Accord de traitement des données

Le présent accord de traitement des données (« DPA ») fait partie intégrante du contrat conclu entre vous (le « Responsable du traitement ») et ROASSensor (le « Sous-traitant ») pour l'utilisation du Service. Il s'applique chaque fois que nous traitons des données à caractère personnel pour votre compte et prend effet automatiquement dès que vous connectez une source de données — il n'y a rien à signer.

Les termes non définis dans le présent document ont le sens qui leur est donné dans nos Conditions générales d'utilisation et notre Politique de confidentialité. En cas de contradiction entre le présent DPA et ces documents sur une question relative au traitement des données, le présent DPA prévaut.

Vous êtes le Responsable du traitement : il vous appartient de décider quelles régies publicitaires et quelles sources de revenus connecter, et à quelles fins. Nous sommes le Sous-traitant : nous n'agissons que sur vos instructions documentées, et la connexion d'une source dans votre espace de travail constitue une telle instruction.

S'agissant de nos propres données de gestion — votre compte, la facturation et l'historique du support —, nous agissons en qualité de responsable du traitement pour notre propre compte ; ce traitement est décrit dans la Politique de confidentialité et non dans le présent document.

Nous traitons des données à caractère personnel afin de fournir le Service : synchroniser les dépenses et les revenus provenant des plateformes que vous autorisez, les rapprocher, attribuer les revenus aux campagnes et aux créations, puis restituer le résultat dans votre tableau de bord.

Le traitement se poursuit tant que votre compte est actif. Lorsque vous déconnectez une source, supprimez votre compte ou que le contrat prend fin, les stipulations de conservation et de suppression ci-dessous s'appliquent.

Les données à caractère personnel que nous traitons pour votre compte se limitent à ce qui est nécessaire au calcul de l'attribution par le Service. Selon les sources que vous connectez, elles peuvent comprendre :

• Des identifiants pseudonymisés — identifiants de visiteur, de clic et de session, ainsi que des identifiants d'appareil ou d'application collectés par le script de suivi ou le SDK.
• Des identifiants de contact hachés — les adresses e-mail et les numéros de téléphone sont normalisés puis hachés avant d'entrer dans nos tables de suivi ; nous ne les conservons pas en clair.
• Des données techniques — adresse IP, agent utilisateur, référent et page ou écran consulté.
• Des données de transaction — identifiants de commande, montants, devise et statut de remboursement reçus de votre prestataire de paiement ou communiqués par votre serveur.

Les personnes concernées sont les visiteurs, les utilisateurs de l'application et les clients du Responsable du traitement. Nous ne traitons pas sciemment de catégories particulières de données à caractère personnel, et le Service ne doit pas être utilisé pour nous en transmettre.

Nous ne traitons les données à caractère personnel que sur vos instructions documentées, y compris en matière de transferts internationaux, sauf obligation légale contraire — auquel cas nous vous en informerons avant le traitement, à moins que la loi ne l'interdise.

Nous veillons à ce que les personnes autorisées à traiter des données à caractère personnel soient soumises à une obligation de confidentialité, et nous limitons l'accès à celles qui en ont besoin pour exploiter le Service ou en assurer le support.

Nous ne vendons pas de données à caractère personnel et n'utilisons pas les données traitées pour votre compte afin de concevoir ou d'améliorer des produits destinés à des tiers. Les statistiques agrégées et anonymisées, qui ne peuvent raisonnablement être rattachées ni à vous ni à une personne concernée, constituent la seule exception.

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées au risque, notamment le chiffrement en transit et au repos des champs sensibles, des jetons d'accès limités et révocables pour les plateformes connectées, une gestion des accès fondée sur les rôles au sein d'un espace de travail et, en interne, un accès selon le principe du moindre privilège.

Les jetons d'accès des sources connectées sont stockés chiffrés et utilisés en lecture seule : nous ne publions rien et ne modifions rien dans vos comptes connectés.

Vous nous donnez une autorisation générale de recourir à des sous-traitants ultérieurs pour la fourniture du Service — par exemple pour l'hébergement en nuage, l'acheminement des e-mails, la surveillance des erreurs et le traitement des paiements.

Chaque sous-traitant ultérieur est lié par des stipulations écrites lui imposant des obligations de protection des données au moins aussi protectrices que celles du présent DPA, et nous demeurons responsables envers vous de son exécution. Nous vous informerons de tout ajout ou remplacement envisagé d'un sous-traitant ultérieur, et vous pourrez vous y opposer pour des motifs raisonnables tenant à la protection des données.

Nous pouvons traiter et stocker des données à caractère personnel dans des pays autres que le vôtre. Lorsque nous transférons des données à caractère personnel hors de l'EEE, du Royaume-Uni ou de la Suisse vers un pays ne bénéficiant pas d'une décision d'adéquation, nous nous fondons sur des garanties appropriées telles que les Clauses contractuelles types, assorties de toute mesure supplémentaire que le transfert requiert.

Compte tenu de la nature du traitement, nous vous assistons par des mesures techniques et organisationnelles appropriées pour répondre aux demandes des personnes concernées exerçant leurs droits d'accès, de rectification, d'effacement, de limitation, de portabilité ou d'opposition.

Lorsqu'une personne concernée s'adresse directement à nous au sujet de données que nous traitons pour votre compte, nous ne répondons pas sur le fond : nous la renvoyons vers vous et vous en informons dans les meilleurs délais.

L'effacement des données d'une personne peut être demandé à tout moment ; la procédure est décrite sur notre page Suppression des données.

Nous vous notifierons dans les meilleurs délais, après en avoir pris connaissance, toute violation de données à caractère personnel affectant des données traitées pour votre compte, et vous communiquerons les informations dont vous avez raisonnablement besoin pour satisfaire à vos propres obligations de notification.

Une telle notification ne vaut reconnaissance ni d'une faute ni d'une responsabilité.

Nous mettons à votre disposition les informations raisonnablement nécessaires pour démontrer le respect du présent DPA et nous permettons la réalisation d'audits, y compris d'inspections, par vous-même ou par un auditeur que vous mandatez, et y contribuons.

Afin que les audits demeurent proportionnés, nous pouvons répondre à une demande en fournissant une documentation existante ou des rapports de tiers lorsque ceux-ci y répondent raisonnablement. Les audits ont lieu à vos frais, pendant les heures ouvrables, sous réserve de confidentialité, et au maximum une fois par an, sauf exigence d'une autorité de contrôle ou à la suite d'une violation de données.

La déconnexion d'une source supprime le jeton d'accès stocké pour cette source, met fin aux synchronisations ultérieures et supprime les métriques qui en étaient issues. La suppression de votre compte efface votre profil, l'ensemble des sources connectées et leurs jetons, ainsi que vos métriques synchronisées.

À la fin du contrat, nous supprimons ou restituons les données à caractère personnel traitées pour votre compte, sauf lorsque la loi en impose la conservation. Des copies résiduelles peuvent subsister brièvement dans des sauvegardes chiffrées et sont écrasées lors de la rotation habituelle de nos sauvegardes.

La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations et exclusions de responsabilité prévues par les Conditions générales d'utilisation.

Une question sur le présent DPA, ou une demande d'exemplaire contresigné pour vos archives ? Écrivez-nous à [email protected] : nous serons ravis de vous aider.