Accord de traitement des données

Le présent accord de traitement des données (l'« Accord ») fait partie des Conditions générales conclues entre vous, exploitant de sites créés avec Lepka (le responsable du traitement), et MDMA RACINGTEAM OU, Harju maakond, Tallinn, Kesklinna linnaosa, Narva mnt 7-634, 10117, Estonia (le sous-traitant, « nous »). Il s'applique chaque fois que nous traitons des données personnelles pour votre compte en lien avec vos sites et répond aux exigences de l'article 28 du RGPD. Vous l'acceptez en acceptant les Conditions générales. En cas de contradiction entre le présent Accord et les Conditions générales en matière de protection des données, le présent Accord prévaut.

1. Objet et durée

1. Nous traitons des données personnelles pour votre compte afin de fournir le Service : héberger vos sites et applications, stocker et vous afficher les données collectées par vos sites, envoyer des e-mails et des notifications, faire fonctionner l'assistant IA de vos sites, compter les visites et transmettre des données aux services tiers que vous connectez. Les détails figurent à l'annexe 1.
2. Le présent Accord s'applique aussi longtemps que nous traitons des données personnelles pour votre compte, y compris après la fin du contrat jusqu'à la suppression des données (section 9).

2. Vos instructions

1. Nous ne traitons les données personnelles que sur instruction documentée de votre part, y compris en ce qui concerne les transferts vers des pays tiers, à moins d'y être tenus par le droit de l'Union ou d'un État membre ; dans ce cas, nous vous informons de cette obligation juridique avant le traitement, sauf si la loi l'interdit.
2. Vos instructions sont constituées des Conditions générales et du présent Accord, des réglages de vos sites et projets ainsi que des actions que vous effectuez dans le Service (par exemple connecter un service, exporter ou supprimer des données). D'autres instructions peuvent être données par écrit (un e-mail suffit).
3. Si nous estimons qu'une instruction enfreint la réglementation sur la protection des données, nous vous en informons immédiatement.
4. Nous n'utilisons pas les données personnelles à nos propres fins. Nous pouvons établir des statistiques anonymes et agrégées sur l'utilisation du Service (par exemple le nombre de conversations traitées par les assistants IA), qui ne contiennent aucune donnée personnelle.

3. Confidentialité

Nous veillons à ce que toutes les personnes autorisées à traiter les données personnelles s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité. Notre équipe n'accède au contenu de vos projets que pour vous assister à votre demande, analyser des erreurs et faire respecter les Conditions générales ; les accès via nos outils d'administration sont journalisés.

4. Sécurité

Nous mettons en œuvre les mesures techniques et organisationnelles décrites à l'annexe 2 afin de garantir un niveau de sécurité adapté au risque (article 32 du RGPD). Nous pouvons faire évoluer ces mesures en fonction du progrès technique, à condition que le niveau de protection ne soit pas réduit.

5. Sous-traitants ultérieurs

1. Vous nous accordez une autorisation générale de recourir aux sous-traitants ultérieurs figurant sur la page Sous-traitants.
2. Nous vous informons par e-mail au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur. Vous pouvez vous y opposer pendant ce délai pour des motifs raisonnables liés à la protection des données. Si nous ne pouvons pas lever votre objection, vous pouvez mettre fin sans frais au service concerné avant que la modification ne prenne effet, et nous remboursons les montants payés d'avance pour la période postérieure.
3. Nous imposons contractuellement à chaque sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles du présent Accord, en particulier des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Nous restons responsables envers vous de l'exécution de leurs obligations par nos sous-traitants ultérieurs.

6. Transferts internationaux

Nos serveurs se trouvent dans l'UE. Certains sous-traitants ultérieurs traitent des données personnelles hors de l'UE/EEE, notamment aux États-Unis (voir la page Sous-traitants). Nous ne leur transférons des données personnelles que sur la base d'une décision d'adéquation de la Commission européenne ou des clauses contractuelles types de la Commission européenne (article 46, paragraphe 2, point c), du RGPD). Vous nous donnez instruction d'effectuer ces transferts dans la mesure où ils sont nécessaires aux fonctionnalités que vous utilisez.

7. Assistance

1. Demandes des personnes concernées. Compte tenu de la nature du traitement, nous vous aidons à répondre aux demandes d'exercice des droits (accès, rectification, effacement, limitation, portabilité, opposition). Le Service vous permet de consulter, d'exporter et de supprimer vous-même les données de vos sites. Si une personne concernée s'adresse directement à nous, nous vous transmettons sa demande sans retard injustifié et n'y répondons pas nous-mêmes, sauf instruction de votre part.
2. Autres obligations. Compte tenu de la nature du traitement et des informations à notre disposition, nous vous aidons à respecter vos obligations prévues aux articles 32 à 36 du RGPD (sécurité, notification des violations de données, analyses d'impact, consultation préalable).

8. Violations de données personnelles

Nous vous notifions toute violation de données personnelles affectant les données que nous traitons pour votre compte dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance. La notification est envoyée à l'adresse e-mail de votre compte et contient, dans la mesure du possible, les informations dont vous avez besoin pour votre propre notification au titre de l'article 33, paragraphe 3, du RGPD : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou envisagées et un point de contact. Nous documentons chaque violation et prenons les mesures nécessaires pour la contenir et en atténuer les conséquences.

9. Suppression et restitution des données

1. Pendant l'utilisation du Service, vous pouvez à tout moment exporter et supprimer les données de vos sites.
2. Après la fin du contrat, nous conservons les données pendant 30 jours afin que vous puissiez les exporter (article 16 des Conditions générales), puis nous les supprimons, sauf obligation de conservation prévue par le droit de l'Union ou d'un État membre. Les copies de sauvegarde sont écrasées dans un délai de 14 jours selon leur calendrier habituel.

10. Informations et audits

Nous mettons à votre disposition toutes les informations nécessaires pour démontrer le respect de l'article 28 du RGPD et permettons la réalisation d'audits, y compris des inspections, par vous ou un auditeur mandaté par vous, et y contribuons. Les audits doivent être annoncés au moins 30 jours à l'avance, se dérouler pendant les heures ouvrables habituelles, ne pas perturber nos activités ni compromettre les données d'autres clients, et sont réalisés à vos frais ; au préalable, nous nous efforçons de répondre à vos questions par écrit.

11. Responsabilité

Les dispositions des Conditions générales relatives à la responsabilité s'appliquent au présent Accord, sans préjudice de l'article 82 du RGPD.

Annexe 1 — Description du traitement

Catégories de personnes concernées : visiteurs de vos sites ; personnes qui envoient des formulaires, passent commande ou prennent rendez-vous sur vos sites ; utilisateurs qui se connectent aux applications créées avec Lepka ; personnes qui discutent avec l'assistant IA de vos sites ; destinataires des e-mails envoyés par vos sites ; autres personnes dont vous ajoutez les données à vos projets.

Catégories de données personnelles : coordonnées (nom, adresse e-mail, numéro de téléphone, par exemple), contenu des formulaires, commandes, réservations et messages, conversations avec l'assistant IA, comptes utilisateurs de vos applications (adresse e-mail, nom, rôle), fichiers téléversés par les visiteurs et toute autre donnée que vos sites sont configurés pour collecter. Les données techniques (adresse IP, informations sur le navigateur) ne sont utilisées que pour la sécurité et pour établir des statistiques de visite anonymes ; elles ne sont pas conservées.

Catégories particulières de données : le Service n'est pas conçu pour traiter des catégories particulières de données personnelles (article 9 du RGPD) ni des données relatives aux condamnations pénales. Si votre site collecte de telles données, vous êtes responsable de la licéité de ce traitement et des garanties nécessaires.

Nature et finalité du traitement : stockage et hébergement ; affichage des données à votre intention ; envoi d'e-mails et de notifications en votre nom ; génération des réponses de l'assistant IA (par notre sous-traitant ultérieur en IA) ; transmission aux services tiers que vous connectez ; comptage anonyme des visites ; sauvegardes ; suppression.

Durée de conservation : selon vos choix, jusqu'à ce que vous supprimiez les données ou le projet. Les conversations avec l'assistant IA sont supprimées au plus tard un an après le dernier message ; les statistiques de visite anonymes sont conservées 13 mois.

Annexe 2 — Mesures techniques et organisationnelles

• Chiffrement : toutes les connexions sont chiffrées par TLS (HTTPS) ; les clés d'accès aux services tiers sont stockées chiffrées.
• Localisation : serveurs de production dans un centre de données en Allemagne (UE).
• Contrôle d'accès : accès aux systèmes de production réservé aux membres autorisés de l'équipe ; authentification à deux facteurs pour les accès d'administration ; journalisation des accès au contenu des projets des clients via les outils d'administration ; principe du moindre privilège.
• Cloisonnement : le code des clients est construit et exécuté dans des environnements isolés ; les données de chaque site sont séparées.
• Disponibilité et sauvegardes : sauvegarde de la base de données toutes les heures (conservée 2 jours) et sauvegarde complète chaque nuit (conservée 14 jours) ; surveillance du service.
• Minimisation des données : statistiques de visite sans cookies et sans conservation des adresses IP ; aucune donnée personnelle dans les analyses d'utilisation.
• Développement sécurisé : mises à jour de sécurité régulières, contrôle des dépendances, protection contre les abus (limitation des requêtes, contrôle des sites publiés contre l'hameçonnage).
• Gestion des incidents : une procédure documentée de traitement et de notification des violations de données.

Annexe 3 — Sous-traitants ultérieurs

La liste à jour des sous-traitants ultérieurs figure sur la page Sous-traitants.