Annexe 1 aux Conditions générales — Accord de traitement des données (DPA)

Conclu en application de l'article 28 du Règlement (UE) 2016/679 (« RGPD ») entre le Client (« Responsable du traitement ») et OUTLINE SASU, éditeur de Socialoop (« Sous-traitant »). Lorsque le Client est un Gestionnaire agissant pour le compte de ses propres clients, il est lui-même sous-traitant de ceux-ci et OUTLINE est son sous-traitant ultérieur ; le Gestionnaire s'engage à répercuter des obligations équivalentes dans ses contrats avec ses clients.

1. Description du traitement

2. Instructions

Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable du traitement : les CG, le présent DPA, et les choix effectués dans le service (sources de contenus, mode de publication, validations, corrections). Il informe le Responsable du traitement si une instruction lui paraît contraire au RGPD.

3. Confidentialité

Les personnes autorisées à traiter les données (équipe d'OUTLINE, éditeurs) sont soumises à une obligation de confidentialité et n'y accèdent que dans la mesure nécessaire.

4. Sécurité

Le Sous-traitant met en œuvre les mesures décrites en Annexe A et les adapte à l'état de l'art.

5. Sous-traitants ultérieurs

Le Responsable du traitement autorise de manière générale le recours aux sous-traitants ultérieurs listés en Annexe B. Le Sous-traitant informe le Client de tout ajout ou remplacement au moins 30 jours à l'avance (dans le bot ou par e-mail) ; le Client peut s'y opposer pour un motif raisonnable lié à la protection des données et, à défaut d'accord, résilier sans pénalité. Le Sous-traitant impose à chaque sous-traitant ultérieur des obligations équivalentes et reste responsable de leur exécution.

6. Transferts hors UE

Les transferts hors de l'Espace économique européen s'effectuent sur le fondement d'une décision d'adéquation (y compris le EU-U.S. Data Privacy Framework pour les destinataires certifiés) ou des clauses contractuelles types de la Commission européenne (décision 2021/914), complétées si nécessaire de mesures supplémentaires.

7. Assistance

Le Sous-traitant aide le Responsable du traitement, dans la mesure du possible : à répondre aux demandes des personnes concernées (notamment en supprimant un contenu ou une publication sur demande via le bot), à assurer la sécurité, à réaliser une analyse d'impact si elle est requise et à consulter l'autorité de contrôle. Toute demande reçue directement d'une personne concernée est transmise au Client sans délai.

8. Violation de données

Le Sous-traitant notifie au Responsable du traitement toute violation de données à caractère personnel dans un délai maximal de 48 heures après en avoir pris connaissance, avec les informations disponibles (nature, catégories et nombre approximatif de personnes concernées, conséquences probables, mesures prises ou proposées).

9. Fin du traitement

Les copies de travail sont supprimées selon les durées de la Politique de confidentialité (30 jours après publication, 60 jours pour les contenus non utilisés). À la fin du contrat, le Sous-traitant supprime les données au plus tard dans les 30 jours, sauf obligation légale de conservation ; sur demande formulée avant la fin du contrat, il remet au Client une copie des contenus produits. Les originaux restent en tout état de cause dans les stockages du Client.

10. Audit

Le Sous-traitant met à disposition les informations nécessaires pour démontrer le respect du présent DPA. Le Client peut réaliser un audit, à ses frais, une fois par an, moyennant un préavis de 30 jours, sans accès aux données des autres clients ; il peut s'agir en priorité d'un questionnaire écrit.

11. Responsabilités

Le Responsable du traitement garantit disposer d'une base légale pour les traitements confiés et avoir informé les personnes concernées, notamment les personnes reconnaissables sur les images. La responsabilité de chaque partie est régie par l'article 82 du RGPD et par l'article 9 des CG.

Annexe A — Mesures de sécurité

• Serveur et base de données dans l'Union européenne ; accès administrateur par clé SSH uniquement ; pare-feu n'ouvrant que les ports nécessaires ; mises à jour de sécurité automatiques.
• Jetons d'accès aux réseaux sociaux chiffrés au repos ; secrets hors du code source.
• Chiffrement en transit (HTTPS/TLS) pour les échanges avec les API et les pages du service.
• Pages de plan accessibles par lien long, aléatoire, à durée limitée ; liens temporaires vers les images supprimés après publication.
• Journaux techniques sans nom ni contenu ; conservation 30 jours.
• Suppression automatique des copies de travail selon les durées convenues.
• Sauvegardes quotidiennes conservées au plus 30 jours ; test de restauration mensuel.
• Accès de l'équipe limité au besoin ; engagement de confidentialité.
• Alerte automatique de l'administrateur en cas d'erreur de publication ou d'incident.

Annexe B — Sous-traitants ultérieurs