Accord de sous-traitance (DPA)
Cette traduction vous est fournie pour votre commodité. Seule la version néerlandaise fait foi juridiquement.
Le présent accord de sous-traitance s’applique entre le client (« responsable du traitement ») et DMback (« sous-traitant »), et est conclu par l’acceptation des conditions générales lors de la création d’un espace de travail. Il est conforme à l’article 28 du Règlement général sur la protection des données (RGPD).
1. Objet, durée et finalité
Le sous-traitant traite des données à caractère personnel exclusivement pour fournir le service : la réception des commentaires sur les comptes Instagram connectés du client, la reconnaissance des mots-clés configurés, l’envoi de messages privés automatiques et de réponses publiques, et l’affichage de statistiques. L’accord dure aussi longtemps que le client utilise le service, augmenté de la période nécessaire à l’effacement des données.
2. Catégories de données et de personnes concernées
| Personnes concernées | Utilisateurs d’Instagram qui commentent les publications du client (« abonnés »). |
|---|---|
| Données | Identifiant utilisateur Instagram (un numéro), identifiant du commentaire, identifiant du média, texte du commentaire (uniquement pour reconnaître le mot-clé), horodatage, mot-clé correspondant et statut du message envoyé. Les noms d’utilisateur ne sont pas enregistrés. |
| Données sensibles | Ne sont pas traitées sciemment. Le client ne configure pas de mots-clés ni de messages visant des catégories particulières de données à caractère personnel. |
3. Instructions
Le sous-traitant ne traite les données que sur instruction écrite du client. Les paramètres que le client définit dans le tableau de bord (mots-clés, messages, durée de conservation) valent instruction. Le sous-traitant signale toute instruction qui, selon lui, constitue une violation du RGPD.
4. Confidentialité et sécurité
Les personnes ayant accès aux données pour le compte du sous-traitant sont tenues à une obligation de confidentialité. Le sous-traitant prend des mesures appropriées, notamment :
- stockage et traitement au sein de l’UE (Francfort) ;
- connexions chiffrées (TLS) et stockage chiffré des jetons d’accès (AES-256-GCM) ;
- séparation des données clients par espace de travail, également imposée au niveau de la base de données (row level security) ;
- vérification de l’origine de chaque message de Meta (signature cryptographique) ;
- accès aux systèmes de production réservé aux personnes autorisées, avec journalisation des accès du support ;
- effacement automatique des données à l’issue de la durée de conservation définie.
5. Sous-traitants ultérieurs
Le client donne une autorisation générale pour le recours aux sous-traitants ultérieurs listés ci-dessous. Nous annonçons tout nouveau sous-traitant ultérieur au moins 30 jours à l’avance sur la page des sous-traitants ultérieurs ; le client peut s’y opposer et, dans ce cas, résilier sans frais.
| Partie | Finalité | Localisation | Fondement du transfert |
|---|---|---|---|
| Vercel Inc. | Hébergement de l’application (fonctions serveur à Francfort, fra1) | UE (Francfort) ; société établie aux États-Unis | EU-US Data Privacy Framework + CCT |
| Supabase Inc. | Base de données (PostgreSQL) | UE (Francfort, eu-central-1) | CCT ; les données restent dans l’UE |
| Meta Platforms Ireland Ltd. | API Instagram : réception des commentaires, envoi des DM | UE / États-Unis | Nécessaire au service ; Meta Platform Terms |
| Stripe Payments Europe Ltd. | Paiements et factures (données clients uniquement, aucune donnée Instagram) | UE (Irlande) / États-Unis | EU-US Data Privacy Framework + CCT |
| Resend (Plus Five Five Inc.) | Envoi d’e-mails aux clients (aucune donnée Instagram) | États-Unis / UE | EU-US Data Privacy Framework + CCT |
6. Droits des personnes concernées
Le sous-traitant aide le client à traiter les demandes des personnes concernées (accès, effacement). Les demandes d’effacement reçues via Meta sont exécutées automatiquement sur l’ensemble des espaces de travail.
7. Violations de données
Le sous-traitant informe le client dans les meilleurs délais, et au plus tard 48 heures après sa découverte, de toute violation de la sécurité concernant des données à caractère personnel du client, en lui communiquant les informations nécessaires à une éventuelle notification à l’autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens).
8. Durée de conservation et fin
Les données sont conservées pendant la durée définie par le client (30 jours par défaut, minimum 8, maximum 400). Après la fin du contrat ou la suppression de l’espace de travail, le sous-traitant efface toutes les données à caractère personnel dans un délai de 30 jours, sauf obligation légale contraire. Le client peut télécharger un export au préalable.
9. Audit
Sur demande, le sous-traitant met à la disposition du client les informations nécessaires pour démontrer sa conformité. Un audit sur site est possible moyennant un préavis raisonnable et aux frais du client.
10. Responsabilité
En matière de responsabilité, les dispositions des conditions générales s’appliquent.
Questions : l’adresse de contact figurant sur notre site web.