Accord de traitement des données

1. Rôles des parties

L'agence est responsable de traitement pour les données de ses clients et de ses invités. Pinpost agit comme sous-traitant.

Pinpost ne traite ces données que sur instruction documentée de l'agence, y compris pour tout transfert vers un pays tiers, sauf lorsqu'une obligation légale l'y contraint — auquel cas Pinpost en informe l'agence avant le traitement, à moins que la loi ne l'interdise pour des motifs d'intérêt public. Si Pinpost estime qu'une instruction constitue une violation du RGPD, elle en informe immédiatement l'agence.

2. Objet, durée et portée du traitement

Objet Héberger, afficher et transmettre à des tiers désignés les contenus destinés aux réseaux sociaux déposés par l'agence, et recueillir les validations et commentaires correspondants.

Durée

La durée de l'abonnement, prolongée des délais de conservation énoncés à l'article 10 et dans la politique de confidentialité.

Nature et finalité

Stockage, affichage, versionnage, transmission par lien de partage, journalisation des accès, à seule fin de fournir le service de validation de contenu.

Catégories de données

Données d'identification (prénom, nom, adresse e-mail) ; contenus déposés par l'agence et leurs métadonnées ; commentaires et décisions de validation ; données de connexion (adresse IP, horodatage, type d'appareil). Aucune catégorie particulière de données au sens de l'article 9 du RGPD n'est nécessaire au service. L'agence s'engage à ne pas en déposer.

Catégories de personnes concernées

Membres de l'agence ; clients de l'agence ; invités destinataires d'un lien de validation.

3. Mesures techniques et organisationnelles

Cloisonnement par organisation appliqué au niveau de la base de données Chiffrement en transit et au repos Journal des accès Sauvegardes quotidiennes, avec test de restauration trimestriel Accès administrateur limité aux métadonnées Authentification des membres et gestion des droits par organisation Ces mesures sont réexaminées au moins une fois par an et peuvent évoluer, sans que le niveau de protection puisse être abaissé.

4. Confidentialité

Toute personne autorisée à traiter les données pour le compte de Pinpost est tenue à une obligation de confidentialité, contractuelle ou légale, qui survit à la fin de sa mission.

5. Assistance à l'agence

Pinpost aide l'agence, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à donner suite aux demandes d'exercice de droits qu'elle reçoit. Une demande adressée directement à Pinpost lui est transmise sous cinq jours ouvrés, sans y être répondue au fond.

Pinpost assiste également l'agence pour la sécurité des traitements, la notification des violations, les analyses d'impact relatives à la protection des données et la consultation préalable de l'autorité de contrôle, compte tenu de la nature du traitement et des informations dont elle dispose.

6. Sous-traitance ultérieure

L'agence autorise le recours aux sous-traitants ultérieurs figurant sur la liste publiée à pinpost.cc/securite. Tout ajout fait l'objet d'un préavis de 30 jours, pendant lequel l'agence peut s'y opposer par écrit et, à défaut d'accord, résilier sans frais.

Chaque sous-traitant ultérieur est lié par des obligations de protection équivalentes à celles du présent accord. Pinpost demeure pleinement responsable devant l'agence de l'exécution de leurs obligations.

7. Transferts hors Union européenne

Les données sont stockées en Union européenne. Les accès depuis les établissements situés hors UE de nos sous-traitants sont encadrés par les clauses contractuelles types de la Commission européenne, complétées le cas échéant par le cadre de protection des données UE–États-Unis. Copie disponible sur demande.

8. Violation de données

Pinpost notifie l'agence dans les 48 heures suivant la découverte d'une violation la concernant, en indiquant sa nature, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées.

Pinpost fournit toute information complémentaire nécessaire pour permettre à l'agence de notifier l'autorité de contrôle dans les 72 heures qui lui incombent.

9. Audit

Pinpost met à la disposition de l'agence les informations nécessaires pour démontrer le respect du présent accord, et permet la réalisation d'audits, y compris d'inspections, une fois par an et sur préavis raisonnable, par l'agence ou par un auditeur qu'elle mandate.

Les frais d'un audit sur site sont à la charge de l'agence, sauf s'il révèle un manquement substantiel de Pinpost.

10. Fin du contrat

Au terme de la prestation, l'agence choisit entre la restitution et l'effacement des données.

Un export complet reste disponible pendant 90 jours. Passé ce délai, et sauf demande contraire de l'agence, les données sont effacées sous 30 jours, sauvegardes comprises dans leur cycle de rotation.

Les données que Pinpost doit conserver au titre d'une obligation légale — notamment les factures — le sont pour cette seule finalité et pour la durée strictement nécessaire. Une attestation d'effacement est délivrée sur demande.