Accord de traitement des données

1. Introduction

Le présent Accord de traitement des données (« DPA ») fait partie intégrante de l'accord conclu entre le client (« Responsable du traitement ») et Bonalogic, exploitant Nolorem (« Sous-traitant »), pour la fourniture des services de la plateforme Nolorem.

Le présent DPA s'applique à toutes les données personnelles traitées par les sous-traitants de Nolorem pour le compte du Responsable du traitement dans le cadre de l'utilisation du Service.

2. Définitions

• Responsable du traitement : Le client qui détermine les finalités et les moyens du traitement des données personnelles via le Service.
• Sous-traitant : Bonalogic (Nolorem), qui traite les données personnelles pour le compte du Responsable du traitement.
• Sous-traitant ultérieur : Un service tiers engagé par le Sous-traitant pour l'assister dans le traitement des données personnelles.
• Données personnelles : Toute information se rapportant à une personne physique identifiée ou identifiable.
• Traitement : Toute opération effectuée sur des données personnelles, notamment la collecte, le stockage, l'utilisation, la transmission et la suppression.

3. Détails du traitement

Le Sous-traitant traite les catégories suivantes de données personnelles pour le compte du Responsable du traitement :

• Données de compte : Nom, adresse e-mail, nom de l'organisation et identifiants d'authentification pour la gestion des comptes utilisateurs.
• Données de contenu : Articles de blog, contenu de réseaux sociaux, requêtes de recherche, plans de sujets, ainsi que textes et images générés.
• Réactions aux publications des réseaux sociaux : Lorsqu'une personne réagit à une publication que le Responsable du traitement a publiée via le Service, le Sous-traitant récupère cette réaction auprès de la plateforme (via bundle.social) et la conserve. Cela comprend l'identifiant de l'auteur sur la plateforme, le nom d'affichage lorsque la plateforme en fournit un, le lien vers le profil, le lien vers la photo de profil (un lien qui expire ; l'image elle-même n'est pas conservée), le texte de la réaction, l'heure, le nombre de mentions J'aime et de réponses, ainsi que la position dans le fil de discussion. Finalité : permettre au Responsable du traitement de lire les réactions et d'y répondre. Ces personnes ne sont pas des clients du Sous-traitant ; leurs données proviennent de la plateforme.
• Données de facturation : Niveau d'abonnement, références des moyens de paiement et documents de facturation traités via Stripe.
• Données d'utilisation : Utilisation des fonctionnalités, pages vues et journaux d'interaction aux fins d'amélioration du service.
• Texte avant et après modification : Le texte tel que le Sous-traitant l'a généré et tel que le Responsable du traitement l'a envoyé ou programmé, avec le canal, le profil de voix, la langue, le type de contenu et l'identifiant de l'utilisateur qui a lancé la dernière étape. Finalité : pouvoir améliorer les propres générations du Responsable du traitement. Le Sous-traitant n'utilise pas ces données pour d'autres clients ni pour entraîner un modèle. Toute analyse ne porte que sur des chiffres sans nom de client. L'identifiant de l'utilisateur est conservé jusqu'à la fin de la durée de conservation et, une fois ce compte supprimé, ne renvoie plus à personne.

Les données sont traitées pendant toute la durée d'utilisation du Service par le Responsable du traitement et supprimées dans les 30 jours suivant la clôture du compte.

Le texte avant et après modification est conservé 12 mois, ou supprimé plus tôt avec la publication ou l'article, et lors de la suppression de l'organisation du Responsable du traitement. Une publication ou un article dans la corbeille compte jusqu'à sa suppression définitive ou jusqu'à la fin des 12 mois.

Les réactions de tiers sont conservées aussi longtemps que la publication sur laquelle elles figurent existe dans le Service. Le Sous-traitant récupère les réactions jusqu'à environ 30 jours après la publication. Une réaction supprimée sur la plateforme avant ce terme disparaît aussi du Service lors de la récupération suivante. Une réaction supprimée sur la plateforme après ce terme reste dans le Service jusqu'à ce que le Responsable du traitement supprime définitivement la publication (y compris de la corbeille) ; les réactions disparaissent alors avec elle. Les réponses envoyées depuis le Service sont conservées comme partie de la publication.

4. Sous-traitants

Les sous-traitants suivants sont engagés pour fournir le Service. Chaque sous-traitant est lié par des accords de traitement des données conformes aux exigences du RGPD.

Le Responsable du traitement sera informé de toute modification concernant les sous-traitants. Des objections à de nouveaux sous-traitants peuvent être soulevées dans les 30 jours suivant la notification.

bundle.social récupère en outre auprès de la plateforme les réactions aux publications du Responsable du traitement et envoie les réponses que le Responsable du traitement donne depuis le Service. Anthropic (et OpenAI en solution de repli) reçoit le texte d'une réaction et le nom de son auteur uniquement lorsque le Responsable du traitement appuie sur le bouton « Proposer une réponse », afin de rédiger une proposition. Sans cette action, aucune réaction n'est transmise à un fournisseur d'IA. La proposition n'est jamais envoyée sans qu'une personne appuie sur envoyer.

5. Sécurité des données

Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles, notamment :

• Chiffrement en transit : Toutes les données transmises entre la plateforme et les utilisateurs sont chiffrées à l'aide de TLS 1.2 ou d'une version supérieure.
• Chiffrement au repos : Les données personnelles stockées dans la base de données sont chiffrées au repos à l'aide d'AES-256.
• Contrôles d'accès : Des contrôles d'accès basés sur les rôles et des politiques de sécurité au niveau des lignes (RLS) limitées à l'organisation garantissent l'isolation des données entre les clients.
• Révisions régulières : Les pratiques de sécurité et les accords avec les sous-traitants sont révisés régulièrement.

6. Droits des personnes concernées

Le Sous-traitant assistera le Responsable du traitement dans la satisfaction des demandes d'exercice des droits des personnes concernées au titre du RGPD, notamment :

• L'accès aux données personnelles
• La rectification des données inexactes
• L'effacement des données personnelles
• La portabilité des données dans un format lisible par machine
• La limitation du traitement
• L'opposition au traitement

Le Sous-traitant répondra aux demandes du Responsable du traitement dans un délai de 15 jours ouvrables.

Pour les réactions de tiers : à la demande du Responsable du traitement, un administrateur du Sous-traitant efface toutes les réactions d'une même personne dans l'espace de travail de ce Responsable du traitement. Les réponses que le Responsable du traitement a données à cette personne dans le Service sont également effacées, car elles peuvent porter son nom. La réponse sur la plateforme elle-même reste en place ; le Responsable du traitement la gère sur la plateforme. Le Sous-traitant note ensuite uniquement l'identifiant de cette personne sur la plateforme et la date sur une liste d'exclusion propre à cet espace de travail, afin que la récupération suivante ne la fasse pas revenir. Cette liste s'applique par organisation et ne contient rien d'autre. Base juridique : l'intérêt légitime de rendre un effacement durable.

7. Notification de violation de données

En cas de violation de données personnelles, le Sous-traitant informera le Responsable du traitement sans retard injustifié et au plus tard 72 heures après en avoir pris connaissance. La notification comprendra :

• La nature de la violation
• Les catégories et le nombre approximatif de personnes concernées
• Les conséquences probables de la violation
• Les mesures prises ou proposées pour remédier à la violation

8. Droits d'audit

Le Responsable du traitement peut demander les informations nécessaires pour démontrer le respect des obligations du RGPD. Le Sous-traitant mettra à disposition toutes les informations nécessaires et permettra la réalisation d'audits, y compris des inspections, menés par le Responsable du traitement ou un auditeur mandaté par celui-ci, sous réserve d'un préavis raisonnable et d'obligations de confidentialité.

9. Résiliation

À la résiliation du DPA ou de l'accord de service sous-jacent, le Sous-traitant, au choix du Responsable du traitement :

• Restituera toutes les données personnelles au Responsable du traitement dans un format structuré et couramment utilisé, ou
• Supprimera toutes les données personnelles dans les 30 jours, sauf si leur conservation est requise par la loi applicable.

Le Sous-traitant fournira une confirmation écrite de la suppression des données sur demande.

10. Contact

Pour toute question concernant le présent Accord de traitement des données, pour demander un audit ou pour signaler une préoccupation relative aux données, contactez-nous à :

• E-mail : info@nolorem.io
• Société : Bonalogic