Le présent Accord de traitement des données (le « DPA ») fait partie intégrante de l’Accord conclu entre ELXAO SASU (le « Sous-traitant ») et le client (le « Responsable de traitement ») et met en œuvre l’article 28 du Règlement (UE) 2016/679 (le « RGPD ») et la loi française Informatique et Libertés (loi n° 78-17 du 6 janvier 1978 modifiée). Il s’applique chaque fois qu’ELXAO traite des données personnelles pour le compte du Responsable de traitement dans le cadre de la fourniture des Services.
Définitions
Les termes « données personnelles », « traitement », « responsable de traitement », « sous-traitant », « sous-traitant ultérieur », « personne concernée », « catégories particulières de données » et « violation de données » ont le sens qui leur est donné à l’article 4 du RGPD. Les stipulations de l’Accord s’appliquent au présent DPA, sauf si ce dernier y déroge expressément.
Objet, durée et nature du traitement
| Élément | Description |
|---|---|
| Objet | Fourniture de services d’opérations marketing (sites, SEO, médias payants, analytics, CRM/email, branding, réseaux sociaux, localisation, PM/événements) pour le compte du Responsable de traitement. |
| Durée | Durée de l’Engagement, augmentée des durées de conservation ci-dessous. |
| Nature et finalité | Stockage, organisation, analyse, transfert, hébergement et suppression de données personnelles nécessaires à l’exécution des Services. |
| Catégories de personnes concernées | Utilisateurs finaux, prospects, clients, abonnés, salariés, fournisseurs et participants aux événements du Responsable de traitement. |
| Catégories de données | Données d’identification (nom, titre), de contact (email, téléphone, adresse), professionnelles (entreprise, fonction), identifiants en ligne (IP, cookies, identifiants d’appareil), comportementales (clics, sessions, conversions), commerciales (commandes, facturation), événementielles (inscriptions, présence, badges, enregistrements). |
| Catégories particulières | Non traitées par défaut. Toute exception nécessite une instruction écrite et des garanties additionnelles. |
Rôles et instructions
Le Responsable de traitement détermine les finalités et les moyens du traitement. ELXAO traite les données uniquement sur instructions documentées du Responsable, formalisées par l’Accord, les commandes, les SLA, la Politique de confidentialité du Responsable et toute instruction écrite ultérieure. ELXAO informe le Responsable sans retard injustifié s’il estime qu’une instruction est contraire à la réglementation.
Confidentialité du personnel
ELXAO veille à ce que toute personne autorisée à traiter des données personnelles soit liée par une obligation de confidentialité opposable (contrat de travail, contrat de freelance ou NDA) et ait reçu une formation à la protection des données adaptée à ses missions.
Mesures de sécurité
ELXAO met en œuvre les mesures techniques et organisationnelles appropriées (article 32 RGPD), notamment :
- Chiffrement TLS 1.2+ en transit et AES-256 au repos pour les bases de production.
- Contrôle d’accès basé sur les rôles avec principe du moindre privilège ; authentification multifacteur obligatoire pour les administrateurs.
- Infrastructure durcie hébergée en UE, avec scans de vulnérabilités et patchs réguliers.
- Revue de code, gestion des secrets, SDLC sécurisé et séparation des environnements production/préproduction.
- Journalisation centralisée protégée en intégrité ; alertes sur les événements d’authentification et d’export de données suspects.
- Sauvegardes chiffrées, géographiquement distinctes, avec tests de restauration documentés.
- Procédures d’arrivée/départ du personnel, gestionnaire de mots de passe, postes de travail chiffrés.
- Plans de continuité d’activité et de réponse aux incidents revus au moins une fois par an.
Sous-traitance ultérieure
Le Responsable de traitement autorise généralement ELXAO à recourir à des sous-traitants ultérieurs pour des activités de traitement spécifiques (hébergement, routage email, analytique, plateformes publicitaires, outils de support, plateformes événementielles). ELXAO maintient une liste à jour des sous-traitants ultérieurs, disponible sur demande à [email protected], et notifie au moins trente (30) jours à l’avance toute addition ou remplacement, période pendant laquelle le Responsable peut s’y opposer pour des motifs raisonnables de protection des données. ELXAO impose à chaque sous-traitant ultérieur des obligations de protection des données au moins équivalentes à celles du présent DPA.
Transferts internationaux
Les données sont traitées principalement au sein de l’Espace économique européen (EEE). En cas de transfert hors EEE vers un pays sans décision d’adéquation, ELXAO s’appuie sur les garanties appropriées prévues à l’article 46 du RGPD, principalement les Clauses contractuelles types de la Commission européenne du 4 juin 2021, complétées le cas échéant par les mesures additionnelles issues de l’analyse d’impact du transfert.
Assistance au Responsable de traitement
ELXAO assiste le Responsable de traitement, par des mesures techniques et organisationnelles appropriées, pour répondre aux demandes des personnes concernées (articles 12 à 22 du RGPD) et pour respecter les articles 32 à 36 du RGPD (sécurité, notification de violation, AIPD, consultation préalable). L’assistance standard est incluse dans les Services ; les travaux significatifs excédant un (1) Jour ouvré par demande peuvent être facturés aux tarifs professionnels en vigueur d’ELXAO après notification écrite.
Violation de données personnelles
ELXAO notifie le Responsable de traitement sans retard injustifié et au plus tard dans les soixante-douze (72) heures de la prise de connaissance d’une violation affectant les données du Responsable. La notification précise la nature de la violation, les catégories et volumes approximatifs concernés, les conséquences probables et les mesures prises ou proposées pour y remédier.
Audits
ELXAO met à la disposition du Responsable de traitement, sur demande raisonnable et au maximum une fois par an (sauf à la suite d’une violation), les informations nécessaires pour démontrer le respect du présent DPA, y compris les rapports ISO 27001 / SOC 2 des sous-traitants ultérieurs lorsqu’ils sont disponibles. Des audits sur site peuvent être conduits par le Responsable ou un tiers auditeur approuvé d’un commun accord et tenu à la confidentialité, aux frais du Responsable, avec préavis raisonnable et pendant les heures ouvrées, sans perturber excessivement les opérations d’ELXAO.
Restitution ou suppression des données
À l’expiration de l’Accord, ELXAO procédera, au choix du Responsable de traitement exprimé dans les trente (30) jours, soit à la restitution de l’ensemble des données personnelles dans un format structuré, couramment utilisé et lisible par machine, soit à leur suppression de tous les systèmes de production et opérationnels. Les copies de sauvegarde sont effacées au rythme du cycle de rotation standard (jusqu’à quatre-vingt-dix (90) jours) et ne peuvent être conservées au-delà que si la loi l’impose, auquel cas elles restent soumises aux obligations de sécurité et de confidentialité du présent DPA.
Responsabilité
Les stipulations de responsabilité du MSA s’appliquent aux réclamations nées du présent DPA. Chaque partie demeure responsable à l’égard des personnes concernées et des autorités de contrôle conformément à l’article 82 du RGPD.
Contact
Pour toute question, demande ou notification au titre du présent DPA, contactez ELXAO à [email protected].