Accord de traitement des données

DPA · Les engagements entre le client responsable du traitement et Ciblup, son sous-traitant.

Cet accord complète les conditions du service pour les données personnelles traitées sur instruction du client. Cette version de travail doit être validée avec ses annexes avant d’être rendue contractuelle.

1. Parties, objet et durée

Le client identifié à la souscription est le responsable du traitement. NOP AGENCY, identifié dans les mentions légales, agit comme sous-traitant pour l’hébergement, l’organisation, la recherche et la préparation de contenus de prospection exécutés pour ce client.

L’accord s’applique pendant le contrat et, au-delà, tant que des données personnelles demeurent traitées pour le client. Les traitements propres de NOP AGENCY (comptabilité, gestion du compte, sécurité propre) relèvent de la politique de confidentialité, et non d’une instruction du client.

2. Instructions et responsabilités du client

Les instructions documentées sont le contrat, la configuration choisie et les actions autorisées dans l’application. Toute instruction complémentaire doit être écrite, licite et réalisable dans le périmètre convenu. Le sous-traitant informe immédiatement le client si une instruction lui paraît enfreindre le RGPD ou le droit applicable ; il suspend l’exécution litigieuse le temps de sa clarification.

Le client détermine les finalités et bases légales, informe les personnes, limite les données collectées, traite leurs oppositions et définit les habilitations et durées nécessaires. Il ne transmet pas de catégories particulières de données ni de données pénales sans accord spécifique et garanties adaptées. Le caractère public d’une source n’écarte pas ces obligations.

Le sous-traitant ne traite les données que sur instruction documentée, y compris pour un transfert international, sauf obligation du droit de l’Union ou d’un État membre. Dans ce cas, il informe le client avant le traitement, sauf interdiction légale justifiée par un intérêt public important.

3. Confidentialité et sécurité

Le sous-traitant veille à ce que les personnes autorisées soient soumises à une obligation de confidentialité et n’accèdent qu’aux informations nécessaires. Il prend les mesures techniques et organisationnelles appropriées au risque conformément à l’article 32 du RGPD, telles que décrites en annexe.

Il maintient la capacité à préserver confidentialité, intégrité, disponibilité et résilience, à restaurer l’accès après incident et à évaluer régulièrement l’efficacité des mesures. Leur adaptation ne doit pas réduire le niveau de protection convenu. Une description de mesures n’est pas une certification.

4. Sous-traitants ultérieurs

Le client accorde une autorisation générale pour les sous-traitants ultérieurs identifiés et validés dans l’annexe. Le sous-traitant informe le client par écrit d’un ajout ou remplacement envisagé, avec les informations nécessaires et un délai raisonnable pour s’y opposer pour des motifs de protection des données avant la mise en œuvre.

Une objection motivée conduit à rechercher une alternative appropriée. Si aucune solution raisonnable n’existe, les parties organisent la fin de la fonction concernée et la restitution ou suppression des données, sans transfert au nouveau prestataire contesté entre-temps.

Des obligations au moins équivalentes à celles du présent accord sont imposées aux sous-traitants ultérieurs par contrat. NOP AGENCY demeure responsable envers le client de l’exécution de leurs obligations dans les conditions de l’article 28 du RGPD.

5. Transferts internationaux

Un transfert hors EEE ne peut avoir lieu que conformément aux instructions et au chapitre V du RGPD : décision d’adéquation applicable ou garanties appropriées, notamment clauses contractuelles types et, si nécessaire, mesures supplémentaires. Le sous-traitant documente les pays, destinataires et mécanismes applicables et les communique au client.

Les régions effectivement utilisées, accès d’assistance et transferts ultérieurs doivent être examinés. La localisation du siège du fournisseur ou une seule clause contractuelle ne suffisent pas à démontrer la conformité.

6. Assistance et droits

Compte tenu de la nature du traitement, le sous-traitant assiste le client par des mesures appropriées pour répondre aux demandes d’accès, rectification, effacement, opposition, limitation et portabilité. Il transmet sans retard injustifié les demandes reçues directement et ne répond pas sur le fond au nom du client sans instruction, sauf obligation légale.

Il assiste aussi le client pour la sécurité, les notifications de violation, les analyses d’impact et les consultations préalables, en tenant compte des informations dont il dispose. Les interlocuteurs, moyens de communication et modalités opérationnelles sont précisés entre les parties ; une discussion de frais ne suspend pas une obligation urgente.

7. Violations de données

Le sous-traitant notifie au client toute violation de données personnelles sans retard injustifié après en avoir pris connaissance. Il fournit les informations disponibles sur la nature de l’incident, les catégories et nombres approximatifs concernés, les conséquences probables, les mesures prises ou proposées et le point de contact.

Des compléments peuvent suivre au fur et à mesure. Le client reste responsable des décisions de notification à l’autorité et aux personnes ; le sous-traitant l’aide notamment à respecter, lorsque applicable, le délai de 72 heures prévu à l’article 33. Ce délai ne constitue pas un délai d’attente accordé au sous-traitant.

8. Restitution et suppression

Au terme des services, le client choisit la restitution ou la suppression des données traitées pour son compte, et la suppression des copies, sauf conservation exigée par le droit de l’Union ou d’un État membre. Les modalités, formats et échéances sont documentés au moment de la demande. La restitution ne doit pas être conditionnée à une nouvelle souscription.

Les données conservées sur obligation légale sont isolées, à accès restreint et non réutilisées. Les sauvegardes sont retirées à l’issue du cycle convenu ; toute restauration réapplique les suppressions. Le sous-traitant fournit une confirmation du traitement de la demande et explicite les exceptions restantes.

9. Preuves et audits

Le sous-traitant met à disposition les informations nécessaires pour démontrer le respect de l’article 28 et permet les audits, y compris inspections, du client ou d’un auditeur mandaté. Les modalités sont organisées avec un préavis raisonnable, sous confidentialité et sans exposer les données des autres clients. Les situations urgentes ou demandes d’une autorité ne sont pas soumises à un préavis qui empêcherait l’exercice du contrôle.

Le sous-traitant contribue aux audits et corrige les écarts qui lui incombent. Il tient les registres requis, documente les instructions et coopère avec l’autorité de contrôle.

Annexe 1 · Description des traitements

Finalité: Permettre au client de gérer sa prospection professionnelle, d’organiser ses contacts et de préparer ses actions.
Personnes: Prospects et contacts professionnels du client, représentants d’entreprises, membres autorisés de l’espace.
Données: Identité et coordonnées professionnelles, activité, poste, société, sources publiques, notes et historique saisis, contexte professionnel destiné à l’IA, brouillons et métadonnées d’échanges si la fonction est activée.
Opérations: Collecte sur instruction, enregistrement, organisation, hébergement, recherche, consultation, analyse, rédaction assistée, restitution et suppression. Aucun envoi autonome ne découle de la seule génération IA.
Fréquence: Pendant la relation, selon les actions du client et les traitements techniques nécessaires.
Exclusions: Données sensibles et pénales, données de mineurs, secrets d’authentification de tiers et traitements hors finalité sans accord spécifique.

Annexe 2 · Mesures et preuves

Habilitations utilisateur/organisation, contrôle des accès serveur, protection CSRF et validation des entrées et fichiers.
Mot de passe haché, sessions contrôlées, double authentification de la console et élévation limitée dans le temps.
Accès d’exploitation restreint, confidentialité, suivi des incidents et traces utiles à la sécurité.
Protection du transport, gestion distincte des secrets et sauvegardes protégées selon la configuration documentée.
Procédures de restauration, restitution, purge et traitement des droits ; vérification régulière de leur efficacité.

Annexe 3 · Prestataires et lieux

Les services concernés sont recensés dans la politique de confidentialité. L’autorisation contractuelle porte uniquement sur la liste finale validée précisant, pour chaque prestataire : entité légale, prestation, catégories de données, pays de stockage et d’assistance, et garantie de transfert éventuelle.

Contact

Pour les instructions et demandes relatives à cet accord : hello@ciblup.com. Le client utilise une personne habilitée pour les instructions engageant son organisation.