Accord de traitement des données

Le présent accord de traitement des données (le « DPA ») fixe les conditions dans lesquelles SASU Maxime Astorri(le « Sous-traitant » ou l'« Éditeur ») traite des données personnelles pour le compte du Client (le « Responsable de traitement ») dans le cadre du service Nextlids (le « Service »), conformément à l'article 28 du règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée.

Le DPA fait partie du contrat d'abonnement, aux côtés des CGV et des CGU. Il est accepté par le Client lors de sa souscription. En cas de contradiction sur la protection des données, le DPA prévaut. Les termes « données personnelles », « traitement », « violation de données », « personne concernée » et « sous-traitant ultérieur » ont le sens que leur donne le RGPD.

Le DPA s'applique pendant toute la durée de l'abonnement, puis jusqu'à la suppression effective des données dans les conditions de l'article « Sort des données en fin de contrat ».

L'Éditeur ne traite les données que sur instruction documentée du Client. Constituent ces instructions : le contrat (CGV, CGU, DPA), ainsi que les réglages, Intégrations et actions effectués par le Client et ses Utilisateurs dans le Service. Toute instruction supplémentaire est donnée par écrit.

L'Éditeur informe immédiatement le Client s'il estime qu'une instruction constitue une violation du RGPD ou d'une autre règle de protection des données. Si le droit de l'Union ou d'un État membre l'oblige à un traitement, il en informe le Client avant de l'effectuer, sauf si la loi l'interdit.

Le Client garantit la licéité des traitements qu'il confie à l'Éditeur : base légale, information des personnes, prise en compte de leurs oppositions, et le cas échéant analyse d'impact.

Seules les personnes habilitées par l'Éditeur, soumises à une obligation de confidentialité, peuvent accéder aux données du Client, et uniquement dans la mesure nécessaire au support demandé par le Client, à la maintenance, à la sécurité du Service ou au respect d'une obligation légale. Ces accès sont limités au strict nécessaire.

Conformément à l'article 32 du RGPD, l'Éditeur met en œuvre des mesures techniques et organisationnelles appropriées, notamment :

• Isolement des Espaces: chaque donnée est rattachée à l'Espace de son Client ; les règles d'accès de la base de données et les contrôles côté serveur empêchent un Espace de lire les données d'un autre.
• Contrôle d'accès: accès sur invitation, connexion par code à usage unique, liaison du compte à un appareil, rôles et droits par Utilisateur, désactivation immédiate d'un compte.
• Secrets: clés d'API et jetons d'accès conservés côté serveur, jamais renvoyés au navigateur, exclus des sauvegardes.
• Chiffrement: échanges chiffrés en transit (HTTPS/TLS) ; stockage chiffré au repos par l'hébergeur de la base de données.
• Hébergement : base de données et fichiers en France (Paris) ; en-têtes de sécurité du navigateur ; vérification de la signature des webhooks entrants.
• Continuité : sauvegarde automatique quotidienne, avec rotation.

L'Éditeur peut faire évoluer ces mesures, à condition de ne pas réduire le niveau global de sécurité.

Le Client donne à l'Éditeur une autorisation générale de recourir aux sous-traitants ultérieurs listés sur la page Sous-traitants ultérieurs, qui fait partie du DPA.

L'Éditeur informe le Client de tout ajout ou remplacement d'un sous-traitant ultérieur au moins 30 joursà l'avance. Le Client peut s'y opposer par écrit pendant ce délai, pour un motif raisonnable lié à la protection des données. Les parties recherchent alors une solution ; à défaut, le Client peut résilier l'abonnement sans frais, avec effet à la date du changement.

L'Éditeur impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du DPA, et reste responsable envers le Client de leur respect.

Les Intégrationsque le Client relie lui-même avec son propre compte ou sa propre clé (par exemple Anthropic, Instantly, Gmail, WhatsApp Business) ne sont pas des sous-traitants ultérieurs de l'Éditeur : le Client contracte directement avec ces fournisseurs, et les échanges de données avec eux ont lieu sur son instruction.

Les données du Client sont hébergées dans l'Union européenne (Paris). Lorsqu'un sous-traitant ultérieur traite des données hors de l'Espace économique européen, ou y donne accès, le transfert est encadré :

• par une décision d'adéquation de la Commission européenne (article 45 du RGPD), y compris l'EU-US Data Privacy Framework pour les sociétés américaines certifiées ;
• à défaut, par les clauses contractuelles typesadoptées par la Commission européenne (décision d'exécution (UE) 2021/914, module « sous-traitant à sous-traitant »), complétées si nécessaire par des mesures supplémentaires après évaluation du transfert.

Le mécanisme retenu pour chaque prestataire est indiqué sur la page Sous-traitants ultérieurs.

Compte tenu de la nature du traitement, l'Éditeur aide le Client :

• à répondre aux demandes d'exercice des droits des personnes (accès, rectification, effacement, limitation, opposition, portabilité), notamment grâce aux fonctions d'export, de modification et de suppression du Service. Toute demande reçue directement par l'Éditeur est transmise au Client sans délai, sans y répondre lui-même ;
• à garantir la sécurité des traitements et à gérer les violations de données ;
• à réaliser, le cas échéant, une analyse d'impact et à consulter l'autorité de contrôle.

Une assistance qui excède un usage raisonnable, ou qui résulte d'une demande propre au Client, peut être facturée sur devis préalable.

L'Éditeur notifie au Client toute violation de données personnelles le concernant dans les meilleurs délais et au plus tard 72 heuresaprès en avoir pris connaissance, par e-mail à l'administrateur de l'Espace.

La notification décrit, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, ses conséquences probables, les mesures prises ou envisagées pour y remédier et en atténuer les effets, et un point de contact. Les informations indisponibles sont communiquées dès que possible.

Il appartient au Client, responsable de traitement, de notifier l'autorité de contrôle et, le cas échéant, les personnes concernées.

1. Export: jusqu'à la fin de l'abonnement, le Client peut exporter ses données depuis le Service ou demander à l'Éditeur un export dans un format courant et lisible par machine (CSV ou JSON).
2. Suppression : dans les 30 joursqui suivent la fin de l'abonnement, l'Éditeur supprime les données de l'Espace de ses systèmes actifs, sauf obligation légale de conservation.
3. Sauvegardes: les copies contenues dans les sauvegardes sont effacées au fil de leur rotation automatique ; dans l'intervalle, elles ne sont pas utilisées, sauf pour une restauration de sécurité.

Sur demande, l'Éditeur confirme par écrit la suppression.

L'Éditeur met à la disposition du Client les informations nécessaires pour démontrer le respect de l'article 28 du RGPD : description des mesures de sécurité, liste et garanties des sous-traitants ultérieurs, réponses à un questionnaire de sécurité raisonnable.

Si ces éléments ne suffisent pas, le Client peut faire réaliser un audit, au plus une fois par an (sauf violation de données ou demande d'une autorité de contrôle), moyennant un préavis écrit de 30 jours. L'audit est mené par le Client ou par un auditeur indépendant tenu au secret, non concurrent de l'Éditeur, pendant les heures ouvrées, sans perturber le Service ni donner accès aux données des autres Clients. Ses frais sont à la charge du Client.

L'Éditeur agit en responsable de traitement, et non en sous-traitant, pour la gestion de la relation avec le Client : comptes des Utilisateurs, facturation, support, sécurité du Service et journaux de connexion. Ces traitements sont décrits dans la politique de confidentialité.

L'Éditeur tient le registre des catégories d'activités de traitement effectuées pour le compte de ses Clients (article 30.2 du RGPD).