Accord de traitement des données (DPA)

Le présent accord de traitement des données (ci-après le « DPA ») régit le traitement des données personnelles par Reverdin Solutions (ci-après le « Sous-traitant ») pour le compte des clients abonnés aux offres Uniflo Pro ou Agency (ci-après le « Responsable du traitement »).

Le DPA fait partie intégrante des Conditions générales de service et est conforme à l'article 28 du RGPD (règlement 2016/679) ainsi qu'aux réglementations équivalentes en vigueur dans d'autres juridictions. En cas de conflit entre le présent DPA et les Conditions générales de service, la disposition la plus protectrice prévaut.

• Données personnelles : toute information se rapportant à une personne physique identifiée ou identifiable, au sens de l'article 4(1) du RGPD.
• Traitement : toute opération effectuée sur des données personnelles, au sens de l'article 4(2) du RGPD.
• Responsable du traitement : le client qui détermine les finalités et les moyens du traitement (le responsable du traitement au sens de l'article 4(7) du RGPD).
• Sous-traitant : Reverdin Solutions, agissant sur instruction du Responsable du traitement, au sens de l'article 4(8) du RGPD.
• Sous-traitant ultérieur : toute entité mandatée par le Sous-traitant pour traiter des données personnelles pour son compte (article 28(2) du RGPD).

Objet : le Sous-traitant traite des données personnelles aux fins de la fourniture du service Uniflo, notamment l'authentification, la gestion des espaces de travail, la planification de contenus, la connexion des canaux et l'assistance à la création de contenu par IA.

Durée : le présent DPA reste en vigueur pendant toute la durée du contrat de service et se prolonge pendant la période nécessaire pour satisfaire aux obligations de conservation des données après la résiliation.

Nature et finalité : les données personnelles traitées comprennent les adresses e-mail, noms d'utilisateur, adresses IP, données de session, contenus de l'espace de travail et identifiants de connexion aux canaux (chiffrés). Le traitement n'intervient qu'aux fins de la fourniture du service objet du contrat.

Le Responsable du traitement s'engage à :

• s'assurer de l'existence d'une base légale pour tout traitement au sens des articles 6 et 9 du RGPD ;
• fournir au Sous-traitant des instructions claires et documentées concernant l'étendue et la nature du traitement ;
• recueillir le consentement approprié ou s'appuyer sur une base légale légitime (par exemple l'exécution d'un contrat ou une obligation légale) ;
• informer les personnes concernées du traitement via une politique de confidentialité ou un document équivalent (voir la Politique de confidentialité propre au Responsable du traitement) ;
• répondre aux demandes d'exercice des droits des personnes concernées dans les délais requis ; le Sous-traitant apportera son assistance si nécessaire ;
• notifier immédiatement au Sous-traitant toute violation de données, tout traitement illicite ou toute infraction constatée par le Responsable du traitement.

Le Sous-traitant s'engage à :

• ne traiter les données personnelles que sur instruction documentée du Responsable du traitement ;
• veiller à ce que les personnes autorisées à traiter les données personnelles se soient engagées à la confidentialité ou soient soumises à une obligation légale de secret professionnel ;
• mettre en œuvre les mesures techniques et organisationnelles prévues à l'article 32 du RGPD (voir section 7 ci-dessous) ;
• ne pas traiter les données personnelles pour ses propres finalités ni les transférer sans autorisation préalable. Le Sous-traitant ne peut combiner les données personnelles provenant de plusieurs Responsables du traitement ou d'activités étrangères au service ;
• répondre aux demandes d'exercice des droits des personnes concernées (articles 15 à 22 du RGPD) en assistant le Responsable du traitement dans les délais légaux ;
• assister le Responsable du traitement dans la réalisation de ses analyses d'impact relatives à la protection des données (AIPD) au titre de l'article 35 du RGPD ;
• assister le Responsable du traitement dans la démonstration de sa conformité aux obligations du RGPD (article 32(3)) ;
• à l'issue du contrat, restituer ou supprimer de manière sécurisée l'ensemble des données personnelles, sauf si le droit de l'Union européenne ou d'un État membre impose leur conservation ;
• mettre à la disposition du Responsable du traitement toute information nécessaire pour démontrer sa conformité et permettre la réalisation d'audits et d'inspections.

Le Sous-traitant peut faire appel à des Sous-traitants ultérieurs pour assurer la fourniture du service. Tous les Sous-traitants ultérieurs sont soumis aux mêmes obligations de confidentialité et de sécurité que le Sous-traitant. Le Responsable du traitement est informé des Sous-traitants ultérieurs suivants et y consent :

Notification des changements de Sous-traitant ultérieur : le Sous-traitant notifie le Responsable du traitement au moins 15 jours calendaires avant l'ajout ou le remplacement d'un Sous-traitant ultérieur. Le Responsable du traitement peut s'opposer à l'ajout d'un nouveau Sous-traitant ultérieur par notification écrite ; en cas d'opposition, le Sous-traitant et le Responsable du traitement négocient de bonne foi. À défaut d'accord, le Responsable du traitement peut résilier le service pour la composante concernée, sans pénalité.

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles de sécurité suivantes, proportionnées au niveau de risque des données personnelles traitées :

• Chiffrement en transit : tous les transferts de données utilisent un chiffrement TLS 1.2 ou supérieur.
• Chiffrement au repos : les données sensibles (mots de passe, identifiants d'API, informations de paiement) sont chiffrées en AES-256.
• Contrôle d'accès : des contrôles d'accès basés sur les rôles (RBAC) et le principe du moindre privilège limitent l'accès aux données personnelles au seul personnel autorisé.
• Pseudonymisation : les identifiants d'utilisateurs sont salés et hachés lorsque cela est possible ; les identifiants directs sont chiffrés dans la mesure du possible.
• Authentification : l'authentification à plusieurs facteurs (MFA) est disponible pour les comptes utilisateurs ; l'accès à l'API est contrôlé par authentification par jeton avec expiration.
• Journalisation et surveillance : tout accès aux données personnelles est journalisé et surveillé afin de détecter toute activité suspecte. Les journaux sont conservés pendant 12 mois.
• Cloisonnement des données : les données personnelles sont isolées logiquement par Responsable du traitement (espace de travail).
• Tests de sécurité réguliers : le Sous-traitant effectue périodiquement des tests d'intrusion et des évaluations de vulnérabilités.
• Réponse aux incidents : un plan de réponse aux incidents documenté est maintenu et testé régulièrement.
• Sauvegarde et restauration : des sauvegardes quotidiennes sont effectuées avec un stockage chiffré et géographiquement réparti. L'objectif de délai de restauration (RTO) est de 4 heures ; l'objectif de point de restauration (RPO) est de 24 heures.
• Sécurité du personnel : l'ensemble du personnel suit une formation à la confidentialité et fait l'objet de vérifications préalables. Les accès sont révoqués immédiatement en cas de départ.

Les données personnelles peuvent être transférées à des Sous-traitants ultérieurs situés en dehors de l'Espace économique européen (EEE). Ces transferts sont encadrés par :

• Clauses contractuelles types (CCT) : les transferts de données vers des Sous-traitants ultérieurs situés aux États-Unis et dans d'autres juridictions ne bénéficiant pas d'une décision d'adéquation sont protégés par les clauses contractuelles types de la Commission européenne, adoptées en juin 2021 (décision d'exécution (UE) 2021/914).
• Mesures supplémentaires : lorsque cela est nécessaire (par exemple pour les transferts vers les États-Unis après l'arrêt Schrems II), le Sous-traitant met en œuvre des mesures techniques supplémentaires, notamment le chiffrement de bout en bout au niveau applicatif lorsque cela est possible.
• Transparence : le Responsable du traitement est informé de toutes les juridictions dans lesquelles les données personnelles sont traitées (voir la liste des Sous-traitants ultérieurs, section 6).

Le Sous-traitant assiste le Responsable du traitement dans le traitement des demandes des personnes concernées au titre des articles 15 à 22 du RGPD, notamment :

• Droit d'accès (article 15) : le Sous-traitant fournit des copies ou extraits des données personnelles sur demande, dans un délai de 10 jours ouvrés.
• Droit de rectification (article 16) : le Sous-traitant corrige les données personnelles inexactes ou permet leur correction par la personne concernée via l'interface du service.
• Droit à l'effacement (article 17) : le Sous-traitant supprime les données personnelles dans un délai de 30 jours, sauf obligation légale de conservation.
• Droit à la limitation du traitement (article 18) : le Sous-traitant peut marquer les enregistrements comme restreints ; le traitement ne reprend que sur instruction du Responsable du traitement.
• Droit à la portabilité des données (article 20) : le Sous-traitant fournit les données personnelles dans un format structuré et lisible par machine (CSV, JSON) dans un délai de 15 jours ouvrés.
• Droits relatifs à la prise de décision automatisée (article 22) : le Sous-traitant n'utilise pas les données personnelles pour des décisions entièrement automatisées produisant des effets juridiques sans consentement exprès.

Toute demande émanant d'une personne concernée doit être adressée au Responsable du traitement. Le Responsable du traitement peut transmettre la demande au Sous-traitant ; le Sous-traitant y répondra dans un délai de 10 jours ouvrés.

Le Sous-traitant notifie au Responsable du traitement, sans retard injustifié et au plus tard dans un délai de 72 heures après avoir eu connaissance d'une violation de données personnelles confirmée, sauf si le Sous-traitant estime que la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes concernées.

Les notifications de violation comprennent :

• la nature de la violation et les données concernées ;
• les conséquences probables pour les personnes concernées ;
• les mesures prises ou proposées pour remédier à la violation et en atténuer les effets ;
• un point de contact pour toute information complémentaire.

Le Responsable du traitement est chargé de notifier les personnes concernées affectées ainsi que l'autorité de contrôle compétente dans les délais prévus par l'article 33 du RGPD.

Le Sous-traitant met à la disposition du Responsable du traitement, moyennant un préavis raisonnable (10 jours ouvrés minimum), toute information nécessaire pour démontrer sa conformité au RGPD et au présent DPA, notamment :

• les politiques et procédures de sécurité documentées ;
• les preuves d'évaluations de sécurité et les résultats de tests d'intrusion (les informations commercialement sensibles étant occultées) ;
• les registres de formation du personnel et les engagements de confidentialité ;
• la documentation relative à la réponse aux incidents et les notifications de violation ;
• les contrats conclus avec les Sous-traitants ultérieurs et les rapports d'audit disponibles.

Le Responsable du traitement peut procéder à un audit sur site, à ses frais, au maximum une fois par période de 12 mois, sous réserve de justifier d'un motif légitime (par exemple une obligation réglementaire ou une suspicion raisonnable de non-conformité). Le Sous-traitant peut raisonnablement limiter la divulgation des secrets d'affaires et des informations confidentielles.

Le Sous-traitant coopère avec les autorités de contrôle et fournit les informations et l'assistance requises par les régulateurs chargés de vérifier la conformité du Responsable du traitement.

Conservation des données : les données personnelles ne sont conservées que le temps nécessaire à la fourniture du service. Les durées de conservation spécifiques sont les suivantes :

• Données d'espace de travail actif : conservées pendant toute la durée de l'abonnement.
• Contenus de l'espace de travail (publications, plannings, brouillons) : supprimés dans les 30 jours suivant la résiliation du compte ou sur instruction expresse du Responsable du traitement.
• Journaux d'authentification : conservés 12 mois.
• Données de facturation et de transaction : conservées 10 ans (obligations fiscales et comptables).
• Copies de sauvegarde : conservées 90 jours à des fins de reprise après sinistre, puis supprimées ou anonymisées.

Suppression à la résiliation : à la résiliation du service, le Sous-traitant supprime ou restitue, au choix du Responsable du traitement, l'ensemble des données personnelles dans un délai de 30 jours, sauf si le droit de l'Union européenne ou national impose leur conservation.

Traitement par IA : lorsque le Responsable du traitement utilise des fonctionnalités assistées par IA (génération de contenu, recommandations), des données personnelles peuvent être transmises aux Sous-traitants ultérieurs mentionnés à la section 6. Il incombe au Responsable du traitement d'obtenir le consentement approprié des personnes concernées et de respecter les restrictions juridictionnelles applicables au traitement par IA. Voir la Politique de confidentialité du Responsable du traitement pour plus de détails sur le traitement par IA.

Canaux tiers : lorsque le Responsable du traitement connecte des réseaux sociaux, des services d'e-mail ou d'autres plateformes tierces via Uniflo, les identifiants et contenus sont chiffrés et stockés par le Sous-traitant, mais peuvent être transmis aux serveurs de ces tiers dans la mesure nécessaire à la publication du contenu. Il incombe au Responsable du traitement de respecter les conditions d'utilisation et les politiques de confidentialité de ces plateformes.

Limitation de responsabilité : la responsabilité totale de chaque partie au titre du présent DPA est limitée au montant des sommes versées par le Responsable du traitement au cours des 12 mois précédant la réclamation, à l'exception :

• des violations de données causées par une faute lourde ou intentionnelle du Sous-traitant ;
• des manquements aux obligations relatives à la protection des données (articles 28, 32, 33 et 34 du RGPD) ;
• des traitements non autorisés de données personnelles.

Dans ces cas, la responsabilité n'est pas limitée et chaque partie peut réclamer la réparation intégrale du préjudice subi, dans les limites permises par le droit applicable.

Le présent DPA entre en vigueur à la date à laquelle le Responsable du traitement souscrit à une offre Pro ou Agency et se poursuit pendant toute la durée du contrat de service.

À la résiliation du contrat de service :

• le traitement cesse immédiatement ;
• le Sous-traitant restitue ou supprime l'ensemble des données personnelles dans un délai de 30 jours (ou sur demande raisonnable) ;
• les obligations relatives à la confidentialité, à la sécurité et au droit d'audit survivent à la résiliation pendant 2 ans, ou pendant la durée requise par la loi.

Le Sous-traitant peut modifier le présent DPA afin de se conformer à des exigences légales nouvelles ou révisées. Les modifications substantielles seront notifiées au Responsable du traitement au moins 30 jours à l'avance, par e-mail. Si le Responsable du traitement n'accepte pas une modification, il peut résilier le service sans pénalité pendant la période de notification.

Le présent DPA est régi par le droit de l'Union européenne et, le cas échéant, par le droit italien, sans égard aux principes de conflits de lois. Les deux parties conviennent de coopérer de bonne foi pour résoudre tout litige. Les litiges non résolus dans un délai de 30 jours pourront être portés devant le tribunal compétent de Rome ou soumis à arbitrage d'un commun accord.

Pour toute question relative au présent DPA, au traitement des données ou pour exercer vos droits en tant que personne concernée, contactez :

Reverdin Solutions
Délégué à la protection des données / Questions juridiques
contact@uniflo.eu