Le présent Accord de traitement des données (« DPA ») s’applique lorsque vous (le « Client ») utilisez Skedeon pour traiter des données personnelles d’autres personnes. Il fait partie des Conditions d’utilisation conclues entre le Client et Vertex Digital L.L.C-FZ, une société à responsabilité limitée enregistrée dans la Meydan Free Zone, Dubaï, Émirats arabes unis, licence n° 2648533.01, dont le siège social est situé à Meydan Grandstand, 6th floor, Meydan Road, Nad Al Sheba, Dubai, United Arab Emirates (« Vertex Digital »). Il est conçu pour satisfaire à l’article 28 du Règlement général sur la protection des données (RGPD) de l’UE et du Royaume-Uni ainsi qu’aux lois similaires. Aucune signature n’est nécessaire ; si votre organisation a besoin d’un exemplaire signé, écrivez à privacy@skedeon.com.
1. Rôles
- Client = responsable du traitement pour les « Données personnelles du Client » : les données personnelles des audiences et des contacts du Client que le Service traite sur les instructions du Client.
- Vertex Digital = sous-traitant des Données personnelles du Client.
- Vertex Digital est responsable du traitement indépendant pour les données relatives aux titulaires de compte (connexion, relation de facturation, support, sécurité), comme décrit dans la Politique de confidentialité. Paddle est responsable du traitement indépendant pour les données de paiement. Meta, Google, TikTok et les autres plateformes sur lesquelles le Client publie sont des responsables du traitement indépendants, et non nos sous-traitants ultérieurs.
2. Objet et modalités du traitement
- Finalité et nature : fourniture du Service — stockage, organisation, affichage, analyse et transmission de données afin de programmer et de publier du contenu, de gérer les commentaires et les messages, d’exécuter des automatisations (Autoreply, Flows), des SmartLinks et des statistiques.
- Personnes concernées : les personnes qui interagissent avec les comptes connectés du Client (auteurs de commentaires, personnes qui envoient des messages, abonnés comptabilisés dans les statistiques, personnes qui cliquent sur les SmartLinks), les contacts dans Flows, les personnes qui apparaissent dans le contenu du Client et les membres de l’équipe du Client.
- Catégories de données : noms d’utilisateur et identifiants sur les plateformes, noms et photos de profil, contenu des messages et des commentaires, historique des interactions, étiquettes et champs définis par le Client, statistiques agrégées et contenu téléversé par le Client. Le Service n’est pas conçu pour les catégories particulières de données, et le Client ne doit pas l’utiliser pour en collecter.
- Durée : aussi longtemps que le Client utilise le Service, puis suppression comme décrit à la section 9.
3. Instructions
Vertex Digital ne traite les Données personnelles du Client que sur instruction documentée du Client, à savoir les Conditions, le présent DPA et l’utilisation et la configuration du Service par le Client, sauf si la loi l’exige autrement (auquel cas nous en informons préalablement le Client, sauf si la loi l’interdit). Nous informons le Client si nous estimons qu’une instruction enfreint la législation sur la protection des données.
4. Confidentialité
Toute personne chez Vertex Digital autorisée à traiter les Données personnelles du Client est tenue à une obligation de confidentialité et n’y accède que dans la mesure nécessaire pour fournir, assister ou sécuriser le Service.
5. Sécurité
Nous appliquons des mesures techniques et organisationnelles appropriées, notamment : le chiffrement en transit (TLS) et le chiffrement au repos des jetons d’accès aux plateformes ; un accès réservé au personnel autorisé avec une authentification forte ; la séparation des données de chaque espace de travail ; la journalisation des accès administratifs et des actions effectuées via l’API et le connecteur IA ; des délais de suppression automatique (par exemple les données de la boîte de réception de plus de 90 jours et les médias après publication) ; des sauvegardes et des procédures de restauration ; et un réexamen régulier de ces mesures.
6. Sous-traitants ultérieurs
Le Client donne une autorisation générale pour les sous-traitants ultérieurs ci-dessous. Nous imposons à chacun d’eux des obligations de protection des données équivalentes à celles du présent DPA et demeurons responsables à leur égard. Nous annonçons les nouveaux sous-traitants ultérieurs sur cette page et par e-mail aux titulaires de compte au moins 15 jours à l’avance ; le Client peut s’y opposer pour des motifs raisonnables liés à la protection des données et, si nous ne pouvons pas répondre à cette objection, le Client peut résilier et obtenir le remboursement de la période payée d’avance non utilisée.
- Cloudflare, Inc. — hébergement de l’application, diffusion de contenu, sécurité, stockage des médias (réseau mondial).
- Supabase, Inc. — hébergement de la base de données (Union européenne).
- Sendinblue SAS (Brevo) — e-mails transactionnels aux titulaires de compte (Union européenne).
7. Transferts internationaux
Vertex Digital est établie aux Émirats arabes unis. Lorsque des Données personnelles du Client soumises au RGPD sont transférées vers un pays ne bénéficiant pas d’une décision d’adéquation, les parties conviennent d’appliquer les clauses contractuelles types de l’UE (décision de la Commission 2021/914), module 2 (responsable du traitement à sous-traitant) et, le cas échéant, module 3 (sous-traitant à sous-traitant), avec l’avenant britannique (UK Addendum) pour les données du Royaume-Uni. Ces clauses sont intégrées par référence, le droit de Dubaï étant choisi lorsque les clauses le permettent et, à défaut, le droit et les tribunaux d’Irlande ; le présent DPA fournit les informations nécessaires à leurs annexes. Nous nous appuyons également sur les mécanismes de transfert de nos sous-traitants ultérieurs.
8. Assistance, violations et audits
- Demandes des personnes concernées : le Service permet au Client de retrouver, d’exporter et de supprimer des données ; nous l’aidons à traiter les demandes qu’il ne peut pas gérer seul, et lui transmettons les demandes que nous recevons directement.
- Violations de données personnelles : nous informons le Client dans les meilleurs délais, et en tout état de cause dans les 48 heures après avoir pris connaissance d’une violation affectant des Données personnelles du Client, avec les informations disponibles, puis des mises à jour au fur et à mesure.
- Autre assistance : nous fournissons les informations raisonnables dont le Client a besoin pour les analyses d’impact relatives à la protection des données et les consultations des autorités.
- Audits : nous mettons à disposition les informations nécessaires pour démontrer le respect du présent DPA. Lorsque cela ne suffit pas, le Client peut réaliser un audit une fois par an, moyennant un préavis de 30 jours, pendant les heures ouvrables, à ses propres frais et sous obligation de confidentialité, ou mandater un auditeur indépendant à cet effet.
9. Suppression en fin de contrat
Lorsque le Client supprime son compte (Settings → Delete account, soit Paramètres → Supprimer le compte), les Données personnelles du Client sont supprimées immédiatement des systèmes en production, et des sauvegardes dans un délai de 30 jours, sauf si la loi nous impose de les conserver. Avant la suppression, le Client peut exporter ses données depuis l’application.
10. Dispositions générales
Le présent DPA s’applique aussi longtemps que nous traitons des Données personnelles du Client. En cas de conflit avec les Conditions, le présent DPA prévaut pour les questions de protection des données ; les clauses contractuelles types prévalent sur les deux. La responsabilité au titre du présent DPA est soumise aux limites prévues dans les Conditions, sauf lorsque la loi ne le permet pas. Le présent DPA est rédigé en anglais ; des traductions sont fournies à titre pratique, et la version anglaise prévaut en cas de conflit. Contact : privacy@skedeon.com.