Accord de traitement des données

Parties et champ d’application

Le présent Accord de traitement des données (l’« Accord ») est conclu entre le client qui a accepté nos Conditions d’utilisation (le « Client », responsable du traitement) et IGP Global Solutions FZ-LLC (« IGP one », sous-traitant). Il s’applique lorsque IGP one traite des données personnelles pour le compte du Client dans le cadre de la fourniture du Service (les « Données personnelles du Client »).

Il fait partie des Conditions d’utilisation et est accepté en même temps que celles-ci par le Client. En cas de contradiction entre le présent Accord et les Conditions en matière de protection des données, le présent Accord prévaut. Pour obtenir un exemplaire contresigné, écrivez à [email protected].

Description du traitement (annexe I)

Objet et finalité : fourniture du Service IGP one, y compris l’agent IA (dans le chat et en mode vocal), la création de contenus, la publication, la gestion des commentaires, des messages et des réponses aux stories, les parcours commentaire-vers-DM, l’automatisation des réponses aux stories, la capture de prospects, les notifications et les rapports.

Nature du traitement : collecte via les comptes connectés, stockage, organisation, analyse par des modèles d’IA, génération de réponses et de contenus, transmission aux plateformes connectées et suppression.

Durée : la durée de l’abonnement du Client, augmentée du délai de suppression prévu ci-dessous.

Personnes concernées : les personnes qui interagissent avec le compte Instagram connecté du Client (par exemple les auteurs de commentaires, les expéditeurs de messages, les personnes qui répondent à ses stories et les prospects), ainsi que les membres de l’équipe du Client.

Catégories de données : noms d’utilisateur, noms et photos de profil, identifiants sur la plateforme, contenu des messages, des commentaires et des réponses aux stories, coordonnées et demandes communiquées par les personnes, notes et étiquettes relatives aux prospects, noms et adresses e-mail des membres de l’équipe, ainsi que l’historique du chat de l’espace de travail (y compris les transcriptions des conversations vocales ; l’audio de la voix est traité en temps réel et n’est pas conservé).

Catégories particulières : non prévues. Le Client ne doit pas utiliser le Service pour collecter des catégories particulières de données, des données de santé, des données de carte de paiement ou des numéros de pièce d’identité.

Fréquence du transfert : continue, pendant l’utilisation du Service. Durée de conservation : telle que prévue à la section « Suppression et restitution ». Autorité de contrôle compétente aux fins des clauses contractuelles types : celle déterminée conformément à la clause 13 pour le Client. Sous-traitants ultérieurs (annexe III) : ceux figurant sur notre page Sous-traitants ultérieurs.

Instructions du Client

IGP one ne traite les Données personnelles du Client que sur instruction documentée du Client, y compris en ce qui concerne les transferts internationaux, à moins que la loi ne l’y oblige ; dans ce cas, IGP one informe le Client de cette obligation juridique avant le traitement, sauf si la loi interdit une telle information. Ces instructions sont constituées par les Conditions, le présent Accord ainsi que la configuration et l’utilisation du Service par le Client. IGP one informe le Client si elle estime qu’une instruction enfreint la réglementation relative à la protection des données.

Il incombe au Client de disposer d’une base légale et de fournir aux personnes concernées les informations requises, notamment sur le recours à des réponses automatisées et assistées par l’IA.

Confidentialité

IGP one veille à ce que toutes les personnes autorisées à traiter les Données personnelles du Client soient soumises à une obligation de confidentialité et n’y accèdent que dans la mesure nécessaire pour fournir le Service et en assurer l’assistance.

Sécurité (annexe II)

IGP one met en œuvre des mesures techniques et organisationnelles appropriées, notamment : chiffrement en transit et au repos ; stockage principal des Données personnelles du Client dans l’Union européenne ; isolation logique des clients avec sécurité au niveau des lignes (row-level security) ; chiffrement au niveau des champs des jetons d’accès aux réseaux sociaux, conservés dans un coffre-fort ; accès fondés sur les rôles ; authentification unique et contrôles d’accès pour les outils internes ; journaux d’audit ; sauvegardes quotidiennes avec restaurations testées ; et surveillance continue des erreurs et de la disponibilité. Les journaux du service, qui ne contiennent pas le contenu des messages, sont conservés par Better Stack aux États-Unis. Notre page « Sécurité et protection des données » décrit ces mesures et peut être mise à jour, à condition que le niveau global de protection ne soit pas réduit.

Sous-traitants ultérieurs

Le Client accorde à IGP one une autorisation générale de recourir aux sous-traitants ultérieurs figurant sur notre page Sous-traitants ultérieurs.

IGP one informe le Client au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur qui traite des Données personnelles du Client, en mettant à jour cette page et en adressant un e-mail aux titulaires de compte. Le Client peut s’y opposer pendant ce délai pour des motifs raisonnables liés à la protection des données. Si nous ne pouvons raisonnablement répondre à cette objection, le Client peut résilier la partie du Service concernée et obtenir le remboursement des sommes payées d’avance à ce titre.

IGP one impose à chaque sous-traitant ultérieur des obligations de protection des données au moins équivalentes à celles du présent Accord et demeure responsable de ses sous-traitants ultérieurs.

Transferts internationaux

Les Données personnelles du Client sont stockées dans l’UE. IGP one peut y accéder depuis les Émirats arabes unis, et elles peuvent être traitées aux États-Unis par des sous-traitants ultérieurs, notamment de services d’IA.

Pour les transferts de données personnelles soumises au RGPD vers un pays ne bénéficiant pas d’une décision d’adéquation, les parties conviennent des clauses contractuelles types adoptées par la décision d’exécution (UE) 2021/914 de la Commission : module deux (responsable du traitement à sous-traitant) entre le Client et IGP one, et module trois (sous-traitant à sous-traitant) entre IGP one et ses sous-traitants ultérieurs, le cas échéant. La clause 7 (clause d’adhésion) s’applique ; l’option retenue à la clause 9, point a), est l’autorisation générale, avec le délai de préavis indiqué ci-dessus ; la formulation facultative de la clause 11 ne s’applique pas ; pour les clauses 17 et 18, le droit applicable est le droit irlandais et les juridictions compétentes sont celles d’Irlande. Les annexes I et II correspondent aux sections ci-dessus.

Pour les données du Royaume-Uni, l’avenant aux clauses contractuelles types de l’UE relatif aux transferts internationaux de données (International Data Transfer Addendum), publié par l’Information Commissioner du Royaume-Uni, s’applique, ses tableaux 1 à 3 étant complétés à partir du présent Accord et des clauses contractuelles types. Pour les données suisses, les clauses contractuelles types s’appliquent, les références étant réputées faites à la loi fédérale suisse sur la protection des données, et le Préposé fédéral à la protection des données et à la transparence (PFPDT) est une autorité compétente.

Lorsqu’un sous-traitant ultérieur est certifié au titre du cadre de protection des données UE–États-Unis (EU-U.S. Data Privacy Framework), ce cadre peut être utilisé à la place.

Les transferts soumis à la PDPL des Émirats arabes unis ou au droit israélien sont effectués conformément aux règles de transfert prévues par ces législations, y compris au moyen de garanties contractuelles.

Si IGP one reçoit d’une autorité publique une demande juridiquement contraignante portant sur des Données personnelles du Client, elle en informe le Client lorsque la loi le permet, conteste la demande lorsqu’il existe des motifs raisonnables de le faire et ne communique que le strict minimum requis.

Assistance au Client

IGP one aide le Client à répondre aux demandes des personnes concernées, principalement au moyen d’outils en libre-service d’accès, d’export, de rectification et de suppression. Si IGP one reçoit directement une demande, elle la transmet au Client dans les meilleurs délais et n’y répond pas, sauf instruction du Client ou obligation légale.

IGP one apporte une aide raisonnable au Client pour le respect de ses obligations en matière de sécurité, de notification des violations, d’analyses d’impact relatives à la protection des données et de consultation préalable des autorités (articles 32 à 36 du RGPD), sur la base des informations dont elle dispose, et tient un registre des traitements qu’elle effectue pour le compte du Client.

Violations de données personnelles

IGP one informe le Client dans les meilleurs délais, et en tout état de cause dans les 48 heures après en avoir pris connaissance, de toute violation de données personnelles affectant les Données personnelles du Client. La notification décrit ce qui s’est produit, les données et les personnes concernées, les conséquences probables et les mesures prises ou envisagées ; elle est complétée au fur et à mesure que de nouveaux éléments sont connus.

IGP one n’adresse pas de notification aux autorités ou aux personnes concernées pour le compte du Client, sauf demande de celui-ci ou obligation légale.

Suppression et restitution

Le Client peut exporter les Données personnelles du Client à tout moment pendant l’abonnement et pendant 30 jours après sa fin. Au choix du Client, les données lui sont restituées par export ou sont supprimées : après la suppression de son compte par le Client, ou 30 jours après la fin du contrat, IGP one supprime les Données personnelles du Client, qui disparaissent des sauvegardes tournantes dans un délai supplémentaire de 35 jours, sauf si la loi impose une conservation plus longue.

Tant qu’Instagram est connecté, les messages et commentaires sont conservés 12 mois après la dernière activité dans la conversation, et les fiches prospects tant que le compte du Client existe et qu’Instagram reste connecté. Lorsque le Client déconnecte Instagram, le jeton d’accès est supprimé immédiatement et les données reçues via cette connexion sont supprimées sous 30 jours, sauf si le compte est reconnecté dans ce délai.

Audits

IGP one met à disposition les informations raisonnablement nécessaires pour démontrer le respect du présent Accord, y compris des réponses écrites aux questionnaires de sécurité une fois par an. Si cela ne suffit pas, ou si une autorité l’exige, le Client peut faire réaliser un audit, une fois par an, moyennant un préavis de 30 jours, pendant les heures ouvrables, par un auditeur indépendant tenu à la confidentialité, aux frais du Client.

Lois des États américains sur la protection des données

Au titre du CCPA/CPRA et des lois similaires des États américains, IGP one agit en qualité de prestataire de services (service provider) ou de sous-traitant (processor). Elle ne vend ni ne partage les Données personnelles du Client, ne les conserve, ne les utilise ni ne les communique en dehors de la relation commerciale directe ou à toute autre fin que la fourniture du Service, ne les combine pas avec d’autres données sauf dans la mesure permise par ces lois, et informe le Client si elle n’est plus en mesure de respecter ces obligations. IGP one certifie comprendre ces restrictions et s’engage à les respecter.

Émirats arabes unis et Israël

Pour les Données personnelles du Client soumises à la PDPL des Émirats arabes unis, IGP one ne les traite que sur instruction, en préserve la confidentialité et la sécurité, notifie les violations comme indiqué ci-dessus et les supprime à la fin du traitement. Pour les données soumises à la loi israélienne sur la protection de la vie privée et à son règlement sur la sécurité des données, IGP one respecte les obligations d’un détenteur (holder) qui traite des données pour le compte du Client, notamment en matière de mesures de sécurité, de confidentialité, de signalement des incidents au Client et de restitution ou de suppression des données à la fin de la relation.

Responsabilité et durée

La responsabilité de chaque partie au titre du présent Accord est soumise aux limitations prévues par les Conditions, sauf lorsque la loi ou les clauses contractuelles types ne le permettent pas. Le présent Accord reste en vigueur tant que IGP one traite des Données personnelles du Client.

Contact

Questions relatives à la protection des données : [email protected]. Exemplaires signés et notifications juridiques : [email protected].