Accord de traitement des données

Le Client détermine les finalités et les moyens des traitements décrits à l'annexe 1 ; l'Éditeur les met en œuvre pour son compte. Lorsque le Client agit lui-même comme sous-traitant de ses propres clients (par exemple un commerce dont il gère les pages et les avis), il garantit avoir obtenu de ceux-ci l'autorisation de recourir à l'Éditeur comme sous-traitant ultérieur ; le présent accord s'applique alors à cette sous-traitance, et le Client relaie entre l'Éditeur et ses clients les informations et instructions prévues ci-dessous.

L'Éditeur ne traite les données que sur instruction documentée du Client : les Conditions, le présent accord, les réglages et actions effectués dans le service par les Utilisateurs, et toute instruction écrite complémentaire acceptée par les deux parties. Si une instruction lui paraît constituer une violation du RGPD ou d'une autre règle de protection des données, l'Éditeur en informe immédiatement le Client. L'Éditeur n'utilise pas les données pour son propre compte ; il ne les vend pas et ne les utilise pas à des fins publicitaires.

L'Éditeur veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité et n'y accèdent que dans la mesure nécessaire à la fourniture du service, à l'assistance demandée par le Client ou à la sécurité.

L'Éditeur met en œuvre les mesures techniques et organisationnelles décrites à l'annexe 2, adaptées au risque (article 32 du RGPD), et les maintient à jour. Il peut les faire évoluer à condition de ne pas réduire le niveau de sécurité. Le Client reste responsable des mesures qui relèvent de son usage : attribution des rôles et des accès, retrait des Utilisateurs qui quittent ses équipes, activation de la double authentification.

L'Éditeur notifie au Client toute violation de données à caractère personnel le concernant dans les meilleurs délais, et au plus tard quarante-huit heures après en avoir pris connaissance. La notification décrit, dans la mesure où ces éléments sont connus, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, ses conséquences probables et les mesures prises ou envisagées ; les informations manquantes sont communiquées dès qu'elles sont connues. Il appartient au Client, responsable de traitement, de notifier la violation à l'autorité de contrôle et aux personnes concernées lorsque c'est requis.

Le Client autorise l'Éditeur à recourir aux sous-traitants ultérieurs listés à l'annexe 3. L'Éditeur informe le Client par e-mail de tout ajout ou remplacement au moins trente jours avant ; le Client peut s'y opposer pendant ce délai pour un motif légitime lié à la protection des données. À défaut de solution acceptable, le Client peut résilier sans frais les Modules concernés avant la date du changement.

L'Éditeur impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du présent accord, et reste responsable envers le Client de leur exécution.

Les données sont hébergées en France. L'Éditeur ne les transfère hors de l'Espace économique européen que vers les sous-traitants ultérieurs de l'annexe 3, avec les garanties qui y sont indiquées (décision d'adéquation ou clauses contractuelles types adoptées par la Commission européenne).

Le service permet au Client de consulter, corriger et supprimer la plupart des données qu'il contient. Pour le reste, l'Éditeur aide le Client, dans la mesure du possible, à répondre aux demandes d'exercice de leurs droits par les personnes concernées. S'il reçoit directement une telle demande, il la transmet au Client dans les meilleurs délais, sans y répondre lui-même sauf instruction du Client.

L'Éditeur fournit au Client les informations dont il dispose pour l'aider à garantir la sécurité des traitements, à réaliser une analyse d'impact relative à la protection des données et, le cas échéant, à consulter l'autorité de contrôle (articles 32 à 36 du RGPD).

À la fin du contrat, l'Éditeur restitue et supprime les données dans les conditions de l'article 20 des Conditions : export sur demande reçue au plus tard 30 jours après la fin du contrat, puis suppression au plus tard 90 jours après celle-ci, sauf conservation imposée par le droit de l'Union ou d'un État membre. L'Éditeur confirme la suppression par écrit sur demande.

L'Éditeur tient le registre des traitements effectués pour le compte de ses clients (article 30, paragraphe 2, du RGPD) et met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord. Le Client peut faire réaliser un audit, au plus une fois par an sauf violation de données, par lui-même ou par un auditeur indépendant tenu au secret et non concurrent de l'Éditeur, moyennant un préavis de trente jours. L'audit porte sur les seuls traitements du Client, se déroule sans perturber le service ni compromettre les données des autres clients, et ses frais sont à la charge du Client.

Le présent accord s'applique pendant toute la durée des traitements effectués pour le Client, y compris après la fin du contrat jusqu'à la suppression des données. La responsabilité des parties est régie par les Conditions, sans préjudice des droits que les personnes concernées tiennent du RGPD. Contact pour toute question relative au présent accord : [adresse e-mail de contact].

• Chiffrement : connexions chiffrées (HTTPS, en-tête HSTS) ; base de données et fichiers chiffrés au repos par le prestataire d'hébergement ; jetons d'accès aux réseaux sociaux chiffrés en AES-256-GCM avec une clé conservée sur le serveur, à part de la base.
• Cloisonnement : chaque Espace est isolé par des règles d'accès appliquées par la base de données elle-même ; rôles (propriétaire, administrateur, membre, contact client) ; chaque membre ne voit que les clients qui lui sont confiés, chaque contact que ceux auxquels il est rattaché.
• Authentification : comptes créés sur invitation uniquement ; mots de passe d'au moins douze caractères, conservés sous forme hachée par le prestataire d'authentification ; double authentification par application (TOTP) ; limitation des tentatives de connexion par compte et par adresse IP ; liens de validation personnels, limités dans le temps, dont seule l'empreinte est conservée.
• Application : politique de sécurité du contenu (CSP) et en-têtes de sécurité ; journal des actions sensibles (rôles, accès, connexions aux réseaux) ; journaux d'erreurs sans jetons ni paramètres d'adresse.
• Serveur : hébergé en France ; seuls les ports web et d'administration sont ouverts ; mises à jour de sécurité automatiques ; application exécutée par un utilisateur dédié, sans droits d'administration, avec un système en lecture seule ; secrets accessibles au seul service.
• Organisation : accès aux données de production réservé à l'Éditeur, au strict nécessaire ; module Publicité en lecture seule sur les comptes publicitaires.