Accord de traitement des données (DPA)

Le présent Accord de traitement des données (le DPA) s'applique lorsque GSAM Solution LLC (le Sous-traitant, nous) traite des données personnelles pour le compte du Client (le Responsable du traitement, vous) dans le cadre de la fourniture du Service, et que ce traitement est soumis au règlement général sur la protection des données de l'UE (RGPD), au UK GDPR, à la loi fédérale suisse sur la protection des données, à la loi turque n° 6698 sur la protection des données personnelles (KVKK), aux lois des États américains sur la protection de la vie privée ou à des lois similaires (ensemble, les Lois sur la protection des données).

Lorsque vous agissez pour un client (en tant qu'agence), vous confirmez disposer de son mandat, et nous agissons en tant que votre sous-traitant ultérieur.

Nous sommes responsable du traitement, et non sous-traitant, pour les données de compte et de facturation, les journaux de sécurité et la manière dont nous exploitons et améliorons le Service ; notre Politique de confidentialité couvre ces traitements.

• Objet et finalité : la fourniture du Service : analyse des contenus de votre marque, planification et création de contenus, approbations et liens de validation, rapports, assistance et sécurité.
• Durée : pendant toute la durée de votre utilisation du Service, puis jusqu'à la suppression prévue à l'article 9.
• Nature : collecte, conservation, analyse (y compris par des modèles d'IA), modification et transformation, transmission aux sous-traitants ultérieurs, affichage et suppression.
• Personnes concernées : les membres de votre équipe, vos clients et leurs approbateurs, vos propres clients et les autres personnes qui figurent ou sont nommées dans vos contenus, votre site web ou vos éléments téléversés.
• Données personnelles : noms, adresses e-mail, rôles, images, enregistrements vidéo et vocaux, et toute donnée personnelle contenue dans vos éléments téléversés, le contenu de votre site web ou vos notes.
• Catégories particulières : aucune n'est prévue. Ne les téléversez pas, sauf si cela est nécessaire et licite.

• Nous traitons les données personnelles uniquement sur vos instructions documentées, constituées des présentes Conditions, du présent DPA ainsi que de votre utilisation et de vos réglages du Service, sauf si la loi en dispose autrement (auquel cas nous vous en informerons au préalable si la loi le permet). Nous vous informerons si nous estimons qu'une instruction enfreint les Lois sur la protection des données.
• Toutes les personnes que nous autorisons à traiter ces données sont tenues à une obligation de confidentialité.
• Nous appliquons les mesures techniques et organisationnelles décrites à l'article 6.
• Compte tenu de la nature du traitement, nous vous aidons à répondre aux demandes des personnes concernées, ainsi qu'en matière de sécurité, de notification des violations, d'analyses d'impact relatives à la protection des données et de consultation des autorités.
• Nous ne vendons pas de données personnelles et ne les utilisons pas à nos propres fins au-delà de la fourniture et de la sécurisation du Service.

Vous nous accordez une autorisation générale de recourir aux sous-traitants ultérieurs listés dans la Politique de confidentialité. Nous imposons à chacun d'eux des obligations de protection des données au moins aussi protectrices que le présent DPA, et nous restons responsables de leur exécution.

Nous annoncerons tout nouveau sous-traitant ultérieur ou tout remplacement au moins 14 jours à l'avance, en mettant à jour la liste et en envoyant un e-mail aux propriétaires de compte. Vous pouvez vous y opposer pour des motifs raisonnables liés à la protection des données dans ce délai. Si nous ne pouvons pas répondre à votre objection, vous pouvez résilier l'offre concernée et être remboursé de la partie prépayée non utilisée.

Notre base de données est hébergée dans l'Union européenne (Francfort, Allemagne). Certains sous-traitants ultérieurs, ainsi que GSAM Solution LLC elle-même, sont situés aux États-Unis ou dans d'autres pays.

Pour les transferts de données personnelles depuis l'EEE vers un pays ne bénéficiant pas d'une décision d'adéquation, les parties intègrent les clauses contractuelles types adoptées par la Commission européenne dans la décision (UE) 2021/914, module deux (responsable du traitement à sous-traitant) ou module trois (sous-traitant à sous-traitant) selon le cas : la clause 7 (clause d'adhésion) s'applique ; clause 9, option 2 (autorisation générale, avec le délai de préavis prévu à l'article 4) ; la formulation facultative de la clause 11 ne s'applique pas ; clauses 17 et 18 : droit et juridictions de l'Irlande. L'annexe I correspond à l'article 2 du présent DPA et l'annexe II à l'article 6. Pour le Royaume-Uni, l'avenant relatif aux transferts internationaux de données (International Data Transfer Addendum) publié par l'Information Commissioner britannique est intégré ; pour la Suisse, les clauses s'appliquent avec les adaptations nécessaires.

Lorsque la KVKK vous est applicable et l'exige, nous signerons sur demande le contrat type publié par l'Autorité turque de protection des données personnelles ; il vous appartient, en tant qu'exportateur de données, d'en informer l'Autorité conformément à la loi.

• Chiffrement en transit (TLS) de l'ensemble du trafic, et chiffrement au repos assuré par nos fournisseurs d'hébergement et de base de données.
• Isolation par client dans la base de données grâce à la sécurité au niveau des lignes (row-level security), rôles de base de données à privilèges minimaux et identifiants de service distincts.
• Connexion par lien e-mail à usage unique ou via Google, sessions révocables, et accès de notre personnel limité au strict nécessaire.
• Fichiers téléversés conservés dans un stockage privé et servis uniquement via des liens signés de courte durée ; contrôle du type de fichier au téléversement.
• Adresses IP utilisées pour les contrôles anti-abus de l'aperçu gratuit et pour les preuves d'acceptation des conditions conservées uniquement sous forme d'empreintes à clé (keyed hashes) ; secrets conservés hors du code.
• Limitation du débit des requêtes, protection contre les robots, journaux d'audit pour les actions sensibles et sauvegardes assurées par notre fournisseur de base de données.
• Revues de sécurité du code avant chaque mise en production. Nous ne détenons aucune certification de sécurité telle qu'ISO 27001 ou SOC 2.

Nous vous notifierons dans les meilleurs délais, et si possible dans les 48 heures, après avoir pris connaissance d'une violation de données personnelles affectant vos données, en vous fournissant les informations nécessaires pour remplir vos propres obligations, et nous prendrons des mesures raisonnables pour la circonscrire.

Nous mettrons à votre disposition les informations raisonnablement nécessaires pour démontrer le respect du présent DPA et de l'article 28 du RGPD, y compris les réponses à des questionnaires de sécurité raisonnables. Une fois par an, ou à la suite d'une violation ou à la demande d'une autorité, vous pouvez auditer notre conformité, moyennant un préavis de 30 jours, pendant les heures ouvrables, par l'intermédiaire d'un auditeur indépendant tenu à la confidentialité, à vos frais, et sans accès aux données d'autres clients.

Vous pouvez exporter vos contenus à tout moment dans Paramètres → Vos données. Lorsque vous supprimez votre compte, ou lorsque le contrat prend fin et que le compte est supprimé, nous supprimons les données personnelles que nous traitons pour vous dans un délai de 30 jours, et des sauvegardes selon leur rotation normale, sauf si la loi nous impose de les conserver.

La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations prévues par les Conditions d'utilisation, sauf lorsque les Lois sur la protection des données ne le permettent pas. En cas de contradiction entre le présent DPA et les Conditions concernant les données personnelles, le présent DPA prévaut ; en cas de contradiction entre les clauses contractuelles types et le présent DPA, les clauses prévalent.

Pour obtenir un exemplaire contresigné, écrivez à support@feedhand.com.