Accord de traitement des données
Le présent accord (« DPA ») est conclu entre l'Utilisateur, responsable du traitement, et [Prénom Nom], entrepreneur individuel exerçant sous le nom commercial Anchosa, sous-traitant. Il fait partie des CGU et s'applique dès la création du compte. Il remplit les exigences de l'article 28 du Règlement (UE) 2016/679 (« RGPD »).
1. Objet
Le DPA fixe les conditions dans lesquelles Anchosa traite, pour le compte de l'Utilisateur, les données personnelles de ses Clients finaux, contacts, élèves et visiteurs (les « Données »), dans le cadre de la Plateforme. Les traitements concernés sont décrits à l'Annexe 1.
Le DPA ne couvre pas les données du compte de l'Utilisateur lui-même. Pour celles-ci, Anchosa est responsable du traitement, selon sa Politique de confidentialité.
2. Obligations de l'Utilisateur
L'Utilisateur, en tant que responsable du traitement :
détermine les finalités des traitements et dispose d'une base légale pour chacun d'eux ;
informe les personnes concernées, notamment par sa propre politique de confidentialité publiée sur son Site ;
recueille les consentements nécessaires (prospection par email, cookies et traceurs qu'il active) ;
n'importe que des Données collectées licitement et ne transmet pas de données sensibles (santé, opinions, etc.) sauf si son activité l'exige et qu'il en assume l'encadrement.
3. Instructions
Anchosa traite les Données uniquement sur instruction documentée de l'Utilisateur. Ces instructions sont constituées par les CGU, le présent DPA et les réglages et actions de l'Utilisateur dans la Plateforme. Si Anchosa estime qu'une instruction viole le RGPD, elle en informe immédiatement l'Utilisateur. Anchosa n'utilise pas les Données pour son propre compte, ne les vend pas et ne les utilise pas pour entraîner des modèles d'intelligence artificielle.
4. Confidentialité
Anchosa garantit que toute personne autorisée à traiter les Données est tenue à la confidentialité. L'accès aux Données par Anchosa est limité à ce qui est nécessaire au service, au support demandé par l'Utilisateur, à la sécurité et au respect de la loi.
5. Sécurité
Anchosa met en œuvre les mesures techniques et organisationnelles décrites à l'Annexe 2, adaptées au risque, conformément à l'article 32 du RGPD. Elle peut les faire évoluer, à condition de ne pas baisser le niveau global de protection.
6. Sous-traitants ultérieurs
L'Utilisateur autorise Anchosa à faire appel aux sous-traitants ultérieurs listés à l'Annexe 3 et sur la page Sous-traitants. Anchosa leur impose par contrat des obligations de protection des Données équivalentes à celles du présent DPA. Elle reste responsable envers l'Utilisateur de leur respect.
Anchosa informe l'Utilisateur par email de tout ajout ou remplacement d'un sous-traitant ultérieur au moins 30 jours à l'avance. L'Utilisateur peut s'y opposer pour un motif légitime lié à la protection des données. Si aucune solution n'est trouvée, il peut résilier son abonnement sans frais avant la date du changement, et obtenir le remboursement de la période prépayée non utilisée.
7. Transferts hors de l'Union européenne
Les Données sont hébergées en priorité dans l'Union européenne. Lorsqu'un sous-traitant ultérieur traite des Données hors de l'Espace économique européen, le transfert est encadré par une décision d'adéquation (dont le Data Privacy Framework UE–États-Unis) ou par les clauses contractuelles types de la Commission européenne, complétées si besoin de mesures supplémentaires. L'Annexe 3 indique le pays et la garantie de chaque sous-traitant.
8. Droits des personnes concernées
La Plateforme permet à l'Utilisateur de consulter, modifier, exporter et supprimer les Données de ses contacts et clients, et gère automatiquement les désinscriptions des emails. Si une personne s'adresse directement à Anchosa, Anchosa transmet sa demande à l'Utilisateur sans délai et n'y répond pas elle-même, sauf instruction contraire. Anchosa aide l'Utilisateur, dans la mesure du possible, à répondre aux demandes qu'il ne peut pas traiter seul depuis la Plateforme.
9. Violations de données
Anchosa notifie à l'Utilisateur toute violation de Données dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance. La notification indique, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et de Données concernées, les conséquences probables et les mesures prises ou proposées. L'Utilisateur reste chargé de notifier la CNIL et les personnes concernées lorsque c'est nécessaire. Anchosa lui fournit les informations dont il a besoin pour le faire.
10. Assistance
Anchosa fournit à l'Utilisateur les informations raisonnablement nécessaires pour ses analyses d'impact et ses consultations de la CNIL, en tenant compte de la nature du traitement et des informations dont elle dispose.
11. Fin du contrat
À la suppression du compte ou d'un Site, l'Utilisateur dispose de [30] jours pour exporter ses Données. Anchosa supprime ensuite les Données, y compris dans les sauvegardes dans un délai maximal de [90] jours, sauf si la loi impose de les conserver. Anchosa peut confirmer la suppression par écrit sur demande.
12. Audit
Anchosa met à disposition les informations nécessaires pour démontrer le respect du présent DPA, notamment ce document, ses annexes et les certifications de ses sous-traitants ultérieurs. L'Utilisateur peut demander un audit, par lui-même ou par un auditeur indépendant tenu à la confidentialité, au plus une fois par an et avec un préavis de 30 jours, sauf après une violation de Données. L'audit est à la charge de l'Utilisateur et ne doit pas perturber le service ni donner accès aux données d'autres Utilisateurs.
13. Responsabilité et durée
La responsabilité de chaque partie au titre du DPA suit les règles et plafonds de l'article 20 des CGU, dans les limites permises par l'article 82 du RGPD. Le DPA s'applique tant qu'Anchosa traite des Données pour le compte de l'Utilisateur. En cas de contradiction avec les CGU sur la protection des Données, le DPA prévaut.
Annexe 1 – Description des traitements
Nature et finalités : hébergement du Site de l'Utilisateur ; gestion des comptes clients et de l'accès aux formations ; prise de commandes, paiements, livraisons et rétractations ; prise de rendez-vous ; formulaires et collecte de contacts ; envoi d'emails transactionnels, de newsletters et de séquences automatisées ; avis clients ; statistiques de visite et suivi des prospects ; assistance par IA lorsque l'Utilisateur y soumet des Données.
Personnes concernées : visiteurs du Site, contacts et abonnés, prospects, clients et élèves de l'Utilisateur, personnes qui prennent rendez-vous ou laissent un avis.
Catégories de Données :
identité et coordonnées : nom, prénom, email, téléphone, adresse de livraison et de facturation ;
données de compte client : identifiants, mot de passe chiffré ;
données de commande : produits achetés, montants, codes de réduction, factures, demandes de rétractation (les numéros de carte sont traités par Stripe et ne sont jamais stockés par Anchosa) ;
données de formation : inscriptions, progression ;
rendez-vous : date, heure, informations saisies dans la réservation ;
réponses aux formulaires et contenus des avis ;
données d'emailing : consentements, ouvertures, clics, désinscriptions ;
données de navigation : pages vues, provenance, appareil, sans cookie publicitaire de la part d'Anchosa.
Données sensibles : aucune n'est traitée par défaut. L'Utilisateur ne doit pas en collecter via ses formulaires sans base légale adaptée.
Durée : pendant la durée du compte, selon les réglages et suppressions de l'Utilisateur, puis selon l'article 11 du DPA.
Fréquence : continue, tant que le Site est en ligne.
Annexe 2 – Mesures de sécurité
Les mesures ci-dessous correspondent à ce qui est en place dans la Plateforme. Les mentions entre crochets sont à confirmer avant publication.
Chiffrement : toutes les connexions passent en HTTPS (TLS). Les données sont chiffrées au repos par l'hébergeur de la base de données. Les jetons d'accès aux services Google connectés sont chiffrés dans la base.
Mots de passe : jamais stockés en clair, ils sont hachés par le service d'authentification.
Cloisonnement : chaque Site est isolé des autres par des règles d'accès au niveau de la base de données (Row Level Security). Un Utilisateur ne peut accéder qu'aux Données de ses propres Sites.
Contrôle des accès : les Collaborateurs n'ont accès qu'aux Sites auxquels ils ont été invités. L'accès administrateur d'Anchosa est limité à [nombre] personne(s), avec une authentification forte [à confirmer].
Paiements : les données de carte sont saisies et traitées uniquement par Stripe, certifié PCI DSS niveau 1.
Sauvegardes : sauvegardes automatiques quotidiennes de la base de données, conservées [7] jours [à confirmer selon le plan Supabase].
Emails : authentification des domaines d'envoi (SPF, DKIM), gestion automatique des désinscriptions et des rebonds.
Statistiques : mesure d'audience hébergée par Anchosa (Umami), sans cookie publicitaire et sans revente de données.
Journalisation et mises à jour : journaux d'accès et d'erreurs conservés [durée], dépendances logicielles tenues à jour.
Gestion des incidents : procédure de traitement et de notification des violations dans le délai de l'article 9 du DPA.
Annexe 3 – Sous-traitants ultérieurs
Liste à jour au [date]. Elle peut aussi être publiée telle quelle dans la page sous-traitants.
Fly.io, Inc. (États-Unis) : hébergement de l'application et de l'outil de statistiques Umami, dans la région de Paris. Garantie : Data Privacy Framework et clauses contractuelles types.
Supabase, Inc. (États-Unis) : base de données, authentification et stockage des fichiers, dans la région [à confirmer, par exemple Francfort ou Paris]. Garantie : clauses contractuelles types.
Stripe Payments Europe, Ltd. (Irlande) : traitement des paiements et comptes Stripe Connect. Données dans l'UE, avec des transferts possibles vers Stripe, Inc. (États-Unis) encadrés par le Data Privacy Framework et les clauses contractuelles types.
Amazon Web Services EMEA SARL (Luxembourg) : envoi des emails via Amazon SES, dans la région d'Irlande. Garantie : hébergement dans l'UE.
Mux, Inc. (États-Unis) : hébergement, encodage et diffusion des vidéos. Garantie : [Data Privacy Framework / clauses contractuelles types, à confirmer].
Anthropic, PBC (États-Unis) : assistant d'intelligence artificielle, uniquement pour les Données que l'Utilisateur soumet à l'assistant. Les données transmises via l'API ne servent pas à entraîner ses modèles. Garantie : [clauses contractuelles types, à confirmer].
Google LLC (États-Unis) : fourniture des polices de caractères (Google Fonts), qui reçoit l'adresse IP des visiteurs. Garantie : Data Privacy Framework. [À retirer si les polices sont hébergées par Anchosa.]
Les services que l'Utilisateur connecte lui-même à son Site (Google Agenda, Google Analytics, Google Ads, pixels publicitaires) ne sont pas des sous-traitants d'Anchosa. L'Utilisateur les choisit et contracte directement avec eux.