Accord de traitement des données

Parties

Objet et champ d’application

Les présentes conditions s’appliquent au traitement de données personnelles effectué par le sous-traitant pour le compte du responsable du traitement dans le cadre du service décrit ci-dessous. Elles font partie des conditions générales du sous-traitant et s’appliquent automatiquement, sans signature, à chaque client qui accepte ces conditions. En cas de contradiction avec les conditions générales sur le traitement des données personnelles, les présentes conditions prévalent. Elles visent à satisfaire aux exigences de l’article 28 du règlement (UE) 2016/679 (RGPD).

Description du service

Privacyboard s’occupe de votre politique de confidentialité, de vos prestataires et des demandes de confidentialité de vos clients, pour que vous puissiez vous consacrer à votre activité. Mise en place gratuite.

Instructions de traitement

Le sous-traitant ne traite les données personnelles que sur instruction documentée du responsable du traitement, y compris en ce qui concerne les transferts vers un pays tiers ou à une organisation internationale, à moins qu’il ne soit tenu d’y procéder en vertu de la loi. Dans ce cas, le sous-traitant informe le responsable du traitement de cette obligation juridique avant le traitement, sauf si la loi l’interdit. Le sous-traitant informe immédiatement le responsable du traitement si, selon lui, une instruction constitue une violation de la réglementation relative à la protection des données.

Confidentialité

Le sous-traitant veille à ce que les personnes autorisées à traiter les données personnelles soient soumises à une obligation de confidentialité, contractuelle ou légale.

Sécurité

Le sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, conformément à l’article 32 du RGPD. Les mesures en place à la date d’entrée en vigueur sont décrites à l’annexe 2.

Violations de données personnelles

Le sous-traitant notifie au responsable du traitement, dans les meilleurs délais, et en tout état de cause dans un délai de 48 heures, après en avoir pris connaissance, toute violation de données personnelles affectant les données du responsable du traitement, et lui fournit les informations dont il a besoin pour remplir ses propres obligations de notification.

Sous-traitants ultérieurs

Le responsable du traitement donne une autorisation générale pour le recours aux sous-traitants ultérieurs listés ci-dessous. Le sous-traitant informe le responsable du traitement de tout ajout ou remplacement envisagé, au moins 30 jours à l’avance, par email ou par sa liste publiée des sous-traitants ultérieurs, afin que le responsable du traitement puisse s’y opposer.

Le sous-traitant impose à chaque sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles prévues par le présent accord, et demeure pleinement responsable envers le responsable du traitement de l’exécution de leurs obligations par ses sous-traitants ultérieurs.

• Vercel — Héberger les sites web, les services en ligne ou d’autres systèmes de l’entreprise. — France
• Supabase — Fournir la base de données, l’authentification et le stockage de fichiers pour les services Supabase activés. — France
• Resend — Envoyer les e-mails transactionnels, comme les notifications de compte et les réinitialisations de mot de passe. — Ireland
• Google Workspace — Provide internal business email and the support mailbox that receives the messages customers send us. — EU
• Anthropic — Used to translate specific passage of Privacy Center's documentations. — United States
• Cloudflare — Protection anti-bots sur les formulaires d’inscription et de connexion, et analyses dans un navigateur réel des sites web que les clients nous demandent de vérifier — Worldwide

Transferts internationaux

Le sous-traitant ne transfère des données personnelles hors de l’Espace économique européen que sur instruction documentée du responsable du traitement ou lorsque la loi l’exige, et uniquement avec les garanties prévues au chapitre V du RGPD.

Certains sous-traitants ultérieurs traitent des données hors de l’Espace économique européen (Anthropic, Cloudflare). Pour ces transferts, le sous-traitant s’appuie sur les clauses contractuelles types approuvées par la Commission européenne.

Assistance au responsable du traitement

Compte tenu de la nature du traitement, le sous-traitant aide le responsable du traitement, par des mesures techniques et organisationnelles appropriées, à donner suite aux demandes des personnes qui exercent leurs droits, et lui transmet sans délai toute demande de ce type qu’il reçoit. Le sous-traitant aide également le responsable du traitement à respecter ses obligations en matière de sécurité, de notification des violations de données personnelles, d’analyses d’impact relatives à la protection des données et de consultation préalable.

Restitution ou suppression

Au terme du service, et au choix du responsable du traitement, le sous-traitant supprime toutes les données personnelles ou les lui restitue, et détruit les copies existantes, à moins que la loi n’exige leur conservation.

Procédure de suppression : We manually delete personal data upon request.

Audit et information

Le sous-traitant met à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect du présent accord, et permet la réalisation d’audits, y compris d’inspections, par le responsable du traitement ou un auditeur qu’il a mandaté, et y contribue, moyennant un préavis raisonnable.

Durée

Le présent accord s’applique tant que le sous-traitant traite des données personnelles pour le compte du responsable du traitement, et jusqu’à ce que ces données aient été restituées ou supprimées.

Durée de conservation pendant le service, pour chaque traitement :

Service fourni pour le compte des clients : selon les instructions de chaque client, puis restitution ou suppression à la fin du contrat

Annexe 1 - description du traitement

Traitements effectués pour les clients :

Service fourni pour le compte des clients — Fournir le service aux clients et traiter leurs données uniquement sur leurs instructions documentées (données : Données des utilisateurs finaux des clients traitées via le service : enregistrements du consentement aux cookies de leurs visiteurs du site (choix de consentement, date, version du bandeau, région, identifiant pseudonymisé), coordonnées et données d’identité ainsi que contenu des demandes de confidentialité qui leur sont adressées (nom, adresse e-mail, demande), et toute autre donnée que les clients choisissent de partager; personnes : Visiteurs du site des clients, personnes adressant des demandes de confidentialité aux clients, et clients, utilisateurs ou salariés des clients; conservation : Selon les instructions de chaque client, puis restitution ou suppression à la fin du contrat)

Durée : pendant la durée du service, avec la conservation prévue à la section Durée

Annexe 2 - mesures de sécurité

Authentification multifacteur pour les accès d’administration

Sauvegardes régulières

Chiffrement des données personnelles en transit et au repos

Région d’hébergement : France

Acceptation

Les présentes conditions sont acceptées par voie électronique, avec les conditions générales du sous-traitant, lorsque le client crée un compte ou commande le service. Aucune signature n’est nécessaire. Un client qui souhaite un exemplaire contresigné peut le demander à hello@privacyboard.io.