Accord de traitement des données (DPA)

1. Objet, durée, nature et finalité

Le Sous-traitant traite les données nécessaires au service Nelvi : analyse du site du Client, rédaction et publication de contenus validés, mesure d’audience reliée par le Client (Search Console, Google Analytics), messagerie avec le CMO et, lorsque le Client active les agents correspondants, gestion de contacts professionnels (presse, créateurs, prospects). La durée est celle de l’abonnement, prolongée du délai de suppression prévu à l’article 9.

2. Catégories de données et de personnes

Personnes concernées : membres de l’équipe du Client, visiteurs de son site (données agrégées des outils de mesure), contacts professionnels qu’il importe ou que les agents identifient à partir de sources publiques.

• identification et contact professionnels (nom, fonction, e-mail, profils publics) ;
• contenus et consignes fournis par le Client ;
• statistiques agrégées de recherche et d’audience ;
• journaux techniques (actions, horodatage).

3. Instructions du Client

Le Sous-traitant ne traite les données que sur instruction documentée du Client, constituée par le présent accord, les réglages du service et les actions du Client. Il informe le Client si une instruction lui paraît contraire au RGPD.

4. Confidentialité

Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité. L’accès de l’équipe du Sous-traitant aux données du Client est limité au support, journalisé, et protégé par une double authentification.

5. Sécurité

Le Sous-traitant met en œuvre des mesures techniques et organisationnelles adaptées, notamment :

• chiffrement des données en transit (TLS) et au repos ;
• base de données jamais exposée sur Internet, isolation stricte des données de chaque client ;
• jetons d’accès aux services tiers chiffrés par enveloppe, clé maître dans un service de gestion de clés situé dans l’Union européenne ;
• sauvegardes chiffrées hors de l’hébergeur principal, restauration testée chaque mois ;
• journalisation des accès d’administration et revue de sécurité des évolutions sensibles.

6. Sous-traitants ultérieurs

Le Client autorise le recours aux sous-traitants ultérieurs listés sur la page publique /sous-traitants. Le Sous-traitant informe le Client de tout ajout ou remplacement au moins 30 jours à l’avance ; le Client peut s’y opposer pour un motif légitime et, à défaut d’accord, résilier sans frais. Le Sous-traitant impose à ses sous-traitants ultérieurs les mêmes obligations et reste responsable de leur exécution.

7. Transferts hors de l’Union européenne

Les données sont hébergées dans l’Union européenne. Certains sous-traitants ultérieurs peuvent traiter des données hors de l’Union (indiqués sur /sous-traitants) ; ces transferts sont encadrés par le cadre de protection des données UE–États-Unis ou par les clauses contractuelles types de la Commission européenne, avec minimisation des données transmises.

8. Assistance, violations et audit

Le Sous-traitant aide le Client à répondre aux demandes d’exercice de droits (export, rectification, suppression) et à mener ses analyses d’impact.

Il notifie au Client toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles, pour permettre au Client de notifier l’autorité de contrôle dans les 72 heures.

Il met à disposition les informations nécessaires pour démontrer le respect du présent accord et permet des audits, au plus une fois par an sauf violation, avec un préavis de 30 jours et dans le respect de la confidentialité des autres clients.

9. Fin du traitement

À la fin du contrat, le Client peut exporter ses données. Le Sous-traitant supprime ensuite les données sous 30 jours, puis des sauvegardes à l’issue de leur cycle de rotation, sauf obligation légale de conservation (factures).