexity des Données Collectées par l’intermédiaire du(des) site(s) Web du Commerçant, afin que le Commerçant puisse les utiliser dans les mécanismes d’avis et d’obtention de consentement qu’il veillera à mettre en conformité avec les Lois Applicables sur la Protection des Données. Le Commerçant n’utilisera aucun des Pixels des Sociétés Connexity tant que la transparence nécessaire n’aura pas été assurée et que les consentements requis en vertu des Lois Applicables en matière de Protection des Données n’auront pas été obtenus. Le Commerçant doit en outre fournir aux Personnes Concernées des informations sur la manière dont elles peuvent exercer leurs droits en matière de protection des données en vertu des Lois Applicables sur la Protection des Données, et fournir un point de contact que les Personnes Concernées peuvent contacter afin d’exercer leurs droits. Le Commerçant doit aviser promptement Connexity si et dans la mesure où il reçoit une demande d’exercice de droits à la protection des données concernant le Traitement des Données Collectées par les Sociétés Connexity en tant que Responsable du traitement, afin que Connexity puisse répondre à la demande conformément à ses obligations en vertu des Lois Applicables sur la Protection des Données.
8. Partenaires d’Attribution. Si les Sociétés Connexity, à la demande du Commerçant, transmettent la totalité ou une partie des Données Collectées au Partenaire d’Attribution du Commerçant ou au Commerçant à des fins d’attribution, le Commerçant déclare et garantit que : (i) son partenaire d’attribution est un Sous-traitant pour le compte du Commerçant; (ii) sauf collecte indépendante, le Commerçant et le partenaire d’attribution utiliseront ces Données Collectées uniquement à des fins d’attribution ; et (iii) le partenaire d’attribution et le Commerçant supprimeront toutes les Données Collectées transmises dans les trente (30) jours suivant la dernière identification de l’utilisateur d’un site web du Commerçant comme provenant des Sociétés Connexity.
9. Sécurité. Chaque partie met en œuvre les mesures de sécurité techniques et organisationnelles appropriées pour protéger les Données Collectées qu’elle Traite contre un Incident de Sécurité. Ces mesures comprennent les mesures énoncées à l’Annexe B.
10. Incidents de Sécurité. Si l’une des parties subit un Incident de Sécurité concernant les Données Collectées qu’elle Traite et qui font l’objet du Contrat et des présentes Conditions de Confidentialité Commerçant, cette partie doit : (i) s’acquitter (à ses propres frais) de toutes les obligations de déclaration qui lui incombent en vertu des Lois Applicables sur la Protection des Données auprès des autorités chargées de la protection des données et/ou des Personnes Concernées, (ii) notifier l’autre partie dans les meilleurs délais, en fournissant les informations sur l’Incident de Sécurité qui peuvent être raisonnablement demandées par l’autre partie ou qui sont autrement nécessaires pour permettre à l’autre partie de déterminer si elle peut également avoir des obligations de déclaration en vertu des Lois Applicables sur la Protection des Données en ce qui concerne l’Incident de Sécurité, et (iii) prendre toutes les actions et mesures, sans retard injustifié, qui sont appropriées pour remédier à l’Incident de Sécurité et/ou en atténuer les effets.
11. DPIAs. Lorsque et dans la mesure où les Lois Applicables sur la Protection des Données auxquelles chaque partie est soumise l’exigent, chaque partie doit effectuer une évaluation de l’impact sur la protection des données en ce qui concerne son Traitement des Données Collectées pour les Finalités Autorisées et/ou consulter les autorités compétentes en matière de protection des données, le cas échéant. Chaque partie fournit toute la coopération et les informations raisonnablement demandées par l’autre partie, lorsque cela est nécessaire pour permettre à l’autre partie de réaliser une évaluation de l’impact sur la protection des données et/ou de consulter les autorités compétentes en matière de protection des données conformément aux obligations de l’autre partie en vertu de la présente section 11.
12. Contrôles en langue anglaise. En cas de conflit entre la version anglaise des présentes Conditions de Confidentialité Commerçant et toute version traduite que nous pourrions fournir, chaque partie accepte que la version anglaise prévale dans tous les cas.
Annexe A
Description du Traitement
A. LISTE DES PARTIES
Chaque partie doit être :
● un responsable de traitement des données (et un exportateur de données) pour les Données Collectées qu’il divulgue ou met à la disposition de l’autre partie, et
● un responsable de traitement des données (et un importateur de données) des Données Collectées qu’il reçoit de l’autre partie ou auxquelles l’autre partie lui donne accès.
Les détails de chaque partie sont fournis ci-dessous.
| Nom : | Voir les coordonnées du Commerçant dans le Contrat. |
| Address : | Voir les coordonnées du Commerçant dans le Contrat. |
| Nom, fonction et coordonnées de la personne de contact : | Voir les coordonnées du Commerçant dans le Contrat ou convenues autrement par écrit entre les parties. |
| Activités en rapport avec les données transférées en vertu des présentes Clauses : | La réception du Service, telle que définie dans le Contrat. |
| Signature et date : | La présente Annexe A est réputée exécutée à compter de l’acceptation par le Commerçant des présentes Conditions de Confidentialité Commerçant. |
| Rôle (responsable de traitement/sous-traitant) : | Responsable de Traitement (lorsqu’il est exportateur de données) et Responsable de Traitement (lorsqu’il est importateur de données) |
| Nom : | Pour les Sociétés Connexity : Voir les détails de Connexity dans l’introduction du Contrat. Taboola: Taboola.com, Ltd. |
| Adresse : | Pour les Sociétés Connexity : Voir les détails de Connexity dans l’introduction du Contrat. Taboola: 2 Jabotinsky Street, 32nd Floor Ramat Gan, Israel 5250501 |
| Nom, fonction et coordonnées de la personne de contact : | L’équipe de Connexity chargée de la protection de la vie privée, dataprotection@connexity.com. |
| Activités en rapport avec les données transférées en vertu des présentes Clauses : | La fourniture du Service, telle qu’elle est définie dans le Contrat. |
| Signature et date : | La présente Annexe A est réputée exécutée dès l’acceptation par Connexity des présentes Conditions de Confidentialité Commerçant. |
| Rôle (responsable de traitement/sous-traitant) : | Responsable de Traitement (lorsqu’il est exportateur de données) et Responsable de Traitement (lorsqu’il est importateur de données) |
B. DESCRIPTION DU TRAITEMENT ET DU TRANSFERT
| Catégories de personnes concernées dont les données personnelles sont traitées et/ou transférées | Utilisateurs |
| Catégories de données à caractère personnel traitées et/ou transférées | Données relatives à l’appareil : Système d’exploitation, type de navigateur, version du navigateur, adresse IP (tronquée dans les 30 jours) de la collecte, code postal (dérivé de l’adresse IP), ID utilisateur Taboola haché, e-mails hachés, visites de pages initiales et ultérieures sur le site Web de l’Annonceur, sexe de l’utilisateur (déduit par les intérêts), signaux d’engagement (temps sur le site, durée de défilement, durée de la session), données de conversion, ID de clic. Données sur la propriété numérique visitée par l’utilisateur : L’URL de la page visitée, le site web de référence et d’autres informations partagées par le Commerçant sur la façon dont les utilisateurs interagissent avec son (ses) site(s) web Commerçant, telles que les pages vues, les produits vus, les événements d’ajout au panier, les événements d’achat et d’autres types d’événements. |
| Données sensibles transférées (le cas échéant) et restrictions ou garanties appliquées qui tiennent pleinement compte de la nature des données et des risques encourus, comme par exemple une limitation stricte de la finalité, des restrictions d’accès (y compris un accès réservé au personnel ayant suivi une formation spécialisée), la tenue d’un registre d’accès aux données, des restrictions pour les transferts ultérieurs ou des mesures de sécurité supplémentaires |
Not applicable. |
| La fréquence du traitement et/ou des transferts (par exemple, si les données sont traitées et/ou transférées de manière ponctuelle ou continue) | Continu pendant la durée du Contrat. |
| Nature du traitement | Traitement des Données Personnelles nécessaires à la fourniture du Service, comme indiqué dans le Contrat. |
| Finalité(s) du traitement des données / transfert et traitement ultérieur | La fourniture du Service, telle que défini dans le Contrat, et notamment pour les finalités suivantes (sous réserve des autorisations appropriées des personnes concernées, le cas échéant, en vertu des Lois Applicables sur la Protection des Données): ● Stocker et/ou accéder à des informations sur un appareil ● Sélectionner les publicités de base ; ● Créer un profil de publicités personnalisées ; ● Sélectionner des publicités personnalisées ; ● Créer un profil de contenu personnalisé ; ● Sélectionner un contenu personnalisé ; ● Mesurer la performance de la publicité ; ● Mesurer la performance du contenu ; ● Comprendre les publics à l’aide de statistiques ou de combinaisons de données provenant de différentes sources ; ● Développer et améliorer les produits ; ● Assurer la sécurité, prévenir la fraude et déboguer ; ● Diffuser techniquement des publicités ou du contenu ; ● Faire correspondre et combiner des sources de données hors ligne ; ● Relier différents appareils ; ● Recevoir et utiliser les caractéristiques de l’appareil envoyées automatiquement à des fins d’identification ; et ● Utiliser des données limitées pour sélectionner le contenu. |
| La durée de conservation des données personnelles ou, si cela n’est pas possible, les critères utilisés pour déterminer cette durée | Les parties conservent les Données Personnelles aussi longtemps que nécessaire pour fournir le Service. |
| Pour les transferts aux sous-traitants (ultérieurs), préciser également l’objet, la nature et la durée du traitement | Not applicable. |
C. AUTORITÉ DE CONTROLE COMPÉTENTE
| Autorité de contrôle compétente lorsque le RGPD de l’UE s’applique | TL’autorité de contrôle compétente pour chaque partie est décrite ci-dessous : ● Sociétés Connexity : L’autorité de contrôle compétente est déterminée conformément à la Clause 13 des CCT de l’UE. ● Commerçant : L’autorité de contrôle compétente est déterminée conformément à la Clause 13 des CCT de l’UE. |
| Autorité de contrôle compétente lorsque le RGPD du Royaume-Uni s’applique | Le Bureau du Commissaire à l’Information (Information Commissioner’s Office |
Annexe B
Mesures de sécurité
Description des mesures techniques et organisationnelles mises en œuvre par chaque partie (y compris toutes certification pertinentes) pour garantir un niveau de sécurité approprié, compte tenu de la nature, de la portée, du contexte et de la finalité du traitement, ainsi que des risques pour les droits et libertés des personnes physiques.
| Mesures de pseudonymisation et de chiffrement des données personnelles | Les Sociétés Connexity ne recueillent que des données pseudonymisées, ce qui signifie que nous ne savons pas qui vous êtes parce que nous ne connaissons pas ou ne traitons pas le nom, l’adresse électronique ou d’autres données identifiables de l’utilisateur. Les Informations sur l’utilisateur que nous recueillons comprennent, sans s’y limiter, des informations sur l’appareil et le système d’exploitation de l’utilisateur, l’adresse IP, les pages Web consultées par les utilisateurs sur les sites Web de nos Clients, le lien qui a conduit un utilisateur au site Web d’un Client, les dates et heures d’accès d’un utilisateur au site Web d’un Client et d’autres données de navigation sur le Web. Connexity s’engage à ce qui suit : l’Agent utilisateur et l’Adresse IP sont tous deux stockés de manière chiffrée et, pour les visiteurs provenant de régions où les réglementations exigent l’anonymisation (par exemple, lorsque le RGPD est applicable), l’Agent utilisateur et l’Adresse IP sont tous deux tronqués avant le chiffrement. En outre, Taboola s’engage à ce que le CookieID soit anonymisé à l’aide de Bcrypt et que l’adresse IP soit tronquée. |
| Mesures visant à garantir en continu la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes et services de traitement | Connexity utilise plusieurs niveaux de sécurité électronique (par exemple : sécurité des terminaux, sécurité côté serveur, suivi des détections, tests de pénétration périodiques et collecte d’informations approfondies pour examiner les événements post-mortem). |
| Mesures visant à garantir la capacité de rétablir la disponibilité et l’acès des données personnelles en temps utile en cas d’incident physique ou technique | Connexity met en œuvre les éléments suivants : ● La disponibilité des Données Personnelles est assurée par l’utilisation par Connexity d’achitectures de réplication des bases de données pour la redondance et la sauvegarde automatique des données dans plusieurs régions. ● Les systèmes qui suivent les événements des utilisateurs sont également redondants dans plusieurs régions qui prennent en charge le basculement, de sorte que même une panne totale dans une région ne rendra pas les services indisponibles. Taboola dispose de 9 centres de données répartis dans le monde entier. Chaque centre de données est utilisé comme une réplique de l’autre, de sorte que si l’un d’eux tombe en panne, les données peuvent être extraites de l’autre centre de données. |
| Procédures permettant de tester, d’apprécier et d’évaluer régulièrement l’efficacité des mesures techniques et organisationnelles afin d’assurer la sécurité du traitement. | Afin de veiller à ce que la protection des données et pour faire respecter les obligations et les procédures en matière de confidentialité Connexity a mis en œuvre les protocoles suivants : ● Formation et sensibilisation des employés à la protection des données, à la sécurité de l’information, aux obligations de confidentialité et à la conformité. ● Audit régulier des procédures de traitement des données. ● Des protocoles intégrés de notification et de traitement sont en place pour les violations de la protection des données et la protection des droits des personnes concernées. Taboola maintient des processus stricts pour tester l’efficacité de ses contrôles (à la fois techniques et organisationnels). Nous avons mis en place un système d’enregistrement et de surveillance, des tests de reprise après sinistre mensuels (au moins), des tests de pénétration trimestriels, des Pare-feu protégeant le web et des honeypots répartis sur le réseau pour détecter toute activité malveillante. En outre, nous avons mis en place un programme de primes qui nous aide à surveiller constamment notre réseau. |
| Mesures d’identification et d’autorisation des utilisateurs | Chaque utilisateur des Sociétés Connexity est associé à un nom d’utilisateur et à un mot de passe dédiés. Chaque accès au réseau interne des Sociétés Connexity se fait avec une authentification à deux facteurs (2FA). Les utilisateurs sont créés uniquement par le département informatique, pendant le processus d’intégration et seulement après avoir reçu tous les détails et le contrat signé par le département des ressources humaines. |
| Mesures de protection des données lors de leur transmission | Connexity met en œuvre les éléments suivants : ● Toute transmission de Données Personnelles est effectuée au moyen de protocoles de transmission sécurisés (HTTPS et TLS v1.2 au minimum). En outre, les systèmes susceptibles de contenir des Données Personnelles sont sécurisés et les données sont hachées et anonymisées. ● Le transfert de Données Personnelles à un tiers (par exemple un client, un sous-traitant ou un prestataire de services) n’a lieu que s’il existe un contrat correspondant et uniquement pour une finalité précise. Connexity garantit l’existence d’un niveau adéquat de protection des données sur le site ou dans l’organisation cible, conformément aux exigences de l’UE en matière de protection des données. Taboola soutient toute transmission de données par le biais de protocoles de transmission sécurisés (HTTPS et TLS v1.2 au minimum). En outre, les systèmes susceptibles de contenir des Données Personnelles sont sécurisés et les données sont hachées et anonymisées. |
| Mesures de protection des données pendant le stockage | Les droits d’accès au réseau et au système de Connexity sont délivrés par le biais d’un processus d’examen et d’autorisation réglementé et accordés selon un protocole fondé sur le principe du « a besoin de savoir ». Taboola s’assure que les données stockées dans nos bases de données sont anonymisées et hachées à l’aide de Bcrypt. L’accès à la base de données est minimisé et basé sur le principe du « le business a besoin de savoir ». |
| Mesures visant à assurer la sécurité physique des lieux où sont traitées les données à caractère personnel | Connexity met en œuvre les éléments suivants : ● Les contrôles de sécurité physique dans les bureaux de Connexity, où le traitement des Données Personnelles peut avoir lieu ou les systèmes de traitement des données peuvent être hébergés, comprennent la protection des locaux et de leurs périmètres à l’aide de diverses mesures de contrôle d’accès, y compris, mais sans s’y limiter, l’accès par carte magnétique aux bureaux et aux parkings pour les employés, l’entrée surveillée dans les bureaux pendant les heures d’ouverture, le personnel de sécurité sur place 24/7/365 et les systèmes de caméras de sécurité. ● En dehors des heures d’ouverture, les ascenseurs du 4e étage, où se trouvent les bureaux de Connexity, sont désactivés et ne peuvent fonctionner qu’avec une carte magnétique active délivrée à un employé ou à un membre du personnel autorisé de l’immeuble de bureaux. ● Les pièces contenant des systèmes informatiques (serveurs, répartiteurs de réseau, etc.) sont fermées à clé et ne sont accessibles qu’aux employés autorisés des départements Administration ou Infrastructure informatique. ● Les visiteurs programmés et les vendeurs extérieurs à l’entreprise doivent signer un registre des invités à leur arrivée à la réception et indiquer la raison de leur visite. Les visiteurs ne peuvent se trouver dans les locaux de l’entreprise que s’ils sont escortés et/ou surveillés par le service de sécurité du bâtiment ou par un employé de Connexity à tout moment. Chacun des centres de données mondiaux de Taboola (aux États-Unis, en Europe et en Asie), possède tous ses serveurs situés dans des armoires fermées à clé qui sont maintenues exclusivement pour l’usage de Taboola. Ces armoires sont entretenues par des sociétés certifiées SOC2 ou dont Taboola a examiné les mesures de sécurité. En outre, tout accès aux serveurs nécessite une autorisation écrite et journalisée. Tous les bureaux de Taboola sont également contrôlés et les employés doivent utiliser des cartes d’accès pour y pénétrer. En outre, seul un nombre limité d’employés a accès aux serveurs de Taboola et tout accès nécessite également une autorisation écrite et journalisée. |
| Mesures visant à garantir l’enregistrement des événements | L’accès au réseau de l’entreprise Connexity est automatiquement contrôlé et enregistré, y compris les tentatives de connexion infructueuses. L’accès au réseau est automatiquement bloqué par le système après cinq tentatives infructueuses et ne peut être rétabli que par un employé autorisé de l’administration informatique. Taboola met en œuvre des outils de surveillance et les journaux sont collectés dans notre système SIEM qui nous alerte sur tout événement suspect et qui est également surveillé par l’équipe NOC. |
| Mesures visant à garantir la configuration du système, y compris la configuration par défaut | Connexity met en œuvre les éléments suivants : ● Connexity utilise des systèmes automatisés de gestion de la configuration pour que toutes les configurations de serveurs soient à jour et fonctionnent selon une configuration standard. Les configurations font l’objet d’un contrôle des modifications et doivent être examinées avant le déploiement. ● Les configurations des applications sont également soumises à un contrôle des modifications et doivent être examinées avant leur déploiement. ● Les modifications apportées aux applications sont soumises à un processus formel de gestion du changement et de cycle de vie du développement logiciel, comprenant la révision du code, l’assurance qualité et des processus CI/CD normalisés. Les Serveurs Taboola sont analysés à la fois pour la dérive de la configuration et le niveau de correctif. Des rapports et/ou des alertes sont établis pour ces deux éléments et le niveau de correctif correspondant est confirmé. Les nouveaux correctifs sont distribués à l’aide de Puppet. Toutes les révisions techniques sont gérées par l’application R&D et obtenues par un processus formel de révision (QA) après le codage et les processus CI/CD sont également mis en œuvre. |
| Mesures relatives à la gouvernance et à la gestion internes de l’informatique et de la sécurité informatique | Connexity adhère aux politiques de sécurité définies par sa société mère. Taboola est certifiée ISO 27001:2013 et 27701. Taboola a mis en place une Politique de Sécurité de l’Information qui stipule que le conseil d’administration et la direction de Taboola s’engagent à préserver la confidentialité, l’intégrité et la disponibilité de toutes les informations physiques et électroniques dans l’ensemble de leur organisation. Taboola organise des formations à la sécurité pour tous les nouveaux employés, des formations au phishing pour tous les employés au niveau mondial, et des formations régulières à la sécurité pour tous les employés, ainsi que des sessions dédiées aux groupes de R&D. |
| Mesures de certification/assurance des processus et des produits | En tant que filiale d’une société publique, Connexity fait l’objet d’un audit SOX rigoureux sur une base annuelle. Taboola fait l’objet d’un audit interne trimestriel / Semestriel / Annuel sur de multiples processus et systèmes afin de valider que Taboola se conforme à ses objectifs et mesures de sécurité définis. |
| Mesures visant à garantir la minimisation des données | Les Sociétés Connexity limitent intentionnellement les données qu’elles recueillent dans le cadre des principes globaux de minimisation des données de Taboola, qui consistent à ne traiter que les données limitées nécessaires à nos objectifs commerciaux spécifiques. En outre, les Sociétés Connexity n’ont pas la capacité, ni le besoin, de faire de l’ingénierie inverse sur les points de données utilisés dans notre traitement afin de fournir nos services. Plus précisément, les points de données que les sociétés Connexity recueillent ne sont jamais indicatifs de l’identité d’un utilisateur – puisque les sociétés Connexity ne recueillent ni ne traitent des renseignements tels que le nom, le numéro de téléphone, le courriel ou l’adresse physique de l’utilisateur. Au contraire, les Sociétés Connexity ne recueillent que des identifiants seudonymes, qui ne font qu’identifier les caractéristiques de l’appareil d’un utilisateur. Il s’agit notamment des adresses IP (qui sont tronquées lors de la collecte et ne peuvent identifier que le code postal général de l’appareil, mais jamais une géolocalisation précise). De plus, même lorsqu’elles sont utilisées collectivement, les données que nous recueillons ne peuvent jamais produire le nom, le numéro de téléphone, le courriel ou l’adresse physique d’une personne, et nos ingénieurs ne travaillent d’aucune façon pour atteindre cet objectif. De plus, les Sociétés Connexity effectuent et enregistrent des evaluations de l’impact sur la vie privée dans le but de minimiser les risques de nos services, processus et politiques en matière de protection de la vie privée. |
| Mesures visant à garantir la qualité des données | Connexity recueille des données directement à partir des événements de l’utilisateur et effectue plusieurs niveaux de validation des entrées pour s’assurer que seules les données valides sont stockées. Nous exécutons également des processus automatisés pour analyser des schémas dans les données d’événements après coup afin de pouvoir distinguer les événements qui sont le résultat d’acteurs automatisés de ceux qui sont le fait d’utilisateurs humains individuels. Pour Taboola, les données sont collectées directement auprès de l’utilisateur et ce dernier a la possibilité de corriger toute donnée associée à son CookieID via le portail de demandes d’accès de Taboola : https://accessrequest.taboola.com/access. |
| Mesures visant à garantir une conservation limitée des données | Connexity : Les pratiques de gestion des documents sont respectées dans tous les services de la Société, conformément à la Politique de Conservation et de Suppression des Documents de Connexity. Taboola conserve les Informations de l’utilisateur, qui sont directement collectées dans le but de diffuser des publicités, pendant au maximum treize (13) mois à compter de la dernière interaction de l’utilisateur avec nos Services (souvent pour une période plus courte), après quoi nous dépersonnalisons les données en supprimant les identificateurs uniques ou en agrégeant les données. Ce processus est effectué automatiquement. |
| Mesures visant à garantir le principe d’accountability | Les Sociétés Connexity effectuent plusieurs audits de sécurité et tests de pénétration (mais pas pour tous les systèmes). Taboola fait également appel à des fournisseurs de services en nuage qui sont certifiés ISO et qui se conforment à d’autres certifications relatives à l’informatique en nuage pour le maintien des garanties physiques d’un serveur. |
| Mesures visant à permettre la portabilité des données et à garantir leur effacement | Connexity dispose d’une Politique de Protection des Données et d’une Politique de Conservation et d’Elimination des Documents. Connexity a également mis en place des procédures formelles de demande d’accès par les personnes concernées, qui peuvent ainsi exercer leur droit d’accès et de portabilité des données les concernant détenues par Connexity, ainsi que leur droit d’effacement ou de suppression de ces données. Taboola prend des mesures pour s’assurer que les procédures d’élimination des supports sont les mêmes pour tous les types de supports car ils peuvent contenir des données personnelles. Tout support doit être entièrement effacé avant d’être réutilisé ou éliminé. Toute suppression de support est documentée. Les employés ont pour instruction de ne pas imprimer de papier susceptible de contenir des informations personnelles. |
Annexe C
Transferts Restreints
1. Dans la mesure où une partie effectue un Transfert Restreint de Données collectées à l’autre partie, les Clauses Contractuelles Types sont intégrées aux présentes Conditions de Confidentialité Commerçant et s’appliquent comme suit :
(a) lorsque le Transfert Restreint est un Transfert Restreint de l’UE, les CCT de l’UE s’appliquent entre les parties comme suit :
(i) (Le module 1 s’applique ;
(ii) à la Clause 7, la Clause d’adhésion facultative s’applique ;
(iii) à la Clause 11, la langue optionnelle ne s’applique pas ;
(iv) dans la Clause 17, l’Option 1 s’applique et les CCT de l’UE sont régies par le droit irlandais ;
(v) la Clause 18(b), les litiges sont résolus devant les tribunaux d’Irlande ;
(vi) les Parties A, B et C de l’Annexe I sont réputées complétées par les informations figurant dans les Parties A, B et C de l’Annexe A des présentes Conditions de Confidentialité Commerçant; et
(vii) L’Annexe II est réputée complétée par les mesures de sécurité énoncées à l’annexe B des présentes Conditions de Confidentialité du Commerçant;
(b) lorsque le Transfert Restreint est un Transfert Restreint du Royaume-Uni, l’Addendum du Royaume-Uni s’appliquera entre les parties comme suit :
(i) les CCT de l’UE, complétées comme indiqué ci-dessus, s’appliquent entre les parties et sont modifiées par l’Addendum du Royaume-Uni (complété comme indiqué dans la sous-section (ii) ci-dessous) ; et
(ii) les tableaux 1 à 3 de l’Addendum du Royaume-Uni sont réputés complétés par les informations pertinentes des CCT de l’UE, complétées comme indiqué ci-dessus, et les options « Exportateur » et « Importateur » sont réputées cochées dans le tableau 4. La date de début de l’Addendum du Royaume-Uni (comme indiqué dans le tableau 1) correspond à la date d’entrée en vigueur des présentes Conditions de Confidentialité Commerçant.
2. Transferts Restreints ultérieurs : Aucune des parties n’effectuera de Transfert Restreint ultérieur des Données Collectées qu’elle reçoit de l’autre partie à moins qu’elle n’ait pris toutes les mesures nécessaires pour s’assurer que ce Transfert Restreint ultérieur est conforme aux Lois Applicables sur la Protection des Données et à toute Clause Contractuelle Type convenue avec l’autre partie.
MERCHANT PRIVACY TERMS
Effective Date: 20 March 2025
These Connexity Merchant Privacy Terms (“Merchant Privacy Terms”) apply to Connexity’s digital advertising services, such as when Connexity, Inc. (“Connexity”) or a member of the Connexity Companies (defined below) distributes Merchant Content throughout the Connexity Network, pursuant to an agreement between Connexity and a Merchant (“Agreement”), and these Merchant Privacy Terms shall be deemed incorporated into, and form an integral part of, any such Agreement. Connexity is entering into these Merchant Privacy Terms on its own behalf and for and on behalf of its affiliate, Taboola.com, Ltd. (“Taboola”). Connexity and Taboola are collectively the “Connexity Companies”. These Merchant Privacy Terms identify the Connexity Companies’ and Merchant’s roles and responsibilities with respect to Personal Data.
1. Order of Precedence. In the event of a conflict between the Merchant Privacy Terms and the Agreement, the Merchant Privacy Terms will govern to the extent of that conflict unless the conflicting provision in the Agreement expressly references the conflicting provision of these Merchant Privacy Terms and specifies that it prevails over that conflicting provision.
2. Definitions. Terms defined in this section shall have the meaning set out below, and cognate terms shall be construed accordingly. Capitalized terms used but not defined in the Merchant Privacy Terms shall have the meanings defined in the Agreement. Reference to a “party” in these Merchant Privacy Terms shall be read as a reference to the Merchant or to the Connexity Companies, as the context requires, and the term “parties” shall be construed accordingly.
a. “Applicable Data Protection Laws” means any and all federal, national, state, or other privacy and data protection laws that apply to the Processing which is the subject of the Agreement and these Merchant Privacy Terms, as may be amended or superseded from time to time.
b. “California Privacy Law” means California Consumer Privacy Act of 2018, Cal. Civil Code § 1798.100 et seq. (“CCPA”), as amended (including by the California Privacy Rights Act), and any subordinate legislation and implementing regulations.
c. “Collected Data” means the Personal Data set out in Annex A, Part B that each party collects from Data Subjects on or through their servers or networks (including all passively collected or machine-readable data, such as data based on browser type and device identifiers) or receives from the other party in connection with the provision or receipt of the Service.
d. “Controller” means: (i) an entity that determines the purposes and means of the Processing of Personal Data, and (ii) any person that falls within the scope of the term “controller” (or any substantially analogous term) as defined under Applicable Data Protection Laws.
e. “Data Subject” means: (i) an identified or identifiable natural person (and, for these purposes, an identifiable natural person is one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, location data, an online identifier or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that natural person), and (ii) any person that falls within the scope of the term “data subject”, “consumer” (or any substantially analogous term) as defined under Applicable Data Protection Laws.
f. “EU Data Protection Law” means: (i) the EU General Data Protection Regulation (Regulation 2016/679) (“EU GDPR”); (ii) the EU e-Privacy Directive (Directive 2002/58/EC); and (iii) any national data protection laws made under or pursuant to (i) or (ii), each as may be amended or superseded from time to time.
g. “Permitted Purposes” has the meaning given in section 3.
h. “Personal Data” means any information relating to a Data Subject (including, where required by Applicable Data Protection Laws, unique browser or device identifiers).
i. “Process” means any operation or set of operations which is performed on Personal Data or on sets of Personal Data, whether or not by automated means, such as collection, receipt, recording, organisation, structuring, use, transmission, access, sharing, disclosure, transfer, storage, adaptation or alteration, retrieval, consultation, dissemination or otherwise making available, alignment or combination, aggregation, inferring, derivation, analysis, restriction, erasure, destruction or disposal or other handling of Personal Data, inclusive of how such term is defined under Applicable Data Protection Laws.
j. “Processor” means: (i) an entity that Processes Personal Data on behalf of a Controller, and (ii) any person that falls within the scope of the term “processor” (or any substantially analogous term) as defined under Applicable Data Protection Laws.
k. “Restricted Transfer” means: (i) where the EU GDPR applies, a transfer of Personal Data from the EEA to a country outside of the EEA which is not subject to an adequacy determination by the European Commission (an “EU Restricted Transfer”); and (ii) where the UK GDPR applies, a transfer of Personal Data from the United Kingdom to any other country which is not subject to or based on adequacy regulations pursuant to Section 17A of the United Kingdom Data Protection Act 2018 (a “UK Restricted Transfer”).
l. “Sale” and “Sell” mean exchanging Personal Data for monetary or other valuable consideration, and are inclusive of how such terms are defined under Applicable Data Protection Laws.
m. “Service” means services provided by the Connexity Companies under the Agreement with Merchant.
n. “Security Incident” means a breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, Personal Data.
o. “Standard Contractual Clauses” means: (i) where the EU GDPR applies, the contractual clauses annexed to the European Commission’s Implementing Decision 2021/914 of 4 June 2021 on standard contractual clauses for the transfer of personal data to third countries pursuant to Regulation (EU) 2016/679 of the European Parliament and of the Council (“EU SCCs”); and (ii) where the UK GDPR applies, the “International Data Transfer Addendum to the EU Commission Standard Contractual Clauses” issued by the Information Commissioner under s.119A(1) of the DPA 2018 (“UK Addendum”).
p. “Third Party” means a business that acts as a Controller with respect to Personal Data, and that is not the business that the Data Subject whose Personal Data is Processed has intentionally interacted with; the term is inclusive of how such term is defined under Applicable Data Protection Laws.
q. “UK Data Protection Law” means: (i) the UK Data Protection Act 2018, (ii) the UK GDPR (as defined in s.3(10) of the UK Data Protection Act 2018) (“UK GDPR”), (iii) the UK Privacy and Electronic Communications (EC Directive) Regulations 2003), and (iv) any other UK laws made under or pursuant to (i), (ii) or (iii), each as may be amended or superseded from time to time.
3. Purpose Limitation. Each party shall Process Collected Data that it collects or receives from the other party for the purposes set out in Annex A, Part B (the “Permitted Purposes”).
4. Relationship of the Parties. Each party shall Process Collected Data it collects or receives from the other party as a Controller.
a. If Applicable Data Protection Laws in the United States apply to Collected Data, including without limitation California Privacy Law then, to the extent that Connexity Companies receive Collected Data via the Connexity Companies’ Pixel(s) implemented on the Merchant website(s) in connection with the Service, the Connexity Companies shall receive the Collected Data as a Third Party. The Connexity Companies shall Process such Personal Data for the Permitted Purposes. The Connexity Companies will provide the same level of privacy protection to the Collected Data as is required of Controllers or Businesses by Applicable Data Protection Laws in the United States, including if applicable, California Privacy Law. The Connexity Companies will inform Merchant in the time period required by Applicable Data Protection Laws in the United States if the Connexity Companies determine they are no longer able to meet their obligations under those Applicable Data Protection Laws. Upon providing notice to Connexity, Merchant has the right to take reasonable and appropriate steps to stop and remediate unauthorized use of Collected Data that it makes available to the Connexity Companies.
5. Applicable Data Protection Laws. The parties acknowledge that Applicable Data Protection Laws may apply to each party’s Processing of Collected Data, and subject to section 7, each party shall be individually responsible for its own compliance with Applicable Data Protection Laws, including any requirements to: (i) provide transparency to Data Subjects, (ii) have consent or another lawful basis for Processing, and (iii) making available a contact point through which Data Subjects may exercise their data protection rights.
6. International Transfers. In the event that any party makes a Restricted Transfer of Collected Data to the other party, the provisions of Annex C shall apply.
7. Transparency for Users on Merchant’s Landing Page. The Connexity Companies use Connexity Companies’ Pixel(s) to provide the Service. Notwithstanding section 5, to the extent that the Connexity Companies collect Collected Data from Merchant website(s) using Connexity Companies’ Pixel(s), Merchant shall: (i) provide all required transparency notices to Data Subjects about the Connexity Companies’ use of the Connexity Companies’ Pixel(s) to collect Collected Data from Merchant website(s) for the Permitted Purposes, and (ii) obtain (and, on request at any time by Connexity, provide appropriate evidence of) Data Subject consent to such use of Connexity Companies’ Pixel(s) for the Permitted Purposes, in each case in accordance with the requirements of Applicable Data Protection Laws. Merchant’s obligations in this regard include identifying the Connexity Companies and its use of the Connexity Companies’ Pixel(s) for the Permitted Purposes expressly within the transparency notices and the consent prompts Merchant provides to Data Subjects, as well as any other information required by Applicable Data Protection Laws, so that the Connexity Companies can provide its Service lawfully through such digital properties and Process Collected Data for the Permitted Purposes. Upon written request, Connexity shall provide Merchant with such information as is necessary about the Connexity Companies’ Pixel(s) and the Connexity Companies’ Processing of Collected Data through the Merchant’s website(s) for Merchant to use in notice and consent mechanisms that it will ensure comply with Applicable Data Protection Laws. Merchant shall not fire any of the Connexity Companies’ Pixel(s) unless and until any necessary transparency has been provided and any necessary consents required under Applicable Data Protection Laws have been obtained. Merchant shall further provide Data Subjects with information about how they may exercise their data protection rights under Applicable Data Protection Laws, and provide a contact point for Data Subjects to contact in order to exercise their rights. Merchant shall promptly notify Connexity if and to the extent that it receives any data protection rights request concerning the Connexity Companies’ Processing of Collected Data as a Controller in order that Connexity may fulfil the request in accordance with its obligations under Applicable Data Protection Laws.
8. Attribution Partners. If the Connexity Companies, at Merchant’s request, pass all or any Collected Data to Merchant’s attribution partner or to Merchant for attribution purposes, Merchant represents and warrants that: (i) its attribution partner is a Processor on Merchant’s behalf; (ii) unless otherwise collected independently, Merchant and attribution partner will use such Collected Data solely for attribution purposes; and (iii) attribution partner and Merchant will delete all passed Collected Data within thirty (30) days of last identifying the user of a Merchant website(s) as coming from the Connexity Companies.
9. Security. Each party shall implement appropriate technical and organizational security measures to protect the Collected Data that it Processes from and against a Security Incident. These measures shall include the measures set out in Annex B.
10. Security Incidents. If any Party suffers a Security Incident in respect of Collected Data that it Processes and which is the subject of the Agreement and these Merchant Privacy Terms, that Party shall: (i) be responsible for fulfilling (at its own cost) any reporting obligations that apply to it under Applicable Data Protection Laws to data protection authorities and/or affected Data Subjects, (ii) notify the other Party without undue delay, providing such information about the Security Incident as may reasonably be requested by the other Party or as is otherwise required for the other Party to determine whether it may also have reporting obligations under Applicable Data Protection Laws in respect of the Security Incident, and (iii) take all such actions and measures, without undue delay, as are appropriate to remediate and/or mitigate the effects of the Security Incident.
11. DPIAs. Where and to the extent required by the Applicable Data Protection Laws to which each party is subject, each party shall carry out any data protection impact assessment in respect of its Processing of Collected Data for the Permitted Purposes and/or consult with applicable data protection authorities, where necessary. Each party shall provide all reasonable cooperation and information reasonably requested by the other party, where this is necessary to enable the other party to complete a data protection impact assessment and/or consult with applicable data protection authorities in accordance with that other party’s obligations under this section 11.
12. English Language Controls. If there is any conflict between the English language version of these Merchant Privacy Terms and any translated version we may provide, each party agrees that the English language version will control in all instances.
Annex A
Description of the Processing
A. LIST OF PARTIES
Each party shall be:
● a data controller (and data exporter) of Collected Data it discloses, or makes available, to the other party, and
● a data controller (and data importer) of Collected Data it receives from, or to which access is made available by, the other party.
The details of each party are provided below.
| Name: | See Merchant’s details set out in the Agreement. |
| Address: | See Merchant’s details set out in the Agreement. |
| Contact person’s name, position and contact details: | See Merchant’s details set out in the Agreement or otherwise agreed between the parties in writing. |
| Activities relevant to the data transferred under these Clauses: | The receipt of the Service, as set out in the Agreement. |
| Signature and date: | This Annex A shall be deemed executed upon Merchant’s acceptance of these Merchant Privacy Terms. |
| Role (controller/processor): | Controller (where it is a data exporter) and Controller (where it is a data importer) |
| Name: | For the Connexity Companies: See Connexity’s details set out in the introduction to the Agreement. Taboola: Taboola.com, Ltd. |
| Address: | For the Connexity Companies: See Connexity’s details set out in the introduction to the Agreement. Taboola: 2 Jabotinsky Street, 32nd Floor Ramat Gan, Israel 5250501 |
| Contact person’s name, position and contact details: | Connexity’s privacy team, dataprotection@connexity.com. |
| Activities relevant to the data transferred under these Clauses: | The provision of the Service, as set out in the Agreement. |
| Signature and date: | This Annex A shall be deemed executed upon Connexity’s acceptance of these Merchant Privacy Terms. |
| Role (controller/processor): | Controller (where it is a data exporter) and Controller (where it is a data importer) |
B. DESCRIPTION OF THE PROCESSING AND TRANSFER
| Categories of data subjects whose personal data is processed and/or transferred | Users |
| Categories of personal data processed and/or transferred | Device Data: Operating system, browser type, browser version, IP address (truncated within 30 days) of collection, zip code (derived from IP address), hashed Taboola User ID, hashed emails, initial and subsequent page visits on the Advertiser’s website, user gender (inferred by interests), engagement signals (time on site, scroll depth, session depth), conversion data, click ID. Data about digital property visited by user: The URL of the visited page, the referring website, and other information Merchant shares about how users interact with its Merchant website(s), such as page views, product views, add to cart events, purchase events, and other types of events. |
| Sensitive data transferred (if applicable) and applied restrictions or safeguards that fully take into consideration the nature of the data and the risks involved, such as for instance strict purpose limitation, access restrictions (including access only for staff having followed specialised training), keeping a record of access to the data, restrictions for onward transfers or additional security measures | Not applicable. |
| The frequency of the processing and/or transfers (e.g. whether the data is processed and/or transferred on a one-off or continuous basis) | Continuous for the duration of the Agreement |
| Nature of the processing | Processing of Personal Data necessary for the provision of the Service, as set out in the Agreement. |
| Purpose(s) of the data processing / transfer and further processing | The provision of the Service, as set out in the Agreement, and including the following purposes (subject to appropriate data subject permissions, where required under Applicable Data Protection Laws): ● To store and/or access information on a device; ● To select basic advertisements; ● To create a personalised ads profile; ● To select personalised advertisements; ● To create a personalised content profile; ● To select personalised content; ● To measure advertisement performance; ● To measure content performance; ● To understand audiences through statistics or combinations of data from different sources; ● To develop and improve products; ● To ensure security, prevent fraud, and debug; ● To technically deliver ads or content; ● To match and combine offline data sources; ● To link different devices; ● To receive and use automatically-sent device characteristics for identification; and ● To use limited data to select content. |
| The period for which the personal data will be retained, or, if that is not possible, the criteria used to determine that period | The parties shall retain Personal Data for as long as is necessary to provide the Service. |
| For transfers to (sub-) processors, also specify subject matter, nature and duration of the processing | Not applicable. |
C. COMPETENT SUPERVISORY AUTHORITY
| Competent supervisory authority where the EU DGPR applies | The competent supervisory authority for each party is as described below: ● Connexity Companies: The competent supervisory authority shall be determined in accordance with Clause 13 of the EU SCCs. ● Merchant: The competent supervisory authority shall be determined in accordance with Clause 13 of the EU SCCs. |
| Competent supervisory authority where the UK GDPR applies | The Information Commissioner’s Office |
Annex B
Security Measures
Description of the technical and organizational measures implemented by each party (including any relevant certifications) to ensure an appropriate level of security, taking into account the nature, scope, context and purpose of the processing, and the risks for the rights and freedoms of natural persons.
| Measures of pseudonymisation and encryption of personal data | The Connexity Companies collect only pseudonymized data, which means we do not know who you are because we do not know or process the user’s name, email address, or other identifiable data. User Information that we collect includes, but is not limited to, Information about a User’s device and operating system, IP address, the web pages accessed by Users within our Customers’ websites, the link that led a User to a Customer’s website, the dates and times a User accesses a Customers’ website and other web browsing data. Connexity undertakes the following: User Agent and IP Address are both stored encrypted, and for visitors from regions where regulations require anonymization (e.g. where GDPR is applicable), the User Agent and IP Address are both truncated prior to encryption. Further, Taboola undertakes the following: the CookieID is anonymized using Bcrypt and IP address is truncated. |
| Measures for ensuring ongoing confidentiality, integrity, availability and resilience of processing systems and services | Connexity uses multiple levels of electronic security (ex: endpoint security, server-side security, detections tracking, periodic penetration tests, and deep intelligence gathering to review post-mortem events). |
| Measures for ensuring the ability to restore the availability and access to personal data in a timely manner in the event of a physical or technical incident | Connexity implements the following: ● Availability of Personal Data is ensured by Connexity’s utilization of database replication architectures for redundancy and automatic data backups to multiple regions. ● Systems that track user events are also redundant in multiple regions that support failover so that even a complete outage in one region will not render services unavailable. Taboola maintains 9 data centers operating around the world. Every data center is used as a replication of one another so if one falls down the data can be extracted from other data center. |
| Processes for regularly testing, assessing and evaluating the effectiveness of technical and organisational measures in order to ensure the security of the processing | To monitor appropriate data protection and enforce confidentiality obligations and procedures Connexity has implemented the following protocols: ● Training and sensitization of employees with respect to data protection, information security, confidentiality obligations, and compliance. ● Regular auditing of data processing procedures. ● Integrated notification and processing protocols are in place for data protection violations and the protection of the rights of those affected. Taboola maintains strict processes for testing the effectives of its controls (both technical and organizational). We have system logging and monitoring in place, monthly (at least) DR testing, quarterly penetration tests, Firewalls protecting the web and honeypots spread across the network to find any malicious activity. Moreover, we have bounty program in place which helps us to constantly monitor our network. |
| Measures for user identification and authorisation | Every user in the Connexity Companies is associated with a dedicated username and password. Every access to the Connexity Companies’ internal network is done with 2FA. Users are created only by the IT department, during the onboarding process and only after receiving all details and signed contract from the HR department. |
| Measures for the protection of data during transmission | Connexity implements the following: ● Any data transmission of personal data is conducted through secure transmission protocols (HTTPS and TLS v1.2 at the minimum). Furthermore, systems which might contain personal data are secured and data is kept hashed and anonymized. ● The transfer of Personal Data to a third party (e.g. customers, sub-contractors, service provider) is only made if a corresponding contract exists, and only for a specific purpose. Connexity provides that an adequate level of data protection exists at the target location or organization in accordance with the EU’s data protection requirements. Taboola supports any data transmission through secure transmission protocols (HTTPS and TLS v1.2 at the minimum). Identifiable data might be CookieID or IP address collected from the user. IP address is truncated and the CookieID is hashed using Bcrypt. |
| Measures for the protection of data during storage | Access rights to Connexity’s network and system are issued via a regulated review and authorization process and granted according to a “need to know basis” protocol. Taboola ensures that data that is stored within our databases is anonymized and hashed using Bcrypt. Access to the DB is minimized and based according to the ‘business need to know’ principle. |
| Measures for ensuring physical security of locations at which personal data are processed | Connexity implements the following: ● Physical security controls in Connexity’s offices, where the processing of Personal Data may take place or data processing systems may be housed, include protection of the premises and its perimeters using various access control measures, including but not limited to: magnetic key-card access to offices and parking facilities for employees, supervised entry to offices during business hours, 24/7/365 on-site security staff and security camera systems. ● Outside of regular business hours elevators to the 4th floor where Connexity’s offices are located are disabled and are not operable without the use of an active magnetic key-card issued to an authorized employee or staff member of the office building. ● Rooms containing data processing systems (servers, network distributors, etc.) are locked and only accessible to authorized employees of the IT Administration or Infrastructure departments. ● Scheduled visitors and vendors from outside the company must sign a guest roster upon arrival at the front desk and state the reason for their visit. Visitors may be on the business premises only when escorted and/or supervised by building security or an employee of Connexity at all times. Each of Taboola’s global data centres (in US, Europe, and Asia), has all its servers located in locked cabinets that are maintained exclusively for Taboola’s use. These cabinets are maintained by companies that are either SOC2-certified or Taboola has reviewed their security measures. Further, any access to the servers requires written, logged permission. All Taboola offices are also controlled, and require employees to use access cards to enter. Furthermore, only a limited number of employees have access to Taboola’s servers and any access also requires written, logged permission. |
| Measures for ensuring events logging | Connexity’s company network access is automatically monitored and logged, including any unsuccessful login attempts. Network access is automatically blocked by the system after 5 failed attempts and may only be reinstated by an authorized IT Administration employee. Taboola implements monitoring tools and logs are gathered to our SIEM system which alerts us on any suspicious event and also being monitored by NOC team. |
| Measures for ensuring system configuration, including default configuration | Connexity implements the following: ● Connexity uses automated configuration management systems to keep all server configurations up to date and running on a standard configuration. The configurations are under change control and must be reviewed prior to deployment. ● Application configurations are likewise under change control and must be reviewed prior to deployment. ● Application changes go through a formal change management and software development lifecycle process, including code review, QA and standardized CI/CD processes. Taboola Servers are scanned for both configuration drift and patch level. Reporting and/or alerting are set on both and relevant patch level is confirmed. New patches are distributed using Puppet. All technical reviews are managed through the R&D application and obtained through a formal process of review (QA) after coding and CI/CD processes are implemented as well. |
| Measures for internal IT and IT security governance and management | Connexity adheres to the security policies defined by its parent company. Taboola is ISO 27001:2013 and 27701 certified. Taboola have an Information Security Policy in place which states that the Board of Directors and management of Taboola are committed to preserving the confidentiality, integrity and availability of all the physical and electronic information assets throughout their organisation. Taboola holds security trainings for all new employees, phishing trainings for all employees globally, and regular security trainings for all employees and also dedicate sessions for R&D groups. |
| Measures for certification/assurance of processes and products | As a subsidiary of a public company, Connexity goes through rigorous SOX audit review on an annual basis. Taboola undergoes Quarterly / Semi-annual / yearly internal audit on multiple processes and systems to validate that Taboola is complying with its security goals and measures defined. |
| Measures for ensuring data minimisation | The Connexity Companies intentionally limit the data that it collects as part of Taboola’s global data minimization principles of processing only the limited data needed for our specific business purposes. Furthermore, the Connexity Companies do not have the ability, nor any business need, to “reverse engineer” any of the data points used in our processing in order to provide our services. More specifically, the data points that the Connexity Companies collect are never indicative of a user’s identity — as the Connexity Companies do not collect or process information such as user’s name, phone number, email, or physical addresses. Instead, the Connexity Companies collect only pseudonymous identifiers, which merely identify characteristics about a user’s device. This includes IP addresses (which are truncated upon collection and can only identify the device’s general zip code location, but never a precise geolocation). Moreover, even when used collectively, the data that we collect can never produce an individual’s name, phone number, email, or physical address, and our engineers do not work in any way to accomplish this goal. Additionally, the Connexity Companies make and record privacy impact assessments in an effort to minimize the privacy risks of our services, processes, and policies. |
| Measures for ensuring data quality | Connexity collects data directly from user events and conducts multiple levels of input validation to ensure that only valid data is stored. We also run automated processes to analyze patterns in event data after the fact so that we can distinguish between events that are the results of automated actors vs. individual human users. For Taboola, the data is collected directly from the user and the user is given the opportunity to correct any data associated with their CookieID via the Taboola Subject Access Request Portal: https://accessrequest.taboola.com/access |
| Measures for ensuring limited data retention | Connexity: Document management practices are observed within all departments of the Company in accordance with Connexity’s Document Retention and Disposal Policy. Taboola retains User Information, which is directly collected for purposes of serving ads, for at most thirteen (13) months from the User’s last interaction with our Services (often for a shorter period of time), after which time we de-identify the data by removing unique identifiers or aggregating the data. This process is done automatically. |
| Measures for ensuring accountability | The Connexity Companies do multiple security audits and penetration testing (but not for all systems). Taboola also uses cloud providers that are ISO-certified and that comply with other cloud-relevant certifications for maintaining a server’s physical safeguards. |
| Measures for allowing data portability and ensuring erasure | Connexity maintains a Data Protection Policy and Document Retention and Disposal Policy. Connexity also maintains formal subject access request procedures whereby data subjects may exercise their rights to access and port any data Connexity holds related to them and the right to erase or delete such data. Taboola takes measures to ensure that media disposal procedures are the same for all kinds of media as they might contain personal data. Any media must be fully wiped before being reused or disposed. Any media disposal is documented and managed by a third party company expert for those processes. Employees are instructed to not print any paper which might contain personal information and to not store any personal information locally on the computer. |
Annex C
Restricted Transfers
1. To the extent that a party makes a Restricted Transfer of Collected Data to the other party, the Standard Contractual Clauses shall be incorporated into these Merchant Privacy Terms and apply as follows:
(a) where the Restricted Transfer is an EU Restricted Transfer, the EU SCCs will apply between the parties as follows:
(i) Module One will apply;
(ii) in Clause 7, the optional docking Clause will apply;
(iii) in Clause 11, the optional language will not apply;
(iv) in Clause 17, Option 1 will apply, and the EU SCCs will be governed by Irish law;
(v) in Clause 18(b), disputes shall be resolved before the courts of Ireland;
(vi) Parts A, B and C of Annex I shall be deemed completed with the information set out in Parts A, B and C of Annex A to these Merchant Privacy Terms; and
(vii) Annex II shall be deemed completed with the security measures set out in Annex B to these Merchant Privacy Terms;
(b) where the Restricted Transfer is a UK Restricted Transfer, the UK Addendum will apply between the parties as follows:
(i) the EU SCCs, completed as set out above shall apply between the parties, and shall be modified by the UK Addendum (completed as set out in sub-clause (ii) below); and
(ii) tables 1 to 3 of the UK Addendum shall be deemed completed with relevant information from the EU SCCs, completed as set out above, and the options “Exporter” and “Importer” shall be deemed checked in table 4. The start date of the UK Addendum (as set out in table 1) shall be the Effective Date of these Merchant Privacy Terms.
2. Onward Restricted Transfers: Neither party will not make an onward Restricted Transfer of Collected Data that they receive from the other party unless it has done all such acts and things as are necessary to ensure that the such onward Restricted Transfer is compliant with Applicable Data Protection Laws and any Standard Contractual Clauses it has agreed with the other party.
