Accord de traitement des données

Le présent Accord de traitement des données ("DPA") est conclu entre vous, le client ("vous", le responsable du traitement), et Taras Shynkarenko, exerçant sous le nom AdaptlyPost, NIP PL 9571091905, Heweliusza 11/811, 80-890 Gdańsk, Pologne ("AdaptlyPost", le sous-traitant).

Il s'applique lorsque vous traitez des données à caractère personnel via AdaptlyPost (le "Service"), par exemple des données sur vos clients, les membres de votre équipe ou votre audience. Il est intégré par référence à nos Conditions d'utilisation, et vous l'acceptez en utilisant le Service. Aucune signature n'est nécessaire. Si vous souhaitez un exemplaire contresigné, écrivez à contact@adaptlypost.com.

1. Définitions

Les termes tels que "données à caractère personnel", "traitement", "responsable du traitement", "sous-traitant", "personne concernée", "violation de données à caractère personnel" et "autorité de contrôle" ont le sens que leur donne le RGPD (règlement (UE) 2016/679).

"Données personnelles du client" désigne les données à caractère personnel qu'AdaptlyPost traite pour votre compte lorsqu'il fournit le Service. "Sous-traitant ultérieur" désigne un tiers auquel AdaptlyPost fait appel pour traiter des Données personnelles du client.

2. Rôles

Vous êtes le responsable du traitement des Données personnelles du client et AdaptlyPost est votre sous-traitant. Si vous agissez vous-même comme sous-traitant pour un tiers, AdaptlyPost est votre sous-traitant ultérieur, et vous confirmez que votre responsable du traitement l'a autorisé.

AdaptlyPost est un responsable du traitement distinct pour les données qu'il traite à ses propres fins, comme votre compte, la facturation, la sécurité et son site web. Notre Politique de confidentialité couvre ce traitement, pas le présent DPA.

3. Objet, durée, nature et finalité

• •

  Objet : la fourniture du Service selon les Conditions.

• •

  Durée : aussi longtemps que vous utilisez le Service, et jusqu'à ce que les données soient supprimées ou restituées conformément à la section 13.

• •

  Nature : stockage, organisation, transformation, transmission et suppression de données. Cela comprend la publication de contenu sur les réseaux sociaux que vous connectez, la génération du contenu IA que vous demandez, la collecte de statistiques et l'envoi de notifications.

• •

  Finalité : fournir, faire fonctionner et assister le Service comme décrit dans les Conditions et dans vos instructions. AdaptlyPost n'utilise pas les Données personnelles du client pour entraîner ou affiner des modèles d'IA.

4. Types de données à caractère personnel et personnes concernées

Selon la façon dont vous utilisez le Service, les Données personnelles du client peuvent comprendre :

• •

  Les membres de votre équipe et les utilisateurs invités : noms, adresses e-mail et rôles

• •

  Les comptes sociaux connectés : identifiants de compte, noms, pseudonymes, photos de profil et jetons d'accès

• •

  Le contenu : publications, légendes, commentaires, images, vidéos et documents que vous créez, téléversez ou planifiez, et toute donnée à caractère personnel qu'ils contiennent

• •

  Les statistiques : statistiques d'engagement et d'audience renvoyées par les réseaux sociaux

• •

  Les entrées et sorties de l'IA : instructions, textes et images que vous envoyez aux fonctionnalités d'IA, et les résultats

• •

  Les données techniques : adresses IP, données de l'appareil et journaux

Les personnes concernées sont les membres de votre équipe et les autres utilisateurs que vous invitez, les titulaires des comptes que vous connectez, et les personnes qui apparaissent dans votre contenu ou interagissent avec lui, comme vos clients, vos abonnés et votre audience.

Le Service n'est pas conçu pour les catégories particulières de données à caractère personnel (article 9 du RGPD) ni pour les données relatives aux condamnations pénales. Ne téléversez pas de telles données sans base juridique pour le faire.

5. Vos instructions et responsabilités

AdaptlyPost traite les Données personnelles du client uniquement sur vos instructions documentées, y compris en ce qui concerne les transferts hors de l'Espace économique européen (EEE), sauf si le droit de l'UE ou le droit polonais l'exige autrement. Dans ce cas, AdaptlyPost vous informe de cette obligation juridique avant le traitement, sauf si la loi l'interdit pour des motifs importants d'intérêt public.

Vos instructions sont les Conditions, le présent DPA, et la façon dont vous configurez et utilisez le Service. AdaptlyPost vous informe immédiatement s'il estime qu'une instruction constitue une violation du RGPD ou d'autres dispositions du droit de l'UE ou du droit des États membres relatives à la protection des données.

Vous êtes responsable de disposer d'une base juridique pour le traitement, de l'exactitude des données, et de fournir aux personnes concernées les informations auxquelles elles ont droit.

6. Obligations d'AdaptlyPost

Conformément à l'article 28, paragraphe 3, du RGPD, AdaptlyPost :

• •

  (a) traite les Données personnelles du client uniquement sur vos instructions documentées, comme décrit à la section 5 ;

• •

  (b) veille à ce que les personnes autorisées à traiter les Données personnelles du client se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale de confidentialité (section 7) ;

• •

  (c) prend les mesures de sécurité requises par l'article 32 du RGPD (section 8) ;

• •

  (d) fait appel à des sous-traitants ultérieurs uniquement dans les conditions de la section 9 ;

• •

  (e) vous aide, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes des personnes concernées qui exercent leurs droits (section 11) ;

• •

  (f) vous aide à respecter vos obligations au titre des articles 32 à 36 du RGPD en matière de sécurité, de notification des violations, d'analyses d'impact relatives à la protection des données et de consultation préalable, compte tenu de la nature du traitement et des informations dont il dispose (sections 8, 11 et 12) ;

• •

  (g) à la fin du Service, supprime ou restitue les Données personnelles du client, selon votre choix, sauf si le droit de l'UE ou le droit polonais exige leur conservation (section 13) ;

• •

  (h) met à votre disposition toutes les informations nécessaires pour démontrer le respect de l'article 28 du RGPD, et permet la réalisation d'audits, y compris des inspections, et y contribue (section 14).

7. Confidentialité

AdaptlyPost ne donne accès aux Données personnelles du client qu'aux personnes qui en ont besoin pour fournir, maintenir ou assister le Service. Chacune d'elles est tenue à une obligation de confidentialité qui se poursuit après la fin de son travail pour AdaptlyPost.

8. Mesures de sécurité

AdaptlyPost prend des mesures techniques et organisationnelles appropriées pour protéger les Données personnelles du client, compte tenu de l'état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement, et des risques pour les personnes concernées. Elles comprennent :

• •

  Hébergement dans l'UE : les serveurs applicatifs et la base de données fonctionnent chez Hetzner à Helsinki, en Finlande. Les sauvegardes de la base de données sont stockées chez Hetzner à Falkenstein, en Allemagne. Les fichiers médias sont stockés dans Cloudflare R2 dans l'UE.

• •

  Chiffrement en transit : toutes les connexions au Service utilisent TLS.

• •

  Identifiants chiffrés : les jetons d'accès et d'actualisation OAuth des comptes sociaux connectés sont chiffrés en AES-256.

• •

  Contrôle d'accès : l'accès aux systèmes de production est limité aux personnes qui en ont besoin, et les rôles et permissions de l'espace de travail déterminent ce que chaque membre de votre équipe peut voir et faire.

• •

  Connexion à deux facteurs : chaque utilisateur peut activer l'authentification à deux facteurs avec une application d'authentification, des codes par SMS ou par e-mail. Modifier un facteur ou supprimer le compte demande alors un code.

• •

  Sauvegardes : sauvegardes de la base de données toutes les heures, conservées 3 jours, puis une sauvegarde par jour pendant 14 jours au maximum, avec restauration à un instant donné.

• •

  Journalisation et surveillance : journaux et traces applicatifs pour détecter les erreurs, les abus et les incidents de sécurité, conservés jusqu'à 90 jours.

AdaptlyPost peut faire évoluer ces mesures, à condition que le niveau global de protection ne baisse pas.

9. Sous-traitants ultérieurs

Vous donnez à AdaptlyPost une autorisation générale de faire appel à des sous-traitants ultérieurs. La liste actuelle figure sur notre page des sous-traitants ultérieurs.

AdaptlyPost vous informe de tout ajout ou remplacement prévu d'un sous-traitant ultérieur en mettant à jour cette page au moins 30 jours avant que le nouveau sous-traitant ultérieur commence à traiter des Données personnelles du client. Pour recevoir ces avis par e-mail, écrivez à contact@adaptlypost.com.

Vous pouvez vous opposer à un nouveau sous-traitant ultérieur pour des motifs raisonnables liés à la protection des données en écrivant à contact@adaptlypost.com dans ce délai de 30 jours. AdaptlyPost cherchera alors de bonne foi une solution avec vous. Si aucune n'est trouvée, vous pouvez cesser d'utiliser le Service avant que le nouveau sous-traitant ultérieur commence à traiter vos données.

AdaptlyPost impose par contrat à chaque sous-traitant ultérieur des obligations de protection des données qui offrent le même niveau de protection que le présent DPA, en particulier des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. AdaptlyPost reste pleinement responsable envers vous de l'exécution des obligations de chaque sous-traitant ultérieur.

10. Transferts internationaux

AdaptlyPost héberge le Service dans l'UE. Certains sous-traitants ultérieurs traitent des données hors de l'EEE, comme l'indique la page des sous-traitants ultérieurs.

AdaptlyPost ne transfère des Données personnelles du client hors de l'EEE qu'avec une garantie valable au titre du chapitre V du RGPD : une décision d'adéquation, y compris l'EU-US Data Privacy Framework lorsque le destinataire est certifié dans ce cadre, ou sinon les clauses contractuelles types adoptées par la décision d'exécution (UE) 2021/914 de la Commission, en utilisant le module 2 (responsable du traitement vers sous-traitant) ou le module 3 (sous-traitant vers sous-traitant), selon celui qui correspond aux rôles des parties.

11. Aide pour les demandes des personnes concernées et les analyses

Compte tenu de la nature du traitement, AdaptlyPost vous aide à répondre aux demandes des personnes concernées, comme les demandes d'accès, de rectification, d'effacement, de limitation, de portabilité ou d'opposition. Vous pouvez traiter vous-même de nombreuses demandes dans le Service : vous pouvez modifier et supprimer des publications, des espaces de travail et des comptes connectés, exporter les statistiques en CSV, XLSX ou PDF, et lire les publications et brouillons via l'API REST. Pour tout le reste, écrivez à contact@adaptlypost.com.

Si AdaptlyPost reçoit directement d'une personne concernée une demande portant sur des Données personnelles du client, il vous la transmet et n'y répond pas de lui-même, sauf si vous le lui demandez ou si la loi l'exige.

AdaptlyPost vous fournit aussi les informations dont vous avez raisonnablement besoin pour réaliser une analyse d'impact relative à la protection des données, ou une consultation préalable de l'autorité de contrôle, lorsque la loi l'exige.

12. Violations de données à caractère personnel

AdaptlyPost vous notifie toute violation de données à caractère personnel concernant des Données personnelles du client dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance. Il envoie la notification à l'adresse e-mail du propriétaire de votre compte.

La notification décrit, dans la mesure où ces informations sont disponibles : la nature de la violation, y compris les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés ; les conséquences probables ; les mesures prises ou proposées pour remédier à la violation et en atténuer les effets ; et un point de contact pour obtenir plus d'informations. Lorsque tous ces éléments ne sont pas connus en même temps, AdaptlyPost les fournit de manière échelonnée sans autre retard indu.

AdaptlyPost vous aide à respecter vos propres obligations de notification à l'autorité de contrôle et aux personnes concernées. Une notification ne vaut pas reconnaissance de faute ou de responsabilité.

13. Suppression et restitution des données

À la fin du Service, vous choisissez si AdaptlyPost supprime ou restitue les Données personnelles du client. Vous pouvez d'abord exporter vous-même vos données (section 11), ou demander une restitution ou un export complet en écrivant à contact@adaptlypost.com. AdaptlyPost répond à ces demandes sous 30 jours.

Vous pouvez supprimer votre compte dans les Paramètres. Si vous êtes propriétaire d'une organisation qui a d'autres membres, transférez la propriété ou retirez-les d'abord. La suppression de votre compte supprime tout votre historique IA et les organisations dont vous êtes le seul membre, avec leurs espaces de travail, comptes connectés et publications, et annule un abonnement actif. La suppression prend effet immédiatement. Vous pouvez aussi nous demander de supprimer vos données en écrivant à contact@adaptlypost.com, et nous les supprimons sous 30 jours.

Les données supprimées disparaissent de nos sauvegardes sous 21 jours. D'ici là, les sauvegardes restent protégées par le présent DPA et ne sont utilisées à aucune autre fin. AdaptlyPost ne conserve plus longtemps les Données personnelles du client que lorsque le droit de l'UE ou le droit polonais l'exige, et uniquement à cette fin.

14. Audits

AdaptlyPost met à votre disposition toutes les informations nécessaires pour démontrer le respect de l'article 28 du RGPD. Sur demande, il commence par répondre à des questions écrites et fournir de la documentation, comme le présent DPA, la liste des sous-traitants ultérieurs et une description de ses mesures de sécurité.

Si ces informations ne suffisent pas à démontrer la conformité, ou si une autorité de contrôle l'exige, vous pouvez auditer AdaptlyPost, y compris par une inspection sur site, vous-même ou par l'intermédiaire d'un auditeur indépendant tenu à la confidentialité. Vous devez donner un préavis écrit raisonnable, réaliser l'audit pendant les heures ouvrables normales sans perturbation déraisonnable, et en supporter les coûts.

15. Responsabilité

La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations et exclusions de responsabilité prévues dans les Conditions d'utilisation. Cela ne limite pas la responsabilité de l'une ou l'autre partie envers les personnes concernées au titre de l'article 82 du RGPD, ni aucune responsabilité qui ne peut être limitée par la loi.

16. Durée, primauté et modifications

Le présent DPA s'applique aussi longtemps qu'AdaptlyPost traite des Données personnelles du client pour vous. En cas de contradiction entre le présent DPA et les Conditions, le présent DPA prévaut pour le traitement des données à caractère personnel.

AdaptlyPost peut mettre à jour le présent DPA pour tenir compte de l'évolution de la loi ou du Service. Il publie la nouvelle version sur cette page et met à jour la date ci-dessus. Une mise à jour ne réduira pas la protection des Données personnelles du client.

17. Droit applicable

Le présent DPA est régi par le droit polonais. Les tribunaux de Gdańsk, en Pologne, sont compétents, comme prévu dans les Conditions. Cela n'affecte pas les droits des personnes concernées ni les pouvoirs des autorités de contrôle.

18. Contact

Pour toute question sur le présent DPA, y compris pour obtenir un exemplaire contresigné, écrivez à contact@adaptlypost.com.

Taras Shynkarenko (exerçant sous le nom AdaptlyPost), NIP PL 9571091905, Heweliusza 11/811, 80-890 Gdańsk, Pologne.