Accord de traitement des données (DPA)

Sous-traitant : Opus Growth, marque commerciale de Talat KOÇ, entreprise individuelle immatriculée en Turquie (centre des impôts de Gökalp). Contact : support@opus-growth.com

Le présent accord de traitement des données (« DPA ») fait partie des Conditions d'utilisation d'Opus Growth (le « Contrat ») et s'applique automatiquement à tout client qui les accepte (le « Client »). Il encadre les données personnelles qu'Opus Growth traite pour le compte du Client lorsqu'il fournit le service Opus Growth (le « Service »). Aucune signature séparée n'est nécessaire. Si vous avez besoin d'un exemplaire contresigné pour vos dossiers, écrivez à support@opus-growth.com.

Ce texte est une traduction. En cas de divergence, le texte anglais prévaut.

1. Définitions#

Les termes « données personnelles », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « violation de données personnelles » et « autorité de contrôle » ont le sens que leur donne le règlement (UE) 2016/679 (« RGPD »). Les « CCT » désignent les clauses contractuelles types annexées à la décision d'exécution (UE) 2021/914 de la Commission.

2. Rôles et champ d'application#

• Le Client est responsable du traitement des données personnelles décrites à l'annexe I et Opus Growth les traite en qualité de sous-traitant. Lorsque le Client agit lui-même comme sous-traitant pour son propre client, Opus Growth est son sous-traitant ultérieur et le Client confirme que son client l'a autorisé.
• Les plateformes publicitaires et d'analyse que le Client connecte (comme Google, Meta, Microsoft, TikTok, LinkedIn et ChatGPT Ads d'OpenAI) et l'assistant IA avec lequel le Client utilise le Service (comme Claude d'Anthropic ou ChatGPT d'OpenAI) fournissent leurs services au Client dans le cadre des accords propres du Client avec eux. Ils ne sont pas des sous-traitants ultérieurs d'Opus Growth. Opus Growth n'échange des données avec eux que sur instruction du Client.
• Le présent DPA ne couvre pas les données qu'Opus Growth traite en tant que responsable indépendant, comme les données de compte, de facturation et d'assistance des propres utilisateurs du Client. Ces données relèvent de notre Politique de confidentialité.

3. Instructions#

Opus Growth ne traite les données personnelles que sur instruction documentée du Client, y compris pour les transferts, sauf obligation légale ; dans ce cas, il en informe le Client avant le traitement, sauf si la loi l'interdit. Le Contrat, le présent DPA et l'utilisation et la configuration du Service par le Client, y compris les demandes faites via son assistant IA et les validations qu'il y donne, constituent les instructions documentées du Client. Les modifications des comptes publicitaires connectés ne sont appliquées qu'après que le Client a vu un aperçu et validé la modification. Opus Growth informe le Client sans délai si, selon lui, une instruction enfreint le RGPD ou une autre réglementation sur la protection des données.

4. Confidentialité#

Opus Growth veille à ce que toute personne autorisée à traiter les données personnelles soit soumise à une obligation de confidentialité appropriée et n'y accède que dans la mesure nécessaire pour fournir, sécuriser et assister le Service.

5. Sécurité#

Opus Growth met en œuvre les mesures techniques et organisationnelles décrites à l'annexe II. Il peut les mettre à jour à condition de ne pas réduire le niveau global de sécurité.

6. Sous-traitants ultérieurs#

• Le Client donne à Opus Growth une autorisation générale de recourir aux sous-traitants ultérieurs listés à l'annexe III.
• Opus Growth met à jour l'annexe III sur cette page et informe les Clients par e-mail au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur. Le Client peut s'y opposer pour des motifs raisonnables liés à la protection des données dans ce délai. Si les parties ne parviennent pas à résoudre l'objection, le Client peut résilier la partie concernée du Service et obtient le remboursement au prorata des sommes payées d'avance pour la période restante.
• Opus Growth impose à chaque sous-traitant ultérieur des obligations de protection des données au moins aussi protectrices que celles du présent DPA et reste responsable envers le Client de leur respect.

7. Assistance#

• Compte tenu de la nature du traitement, Opus Growth aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes des personnes concernées exerçant leurs droits du chapitre III du RGPD. S'il reçoit directement une telle demande, il la transmet au Client dans les meilleurs délais et n'y répond pas lui-même sans instruction.
• Opus Growth aide le Client, compte tenu des informations dont il dispose, à respecter ses obligations des articles 32 à 36 du RGPD, y compris les analyses d'impact et les consultations préalables.

8. Violations de données personnelles#

Opus Growth notifie le Client dans les meilleurs délais, et en tout état de cause dans les 48 heures, après avoir pris connaissance d'une violation de données personnelles touchant les données du Client. La notification décrit, dans la mesure connue, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Opus Growth fournit des informations complémentaires à mesure qu'il les obtient et prend des mesures raisonnables pour contenir et corriger la violation.

9. Suppression et restitution#

À la fin du Service, ou plus tôt à la demande du Client, Opus Growth supprime les données personnelles du Client dans un délai de 30 jours, sauf obligation légale de conservation. La déconnexion d'une plateforme supprime immédiatement le jeton d'accès enregistré pour celle-ci. Les données supprimées disparaissent des sauvegardes chiffrées d'Opus Growth au fil de leur rotation, en 12 mois au plus, et n'en sont restaurées que pour rétablir le Service. Avant la suppression, le Client peut exporter les données disponibles dans le Service via son assistant IA ou le panneau.

10. Informations et audits#

Opus Growth met à la disposition du Client les informations nécessaires pour démontrer le respect de l'article 28 du RGPD et du présent DPA. Le Client accepte de demander d'abord ces informations par écrit, par exemple au moyen d'un questionnaire de sécurité, auquel Opus Growth répond dans un délai raisonnable. Si ces informations ne suffisent pas, le Client, ou un auditeur indépendant tenu à la confidentialité, peut réaliser un audit une fois par période de 12 mois, ou après une violation de données, avec un préavis d'au moins 30 jours, pendant les heures ouvrées, sans perturber le Service ni compromettre la sécurité ou la confidentialité des données des autres clients, et à ses propres frais.

11. Transferts internationaux#

• Opus Growth héberge les données personnelles du Client dans l'Union européenne, en Allemagne et en Finlande (annexe III).
• Opus Growth est établi en Turquie ; l'accès aux données personnelles depuis la Turquie peut donc constituer un transfert vers un pays tiers. Dans la mesure où le RGPD s'applique à ce transfert, les parties concluent les CCT, intégrées au présent DPA par référence : module deux (responsable du traitement vers sous-traitant) ou module trois (sous-traitant vers sous-traitant) lorsque le Client agit comme sous-traitant, le Client étant l'exportateur et Opus Growth l'importateur des données.
• Pour les CCT : la clause 7 (clause d'adhésion) s'applique ; au titre de la clause 9(a), l'option 2 (autorisation écrite générale) s'applique avec le délai de 30 jours de la section 6 ; la formulation facultative de la clause 11 ne s'applique pas ; au titre de la clause 13, l'autorité de contrôle compétente est celle déterminée à l'annexe I.C ; au titre de la clause 17, les CCT sont régies par le droit de l'État membre de l'UE où le Client est établi, à condition qu'il reconnaisse les droits des tiers bénéficiaires, et à défaut par le droit irlandais ; au titre de la clause 18, les litiges relèvent des juridictions de ce même État membre. Les annexes I, II et III du présent DPA complètent les annexes I, II et III des CCT.
• Opus Growth ne transfère des données personnelles à un sous-traitant ultérieur hors de l'Espace économique européen que s'il existe une décision d'adéquation ou un autre mécanisme de transfert du chapitre V du RGPD.

12. Responsabilité, durée et ordre de priorité#

• La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations du Contrat, sauf lorsque le RGPD ou les CCT ne les autorisent pas.
• Le présent DPA s'applique tant qu'Opus Growth traite des données personnelles pour le compte du Client.
• En cas de contradiction, les CCT prévalent sur le présent DPA, et le présent DPA prévaut sur le Contrat.

Annexe I : Description du traitement#

A. Parties. Exportateur des données : le Client, responsable du traitement (ou sous-traitant, voir section 2), qui utilise le Service pour gérer sa publicité et son analyse numériques ou celles de ses clients. Importateur des données : Opus Growth, identifié ci-dessus, sous-traitant (ou sous-traitant ultérieur) qui fournit le Service.

B. Description du traitement.

• Personnes concernées : le personnel du Client qui utilise le Service ; les personnes dont les données figurent dans les comptes publicitaires et d'analyse que le Client connecte, comme celles qui ont rempli un formulaire de prospects et celles figurant sur des listes de clients importées pour le ciblage ou la mesure des conversions ; les visiteurs des sites du Client sur lesquels il installe la balise de protection des clics d'Opus Growth ou qu'il héberge sur Opus Growth.
• Données personnelles : noms, adresses e-mail et numéros de téléphone issus de formulaires de prospects et de listes de clients, souvent sous forme de hachages à sens unique ; identifiants en ligne tels que les identifiants de clic, adresses IP et informations de navigateur ; données de conversion et d'engagement ; données de contact et de formulaires sur les sites que le Client héberge sur Opus Growth ; noms et adresses e-mail des utilisateurs du Client.
• Catégories particulières : non prévues. Le Client ne doit pas utiliser le Service pour traiter des catégories particulières de données personnelles.
• Fréquence : continue, tant que le Client utilise le Service.
• Nature du traitement : lecture des données des plateformes connectées lorsque le Client ou son assistant IA le demande ; structuration et synthèse ; transmission à l'assistant IA et aux rapports choisis par le Client ; modifications dans les plateformes connectées après validation du Client ; stockage des données limitées décrites ci-dessous ; hébergement de sites lorsque le Client utilise AI Server.
• Finalité : fournir le Service conformément au Contrat.
• Conservation : les données publicitaires et de mesure sont lues sur la plateforme à la demande et ne sont pas copiées intégralement. Opus Growth ne conserve que ce dont une fonction a besoin, comme les derniers résumés de rapports, les liens de rapports partagés par le Client et les données mises en cache pour Data Studio pendant 30 minutes au plus, supprimés avec le compte. Les enregistrements de protection des clics sont conservés 90 jours. Les jetons d'accès sont conservés jusqu'à la déconnexion de la plateforme ou la suppression du compte. La liste complète figure à la section 4 de la Politique de confidentialité.
• Sous-traitants ultérieurs : ceux listés à l'annexe III, pour la même nature, la même finalité et la même durée.

C. Autorité de contrôle compétente. L'autorité de contrôle de l'État membre de l'UE où le Client est établi ou, si le Client n'est pas établi dans l'UE, celle de l'État membre où est établi son représentant au titre de l'article 27, paragraphe 1, du RGPD.

Annexe II : Mesures techniques et organisationnelles#

• Chiffrement en transit : tout accès au Service, à son API et au connecteur passe par HTTPS avec TLS.
• Chiffrement au repos : les jetons d'accès et d'actualisation et les clés API des plateformes connectées sont stockés chiffrés avec un chiffrement symétrique authentifié (Fernet), avec rotation des clés. Les sauvegardes sont chiffrées avant de quitter le serveur.
• Minimisation des données : les données publicitaires sont lues à la demande et ne sont pas copiées intégralement ; seuls les résumés nécessaires à une fonction sont conservés.
• Hébergement : serveurs dans les centres de données Hetzner en Allemagne, avec une base de données de secours en lecture seule répliquée en continu et des sauvegardes chiffrées en Finlande.
• Contrôle d'accès : accès administrateur aux serveurs uniquement par clés SSH depuis des machines autorisées, derrière des pare-feu ; réplication de la base de données sur un réseau privé ; principe du moindre privilège pour le personnel.
• Authentification des utilisateurs : connexion avec Google, ou avec un mot de passe et un code à usage unique envoyé par e-mail ; les codes sont valables 15 minutes et utilisables une fois ; les utilisateurs peuvent consulter et déconnecter depuis le panneau les applications IA connectées.
• Contrôle des modifications dans les comptes : chaque modification d'un compte publicitaire connecté est présentée en aperçu et appliquée uniquement après validation expresse ; les modifications de budget sont limitées par modification et par 24 heures ; toutes les actions sont consignées dans un journal d'activité consultable par le Client.
• Isolation des sites hébergés : chaque AI Server fonctionne dans son propre conteneur isolé, avec limites de ressources, accès réseau sortant restreint et système de base en lecture seule.
• Disponibilité et résilience : déploiements sans interruption avec contrôles de santé, base de données de secours à chaud et sauvegardes régulières et surveillées dont la restauration est testée.
• Surveillance et réponse aux incidents : l'état du service et les erreurs sont journalisés avec le contenu personnel masqué, et les violations de données sont traitées comme décrit à la section 8.
• Suppression : suppression du compte sous 30 jours, suppression immédiate des jetons à la déconnexion et rotation des sauvegardes sous 12 mois.

Annexe III : Sous-traitants ultérieurs#

• Hetzner Online GmbH (Allemagne) : serveurs, base de données, hébergement de sites, base de données de secours et sauvegardes. Lieu : Falkenstein, Allemagne et Helsinki, Finlande. Mécanisme de transfert : non nécessaire, traitement dans l'UE.
• Cloudflare, Inc. (États-Unis) : diffusion réseau, terminaison TLS et protection contre les attaques pour le site, le panneau et le connecteur (données en transit). Lieu : réseau mondial de Cloudflare ; chaque requête est traitée dans le centre de données le plus proche du visiteur. Mécanisme de transfert : cadre de protection des données UE-États-Unis et CCT.
• Google LLC / Google Ireland Limited : messagerie Google Workspace pour les messages du service, comme les liens de rapports et les notifications. Lieu : UE et États-Unis. Mécanisme de transfert : cadre de protection des données UE-États-Unis et CCT.