Accord de traitement des données

Le présent accord de traitement des données (« DPA ») fait partie des conditions générales de Delyst conclues entre E for connection (« le sous-traitant ») et le client (« le responsable du traitement »). Il régit le traitement des données personnelles concernant les abonnés et les utilisateurs finaux du client. Les termes commençant par une majuscule et non définis ici ont le sens que leur donne le Règlement général sur la protection des données (RGPD).

1. Objet et durée

Le sous-traitant traite les données personnelles pour le compte du responsable du traitement, dans le seul but de fournir la plateforme de marketing automation Delyst. Le traitement dure tant que le compte du responsable du traitement existe, comme décrit à l'article 9.

2. Catégories de données et de personnes concernées

• Personnes concernées : les abonnés du responsable du traitement et les membres de son équipe qui utilisent le service.

• Catégories de données : adresse email, numéro de téléphone, nom, champs personnalisés définis par le responsable du traitement (par exemple société, pays, historique d'achat), adresse IP, métadonnées d'appareil et de client de messagerie, ouvertures, clics, rebonds et désabonnements.

• Catégories particulières : aucune traitée par défaut. Le responsable du traitement ne doit pas téléverser de données sensibles (santé, religion, orientation sexuelle, etc.) sans accord écrit distinct.

3. Obligations du sous-traitant

• Ne traiter les données personnelles que sur instructions documentées du responsable du traitement.

• S'assurer que les personnes autorisées à traiter les données sont tenues à la confidentialité.

• Mettre en œuvre les mesures techniques et organisationnelles appropriées (voir l'article 6 et la politique de confidentialité).

• Aider le responsable du traitement à répondre aux demandes des personnes concernées et à respecter ses obligations au titre des articles 32 à 36 du RGPD.

• Notifier au responsable du traitement toute violation de données personnelles dans les meilleurs délais, et en tout état de cause dans les 48 heures suivant sa connaissance.

4. Sous-traitants ultérieurs

Le responsable du traitement autorise le sous-traitant à recourir aux sous-traitants ultérieurs énumérés dans la politique de confidentialité. Le sous-traitant informera le responsable du traitement de tout ajout ou remplacement envisagé au moins 14 jours à l'avance. Le responsable du traitement peut s'y opposer par écrit ; si l'objection ne peut être levée, il peut résilier la partie du service concernée.

5. Transferts internationaux

Lorsque des données personnelles sont transférées hors de l'EEE, le sous-traitant s'appuie sur les clauses contractuelles types adoptées par la Commission européenne (décision 2021/914), intégrées ici par référence. Une copie des clauses signées pour un sous-traitant ultérieur donné est disponible sur demande à support@delyst.com.

6. Mesures de sécurité

• TLS 1.2 ou supérieur pour les données en transit.

• Chiffrement AES-256-GCM des secrets et des clés stockés.

• Hachage des mots de passe avec bcrypt.

• Authentification à deux facteurs disponible pour tous les comptes.

• Segmentation réseau, pare-feu, accès à la production selon le moindre privilège.

• Journal d'audit des actions d'administration.

• Sauvegardes de la base faites par OVH, effacées à la fin de leur durée de conservation.

7. Droits des personnes concernées

Dans les limites techniques du service, le sous-traitant aide le responsable du traitement à répondre aux demandes d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition. La plupart de ces opérations sont réalisables directement depuis le tableau de bord Delyst.

8. Audits

Le responsable du traitement peut auditer le respect du présent DPA une fois par année civile, moyennant un préavis écrit de 30 jours, pendant les heures ouvrées, et sous réserve d'obligations raisonnables de confidentialité. Sur demande, le sous-traitant fournit des rapports d'audit indépendants, lorsqu'ils existent, en lieu et place d'un audit sur site.

9. Suppression ou restitution des données

Le responsable du traitement peut exporter ses contacts à tout moment depuis l'application (CSV). Les données restent tant que le compte existe, y compris après la résiliation de l'abonnement. Quand le responsable du traitement supprime son compte (Paramètres, ou support@delyst.com), le sous-traitant efface immédiatement et définitivement les données personnelles des systèmes actifs ; les sauvegardes sont effacées à la fin de leur durée de conservation. Seules restent les preuves que la loi impose de garder.

10. Comment le signer

La plupart des clients n'ont pas besoin de signer un DPA distinct. Les stipulations de ce document s'appliquent automatiquement dans le cadre des conditions générales. Si le service juridique de votre organisation exige un exemplaire contresigné, écrivez à support@delyst.com et nous vous retournerons un PDF signé sous 5 jours ouvrés.