Accord de traitement des données

1. Parties et champ d'application

Le présent Accord de traitement des données (l'« Accord ») fait partie des Conditions d'utilisation conclues entre Code Angels Unipessoal, Lda. (le « Sous-traitant », « nous ») et le client professionnel qui utilise adRobin (le « Responsable du traitement », « vous »). Il s'applique lorsque nous traitons des données à caractère personnel pour votre compte dans le cadre de la fourniture du Service, conformément à l'article 28 du règlement (UE) 2016/679 (le « RGPD »).

Il ne couvre pas les données à caractère personnel que nous traitons en qualité de responsable du traitement, telles que les données de compte et de facturation de vos utilisateurs. Ce traitement est décrit dans la Politique de confidentialité.

2. Description du traitement

• Objet et finalité : la fourniture du Service, c'est-à-dire la conservation et le traitement des contenus que vous fournissez, la génération de contenus marketing et d'analyses au moyen de l'intelligence artificielle, la publication sur les comptes de réseaux sociaux que vous connectez, la collecte de statistiques de performance et l'assistance.
• Durée : la durée du contrat, augmentée du délai d'exportation et de suppression prévu dans les Conditions.
• Nature du traitement : hébergement, conservation, organisation, adaptation, transmission aux fournisseurs de modèles d'IA et aux plateformes sociales, extraction, effacement.
• Types de données à caractère personnel : toute donnée à caractère personnel figurant dans le Contenu du Client. Il peut notamment s'agir de noms, d'images et de l'apparence de personnes, de coordonnées, d'informations professionnelles relatives à des personnes physiques et du contenu de messages et d'instructions.
• Catégories de personnes concernées : vos salariés et collaborateurs, vos clients et prospects, et toute personne figurant dans les contenus que vous importez.
• Catégories particulières : non prévues. Vous ne devez pas importer de catégories particulières de données, ni de données relatives aux condamnations pénales, sauf si cela est strictement nécessaire et licite. Si vous le faites, il vous appartient de vous assurer qu'il existe une base juridique valable.

3. Nos obligations

Nous nous engageons à :

• ne traiter les données à caractère personnel que sur vos instructions documentées. Les Conditions, votre configuration du Service et votre utilisation de ses fonctionnalités constituent vos instructions. Nous vous informerons si nous estimons qu'une instruction constitue une violation de la réglementation relative à la protection des données ;
• veiller à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité ;
• mettre en œuvre les mesures techniques et organisationnelles décrites à la section 9 ;
• respecter les conditions prévues à la section 5 pour le recours à des sous-traitants ultérieurs ;
• vous aider, compte tenu de la nature du traitement, à répondre aux demandes des personnes concernées et à respecter vos obligations en matière de sécurité, de notification des violations, d'analyses d'impact et de consultation préalable ;
• vous notifier dans les meilleurs délais, et si possible dans les 48 heures après en avoir pris connaissance, toute violation de données à caractère personnel affectant vos données, avec les informations disponibles à ce moment-là ;
• au terme du Service, supprimer ou restituer les données à caractère personnel conformément aux Conditions, sauf si la loi nous impose de les conserver ;
• mettre à votre disposition les informations nécessaires pour démontrer le respect du présent Accord, et permettre la réalisation d'audits dans les conditions prévues à la section 8.

4. Vos obligations

Vous êtes responsable :

• de la licéité du traitement et de vos instructions ;
• de l'existence d'une base juridique pour les données à caractère personnel figurant dans le Contenu du Client, y compris les consentements ou autorisations des personnes figurant sur les images ;
• de l'information des personnes concernées conformément à la loi.

5. Sous-traitants ultérieurs

Vous nous accordez une autorisation générale de recourir à des sous-traitants ultérieurs. Les sous-traitants ultérieurs actuels sont énumérés à l'Annexe 1. Nous vous informerons, par e-mail ou dans l'application, au moins 30 jours avant l'ajout ou le remplacement d'un sous-traitant ultérieur. Pendant ce délai, vous pouvez vous y opposer pour des motifs raisonnables liés à la protection des données. Si nous ne parvenons pas à lever l'objection, vous pouvez résilier le Service concerné et obtenir le remboursement de toute période prépayée non encore utilisée.

Nous imposons à chaque sous-traitant ultérieur des obligations en matière de protection des données équivalentes à celles du présent Accord, et nous demeurons responsables de l'exécution de leurs obligations.

6. Transferts internationaux

Certains sous-traitants ultérieurs traitent des données en dehors de l'Espace économique européen. Chacun de ces transferts repose sur une décision d'adéquation (notamment le cadre de protection des données UE-États-Unis, pour les destinataires certifiés) ou sur les clauses contractuelles types adoptées par la Commission européenne, assorties de mesures supplémentaires si nécessaire.

7. Fournisseurs d'intelligence artificielle

Les contenus transmis aux fournisseurs de modèles d'IA sont utilisés uniquement pour produire les résultats que vous demandez. Lorsque le fournisseur propose cette option, nous choisissons des configurations qui ne permettent pas l'utilisation de vos contenus pour entraîner leurs modèles.

8. Audits

Nous répondrons aux questions écrites raisonnables relatives à notre conformité et fournirons la documentation pertinente. Si cela ne suffit pas à démontrer la conformité, vous pouvez faire réaliser un audit, à vos frais et au maximum une fois par an, ou à tout moment si une autorité de contrôle l'exige. L'audit est réalisé par un auditeur indépendant tenu à la confidentialité, moyennant un préavis d'au moins 30 jours, et sans perturber nos activités ni compromettre la sécurité des autres clients.

9. Mesures de sécurité

• Chiffrement des données en transit (TLS). Chiffrement au repos lorsqu'il est proposé par les fournisseurs d'hébergement et de base de données.
• Accès aux systèmes de production limité au personnel autorisé, selon le principe du besoin d'en connaître, avec authentification à deux facteurs pour les accès d'administration.
• Séparation logique des données de chaque client. Contrôles d'accès dans l'application.
• Journalisation des accès et des actions d'administration.
• Sauvegardes régulières et procédures de restauration.
• Protection contre les attaques automatisées et les abus, notamment par la limitation du débit des requêtes et la protection contre les robots.
• Mise à jour des systèmes et des dépendances, et revue des modifications liées à la sécurité.
• Procédures de détection des incidents et de réponse à ceux-ci.

10. Responsabilité et ordre de priorité

Les limitations de responsabilité prévues dans les Conditions s'appliquent au présent Accord, dans la mesure permise par la loi. En cas de contradiction entre le présent Accord et les Conditions en matière de données à caractère personnel, le présent Accord prévaut.

Annexe 1 : Sous-traitants ultérieurs