Accord de traitement des données (marques)

Projet soumis à relecture juridique. Version 2026-10-draft-1, en vigueur à compter du 19 octobre 2026. Modèle destiné aux marques agissant en qualité de responsable du traitement ; téléchargez le fichier autonome pour le contresigner. L’annexe relative aux clauses contractuelles types est une valeur provisoire jusqu’à sa signature avec notre conseil juridique.

Accord de traitement des données

entre la Marque identifiée dans les paramètres de son organisation ProvenReel (le « Responsable du traitement ») et Start Learn LLC, 3402, 1603 Capitol Avenue, Suite 413A, Cheyenne, WY 82001, United States of America, exerçant sous le nom commercial ProvenReel (le « Sous-traitant »). Le présent accord fait partie intégrante des conditions d’utilisation pour les marques et s’applique chaque fois que le Sous-traitant traite des données personnelles pour le compte du Responsable du traitement par l’intermédiaire de la plateforme.

1. Objet, durée, nature et finalité

1.1 Objet : les données personnelles que le Responsable du traitement saisit, importe ou génère dans son espace de travail au sujet des créateurs, des contacts et de ses propres membres — contacts CRM, notes de présélection, sources de relation, approbations du kit de marque, candidatures aux campagnes qu’il examine, messages qu’il envoie, commentaires de relecture et preuves de publication.

1.2 Durée : la durée d’utilisation de la plateforme par le Responsable du traitement, augmentée de la durée de conservation applicable à chaque enregistrement.

1.3 Nature et finalité : hébergement, stockage, affichage, recherche, mise en relation, notification, export et suppression des données conformément aux instructions données via les fonctionnalités de la plateforme.

1.4 Personnes concernées : les créateurs et leurs représentants, les membres du Responsable du traitement et les personnes qu’il enregistre comme contacts. Catégories : données d’identification et de contact, données professionnelles et relatives aux canaux, contenu des communications, notes de relation, résultats de vérification. Aucune catégorie particulière de données n’est attendue ; le Responsable du traitement ne doit pas en saisir.

2. Instructions et responsabilités du Responsable du traitement

Le Responsable du traitement donne ses instructions au Sous-traitant par son utilisation de la plateforme et par écrit pour tout le reste. Le Responsable du traitement est responsable de la licéité des données qu’il saisit (y compris d’une base juridique pour les contacts importés et pour la prise de contact), de l’exactitude de ses instructions et de l’information des personnes concernées.

3. Obligations du Sous-traitant (art. 28, paragraphe 3, RGPD)

Le Sous-traitant s’engage à :

• ne traiter les données personnelles que sur instruction documentée, y compris en ce qui concerne les transferts internationaux, sauf obligation légale (auquel cas il en informe le Responsable du traitement, sauf interdiction) ;
• veiller à ce que les personnes autorisées à traiter les données soient tenues à une obligation de confidentialité ;
• mettre en œuvre les mesures techniques et organisationnelles décrites à l’annexe 2 ;
• respecter les conditions de l’article 4 pour le recours à des sous-traitants ultérieurs ;
• aider le Responsable du traitement, par des mesures techniques appropriées, à répondre aux demandes des personnes concernées (fonctions d’export, de rectification et d’effacement de la plateforme, et boîte de messagerie confidentialité) ;
• apporter son concours en matière de sécurité, de notification des violations, d’analyses d’impact relatives à la protection des données et de consultation préalable, compte tenu des informations dont il dispose ;
• selon le choix du Responsable du traitement, supprimer ou restituer les données à l’issue de la prestation et supprimer les copies existantes, sauf lorsque la conservation est exigée par la loi (enregistrements financiers et contractuels, énumérés dans la politique de confidentialité) ;
• mettre à disposition les informations nécessaires pour démontrer le respect de ses obligations et permettre la réalisation d’audits, y compris des inspections, par le Responsable du traitement ou un auditeur mandaté par lui, et y contribuer, au plus une fois par an moyennant un préavis raisonnable, sauf si une violation ou une autorité en dispose autrement.

4. Sous-traitants ultérieurs

Le Responsable du traitement donne une autorisation générale pour le recours aux sous-traitants ultérieurs énumérés à l’annexe 3 (le registre des sous-traitants publié dans la politique de confidentialité). Le Sous-traitant informe le Responsable du traitement au moins 30 jours avant l’ajout ou le remplacement d’un sous-traitant ultérieur ; le Responsable du traitement peut s’y opposer pour des motifs raisonnables liés à la protection des données, auquel cas les parties recherchent une solution et, à défaut, le Responsable du traitement peut résilier le service concerné. Le Sous-traitant impose les mêmes obligations à chaque sous-traitant ultérieur et demeure responsable de leur exécution.

5. Transferts internationaux

Le Sous-traitant traite les données aux États-Unis. Pour les personnes concernées situées dans l’UE/EEE, au Royaume-Uni et en Suisse, les parties s’appuient sur les clauses contractuelles types (module 2, responsable du traitement vers sous-traitant) figurant à l’annexe 4 — valeur provisoire : à signer avec notre conseil juridique — ainsi que sur l’analyse d’impact des transferts du Sous-traitant et sur des mesures supplémentaires (chiffrement au repos et en transit, journalisation des accès, minimisation des données).

6. Violations de données personnelles

Le Sous-traitant notifie le Responsable du traitement dans les meilleurs délais, et au plus tard dans les 48 heures, après avoir pris connaissance d’une violation de données personnelles affectant les données du Responsable du traitement, avec les informations disponibles à ce moment-là, et documente les violations conformément à l’article 33, paragraphe 5, du RGPD.

7. Responsabilité

Chaque partie est responsable dans les conditions prévues à l’article 82 du RGPD et dans les conditions d’utilisation. Limitation de responsabilité — à aligner sur les conditions approuvées.

8. Durée et résiliation

Le présent accord demeure en vigueur aussi longtemps que les conditions d’utilisation. En cas de résiliation, le Sous-traitant supprime ou restitue les données conformément à l’article 3, dans un délai de 30 jours, et confirme la suppression sur demande.

9. Droit applicable

[Droit applicable — à confirmer par le fondateur] ; les dispositions imposées par le RGPD prévalent pour les données des personnes concernées de l’UE.

Annexe 1 — Détails du traitement

Voir l’article 1. Le Responsable du traitement peut indiquer des détails supplémentaires dans les paramètres de son organisation.

Annexe 2 — Mesures techniques et organisationnelles

• Chiffrement en transit (TLS) et au repos ; chiffrement au niveau applicatif pour les identifiants et les instructions d’accès aux produits.
• Accès fondé sur les rôles avec isolation des espaces de travail garantie par des règles d’accès et des tests ; l’accès des opérateurs requiert l’authentification à deux facteurs et est limité dans le temps et audité.
• Journalisation avec masquage des adresses e-mail et des secrets ; identifiants de corrélation ; limitation de débit sur les points d’accès sensibles.
• Analyse antimalware des fichiers téléversés ; liens de téléchargement signés et à expiration.
• Sauvegardes quotidiennes de la base de données avec exercices de restauration ; procédure de gestion des incidents avec responsables désignés.
• Suppression par anonymisation avec exceptions légales documentées ; export dans un format lisible par machine.

Annexe 3 — Sous-traitants ultérieurs

Annexe 4 — Clauses contractuelles types

Valeur provisoire. Les clauses de la décision d’exécution (UE) 2021/914 de la Commission, module 2, avec les coordonnées du Sous-traitant et les annexes ci-dessus, seront jointes une fois signées.

Signatures

Responsable du traitement : ______________________ (nom, fonction, date)

Sous-traitant : Start Learn LLC — ______________________ (nom, fonction, date)