Accord de traitement des données (DPA)

Le présent accord (« DPA ») complète les Conditions générales de service et est conclu au sens de l'art. 28 du Règlement (UE) 2016/679 (« RGPD ») entre :

• le Client, en tant que responsable du traitement (le « Responsable ») ;
• Druido Eventi S.r.l., TVA 04137511202, siège social Via Rizzoli 4, 40125 Bologna (BO), Italie, en tant que sous-traitant (le « Sous-traitant »).

1. Objet et durée

Le Sous-traitant traite des données personnelles pour le compte du Responsable dans le seul but de fournir le service TARGA décrit dans les Conditions. Le DPA a la même durée que le contrat et, après sa fin, jusqu'à la restitution ou la suppression des données conformément à la section 11.

2. Nature et finalité du traitement

Collecte, enregistrement, conservation, consultation, publication sur les pages des numéros de série, envoi de communications de service, export et suppression des données, afin de gérer la documentation des machines du Responsable, les demandes de copie papier des instructions et les obligations associées.

3. Catégories de personnes concernées et de données

Le Service n'est pas destiné au traitement de catégories particulières de données (art. 9 RGPD) ni de données relatives aux condamnations pénales et aux infractions. Le Responsable s'engage à ne pas en saisir.

4. Obligations du Responsable

Le Responsable garantit qu'il dispose d'une base juridique valable pour les traitements confiés, qu'il fournit aux personnes concernées les informations requises par les art. 13 et 14 RGPD (y compris pour le formulaire de demande de copie papier) et qu'il donne des instructions conformes à la loi.

5. Obligations du Sous-traitant

• traiter les données uniquement sur instruction documentée du Responsable, qui comprend les Conditions, le présent DPA et les fonctions du Service utilisées par le Responsable ;
• informer le Responsable s'il estime qu'une instruction enfreint la réglementation sur la protection des données ;
• veiller à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité ;
• adopter les mesures de sécurité de la section 6 (art. 32 RGPD) ;
• aider le Responsable à répondre aux demandes des personnes concernées, dans la mesure du possible par des mesures techniques et organisationnelles appropriées ;
• aider le Responsable en matière de sécurité, de notification des violations, d'analyse d'impact et de consultation préalable (art. 32-36 RGPD) ;
• mettre à disposition les informations nécessaires pour démontrer le respect du présent DPA et permettre les audits de la section 9.

6. Mesures de sécurité

• chiffrement des communications (HTTPS/TLS) et conservation des mots de passe sous forme de hachage ;
• séparation logique des données de chaque client et contrôle des accès par rôle ;
• journal d'audit en ajout seul, chaîné par empreintes cryptographiques ;
• versions publiées immuables avec empreinte SHA-256 ;
• sauvegardes quotidiennes chiffrées de la base de données et des documents, conservées 30 jours dans un centre de données distinct dans l'Union européenne, avec tests de restauration périodiques ;
• limites aux tentatives de connexion et aux requêtes vers les formulaires publics ;
• serveurs situés dans l'Union européenne, chez des fournisseurs disposant de certifications de sécurité reconnues ;
• mise à jour régulière des composants logiciels et gestion des vulnérabilités.

Accès de l'assistance. Le Prestataire n'accède pas aux contenus chargés par le Client (manuels, blocs de texte, modèles, numéros de série et documents associés), sauf dans les cas indiqués ci-dessous. Le personnel d'assistance du Prestataire n'accède aux contenus du Client qu'avec l'autorisation expresse du Client, accordée par un utilisateur ayant le rôle de propriétaire ou d'administrateur depuis Paramètres > Assistance, ou en approuvant une demande spécifique et motivée du Prestataire. L'autorisation est limitée dans le temps (4, 24 ou 72 heures), peut être révoquée à tout moment avec effet immédiat et permet uniquement la consultation, sans possibilité de modifier, publier ou supprimer des données.

Chaque accès de l'assistance (octroi, début de session, chaque page consultée, clôture et révocation) est enregistré, avec la date, l'heure et le nom de l'opérateur, dans le journal d'activité du Client, que le Client peut consulter et qui ne peut pas être modifié, ainsi que dans un journal interne du Prestataire, lui aussi non modifiable. Les comptes d'administration du Prestataire sont protégés par une authentification à deux facteurs obligatoire et chacune de leurs actions est enregistrée dans un journal chaîné par empreintes cryptographiques, conservé pendant la durée du contrat et les 10 années suivantes.

7. Sous-traitants ultérieurs

Le Responsable donne une autorisation générale au recours aux sous-traitants ultérieurs énumérés ci-dessous. Le Sous-traitant impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent DPA et reste responsable de leurs actes.

Les e-mails du service (invitations, notifications, avis, accusés des demandes papier) sont envoyés depuis un serveur de messagerie géré directement par le Prestataire, sans prestataires tiers. Les statistiques de visite (Umami) fonctionnent également sur les serveurs du Prestataire.

Pour la gestion de la relation contractuelle, le Prestataire traite, en tant que responsable, des données agrégées et de facturation (données de la société, plan, état de l'abonnement, compteurs d'utilisation) et les données strictement nécessaires des utilisateurs du Client (nom, e-mail, rôle, date du dernier accès). Les paiements sont gérés par Stripe Payments Europe, Ltd., qui agit en tant que responsable autonome, y compris pour ses propres obligations légales en matière de lutte contre le blanchiment et de prévention de la fraude, et non en tant que sous-traitant ultérieur. Anthropic reçoit les textes des manuels à traduire, qui ne contiennent normalement pas de données personnelles.

Le Sous-traitant informe le Responsable par e-mail de l'ajout ou du remplacement d'un sous-traitant ultérieur au moins 30 jours à l'avance. La liste à jour est toujours publiée sur cette page. Le Responsable peut s'y opposer pour des motifs raisonnables liés à la protection des données ; si aucune solution n'est trouvée, le Responsable peut se retirer du contrat sans pénalité pour la partie du Service concernée.

8. Transferts hors de l'Union européenne

Les données sont conservées dans l'Union européenne. Les transferts vers des pays tiers n'ont lieu qu'avec les garanties du chapitre V RGPD. Pour le service de traduction automatique fourni par Anthropic, PBC (États-Unis), le transfert repose sur les clauses contractuelles types adoptées par la Commission européenne par la décision d'exécution (UE) 2021/914, complétées si nécessaire par des mesures supplémentaires. Selon les conditions commerciales du fournisseur, les données envoyées via l'API ne sont pas utilisées pour entraîner les modèles et ne sont conservées que pendant une durée limitée, normalement pas plus de 30 jours.

9. Audits

Le Responsable peut vérifier le respect du présent DPA en demandant de la documentation et, moyennant un préavis écrit d'au moins 30 jours et au plus une fois par an sauf en cas de violation, par l'intermédiaire d'un auditeur tenu à la confidentialité. Les frais de l'audit sont à la charge du Responsable.

10. Violations de données personnelles

Le Sous-traitant informe le Responsable dans les meilleurs délais, et en tout cas dans les 48 heures après en avoir pris connaissance, de toute violation de données personnelles concernant les données du Responsable, en fournissant les informations disponibles pour permettre au Responsable de la notifier à l'autorité de contrôle et, si nécessaire, de la communiquer aux personnes concernées.

11. Restitution et suppression

À la fin du contrat, le Responsable peut exporter ses données pendant la période de grâce prévue par les Conditions. Après cette période, le Sous-traitant supprime les données personnelles, y compris celles présentes dans les sauvegardes selon leur cycle normal de rotation de 30 jours, sous réserve des obligations de conservation imposées par la loi.

12. Responsabilité et dispositions finales

Les limitations des Conditions s'appliquent à la responsabilité entre les parties, dans la mesure permise par l'art. 82 RGPD. En cas de conflit entre le présent DPA et les Conditions en matière de protection des données, le présent DPA prévaut. Contact pour la protection des données : info@mattiazucchini.com.