Accord de traitement des données personnelles

Ce document est une traduction de courtoisie. En cas de divergence, la version italienne fait foi.

1. Parties et objet

1.1. Le présent Accord est conclu entre le Client qui accepte les Conditions générales d’utilisation de la plateforme Roundabout (le « Client », responsable du traitement) et Roundabout S.r.l., Corso Castelfidardo 30/a, 10129 Turin, Italie, numéro de TVA 12027720015 (« Roundabout », sous-traitant).

1.2. L’Accord fait partie des Conditions générales d’utilisation (les « CGU ») et s’applique aux données personnelles que le Client, ou les personnes qui agissent pour son compte, saisissent ou rendent disponibles dans la Plateforme, et que Roundabout traite pour son compte (les « Données du Client »). L’objet, la nature, la finalité, les types de données et les catégories de personnes concernées sont décrits à l’Annexe A.

1.3. L’Accord ne s’applique pas aux traitements pour lesquels Roundabout est responsable du traitement, décrits dans la Politique de confidentialité et dans la politique de confidentialité relative aux créateurs : les comptes des utilisateurs, les données des créateurs collectées à partir de sources publiques, la facturation et l’exécution des campagnes gérées.

1.4. En cas de contradiction entre le présent Accord et les CGU, le présent Accord prévaut pour les questions de protection des données.

2. Instructions du Client

2.1. Roundabout ne traite les Données du Client que sur instruction documentée du Client, y compris en ce qui concerne les transferts en dehors de l’Espace économique européen, sauf si le droit de l’Union ou le droit italien l’exige. Dans ce cas, Roundabout en informe le Client avant le traitement, si la loi ne l’interdit pas.

2.2. Constituent des instructions du Client le présent Accord, les CGU, l’utilisation que le Client fait des fonctionnalités de la Plateforme et les instructions écrites supplémentaires convenues entre les parties.

2.3. Roundabout informe immédiatement le Client si, à son avis, une instruction enfreint le RGPD ou d’autres règles relatives à la protection des données.

2.4. Le Client garantit qu’il dispose d’une base légale valable pour les Données du Client, qu’il a informé les personnes concernées et que les instructions qu’il donne sont conformes à la loi.

3. Confidentialité

Roundabout n’autorise à traiter les Données du Client que les personnes qui en ont besoin pour fournir le service, et les soumet à une obligation de confidentialité par contrat ou par la loi.

4. Sécurité

4.1. Roundabout met en œuvre des mesures techniques et organisationnelles adaptées au risque, conformément à l’article 32 du RGPD, décrites à l’Annexe C.

4.2. Roundabout peut mettre à jour ces mesures, à condition que le niveau global de protection ne diminue pas.

5. Violations de données

5.1. Roundabout informe le Client dans les meilleurs délais, et en tout état de cause dans un délai de 48 heures, après avoir pris connaissance d’une violation qui concerne les Données du Client.

5.2. La communication contient, dans la mesure où elles sont disponibles, les informations dont le Client a besoin pour notifier la violation au Garante, l’autorité italienne de protection des données, et, si nécessaire, aux personnes concernées (articles 33 et 34 du RGPD) : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et de données en cause, les conséquences probables, les mesures prises ou proposées, un point de contact. Les informations qui ne sont pas disponibles immédiatement sont fournies dès qu’elles le sont.

5.3. Il appartient au Client, en tant que responsable du traitement, de notifier la violation à l’autorité et aux personnes concernées.

6. Assistance au Client

6.1. Compte tenu de la nature du traitement, Roundabout aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes des personnes concernées (articles 15 à 22 du RGPD). La Plateforme permet déjà d’exporter et de supprimer les données des comptes ; pour les autres demandes, le Client peut écrire à [email protected].

6.2. Si une personne concernée s’adresse directement à Roundabout au sujet de Données du Client, Roundabout transmet la demande au Client sans y répondre sur le fond, sauf instruction contraire.

6.3. Roundabout aide le Client, avec les informations dont elle dispose, pour l’analyse d’impact et la consultation préalable de l’autorité (articles 35 et 36 du RGPD).

7. Sous-traitants ultérieurs

7.1. Le Client accorde à Roundabout une autorisation écrite générale de recourir à des sous-traitants ultérieurs. Ceux qui sont utilisés sont énumérés à l’Annexe B.

7.2. Roundabout informe le Client, par e-mail ou dans la Plateforme, de l’ajout ou du remplacement d’un sous-traitant ultérieur au moins 30 jours à l’avance. Dans ce délai, le Client peut s’y opposer pour des motifs raisonnables liés à la protection des données. Si les parties ne trouvent pas de solution, le Client peut résilier son abonnement à l’offre payante sans pénalité, avec le remboursement de la partie de la période déjà payée et non utilisée.

7.3. Roundabout impose par contrat à chaque sous-traitant ultérieur des obligations de protection des données substantiellement équivalentes à celles du présent Accord, et répond envers le Client de leur exécution (article 28, paragraphe 4, du RGPD).

8. Transferts en dehors de l’Espace économique européen

8.1. Les Données du Client sont conservées en Italie. Certains sous-traitants ultérieurs peuvent les traiter en dehors de l’Espace économique européen, comme indiqué à l’Annexe B.

8.2. Tout transfert n’a lieu qu’avec l’une des garanties prévues au chapitre V du RGPD : une décision d’adéquation, y compris le Data Privacy Framework UE-États-Unis pour les sociétés adhérentes, ou les clauses contractuelles types approuvées par la Commission européenne (décision (UE) 2021/914).

9. Audits

9.1. Roundabout met à la disposition du Client les informations nécessaires pour démontrer le respect du présent Accord et de l’article 28 du RGPD.

9.2. Le Client peut demander un audit, y compris par l’intermédiaire d’un auditeur indépendant tenu à la confidentialité. L’audit se déroule avant tout sur la base de documents et de réponses écrites. Un audit dans les locaux de Roundabout est fixé d’un commun accord, avec un préavis d’au moins 30 jours, pas plus d’une fois par an sauf en cas de violation de données ou de demande d’une autorité, pendant les heures ouvrables et sans accès aux données d’autres clients. Les frais sont à la charge du Client.

10. Responsabilité

La responsabilité des parties au titre du présent Accord est régie par l’article 82 du RGPD et, dans les limites autorisées par la loi, par les Conditions générales d’utilisation.

11. Durée

L’Accord s’applique aussi longtemps que Roundabout traite des Données du Client pour son compte, et en tout état de cause pendant toute la durée des CGU.

12. Fin du traitement

12.1. Avant de fermer l’Espace, le Client peut exporter ses données depuis la Plateforme.

12.2. Dans un délai de 90 jours à compter de la fin de la relation, Roundabout supprime les Données du Client, ou les rend anonymes de manière irréversible, sauf si le droit de l’Union ou le droit italien en impose la conservation. Sur demande écrite du Client, Roundabout confirme que la suppression a été effectuée.

12.3. Sont exclues les données que Roundabout traite en tant que responsable du traitement indépendant, comme indiqué au point 1.3.

13. Dispositions finales

13.1. Roundabout peut mettre à jour le présent Accord pour l’adapter à la réglementation ou aux indications des autorités, selon les modalités de modification des CGU.

13.2. L’Accord est régi par le droit italien. Pour les litiges, la juridiction compétente est celle indiquée dans les CGU.

Annexe A — Détails du traitement

Annexe B — Sous-traitants ultérieurs

Les autres prestataires de Roundabout ne traitent pas de Données du Client et ne figurent donc pas ici : ils sont indiqués dans la Politique de confidentialité et dans la politique de confidentialité relative aux créateurs, où Roundabout agit en tant que responsable du traitement.

Annexe C — Mesures de sécurité

• Lieu des données : bases de données et fichiers en Italie, région AWS de Milan.
• Contrôle des accès : appliqué côté serveur, refusé par défaut ; chaque utilisateur n’accède qu’aux Espaces et aux marques pour lesquels il est habilité, selon son rôle.
• Authentification : confiée à Firebase Authentication ; Roundabout ne conserve pas de mots de passe.
• Journal des actions : les actions importantes sont enregistrées dans un journal non modifiable.
• Chiffrement : données chiffrées en transit via HTTPS. Au repos, les services AWS utilisés appliquent le chiffrement géré par le fournisseur.
• Paiements : les données de carte sont traitées uniquement par Stripe.
• Prestataires d’IA : accès via API de serveur à serveur ; les prestataires n’utilisent pas les données pour entraîner leurs propres modèles.
• Droits des personnes concernées : export et suppression des comptes disponibles directement dans la Plateforme.
• Personnel : accès limité aux personnes qui en ont besoin, avec obligation de confidentialité.