Accord de traitement des données

Le présent accord (ci-après « l'Accord ») est conclu au titre de l'article 28 du règlement (UE) 2016/679 (ci-après « RGPD ») entre :

• SARL Jérémy Devos, 15 rue Louis Seigneur, 59170 Croix, France, immatriculée sous le numéro 939 628 038, éditrice du service WyndPath, ci-après « le Sous-traitant » ;
• le titulaire du compte WyndPath, ci-après « le Responsable de traitement ».

Il est accepté du seul fait de l'utilisation du service et fait partie intégrante des conditions générales d'utilisation. Aucune signature séparée n'est nécessaire ; une version signée peut être demandée à [email protected].

Article 1. Objet et définitions

L'Accord encadre le traitement de données à caractère personnel réalisé par le Sous-traitant pour le compte du Responsable de traitement dans le cadre de la fourniture de l'API WyndPath. Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée » et « violation de données » s'entendent au sens de l'article 4 du RGPD. En cas de contradiction, l'Accord prévaut sur les conditions générales pour ce qui concerne la protection des données.

Article 2. Description du traitement

Les caractéristiques du traitement sont décrites à l'annexe 1. Le Responsable de traitement demeure seul juge de la licéité de la collecte qu'il initie, des finalités qu'il poursuit et des durées de conservation qu'il applique dans ses propres systèmes.

Article 3. Instructions documentées

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement. Chaque appel à l'API constitue une instruction : l'URL transmise détermine la donnée récupérée. Le Sous-traitant informe le Responsable de traitement s'il estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition du droit de l'Union ou d'un État membre, et peut alors suspendre son exécution.

Le Sous-traitant n'utilise les données traitées pour le compte du Responsable de traitement à aucune fin propre. Il ne les exploite ni à des fins statistiques, ni publicitaires, ni d'entraînement de modèles, et ne les cède à aucun tiers.

Article 4. Confidentialité

Le Sous-traitant veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité, contractuelle ou légale, et reçoivent la formation nécessaire. À la date de l'Accord, l'accès aux systèmes de production est limité au gérant.

Article 5. Sécurité

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées prévues à l'article 32 du RGPD, décrites à l'annexe 2. Il s'engage à ne pas réduire le niveau de protection global pendant la durée de l'Accord.

Article 6. Sous-traitants ultérieurs

Le Responsable de traitement autorise de façon générale le recours aux sous-traitants ultérieurs listés à l'annexe 3. Le Sous-traitant leur impose par contrat des obligations de protection équivalentes à celles de l'Accord et demeure pleinement responsable de leur exécution.

Toute addition ou remplacement est publié sur la page politique de protection des données au moins quinze jours avant sa mise en service. Le Responsable de traitement peut s'y opposer par écrit dans ce délai pour un motif tenant à la protection des données ; à défaut d'accord, il peut résilier son abonnement sans frais et obtenir le remboursement de la fraction non consommée.

Article 7. Droits des personnes concernées

Le Responsable de traitement traite lui-même les demandes d'exercice de droits portant sur les données qu'il a collectées. Le Sous-traitant l'assiste par des mesures techniques appropriées, dans la mesure du possible, et transfère sans délai toute demande qu'il recevrait directement.

Il est expressément rappelé que le Sous-traitant ne conserve pas le contenu des pages restituées : il n'est donc matériellement pas en mesure de rechercher, rectifier ou effacer une donnée collectée par le Responsable de traitement.

Article 8. Assistance

Compte tenu de la nature du traitement et des informations à sa disposition, le Sous-traitant assiste le Responsable de traitement pour le respect des obligations prévues aux articles 32 à 36 du RGPD, notamment en matière de sécurité, de notification de violation et d'analyse d'impact.

Article 9. Violation de données

Le Sous-traitant notifie au Responsable de traitement toute violation de données à caractère personnel le concernant sans délai injustifié et au plus tard 48 heures après en avoir pris connaissance. La notification précise la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Le Sous-traitant documente chaque violation et conserve cette documentation.

Article 10. Sort des données en fin de contrat

À la fin de la prestation, le Sous-traitant supprime les données traitées pour le compte du Responsable de traitement. Les journaux techniques décrits à l'annexe 1 sont supprimés automatiquement au terme de 90 jours. Les pièces comptables sont conservées dix ans en application des obligations fiscales et comptables, seule exception à la suppression.

Article 11. Audit

Le Sous-traitant met à la disposition du Responsable de traitement toutes les informations nécessaires pour démontrer le respect de l'article 28 du RGPD. Il accepte les audits, y compris les inspections, réalisés par le Responsable de traitement ou un auditeur mandaté par lui, sous réserve d'un préavis raisonnable de trente jours, d'une fréquence d'une fois par an sauf incident de sécurité, d'un engagement de confidentialité de l'auditeur et de la prise en charge des frais par le demandeur.

Article 12. Transferts hors Union européenne

Les traitements sont réalisés au sein de l'Union européenne. Les transferts vers les sous-traitants ultérieurs établis hors de l'Union sont encadrés par les clauses contractuelles types adoptées par la Commission européenne le 4 juin 2021 et, lorsque le prestataire y est certifié, par le Data Privacy Framework. Ces clauses sont réputées incorporées à l'Accord.

Article 13. Responsabilité, durée et droit applicable

L'Accord prend effet à la création du compte et demeure en vigueur tant que le Sous-traitant traite des données pour le compte du Responsable de traitement. Chaque partie répond des dommages causés par un traitement qui viole le RGPD dans les conditions de son article 82. L'Accord est soumis au droit français ; à défaut de résolution amiable, compétence est attribuée aux tribunaux du ressort de la cour d'appel de Douai, sous réserve des règles impératives de compétence.

Annexe 1. Description du traitement

Nature

Collecte, transmission et restitution de pages accessibles publiquement, sur instruction du Responsable de traitement.

Finalité

Fourniture de l'API WyndPath, facturation à l'usage et diagnostic technique.

Durée

Durée de l'abonnement. Contenu des pages : non conservé. Métadonnées techniques : 90 jours.

Catégories de données

Données publiées par les personnes concernées sur les pages visées par le Responsable de traitement, dont il détermine seul l'étendue. Côté Sous-traitant : URL appelées, horodatage, volumétrie, identifiants de compte.

Personnes concernées

Toute personne dont des données figurent sur les pages visées, ainsi que les utilisateurs du compte client.

Catégories particulières

Aucune. Le Responsable de traitement s'interdit de faire collecter des données relevant de l'article 9 du RGPD ou relatives à des mineurs.

Annexe 2. Mesures techniques et organisationnelles

• Chiffrement : transport chiffré sur tous les points d'entrée ; chiffrement au repos des identifiants de cibles confiés par le client.
• Contrôle d'accès : clé d'API révocable par compte ; connexion à la console par code à usage unique ; accès serveur par clé, réservé au gérant.
• Cloisonnement : les sessions de navigation, les cookies et les identifiants sont isolés par compte et ne sont jamais partagés entre clients.
• Minimisation : le contenu des pages n'est ni écrit sur disque ni mis en cache durablement ; seules des métadonnées techniques sont journalisées.
• Disponibilité : sauvegardes chiffrées, restauration testée, supervision des services.
• Traçabilité : journalisation des accès administratifs et des opérations sur les comptes.
• Suppression : purge automatique quotidienne des journaux au-delà de 90 jours.

Annexe 3. Sous-traitants ultérieurs autorisés

CCT : clauses contractuelles types. DPF : Data Privacy Framework.