Accord sur le traitement des données
1. Objet et nature des traitements
Le présent Accord sur le Traitement des Données (DPA) formalise les engagements entre Mathys Dezitter (EI), le « Sous-traitant », éditeur de la plateforme SaaS, et l'utilisateur professionnel, le « Responsable du traitement », qui utilise le SaaS pour collecter les leads de ses propres jeux-concours. Il est conclu conformément à l'article 28 du Règlement Général sur la Protection des Données (RGPD).
Le présent DPA régit les conditions dans lesquelles le Sous-traitant traite des données personnelles pour le compte du Responsable du traitement, dans le cadre de la fourniture du logiciel SaaS de jeux-concours.
- Nature des opérations : stockage, affichage, structuration et transmission des données collectées par le biais des jeux-concours créés par le Responsable du traitement.
- Catégories de données concernées : données d'identification des participants, notamment nom, prénom, e-mail, numéro de téléphone et données renseignées dans les champs configurés pour une campagne.
- Personnes concernées : utilisateurs finaux et clients finaux participant aux jeux-concours organisés par le Responsable du traitement.
2. Obligations du Sous-traitant
Le Sous-traitant s'engage à :
- traiter les données personnelles uniquement sur instruction documentée du Responsable du traitement et pour les strictes finalités de fourniture du service SaaS, sauf obligation légale contraire ;
- garantir la confidentialité des données à caractère personnel traitées au sein de la plateforme et veiller à ce que les personnes autorisées à y accéder soient soumises à une obligation de confidentialité ;
- mettre en œuvre des mesures techniques et organisationnelles appropriées au regard du risque, notamment des contrôles d'accès et la sécurisation des échanges ;
- assister raisonnablement le Responsable du traitement dans le respect de ses obligations relatives aux droits des personnes concernées, aux analyses d'impact, aux consultations préalables et à la sécurité des traitements ;
- ne pas traiter les données hors de l'Union européenne, sauf recours à un prestataire apportant des garanties appropriées, notamment par des clauses contractuelles types lorsque celles-ci sont requises.
3. Notification des violations de données
Le Sous-traitant informe le Responsable du traitement dans les meilleurs délais après avoir pris connaissance d'une violation de données personnelles stockées sur la plateforme. Il lui communique les informations disponibles afin de lui permettre de satisfaire à ses propres obligations de notification auprès de l'autorité de contrôle ou des personnes concernées.
4. Durée de conservation et sort des données
Sur instruction du Responsable du traitement, donnée par l'acceptation du présent DPA, les données d'identification des participants sont effacées automatiquement :
- six mois après la fin de la campagne pour les participants qui n'ont pas accepté d'être recontactés ;
- trois ans après le début de la campagne pour les participants qui ont accepté d'être recontactés.
Le Responsable du traitement est prévenu par e-mail au moins trente jours avant chaque effacement et peut exporter les données concernées jusqu'à cette date. L'effacement remplace les données identifiantes ; les statistiques de la campagne (nombre de participations, lots attribués, consentements) sont conservées sans donnée personnelle. Le Responsable du traitement reste libre d'effacer un participant plus tôt depuis son tableau de bord.
Au terme de l'utilisation des services ou de la résiliation de l'abonnement, le Sous-traitant supprime ou restitue les données personnelles traitées pour le compte du Responsable du traitement, à son choix et sur demande adressée au support, sauf obligation légale de conservation contraire.
Lorsque la restitution est demandée, elle est réalisée dans un format standard et exploitable dans la mesure des fonctionnalités disponibles du service.
5. Sous-traitants ultérieurs
Le Responsable du traitement autorise le Sous-traitant à recourir aux sous-traitants techniques nécessaires à l'exécution du service, sous réserve qu'ils présentent des garanties suffisantes en matière de protection des données.
- Vercel Inc. : hébergement et infrastructure de l'application web.
- Clerk, Inc. : authentification et gestion des comptes utilisateurs.
- Cloudflare, Inc. : stockage des médias lorsque le stockage Cloudflare R2 est configuré.
Le Sous-traitant informe le Responsable du traitement de tout ajout ou remplacement d'un sous-traitant ultérieur pertinent. Le Responsable du traitement peut s'y opposer pour un motif légitime lié à la protection des données.
6. Information et audit
Le Sous-traitant met à disposition du Responsable du traitement les informations raisonnablement nécessaires pour démontrer le respect de ses obligations au titre du présent DPA. Sous réserve d'un préavis raisonnable, de la confidentialité et de la sécurité des systèmes, le Responsable du traitement peut demander un audit proportionné des mesures mises en œuvre.