Accord de sous-traitance (article 28 du RGPD)

Le module de collecte des commentaires et avis n'est pas encore en service. Il figure ici pour que l'accord n'ait pas à être modifié lors de sa mise en service, et vous en serez informé au préalable.

Aucune donnée sensible au sens de l'article 9 du RGPD n'est demandée. Aucun gabarit biométrique n'est calculé ni conservé, et la reconnaissance faciale est exclue du service.

Nous ne traitons ces données que sur votre instruction documentée. Vos instructions sont constituées par les présentes, par les conditions générales, et par vos actions dans le service : c'est vous qui envoyez une photo, validez un texte, choisissez les réseaux et déclenchez la publication.

Si l'une de vos instructions nous paraît constituer une violation du RGPD, nous vous en informons sans délai et pouvons suspendre son exécution.

Si une obligation légale nous imposait un traitement que vous n'avez pas demandé, nous vous en informerions avant de l'exécuter, sauf interdiction légale de le faire.

Seules les personnes ayant besoin d'y accéder pour exploiter le service peuvent accéder à vos données. Elles sont tenues à une obligation de confidentialité, contractuelle ou légale, qui survit à la fin de leur mission.

Nous n'accédons à vos contenus que pour exploiter le service, corriger un incident que vous nous signalez, ou répondre à une obligation légale.

Conformément à l'article 32 du RGPD, nous mettons en œuvre :

• Chiffrement des échanges en HTTPS, sans exception.
• Chiffrement des jetons d'accès à vos réseaux sociaux en AES-256-GCM, avec une clé applicative distincte de celle de la base de données.
• Déchiffrement de ces jetons côté serveur uniquement, au moment de publier : ils ne sont jamais transmis à un navigateur.
• Empreintes de mots de passe calculées par scrypt : aucun mot de passe n'est stocké en clair ni réversible.
• Cloisonnement strict des données par établissement, vérifié à chaque accès.
• Stockage des fichiers en accès privé : aucun média n'est accessible publiquement par son adresse.
• Journalisation horodatée des actions sensibles.
• Effacement automatique des photos 90 jours après publication.

L'application s'exécute et les fichiers sont stockés à Francfort, Allemagne (fra1).

Vous nous autorisez de façon générale à recourir aux sous-traitants ultérieurs listés ci-dessous, chacun lié par des obligations équivalentes à celles du présent accord.

Meta et Google ne sont pas nos sous-traitants : lorsque vous publiez, vous leur transmettez directement vos contenus, sous votre propre responsabilité et selon leurs conditions.

Tout ajout ou remplacement de sous-traitant vous est notifié au moins trente jours à l'avance. Vous pouvez vous y opposer pendant ce délai pour un motif légitime tenant à la protection des données ; à défaut de solution, vous pouvez résilier sans frais et être remboursé au prorata.

Le traitement a lieu dans l'Union européenne, à deux exceptions inhérentes au service : les photos et textes soumis à notre prestataire de rédaction sont traités aux États-Unis, et les publications que vous validez sont transmises aux réseaux que vous avez choisis.

Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne, complétées par les mesures techniques décrites au §5.

Nous vous aidons, dans la mesure du possible, à répondre aux demandes des personnes exerçant leurs droits : accès, rectification, effacement, limitation, opposition, portabilité.

Si une telle demande nous parvient directement, nous ne la traitons pas nous-mêmes : nous vous la transmettons sans délai, puisque c'est à vous d'y répondre.

Nous vous assistons également au titre des articles 32 à 36 : sécurité, notification des violations, analyses d'impact et consultation préalable, compte tenu des informations dont nous disposons.

En cas de violation de données affectant vos contenus, nous vous en informons sans délai injustifié et au plus tard sous 48 heures après en avoir pris connaissance, à l'adresse email de votre compte, avec les éléments nécessaires à votre propre notification à la CNIL.

À la fin de votre abonnement, vous disposez de trente jours pour demander l'export de vos données. Passé ce délai, elles sont effacées, ainsi que les copies existantes.

Font exception les pièces comptables, que le code de commerce nous impose de conserver dix ans, et le journal des actions sensibles, conservé douze mois à des fins de sécurité.

Les publications déjà diffusées sur vos réseaux ne sont pas retirées : elles se trouvent sur vos propres comptes et relèvent de votre seul contrôle.

Nous tenons à votre disposition les informations nécessaires pour démontrer le respect de l'article 28, et nous tenons le registre prévu à l'article 30.2 pour les traitements réalisés pour votre compte.

Vous pouvez demander un audit, une fois par an, moyennant un préavis raisonnable et dans des conditions préservant la confidentialité de nos autres clients. Les frais engagés restent à votre charge, sauf si l'audit révèle un manquement caractérisé de notre part.

En tant que responsable de traitement, il vous appartient de disposer d'une base légale pour publier l'image des personnes figurant sur vos photos, et de les informer.

Le service vous signale les visages reconnaissables et vous propose de les flouter. Cette aide ne vous dispense ni du recueil de l'accord, ni de l'information des personnes.

Il vous appartient également de tenir votre propre registre des traitements, et de répondre aux demandes des personnes concernées.