Avenant relatif au traitement des données

1. Parties et champ d’application

Le présent avenant relatif au traitement des données (le « DPA ») est conclu entre PeakCore LLC, société à responsabilité limitée du Wyoming qui exploite AIGROW (« nous »), et l’entreprise qui accepte nos Conditions d’utilisation (« vous »). Il fait partie du contrat constitué des Conditions et des documents qu’elles mentionnent (le « Contrat »).

Il s’applique chaque fois que nous traitons des Données personnelles du client pour vous fournir les Services. Il s’applique automatiquement, sans signature, dès que vous nous confiez pour la première fois de telles données. Cas typiques :

• les informations sur votre entreprise, vos concurrents et les totaux de trafic Google Analytics que vous enregistrez dans un suivi ;
• les coordonnées des clients d’une agence, sa charte graphique et ses rapports en marque blanche ;
• les leads collectés par le testeur intégré d’une agence auprès des visiteurs de son site ;
• les données de Search Console et la clé que vous connectez au moteur de blog ;
• les messages, souvenirs et documents que vous confiez à l’assistant, ainsi que le contenu du moteur de blog ;
• les requêtes et les réponses qui transitent par notre API ;
• les éléments que vous nous envoyez pour les prestations clés en main et les communiqués de presse, tels que des avis clients, des citations et les noms de vos collaborateurs.

Le présent DPA ne s’applique qu’aux clients professionnels. Il ne s’applique pas aux données personnelles que nous traitons en tant que responsable du traitement, comme les informations de votre compte, de facturation et de contact, qui relèvent de la Politique de confidentialité.

2. Définitions

Les termes définis dans les Conditions ont le même sens ici. Les termes « responsable du traitement », « sous-traitant », « personne concernée », « données personnelles », « traitement » et « autorité de contrôle » ont le sens que leur donne le RGPD. En outre :

• Données personnelles du client désigne les données personnelles que nous traitons pour votre compte dans le cadre de la fourniture des Services.
• Droit de la protection des données désigne les lois applicables à ce traitement, qui peuvent inclure le Règlement général sur la protection des données de l’UE 2016/679 (le « RGPD »), le RGPD tel qu’il fait partie du droit britannique (le « RGPD britannique »), la loi britannique de 2018 sur la protection des données, la loi fédérale suisse sur la protection des données (la « LPD »), le California Consumer Privacy Act et les lois américaines comparables des États.
• Sous-traitant ultérieur désigne un tiers que nous mandatons pour traiter des Données personnelles du client.
• Violation de données personnelles désigne une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de Données personnelles du client, ou l’accès non autorisé à celles-ci, sur des systèmes que nous ou nos Sous-traitants ultérieurs contrôlons.
• CCT désigne les clauses contractuelles types approuvées par la décision d’exécution (UE) 2021/914 de la Commission européenne.
• Addendum britannique désigne l’addendum relatif aux transferts internationaux de données aux CCT, publié par l’Information Commissioner britannique.

3. Rôles

Vous êtes le responsable du traitement des Données personnelles du client et nous sommes votre sous-traitant. Lorsque vous agissez pour votre propre client, comme le fait une agence, vous êtes sous-traitant, votre client est le responsable du traitement et nous sommes votre sous-traitant ultérieur. Vous confirmez que votre client vous a autorisé à nous donner ces instructions, y compris la désignation de nos Sous-traitants ultérieurs, et vous restez notre seul interlocuteur.

Nous sommes responsable du traitement, et non sous-traitant, pour les données dont nous avons besoin pour faire fonctionner notre activité : informations de compte et de facturation, relevés d’utilisation et de coûts, journaux de sécurité et d’abus, et statistiques qui n’identifient personne. Nous pouvons utiliser les relevés d’utilisation et ces statistiques pour exploiter, sécuriser, facturer et améliorer les Services, mais jamais pour identifier vos personnes concernées.

États-Unis. Lorsque les lois des États américains sur la vie privée s’appliquent, nous agissons en tant que votre prestataire de services ou contractant. Nous ne vendons ni ne partageons les Données personnelles du client. Nous ne les conservons, ne les utilisons ni ne les divulguons à aucune fin autre que la fourniture des Services au titre du Contrat, ni en dehors de notre relation commerciale directe avec vous, et nous ne les combinons pas avec des données personnelles provenant d’autres sources, sauf dans la mesure permise par ces lois. Nous respectons les obligations que ces lois nous imposent et vous informerons si nous ne pouvons plus les respecter. Vous pourrez alors prendre des mesures raisonnables et appropriées pour faire cesser et corriger toute utilisation non autorisée.

4. Traitement sur vos instructions

Nous ne traitons les Données personnelles du client que sur vos instructions documentées, y compris en ce qui concerne les transferts internationaux, sauf si la loi exige autrement. Dans ce cas, nous vous informons de cette exigence légale avant le traitement, sauf si la loi l’interdit.

Vos instructions sont constituées du présent DPA, du Contrat, des paramètres que vous choisissez et de la manière dont vous utilisez les Services, ainsi que de toute autre instruction écrite que nous acceptons. Choisir une fonctionnalité, un modèle ou une adresse de livraison constitue une instruction. Par exemple, lorsque vous choisissez un modèle dans l’assistant ou l’API, l’envoi de votre contenu au fournisseur de ce modèle fait partie de vos instructions.

Nous vous informerons si, selon nous, une instruction enfreint le Droit de la protection des données. Nous ne sommes pas tenus de vérifier la conformité légale de vos instructions, et nous pouvons suspendre le traitement concerné jusqu’à ce que vous confirmiez ou modifiiez l’instruction.

Vous êtes responsable de la licéité du traitement que vous ordonnez : disposer d’une base juridique, fournir les informations et recueillir les consentements exigés par la loi, et veiller à l’exactitude des données que vous fournissez. Les Services ne sont pas conçus pour des catégories particulières de données personnelles, des casiers judiciaires ou des données d’enfants. Ne nous communiquez pas de telles données, sauf si elles sont nécessaires au Service et licites.

5. Confidentialité

Nous n’autorisons l’accès aux Données personnelles du client qu’aux personnes qui en ont besoin pour fournir, assister ou sécuriser les Services, et qui sont tenues par des obligations de confidentialité ou par un devoir légal de confidentialité.

Si un tribunal, une autorité ou un autre tiers nous demande des Données personnelles du client, nous le renvoyons vers vous lorsque cela est possible. Nous vous informons de la demande, sauf si la loi l’interdit, et ne divulguons que ce que la loi nous oblige à divulguer.

6. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles garantissant un niveau de sécurité adapté au risque, comme l’exige l’article 32 du RGPD, compte tenu de l’état des connaissances, des coûts de mise en œuvre ainsi que de la nature, de la portée, du contexte et des finalités du traitement. Les mesures actuellement en place sont décrites ci-dessous et constituent l’Annexe II au sens des CCT.

Nous pouvons modifier ces mesures au gré de l’évolution des technologies et des risques, à condition que ce changement ne réduise pas sensiblement le niveau global de sécurité. Vous êtes responsable de la sécurité de votre propre compte, de vos appareils, de vos clés API et de vos liens de rapport, ainsi que des données que vous choisissez de téléverser. Notre page sur la sécurité décrit le fonctionnement d’AIGROW.

7. Sous-traitants ultérieurs

Vous nous donnez une autorisation générale de recourir à des Sous-traitants ultérieurs. Les catégories que nous utilisons, avec leur localisation, figurent dans l’annexe ci-dessous. La liste à jour des Sous-traitants ultérieurs est disponible sur demande à privacy@aigrow.gg.

Nous vous informerons par e-mail, à l’adresse de votre compte, au moins 14 jours avant qu’un nouveau Sous-traitant ultérieur ne commence à traiter des Données personnelles du client. Vous pouvez vous y opposer pour des motifs raisonnables liés à la protection des données, en écrivant à privacy@aigrow.gg dans ce délai. Nous examinerons vos préoccupations de bonne foi. Si nous ne parvenons pas à les résoudre, vous pouvez mettre fin au Service concerné par notification écrite, et la Politique de remboursement s’applique aux sommes versées. Il s’agit de votre seul recours en cas d’opposition.

Lorsque nous devons remplacer d’urgence un Sous-traitant ultérieur, pour des raisons de sécurité ou pour assurer la continuité des Services, nous pouvons le faire immédiatement et vous en informerons dès que possible ensuite, avec le même droit d’opposition.

Nous imposons à chaque Sous-traitant ultérieur, par contrat écrit, des obligations de protection des données qui offrent en substance la même protection que le présent DPA, comme l’exige l’article 28, paragraphe 4, du RGPD. Nous restons responsables envers vous de l’exécution des obligations de nos Sous-traitants ultérieurs.

8. Assistance

Compte tenu de la nature du traitement et des informations dont nous disposons, nous vous aidons dans les domaines suivants :

• répondre aux demandes des personnes concernées qui exercent leurs droits, via les fonctionnalités des Services et, si celles-ci ne suffisent pas, sur demande adressée à privacy@aigrow.gg ;
• vos obligations de sécurité, les analyses d’impact relatives à la protection des données et les consultations préalables des autorités de contrôle, en fournissant des informations sur les Services.

Si une personne concernée nous contacte directement au sujet de Données personnelles du client, nous la renvoyons vers vous et ne répondons pas nous-mêmes, sauf pour confirmer que nous avons transmis la demande.

Lorsque l’assistance dépasse les fonctionnalités et informations que les Services fournissent déjà, nous pouvons facturer des frais raisonnables, dont nous vous informerons à l’avance, sauf si l’assistance est nécessaire parce que nous avons manqué au présent DPA.

9. Violations de données personnelles

Nous vous informons dans les meilleurs délais après avoir pris connaissance d’une Violation de données personnelles, par e-mail à l’adresse de votre compte. Au fur et à mesure qu’elles sont disponibles, nous vous communiquons les informations énumérées à l’article 33, paragraphe 3, du RGPD :

• la nature de la violation, y compris, si possible, les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés ;
• un point de contact pour obtenir plus d’informations ;
• les conséquences probables de la violation ;
• les mesures prises ou proposées pour y remédier et pour atténuer ses éventuelles conséquences négatives.

Nous prenons des mesures raisonnables pour contenir la violation et y remédier. Il vous appartient de procéder à toute notification aux autorités de contrôle et aux personnes concernées, et nous vous apportons notre aide comme le décrit la section consacrée à l’assistance.

Les tentatives ou activités infructueuses qui ne compromettent pas la sécurité des Données personnelles du client, comme les échecs de connexion, les pings, les analyses de ports ou les attaques bloquées, ne constituent pas des Violations de données personnelles. Notre notification d’une violation ne vaut ni aveu de faute ni reconnaissance de responsabilité.

10. Restitution et suppression

Tant que vous utilisez les Services, vous pouvez supprimer vous-même une grande partie de vos données, comme un suivi, un site de blog connecté, un document ou une mémoire de l’assistant, et vous pouvez demander à privacy@aigrow.gg une copie du reste.

À la fin des Services, ou à tout moment sur votre demande écrite adressée à privacy@aigrow.gg, nous restituons ou supprimons les Données personnelles du client dans un délai raisonnable, selon votre choix, sauf si la loi nous oblige à les conserver. Nous confirmons la suppression par écrit si vous le demandez. Si vous ne faites aucune demande, nous supprimons les Données personnelles du client lorsque nous n’en avons plus besoin pour fournir les Services, comme le décrit la Politique de confidentialité.

Les données que nous devons conserver en vertu de la loi restent protégées par le présent DPA et ne sont traitées que pour la finalité qui l’exige.

11. Informations et audits

Nous mettons à votre disposition les informations nécessaires pour démontrer le respect de l’article 28 du RGPD. Nous le faisons d’abord par écrit : au moyen du présent DPA, de notre page sécurité et de réponses écrites à vos questions raisonnables sur nos traitements. Nous ne détenons pas de certifications tierces telles que SOC 2 ou ISO 27001.

Une inspection n’a lieu que si la Législation sur la protection des données ou une autorité de contrôle l’exige et que les informations écrites ne satisfont pas à cette exigence. Dans ce cas :

• vous nous adressez un préavis écrit raisonnable et convenez avec nous de son périmètre, de son calendrier et de sa durée ;
• elle est menée par vous ou par un auditeur indépendant tenu à la confidentialité et qui n’est pas notre concurrent ;
• elle se déroule pendant les heures ouvrables, évite de perturber les Services et ne donne accès ni aux données des autres clients ni à nos informations confidentielles au-delà de ce que l’inspection requiert ;
• vous en supportez les coûts, y compris les nôtres ;
• elle a lieu au plus une fois par an, sauf si une autorité de contrôle en exige davantage.

Les audits prévus par les CCT sont menés de la même manière, dans la mesure où les CCT le permettent.

12. Transferts internationaux

Nous traitons les Données personnelles du client aux États-Unis et en Allemagne, et vous autorisez les transferts vers ces pays et vers les lieux où se trouvent nos Sous-traitants ultérieurs.

Transferts soumis au RGPD

Lorsque des Données personnelles du client soumises au RGPD nous sont transférées, ou sont transférées par nous à un Sous-traitant ultérieur, dans un pays ne bénéficiant pas d’une décision d’adéquation, les CCT sont intégrées au présent DPA par renvoi : le Module 2 si vous êtes responsable du traitement et le Module 3 si vous êtes sous-traitant. Vous êtes l’exportateur de données et nous sommes l’importateur de données. Pour les CCT :

• la clause d’adhésion de la Clause 7 s’applique ;
• à la Clause 9, l’option 2 s’applique, avec le délai de préavis prévu dans la section sur les Sous-traitants ultérieurs ;
• la formulation facultative de la Clause 11 ne s’applique pas ;
• à la Clause 13, l’autorité de contrôle compétente est déterminée conformément à la Clause 13(a) ;
• aux Clauses 17 et 18, le droit et les tribunaux irlandais s’appliquent ;
• l’Annexe I est complétée par les parties désignées dans le présent DPA et l’annexe sur le détail des traitements, l’Annexe II par les mesures de sécurité du présent DPA, et l’Annexe III par la liste des Sous-traitants ultérieurs disponible sur demande.

Si vous êtes une agence agissant pour le compte de vos clients, un client responsable du traitement peut adhérer aux CCT en vertu de la Clause 7 par notification écrite à privacy@aigrow.gg, avec votre accord.

Royaume-Uni. Pour les transferts soumis au RGPD britannique, l’Addendum britannique est intégré par renvoi. Le Tableau 1 est complété par les coordonnées des parties figurant dans le présent DPA, le Tableau 2 par les CCT telles qu’exposées ci-dessus, et le Tableau 3 par les annexes du présent DPA. Au Tableau 4, l’importateur peut mettre fin à l’Addendum britannique comme le permet sa Section 19.

Suisse. Pour les transferts soumis à la LPD, les CCT s’appliquent avec les adaptations suivantes : le Préposé fédéral à la protection des données et à la transparence est l’autorité de contrôle compétente, les références au RGPD s’entendent comme des références à la LPD, et les personnes concernées en Suisse peuvent agir en justice au lieu de leur résidence habituelle.

Lorsqu’un destinataire est certifié au titre du Cadre de protection des données UE-États-Unis, ou de son extension britannique ou suisse, nous pouvons nous appuyer sur cette certification à la place. Si un mécanisme de transfert est remplacé ou cesse d’être valide, nous pouvons adopter un autre mécanisme licite et nous vous en informerons.

En cas de conflit entre les CCT ou l’Addendum britannique et le présent DPA, ils prévalent pour les transferts qu’ils couvrent.

13. Responsabilité

Dans la mesure permise par la loi, la responsabilité de chaque partie découlant du présent DPA ou s’y rapportant, y compris les CCT, est soumise aux limitations et exclusions de responsabilité prévues dans les Conditions d’utilisation. Ces limites s’appliquent au Contrat et au présent DPA pris ensemble, et non séparément.

Rien dans le présent DPA ne limite la responsabilité envers les personnes concernées au titre des CCT, ni toute responsabilité qui ne peut être limitée en vertu du droit applicable.

Dans la mesure permise par la loi, vous nous garantirez contre les réclamations de tiers, les amendes et les frais découlant d’un traitement effectué sur vos instructions lorsque ces instructions, ou les données que vous avez fournies, enfreignaient la Législation sur la protection des données.

14. Durée, ordre de priorité et modifications

Le présent DPA reste en vigueur aussi longtemps que nous traitons des Données personnelles du client. Il survit à la fin du Contrat jusqu’à la restitution ou la suppression de ces données.

En cas de conflit entre des documents, l’ordre suivant s’applique : une commande ou un accord écrit signé par les deux parties, puis les Conditions de service du produit concerné, puis le présent DPA en matière de protection des données, puis les Conditions, puis nos autres politiques. Les CCT et l’Addendum britannique prévalent comme l’indique la section sur les transferts internationaux. Le droit d’ordre public prévaut sur tous ces documents.

Nous pouvons mettre à jour le présent DPA, par exemple pour tenir compte de changements législatifs ou de modifications de nos Sous-traitants ultérieurs. Nous vous préviendrons par e-mail au moins 30 jours à l’avance de toute modification qui réduit sensiblement la protection des Données personnelles du client. Aucune modification ne réduit la protection exigée par la Législation sur la protection des données.

Le présent DPA est régi par le droit qui régit les Conditions, sauf que les CCT sont régies par le droit que leurs clauses désignent. Si vous avez besoin d’un exemplaire contresigné pour vos dossiers, écrivez à legal@aigrow.gg.

15. Annexe : détail des traitements

La présente annexe décrit les traitements au sens de l’article 28(3) du RGPD et de l’Annexe I des CCT.

16. Annexe : catégories de Sous-traitants ultérieurs

Voici les catégories de Sous-traitants ultérieurs susceptibles de traiter des Données personnelles du client, avec leur localisation. La liste actuelle des Sous-traitants ultérieurs nommés est disponible sur demande auprès de privacy@aigrow.gg.