Accord de traitement des données (DPA)

Accord conclu au titre de l’article 28 du règlement (UE) 2016/679 (RGPD). Il fait partie intégrante des CGU de la bêta acceptées par le Client lors de la création de son compte.

1. Parties et rôles

• Responsable de traitement : le Client abonné à Signaux Entreprises (« le Client »).
• Sous-traitant : [RAISON SOCIALE], SIREN [SIREN], 9 rue Ampère, 94500 Champigny-sur-Marne (« Signaux Entreprises »).

Signaux Entreprises traite des données personnelles pour le compte du Client dans la seule mesure où le Client les confie au Service (paramètres de livraison, coordonnées des destinataires des e-mails et webhooks). Les Événements livrés concernent des personnes morales. Pour ses traitements propres (compte, facturation, sécurité, collecte des annonces publiques du BODACC et de Sirene), Signaux Entreprises est responsable de traitement : voir la politique de confidentialité.

2. Objet et durée

Le présent accord définit les conditions dans lesquelles Signaux Entreprises traite, pour le compte du Client, les données personnelles nécessaires à la fourniture du Service. Il s’applique pendant toute la durée du contrat et jusqu’à la suppression ou la restitution des données (article 11).

3. Nature et finalités du traitement

Signaux Entreprises traite les données pour : (i) sélectionner les Événements correspondant aux Segments du Client ; (ii) les lui livrer par e-mail, export CSV ou webhook signé ; (iii) héberger, sauvegarder et sécuriser ces données. Les détails figurent en Annexe 1.

4. Catégories de données et de personnes concernées

• Personnes concernées : utilisateurs du compte du Client et destinataires de ses livraisons (collègues invités). Les Événements portent sur des personnes morales ; Signaux Entreprises ne livre ni nom de dirigeant, ni e-mail, ni téléphone de tiers.
• Catégories de données : adresses électroniques professionnelles des utilisateurs, paramètres de Segments, URL de webhook, historique de livraison.
• Signaux Entreprises ne traite pas sciemment de catégories particulières de données (art. 9 RGPD) ni de données relatives aux condamnations pénales.
• Si le Client rapproche les Événements de ses propres fichiers ou les enrichit avec des outils tiers, ces traitements sont les siens et ne sont pas couverts par le présent accord.

5. Instructions documentées

Signaux Entreprises traite les données uniquement sur instruction documentée du Client, laquelle résulte du contrat, de l’utilisation du Service et des paramétrages du compte. Elle informe immédiatement le Client si elle estime qu’une instruction viole le RGPD. Signaux Entreprises ne traite pas les données pour son propre compte, sauf obligation légale ou pour les traitements dont elle est elle-même responsable (article 1).

6. Confidentialité

Signaux Entreprises veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité et n’y accèdent que dans la mesure nécessaire au Service (support, maintenance, sécurité).

7. Sécurité (art. 32 RGPD)

Signaux Entreprises met en œuvre les mesures techniques et organisationnelles décrites en Annexe 2, adaptées au risque. Elle les réexamine régulièrement.

8. Sous-traitants ultérieurs

8.1. Le Client donne une autorisation générale de recourir aux sous-traitants ultérieurs listés en Annexe 3.

8.2. Signaux Entreprises informe le Client de tout ajout ou remplacement au moins 30 jours à l’avance (courriel ou notification dans le compte). Le Client peut s’y opposer pour un motif raisonnable lié à la protection des données dans ce délai ; à défaut d’accord, il peut résilier sans pénalité la part du Service concernée.

8.3. Signaux Entreprises impose à ses sous-traitants ultérieurs des obligations équivalentes à celles du présent accord et demeure responsable de leur exécution à l’égard du Client.

9. Assistance au Client

Signaux Entreprises aide le Client, compte tenu de la nature du traitement : (i) à répondre aux demandes d’exercice de droits des utilisateurs de son compte (accès, rectification, effacement, limitation, portabilité, opposition) : toute demande reçue directement lui est transmise sans retard ; (ii) à respecter ses obligations de sécurité, de notification des violations, d’analyse d’impact et de consultation préalable (art. 32 à 36 RGPD). L’assistance dépassant l’usage normal du Service peut être facturée sur devis.

10. Violation de données

Signaux Entreprises notifie au Client toute violation de données personnelles qu’elle traite pour son compte dans les meilleurs délais après en avoir pris connaissance, avec un objectif de quarante-huit (48) heures, en fournissant les informations disponibles (nature, catégories et volume approximatif, conséquences probables, mesures prises) pour permettre au Client de notifier la CNIL dans les 72 heures (art. 33 RGPD).

11. Fin du contrat : restitution et suppression

11.1. Le Client peut à tout moment, depuis la page « Compte » de son espace, exporter ses données (archive aux formats JSON et CSV : utilisateurs, segments, livraisons) puis supprimer son compte. La suppression est immédiate : elle efface les segments, paramètres et livraisons du Client, ses accès, et résilie son abonnement.

11.2. Si le contrat prend fin sans suppression du compte (par exemple résiliation d’un abonnement payant), le compte reste accessible au forfait gratuit et les données sont conservées pendant la durée du compte. Un compte sans connexion depuis 36 mois est supprimé, après un avertissement envoyé à 35 mois.

11.3. Les copies de sauvegarde ne sont pas modifiées par une suppression : elles expirent d’elles-mêmes, et les données effacées en disparaissent au plus tard 30 jours après. Sont conservées, sauf obligation légale contraire, les données de facturation (art. L. 123-22 du code de commerce : 10 ans, chez le prestataire de paiement et en comptabilité), ou les données dont le Client demande la conservation pour la défense de ses droits.

12. Audit

Signaux Entreprises met à disposition du Client les informations nécessaires pour démontrer le respect du présent accord et permet la réalisation d’audits, y compris des inspections, par le Client ou un auditeur tiers soumis à confidentialité, sur préavis écrit raisonnable (30 jours), pas plus d’une fois par an sauf incident, pendant les heures ouvrées, aux frais du Client et sans perturber le Service ni compromettre la sécurité des autres clients. Une documentation (rapport de sécurité, réponses à questionnaire) peut être fournie en substitution.

13. Transferts hors Union européenne

Les données du Client sont hébergées en France. Signaux Entreprises ne transfère pas de données hors de l’Union européenne, sauf dans le cadre des traitements opérés par Stripe (Annexe 3), qui s’appuie sur le cadre de protection des données UE–États-Unis et sur les clauses contractuelles types. Tout nouveau transfert est subordonné aux garanties prévues par le chapitre V du RGPD.

14. Responsabilité

La responsabilité de chaque partie au titre du présent accord est soumise aux stipulations de responsabilité des CGU de la bêta, sans préjudice des droits des personnes concernées et des dispositions impératives de l’article 82 du RGPD.

15. Droit applicable et juridiction

Le présent accord est soumis au droit français. Les litiges relèvent de la juridiction désignée à l’article 20 des conditions générales.

Annexe 1 : description du traitement

Annexe 2 : mesures de sécurité

• Hébergement en France chez OVHcloud.
• Chiffrement des communications (TLS).
• Sauvegardes quotidiennes : sauvegarde automatique du serveur chez OVHcloud [à confirmer], copies chiffrées conservées 3 jours sur le serveur d’hébergement, et copie chiffrée rapatriée sur un serveur de l’éditeur situé en France, conservée 30 jours.
• Authentification par lien à usage unique (pas de mot de passe stocké) ; sessions limitées dans le temps.
• Webhooks signés (HMAC) avec une clé propre à chaque compte.
• Accès restreint aux données selon le principe du moindre privilège ; séparation des données entre clients.
• Journalisation des accès et des actions sensibles.
• Paiements délégués à Stripe : aucun numéro de carte n’est stocké par Signaux Entreprises.
• Mise à jour régulière des composants et gestion des vulnérabilités ; procédure de gestion des incidents.

Détail sur la page Sécurité.

Annexe 3 : sous-traitants ultérieurs autorisés