Accord de traitement des données

Le présent Accord de traitement des données (l'« Accord ») fait partie des Conditions d'utilisation conclues entre Ajansify (« Ajansify », « nous ») et le client qui utilise le service Ajansify (le « Client », « vous »). Il s'applique chaque fois qu'Ajansify traite des Données Personnelles du Client pour le compte du Client. En acceptant les Conditions, le Client accepte le présent Accord ; aucune signature distincte n'est nécessaire. Il satisfait aux exigences de l'article 28 du RGPD, de l'article 28 du UK GDPR (RGPD britannique) et de l'article 12 de la loi turque n° 6698 sur la protection des données personnelles (KVKK).

1. Définitions

• Législation applicable en matière de protection des données : la KVKK, le RGPD, le UK GDPR et toute autre législation en matière de protection des données applicable au traitement.
• Données Personnelles du Client : les données à caractère personnel contenues dans les contenus que le Client ou ses utilisateurs téléversent dans le service, y créent ou y connectent, et qu'Ajansify traite pour le compte du Client (Annexe A).
• Sous-traitant ultérieur : un tiers auquel Ajansify fait appel pour traiter des Données Personnelles du Client.
• Violation de Données Personnelles : une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de Données Personnelles du Client, ou l'accès non autorisé à de telles données.
• CCT : les clauses contractuelles types annexées à la décision d'exécution (UE) 2021/914 de la Commission.
• Les autres termes, tels que responsable du traitement, sous-traitant, personne concernée et traitement, ont la signification qui leur est donnée dans la Législation applicable en matière de protection des données. Au sens de la KVKK, le responsable du traitement correspond au « veri sorumlusu » et le sous-traitant au « veri işleyen ».

2. Rôles et champ d'application

• Le Client est le responsable du traitement des Données Personnelles du Client, ou un sous-traitant agissant pour le compte d'un autre responsable du traitement. Ajansify est le sous-traitant, ou le sous-traitant ultérieur, du Client.
• Si le Client est un sous-traitant, il confirme que son responsable du traitement a autorisé les instructions du Client, y compris le recours à Ajansify et à ses Sous-traitants ultérieurs.
• Ajansify est responsable du traitement, et non sous-traitant, pour les données relatives aux comptes, à la facturation, à la sécurité, au marketing, aux cookies et au fonctionnement du service. Ce traitement est régi par notre Politique de confidentialité, et non par le présent Accord.

3. Détails du traitement

L'objet, la durée, la nature et la finalité du traitement, ainsi que les types de données à caractère personnel et les catégories de personnes concernées, sont définis à l'Annexe A.

4. Traitement sur instructions documentées

• Ajansify traite les Données Personnelles du Client uniquement sur instructions documentées du Client. Ces instructions sont constituées par les Conditions, le présent Accord ainsi que l'utilisation et les paramètres du service par le Client, par exemple la génération de contenus, la connexion de services, la publication, l'enregistrement dans un stockage cloud, le partage via des liens publics et l'invitation de membres de l'équipe.
• Les instructions supplémentaires doivent être formulées par écrit et être compatibles avec les Conditions.
• Nous informons le Client sans délai si, selon nous, une instruction enfreint la Législation applicable en matière de protection des données, et nous pouvons suspendre le traitement concerné jusqu'à ce que l'instruction soit confirmée ou modifiée.
• Si la loi nous impose de traiter les Données Personnelles du Client autrement, nous en informons préalablement le Client, sauf si la loi l'interdit.
• Nous n'utilisons pas les Données Personnelles du Client à nos propres fins, sauf pour assurer la sécurité du service, prévenir la fraude et les abus, et établir des statistiques agrégées ou anonymisées qui ne permettent d'identifier ni le Client ni aucune personne. Nous ne vendons pas les Données Personnelles du Client, ne les utilisons pas à des fins publicitaires, ne les utilisons pas pour entraîner nos propres modèles d'IA et n'autorisons pas les fournisseurs d'IA à les utiliser pour entraîner leurs modèles généraux.

5. Obligations du Client

Le Client confirme les éléments suivants et en est responsable :

• il dispose d'une base juridique pour le traitement, y compris pour l'envoi des Données Personnelles du Client à Ajansify, à ses Sous-traitants ultérieurs et aux fournisseurs d'IA qui exécutent les tâches ;
• il a fourni les informations requises aux personnes concernées, y compris les informations relatives aux données qui n'ont pas été collectées auprès d'elles (article 14 du RGPD, article 10 de la KVKK), par exemple aux auteurs d'avis, aux personnes figurant sur des photos et à ses propres clients ;
• il a obtenu le consentement ou l'autorisation des personnes figurant sur des images et des vidéos et des personnes dont la voix est utilisée, lorsque la loi l'exige, y compris pour les fonctionnalités d'IA de synchronisation labiale, de voix et de reproduction de l'apparence ;
• il ne téléverse pas de catégories particulières de données à caractère personnel ni de données relatives à des enfants, sauf si cela est licite et nécessaire et qu'il applique les garanties requises, conformément à notre Politique d'utilisation de l'IA et des contenus ;
• ses instructions sont conformes à la loi ;
• il est responsable du choix et de l'utilisation des services tiers connectés (outils de publication, stockage cloud, Google Business Profile). Ces services sont choisis par le Client et ne sont pas des Sous-traitants ultérieurs d'Ajansify ;
• il est responsable de la vérification et du signalement des contenus générés par l'IA, ainsi que des contenus qu'il publie.

6. Confidentialité

Ajansify veille à ce que les personnes autorisées à traiter les Données Personnelles du Client soient tenues à la confidentialité et n'y aient accès que dans la mesure nécessaire à leur travail.

7. Sécurité

• Ajansify met en œuvre les mesures techniques et organisationnelles appropriées au titre de l'article 32 du RGPD et de l'article 12 de la KVKK, telles que décrites à l'Annexe B.
• Nous pouvons mettre à jour ces mesures, à condition que le niveau global de protection ne soit pas réduit.
• Le Client est responsable de la sécurité de son propre compte, y compris des mots de passe, des autorisations de l'équipe et des liens publics qu'il crée.

8. Sous-traitants ultérieurs

• Le Client donne à Ajansify une autorisation générale de faire appel aux Sous-traitants ultérieurs listés sur la page Prestataires et sous-traitants ultérieurs.
• Avant d'ajouter ou de remplacer un Sous-traitant ultérieur, nous mettons à jour cette liste et en informons le Client par e-mail ou dans l'application au moins 30 jours à l'avance lorsque cela est possible. En cas d'urgence, par exemple pour des raisons de sécurité ou de continuité du service, nous l'en informons dès que possible.
• Le Client peut formuler une objection par écrit à [email protected] pendant la période de préavis, pour des motifs raisonnables liés à la protection des données. Nous examinerons l'objection de bonne foi. Si nous ne pouvons pas la résoudre, le Client peut cesser d'utiliser le service concerné en annulant son abonnement avant que le changement ne prenne effet, conformément aux Conditions et sans préjudice de ses droits légaux impératifs.
• Nous imposons à chaque Sous-traitant ultérieur, par contrat écrit, des obligations en matière de protection des données qui ne sont pas moins protectrices que celles du présent Accord. Ajansify reste responsable envers le Client de l'exécution des obligations de ses Sous-traitants ultérieurs.

9. Assistance pour les demandes des personnes concernées

• Le service permet au Client de consulter, rectifier, supprimer et exporter des contenus et de déconnecter des services, ce qui l'aide à répondre aux demandes des personnes concernées.
• Si nous recevons directement une demande relative à des Données Personnelles du Client, nous la transmettons au Client sans retard injustifié et n'y répondons pas nous-mêmes, si ce n'est pour réorienter la personne, sauf si la loi en dispose autrement.
• Nous fournissons toute autre assistance raisonnable, compte tenu de la nature du traitement.

10. Analyses d'impact et consultation préalable

Nous fournissons des informations et une assistance raisonnables pour les analyses d'impact relatives à la protection des données du Client et pour ses consultations préalables des autorités de contrôle, dans la mesure où elles concernent notre traitement. Nous le faisons principalement au moyen du présent Accord, de l'Annexe B et de la liste des Sous-traitants ultérieurs.

11. Violation de Données Personnelles

• Nous informons le Client sans retard injustifié après avoir pris connaissance d'une Violation de Données Personnelles affectant des Données Personnelles du Client. Nous nous efforçons de le faire dans un délai de 48 heures.
• La notification décrit, dans la mesure où ces éléments sont connus : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées ainsi qu'un point de contact. Les informations peuvent être communiquées de manière échelonnée.
• Nous prenons des mesures raisonnables pour contenir la violation et en atténuer les effets.
• Le Client décide de toute notification aux autorités de contrôle et aux personnes concernées et y procède ; nous l'assistons. Une notification ne constitue pas une reconnaissance de faute.
• Nous envoyons les notifications à l'adresse e-mail du titulaire du compte et pouvons également les afficher dans l'application.

12. Restitution et suppression

• Tant que l'abonnement est actif, le Client peut exporter ses contenus au moyen des fonctions du service.
• Après la fin des Conditions ou la fermeture du compte, le Client dispose de 30 jours pour exporter ses contenus. Nous supprimons ensuite les Données Personnelles du Client de nos systèmes actifs. Les copies figurant dans les sauvegardes sont supprimées selon le cycle normal de sauvegarde, au plus tard 90 jours après la fermeture, et ne font l'objet d'aucun traitement actif entre-temps.
• Si la loi nous impose de conserver certaines données, nous ne les conservons que pendant la durée requise et les protégeons.
• Sur demande, nous confirmons la suppression par écrit.
• Les contenus que le Client a enregistrés dans son propre stockage cloud ou publiés via des services connectés se trouvent en dehors de nos systèmes et ne sont pas supprimés par nous.

13. Audits

• Nous mettons à disposition les informations nécessaires pour démontrer le respect du présent Accord : le présent Accord, l'Annexe B, la liste des Sous-traitants ultérieurs et des réponses écrites à un questionnaire de sécurité raisonnable une fois tous les 12 mois.
• Si ces informations ne sont pas suffisantes, si une autorité de contrôle l'exige ou à la suite d'une Violation de Données Personnelles, le Client peut réaliser un audit, y compris un audit sur place. Le Client doit respecter un préavis de 30 jours, et l'audit a lieu pendant les heures ouvrables, au maximum une fois tous les 12 mois (sauf lorsqu'il est exigé par une autorité ou à la suite d'une violation). Il est réalisé par le Client ou par un auditeur indépendant tenu à la confidentialité qui n'est pas l'un de nos concurrents. Le Client supporte ses propres frais. L'audit ne doit pas perturber nos activités ni donner accès aux données d'autres clients.
• Les audits des installations des Sous-traitants ultérieurs, telles que les centres de données, sont couverts par les propres rapports d'audit ou certifications des Sous-traitants ultérieurs, lorsqu'ils existent.

14. Transferts internationaux

• Les Données Personnelles du Client sont hébergées en Allemagne (UE). Ajansify est établie en Turquie, et certains Sous-traitants ultérieurs se trouvent aux États-Unis ou opèrent à l'échelle mondiale.
• UE/EEE. Lorsque le traitement implique un transfert de Données Personnelles du Client depuis l'UE/EEE vers un pays qui ne bénéficie pas d'une décision d'adéquation, les CCT sont intégrées par référence : le module deux (transfert de responsable du traitement à sous-traitant) lorsque le Client est responsable du traitement, et le module trois (transfert de sous-traitant à sous-traitant) lorsque le Client est sous-traitant. Le Client est l'exportateur de données et Ajansify l'importateur de données. Aux fins des CCT : la clause 7 (clause d'adhésion) s'applique ; en vertu de la clause 9, point a), l'option 2 (autorisation générale) s'applique avec la période de préavis prévue à la section 8 ; le libellé facultatif de la clause 11 ne s'applique pas ; en vertu de la clause 13, l'autorité de contrôle compétente est celle de l'État membre dans lequel le Client est établi ou, s'il n'est pas établi dans l'UE, celle de l'État membre dans lequel se trouve son représentant ou dans lequel se trouvent les personnes concernées ; en vertu de la clause 17, l'option 2 s'applique et les CCT sont régies par le droit de l'État membre dans lequel le Client est établi ou, si ce droit ne reconnaît pas les droits du tiers bénéficiaire ou si le Client n'est pas établi dans l'UE, par le droit irlandais ; en vertu de la clause 18, les litiges sont tranchés par les juridictions de cet État membre. L'annexe I des CCT est complétée par l'Annexe A, l'annexe II par l'Annexe B et l'annexe III par la liste des Sous-traitants ultérieurs.
• Si la Commission européenne adopte des clauses contractuelles types destinées aux importateurs eux-mêmes soumis au RGPD, ces clauses s'appliqueront à la place des CCT susmentionnées. D'ici là, les CCT s'appliquent dans la mesure où elles sont applicables, conjointement avec les mesures prévues à l'Annexe B.
• Les transferts ultérieurs vers des Sous-traitants ultérieurs situés dans des pays tiers se fondent sur le cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework) lorsque le Sous-traitant ultérieur est certifié et, à défaut, sur les CCT.
• Royaume-Uni. Pour les transferts soumis au UK GDPR, l'avenant relatif aux transferts internationaux de données (International Data Transfer Addendum) aux CCT de l'UE, publié par l'Information Commissioner du Royaume-Uni, est intégré et complété par les informations figurant dans le présent Accord.
• Turquie. Les transferts de Données Personnelles du Client à l'étranger sont effectués sur la base des contrats types prévus par le règlement relatif aux procédures et principes applicables au transfert de données à caractère personnel à l'étranger. Ajansify signe les contrats types appropriés avec ses Sous-traitants ultérieurs et les notifie au Kişisel Verileri Koruma Kurumu (Autorité de protection des données personnelles) dans le délai légal lorsque la notification lui incombe. Lorsque la loi exige que le Client soit partie au contrat, le Client accepte de signer le contrat type correspondant.
• Autres pays. Lorsque d'autres législations exigent des garanties pour les transferts, les parties appliquent les garanties exigées par ces législations.
• En cas de contradiction entre les CCT et le présent Accord, les CCT prévalent.

15. Demandes des autorités

Si nous recevons d'une autorité une demande juridiquement contraignante portant sur des Données Personnelles du Client, nous en informons le Client, sauf si la loi l'interdit, ne divulguons que le strict minimum requis et contestons, lorsque cela est raisonnable, les demandes qui paraissent illicites ou excessives.

16. Responsabilité

La responsabilité de chaque partie découlant du présent Accord ou en lien avec celui-ci est soumise aux limitations et exclusions de responsabilité prévues par les Conditions, sauf lorsque la Législation applicable en matière de protection des données, y compris les CCT, ne permet pas une telle limitation.

17. Durée, ordre de priorité et modifications

• Le présent Accord s'applique aussi longtemps qu'Ajansify traite des Données Personnelles du Client, y compris après la fin des Conditions, jusqu'à la suppression prévue à la section 12.
• En cas de contradiction en matière de protection des données, les CCT prévalent sur le présent Accord, et le présent Accord prévaut sur les Conditions.
• Nous pouvons mettre à jour le présent Accord pour tenir compte de l'évolution de la loi, des Sous-traitants ultérieurs ou du service. Nous notifions à l'avance les modifications importantes par e-mail ou dans l'application. Les modifications qui réduisent la protection globale des Données Personnelles du Client requièrent l'accord du Client.
• À l'exception des CCT, le présent Accord est régi par le droit et la juridiction prévus par les Conditions.

Annexe A – Détails du traitement

Annexe B – Mesures techniques et organisationnelles

• Chiffrement en transit : HTTPS/TLS pour les connexions au service et pour les appels aux Sous-traitants ultérieurs.
• Identifiants et clés : mots de passe conservés uniquement sous forme de hachage ; clés d'accès aux services connectés conservées chiffrées.
• Contrôle d'accès : autorisations fondées sur les rôles et les marques au sein des comptes clients ; accès interne selon les principes du besoin d'en connaître et du moindre privilège ; accès administratif limité au personnel autorisé.
• Séparation : les données des clients sont séparées logiquement par compte.
• Disponibilité : sauvegardes régulières ; hébergement dans des centres de données situés en Allemagne et exploités par Contabo.
• Journalisation et surveillance : journaux de sécurité et d'accès conservés 2 ans ; journaux des tâches d'IA conservés 1 an au maximum avec un accès restreint.
• Sécurité du réseau : proxy Cloudflare et protection contre les attaques, limitation du nombre de requêtes et contrôles anti-robots.
• Minimisation des données : copies temporaires sur le serveur supprimées après chaque tâche ; données de carte traitées par l'établissement de paiement et non par Ajansify ; accès limité aux seuls fichiers cloud sélectionnés par le Client, avec des périmètres d'autorisation restreints.
• Gestion des Sous-traitants ultérieurs : contrats écrits ; fournisseurs d'IA utilisés via des services destinés aux entreprises (API), sans entraînement sur les Données Personnelles du Client.
• Gestion des incidents : traitement et notification des violations comme décrit à la section 11.
• Personnel : obligations de confidentialité ; accès retiré lorsqu'il n'est plus nécessaire.
• Suppression : procédures de suppression comme décrit à la section 12.

Annexe C – Sous-traitants ultérieurs

La liste actuelle des Sous-traitants ultérieurs, avec leurs finalités, leurs localisations et les garanties applicables aux transferts, est publiée sur la page Prestataires et sous-traitants ultérieurs.