Accord de traitement des données (DPA)

Le présent DPA est conclu entre le client (le « Responsable de traitement ») et LEADS FARMER SAS, 66 avenue des Champs-Élysées, 75008 Paris, France, RCS Paris 887 949 873 (le « Sous-traitant »). Il s'applique dès lors que le client utilise Plirio pour traiter des données à caractère personnel. Il complète les CGU et les CGV, qui restent applicables pour le surplus. En cas de contradiction sur le traitement de données personnelles, le présent DPA prévaut.

Le Sous-traitant traite les données personnelles pour permettre l'exécution du service Plirio : gestion des audiences, personnalisation et production de courriers, QR individuels, pages de réponse, collecte et registre de consentement, leads, CRM, analytics de campagne, API et webhooks. Le traitement dure le temps de la relation contractuelle, augmenté des délais nécessaires à la restitution ou à la suppression prévus à l'article « Restitution et suppression ».

La nature, la finalité, les catégories de données et de personnes concernées sont décrites à l'annexe A. Le client s'engage à ne pas transmettre de données sensibles au sens de l'article 9 du RGPD, ni de données relatives à des condamnations et infractions, sauf accord écrit préalable et mise en place de garanties adaptées.

Le Sous-traitant ne traite les données que sur instructions documentées du Responsable de traitement. Constituent des instructions documentées : le présent DPA, les CGU et CGV, les paramètres et actions réalisés par le client dans la plateforme (import d'audience, configuration de campagne, textes de consentement, lancement, appels API) et les demandes écrites adressées à [email protected].

Le Sous-traitant informe le client si une instruction lui paraît constituer une violation du RGPD ou d'une autre disposition applicable en matière de protection des données.

• déterminer la finalité et la base légale de chaque campagne et de chaque collecte,
• garantir la licéité de l'origine des audiences importées et le respect des obligations d'information des personnes concernées,
• rédiger et versionner les mentions et textes de consentement adaptés à son activité,
• n'importer que les données nécessaires à la campagne et maintenir leur exactitude,
• répondre aux demandes d'exercice de droits des personnes concernées par ses campagnes,
• configurer et utiliser les fonctionnalités de la plateforme conformément à ses propres obligations.

Le Sous-traitant veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité, contractuelle ou légale, et n'accèdent aux données que dans la limite de ce qui est nécessaire à leurs missions.

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles décrites à l'annexe B, adaptées au risque au sens de l'article 32 du RGPD. Ces mesures peuvent évoluer, sans réduction du niveau global de sécurité.

Le client autorise le Sous-traitant à recourir à des sous-traitants ultérieurs pour l'exécution du service (hébergement et infrastructure applicative, paiement, outillage de support et de mesure, production et routage postal). Le Sous-traitant impose à ces prestataires des obligations de protection des données substantiellement équivalentes à celles du présent DPA et reste responsable de leur exécution. Les catégories concernées figurent à l'annexe C. Le client est informé de tout changement envisagé et peut formuler une objection motivée dans un délai raisonnable.

Compte tenu de la nature du traitement, le Sous-traitant aide le Responsable de traitement, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'exercice des droits (accès, rectification, effacement, limitation, opposition, portabilité). Lorsqu'une demande lui est adressée directement par une personne concernée par une campagne client, le Sous-traitant la transmet au client sans y répondre à sa place.

Le Sous-traitant notifie au Responsable de traitement toute violation de données à caractère personnel dont il a connaissance, dans les meilleurs délais après en avoir pris connaissance, en communiquant les informations disponibles : nature de la violation, catégories et volume approximatif de données et de personnes concernées, conséquences probables et mesures prises ou proposées. Les notifications aux autorités et aux personnes concernées relèvent du Responsable de traitement.

Le Sous-traitant apporte au Responsable de traitement, sur demande et dans la limite des informations dont il dispose, une assistance raisonnable pour la réalisation d'analyses d'impact relatives à la protection des données (article 35 du RGPD) et pour les consultations préalables de l'autorité de contrôle (article 36).

À la fin de la prestation, le client peut exporter ses données depuis la plateforme. Au terme d'un délai raisonnable, le Sous-traitant supprime ou anonymise les données traitées pour son compte, sauf obligation légale de conservation ou nécessité de preuve, auquel cas les données conservées sont limitées et protégées.

Le Sous-traitant met à la disposition du Responsable de traitement les informations nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD. Des audits peuvent être réalisés, à la charge du Responsable de traitement, dans une limite raisonnable de fréquence, sur préavis écrit, pendant les heures ouvrées, sans perturber l'exploitation, sous confidentialité et sans accès aux données d'autres clients.

Tout transfert de données hors de l'Union européenne est encadré par un mécanisme prévu au chapitre V du RGPD (décision d'adéquation, clauses contractuelles types complétées le cas échéant de mesures supplémentaires). Les informations disponibles sur la localisation et les garanties applicables figurent à l'annexe C.

• Authentification des utilisateurs et gestion des accès selon le besoin d'en connaître.
• Séparation logique des données par compte client dans une architecture multi-tenant.
• Chiffrement des échanges en transit via HTTPS/TLS sur le site public et la plateforme.
• Journalisation des accès et des actions sensibles permettant la traçabilité.
• Politique de mots de passe et gestion des secrets côté serveur, hors du code applicatif.
• Recours à des prestataires d'infrastructure et de paiement disposant de mesures de sécurité reconnues.
• Sensibilisation des personnes habilitées et engagement de confidentialité.
• Procédure interne de gestion des incidents et des violations de données.

Nous ne revendiquons aucune certification (ISO 27001, SOC 2 ou équivalent) et ne déclarons ici que des mesures effectivement mises en œuvre. Les mesures complémentaires vérifiées seront ajoutées à cette annexe au fil de leur mise en place.

Le registre ci-dessous liste les catégories de sous-traitants ultérieurs. Le détail nominatif à jour, incluant la localisation et les garanties de transfert, est communiqué au client sur demande à [email protected] et lors de la contractualisation.

Le présent DPA est soumis au droit français et interprété conformément au RGPD et à la loi Informatique et Libertés. Les stipulations de compétence des CGV s'y appliquent.