Accord de sous-traitance

Entre les parties

Le Responsable de traitement — , , immatriculée sous le numéro , dont le siège est situé , représentée par en qualité de , contact : .

Le Sous-traitant — Datafuz, éditeur du service de mesure d'audience accessible à l'adresse datafuz.com.

Site(s) concerné(s) par la mesure :

1. Objet

Le présent accord définit les conditions dans lesquelles le Sous-traitant traite, pour le compte du Responsable de traitement, les données à caractère personnel nécessaires à la mesure d'audience du ou des sites désignés ci-dessus.

2. Nature, finalité et durée du traitement

• Nature : collecte, enregistrement, organisation, conservation, mise à disposition sous forme agrégée, puis effacement.
• Finalité : mesurer la fréquentation du ou des sites et en produire des statistiques, à l'exclusion de toute autre finalité — notamment publicitaire.
• Durée : celle de l'utilisation du service. Les données sont conservées au maximum 13 mois, puis supprimées automatiquement.

3. Données et personnes concernées

Personnes concernées : les visiteurs du ou des sites.

Données traitées : page consultée (sans les paramètres d'URL), domaine référent, paramètres de campagne, langue, tranche de largeur d'écran, type d'appareil, famille de navigateur et système d'exploitation, pays (et le cas échéant région ou ville), empreinte technique pseudonyme.

L'adresse IP est utilisée en mémoire uniquement, le temps de la requête, pour déterminer le pays et calculer l'empreinte ; elle n'est ni enregistrée en base, ni journalisée. Aucun cookie ni aucune autre information n'est déposé ou lu sur le terminal des visiteurs. Aucune catégorie particulière de données au sens de l'article 9 du RGPD n'est traitée.

4. Instructions documentées

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement. Le présent accord, complété par la configuration effectuée dans l'interface du service, constitue ces instructions. Le Sous-traitant informe le Responsable s'il estime qu'une instruction constitue une violation du RGPD.

5. Confidentialité

Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité et n'y accèdent que dans la mesure nécessaire à l'exécution du service.

6. Sécurité (article 32)

• Chiffrement des échanges en transit (TLS).
• Bases de données isolées sur des réseaux internes, jamais exposées sur l'Internet public.
• Accès à l'interface protégé par authentification ; accès à l'API par clé révocable.
• Minimisation à la source : l'adresse IP n'est pas conservée, le référent est réduit à son domaine, la largeur d'écran est enregistrée par tranche.
• Sauvegardes régulières de la base de configuration.

7. Sous-traitants ultérieurs

Le Responsable de traitement autorise le recours au sous-traitant ultérieur suivant, seul tiers intervenant dans le traitement :

Aucun autre prestataire n'a accès aux données : ni service d'analyse tiers, ni régie publicitaire, ni service d'intelligence artificielle. Le Sous-traitant informe le Responsable de tout projet d'ajout ou de remplacement avec un préavis de trente (30) jours, période pendant laquelle le Responsable peut s'y opposer et, le cas échéant, résilier sans frais.

8. Transferts hors de l'Union européenne

Aucun transfert de données hors de l'Union européenne n'est réalisé. L'ensemble du traitement et du stockage a lieu en France. Si un transfert devait devenir nécessaire, il serait soumis à l'accord préalable du Responsable et encadré par un mécanisme prévu au chapitre V du RGPD.

9. Assistance du Responsable de traitement

Le Sous-traitant assiste le Responsable de traitement :

• pour donner suite aux demandes d'exercice des droits des personnes concernées (voir toutefois l'article 12 ci-dessous) ;
• pour la sécurité, la notification des violations, les analyses d'impact et la consultation préalable (articles 32 à 36), compte tenu de la nature du traitement et des informations à sa disposition.

10. Violation de données

Le Sous-traitant notifie au Responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais et au plus tard sous 48 heures après en avoir pris connaissance, par courrier électronique à l'adresse de contact indiquée en tête du présent accord. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises ou proposées.

11. Audit

Le Sous-traitant met à la disposition du Responsable de traitement toutes les informations nécessaires pour démontrer le respect des obligations de l'article 28, et permet la réalisation d'audits, y compris des inspections, par le Responsable ou un auditeur qu'il a mandaté. Ces audits interviennent après un préavis raisonnable de trente (30) jours, pendant les heures ouvrées, au plus une fois par an sauf incident de sécurité avéré, et sans compromettre la confidentialité des données des autres clients.

12. Exercice des droits — limite structurelle

Le service est conçu pour qu'aucune donnée ne soit rattachable à une personne identifiée : il n'existe ni compte visiteur, ni identifiant fourni par la personne, et l'empreinte technique est irréversible. Dans le mode par défaut, elle est de surcroît renouvelée chaque jour.

En conséquence, le Sous-traitant n'est pas en mesure d'identifier une personne concernée à partir de son nom, de son adresse électronique ou de son adresse IP. Conformément à l'article 11 du RGPD, ni le Responsable ni le Sous-traitant ne sont tenus de conserver ou d'obtenir des informations supplémentaires aux seules fins de répondre à une demande d'exercice des droits. Le Responsable en informe les personnes concernées dans sa politique de confidentialité.

13. Sort des données en fin de contrat

À la fin de la prestation, et au choix du Responsable de traitement exprimé au plus tard à cette date, le Sous-traitant procède à la suppression définitive de l'ensemble des données ou à leur restitution dans un format structuré et couramment utilisé. À défaut de choix exprimé, les données sont supprimées dans un délai de trente (30) jours. Le Sous-traitant supprime également les copies existantes, sauf obligation légale de conservation. Une attestation de suppression est délivrée sur demande.

14. Obligations du Responsable de traitement

• déterminer la base légale du traitement et informer les visiteurs, notamment dans sa propre politique de confidentialité ;
• veiller à ce que les adresses des pages mesurées ne contiennent pas de données personnelles ;
• si le mode d'empreinte stable est activé, le mentionner dans sa politique, ce mode créant un pseudonyme persistant.

15. Droit applicable

Le présent accord est soumis au droit français. Les juridictions françaises sont seules compétentes.