Accord de traitement des données
Dernière mise à jour:
Cette traduction vous est fournie à titre indicatif. En cas de divergence avec la version anglaise, la version anglaise prévaut.
Le présent accord de traitement des données (l’« Accord ») fait partie intégrante des conditions générales d’utilisation conclues entre le client (le « Responsable du traitement ») et Tomas Pesek, Dritec 214, 533 05 République tchèque, n° d’identification (IČO) 74861280 (le « Sous-traitant ») et s’applique chaque fois que le Sous-traitant traite des données à caractère personnel pour le compte du Responsable du traitement par l’intermédiaire de Frontmail.
1. Objet et durée
Le Sous-traitant traite des données à caractère personnel afin de délivrer des e-mails, de conserver l’historique des messages, de gérer les contacts et les listes de suppression et de fournir des statistiques, pendant toute la durée d’utilisation du Service par le Responsable du traitement.
2. Nature du traitement
| Élément | Description |
|---|---|
| Personnes concernées | destinataires et expéditeurs des messages (par exemple les visiteurs d’un site web qui soumettent des formulaires), contacts, membres de l’équipe |
| Catégories de données | adresses e-mail, noms et toute autre donnée que le Responsable du traitement inclut dans les paramètres des modèles ou dans les pièces jointes ; événements de délivrance (délivré, rejeté, ouvert, cliqué) ; adresse IP et agent utilisateur lors de la soumission de formulaires |
| Catégories particulières | non prévues ; le Responsable du traitement ne doit pas envoyer de catégories particulières de données, sauf protection adéquate et accord écrit |
| Opérations de traitement | réception, validation, rendu, conservation, transmission au fournisseur d’e-mail du Responsable du traitement, journalisation, suppression |
3. Obligations du Sous-traitant
Le Sous-traitant s’engage à :
- ne traiter les données à caractère personnel que sur instruction documentée du Responsable du traitement, y compris la configuration effectuée dans le tableau de bord et via l’API ;
- veiller à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité ;
- mettre en œuvre les mesures techniques et organisationnelles appropriées (annexe 1) ;
- aider le Responsable du traitement à répondre aux demandes des personnes concernées et à respecter ses obligations en matière de sécurité, de notification des violations et d’analyses d’impact relatives à la protection des données ;
- notifier au Responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais et, en tout état de cause, dans les [48] heures après en avoir pris connaissance ;
- supprimer ou restituer toutes les données à caractère personnel au terme du Service, sauf si leur conservation est exigée par la loi ;
- mettre à disposition les informations nécessaires pour démontrer le respect de ses obligations et permettre la réalisation d’audits [procédure d’audit à définir].
4. Sous-traitants ultérieurs
Le Responsable du traitement donne une autorisation générale pour le recours aux sous-traitants ultérieurs énumérés ci-dessous. Le Sous-traitant informe le Responsable du traitement de tout changement envisagé au moins [30] jours à l’avance ; le Responsable du traitement peut s’y opposer pour des motifs raisonnables.
| Sous-traitant ultérieur | Finalité | Localisation |
|---|---|---|
| Amazon Web Services EMEA SARL | hébergement, stockage, files d’attente, clés de chiffrement | UE (Francfort) |
| Cloudflare, Inc. | DNS, protection contre les robots (Turnstile) | monde, CCT |
| Google Cloud EMEA Ltd. | analyse de l’utilisation (BigQuery) | [RÉGION À CONFIRMER] |
| Stripe Payments Europe, Ltd. | facturation (données de facturation du Responsable du traitement uniquement) | UE / États-Unis, CCT |
Les fournisseurs d’e-mail connectés par le Responsable du traitement (par exemple Gmail, Mailgun ou un serveur SMTP) sont choisis par le Responsable du traitement, qui contracte directement avec eux, et ne sont pas des sous-traitants ultérieurs du Sous-traitant.
5. Transferts internationaux
Les transferts en dehors de l’EEE n’ont lieu que sur la base d’une décision d’adéquation ou de clauses contractuelles types (CCT), assorties de mesures supplémentaires lorsque cela est nécessaire.
Annexe 1 – Mesures techniques et organisationnelles
- Chiffrement en transit (TLS 1.2+) et au repos ; identifiants des fournisseurs chiffrés avec des clés de données propres à chaque enregistrement (chiffrement d’enveloppe AWS KMS).
- Accès selon le principe du moindre privilège, authentification multifacteur pour le personnel, journalisation des actions sensibles.
- Environnements de production et de développement séparés ; sauvegardes avec restauration à un instant donné en production.
- Durées de conservation limitées selon le forfait ; suppression automatique du contenu des messages expiré.
- Limitation de débit, protection contre les robots et détection d’anomalies pour prévenir les abus.
[Bloc de signature / mécanisme d’acceptation en ligne à définir.]