Accord de traitement des données (DPA)

1. Champ d’application et applicabilité

Le présent Accord de traitement des données (« DPA ») fait partie des Conditions d’utilisation entre Cemile Ceylan (« sous-traitant ») et le client (« responsable du traitement ») et s’applique lorsque le sous-traitant traite des données à caractère personnel pour le compte du responsable du traitement dans le cadre de la fourniture des services MobVex. Le présent DPA est conforme à l’article 28 du Règlement général sur la protection des données (RGPD).

Le présent DPA s’applique aux clients entreprises et professionnels. Pour conclure ce DPA, veuillez nous contacter à l’adresse info@mobvex.io.

2. Définitions

• Données à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable.
• Traitement : toute opération effectuée sur des données à caractère personnel (collecte, conservation, utilisation, etc.).
• Responsable du traitement : le client qui détermine les finalités et les moyens du traitement.
• Sous-traitant : Cemile Ceylan, qui traite des données pour le compte du responsable du traitement.
• Personne concernée : la personne physique dont les données à caractère personnel sont traitées.
• Sous-traitant ultérieur : un tiers engagé par le sous-traitant pour traiter des données à caractère personnel.

3. Nature et finalité du traitement

Le sous-traitant traite des données à caractère personnel aux fins de fournir le Service MobVex au responsable du traitement. Les activités de traitement comprennent :

• Données de compte : adresses e-mail, noms et jetons d’authentification pour la gestion des comptes.
• Données de facturation : informations de paiement traitées via Paddle (sous-traitant ultérieur).
• Données d’utilisation : journaux d’utilisation des outils, consommation de crédits et mesures d’interaction avec les fonctionnalités.
• Inventaire d’applications : noms de packages et identifiants d’applications fournis par le responsable du traitement.
• Résultats d’analyse : rapports, classements de mots-clés et analyses d’avis générés pour le responsable du traitement.

4. Durée du traitement

Le traitement se poursuit pendant toute la durée du compte du responsable du traitement et jusqu’à 30 jours après la résiliation du compte, sauf si une conservation plus longue est exigée par la loi.

5. Obligations du sous-traitant

Le sous-traitant s’engage à :

• Traiter les données à caractère personnel uniquement sur instructions documentées du responsable du traitement, y compris en ce qui concerne les transferts.
• Veiller à ce que les personnes autorisées à traiter des données à caractère personnel soient soumises à des obligations de confidentialité.
• Mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées (voir la section 7).
• Aider le responsable du traitement à répondre aux demandes d’exercice des droits des personnes concernées.
• Aider le responsable du traitement à satisfaire aux obligations du RGPD en matière de sécurité, de notification des violations et d’analyse d’impact relative à la protection des données (AIPD).
• Notifier au responsable du traitement, sans retard injustifié et en tout état de cause dans un délai de 72 heures, toute violation de données à caractère personnel dont il a connaissance.
• Supprimer ou restituer au responsable du traitement toutes les données à caractère personnel à la fin des services.
• Mettre à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer la conformité.
• Permettre les audits réalisés par le responsable du traitement ou par un auditeur autorisé, et y contribuer.

6. Sous-traitants ultérieurs

Le responsable du traitement autorise le sous-traitant à faire appel aux sous-traitants ultérieurs suivants :

Le sous-traitant informera le responsable du traitement de toute modification envisagée concernant l’ajout ou le remplacement de sous-traitants ultérieurs, en donnant au responsable du traitement la possibilité de s’y opposer.

7. Mesures de sécurité

Le sous-traitant met en œuvre et maintient les mesures techniques et organisationnelles suivantes :

• Chiffrement des données en transit (TLS 1.2+) et au repos (AES-256)
• Firebase Authentication pour le contrôle des accès, avec une gestion sécurisée des sessions
• Content Security Policy (CSP) et en-têtes de sécurité (X-Frame-Options, protection XSS)
• Mises à jour de sécurité régulières et analyse des vulnérabilités des dépendances
• Pare-feu et protection DDoS via l’infrastructure Google Cloud
• Journalisation des accès et surveillance des actions administratives
• Principe du moindre privilège pour l’accès interne aux systèmes de production
• Données stockées exclusivement dans la région us-central1, sauf indication contraire

8. Droits des personnes concernées

Le sous-traitant aidera le responsable du traitement, en tenant compte de la nature du traitement, au moyen de mesures techniques et organisationnelles appropriées, à s’acquitter de son obligation de répondre aux demandes des personnes concernées au titre du RGPD (articles 12-23).

Les demandes des personnes concernées doivent être adressées à info@mobvex.io.

9. Transferts internationaux de données

Les données à caractère personnel sont traitées et stockées aux États-Unis. Pour les transferts de l’EEE vers les États-Unis, le sous-traitant s’appuie sur les clauses contractuelles types (SCCs) et, le cas échéant, sur des mesures supplémentaires. Les conditions de traitement des données conformes au RGPD de Google Cloud Platform s’appliquent aux services Firebase.

10. Responsabilité

La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations énoncées dans les Conditions d’utilisation. Aucune disposition du présent DPA ne limite la responsabilité d’une partie pour les violations de données causées par sa négligence ou sa faute intentionnelle, ni dans les cas où la responsabilité ne peut être limitée par la loi.

11. Exécution

Le présent DPA est incorporé par référence dans les Conditions d’utilisation pour les clients éligibles. Pour un accord signé distinct, les clients entreprises peuvent nous contacter à l’adresse info@mobvex.io.

12. Contact