Accord de traitement des données

Art. 1 — Parties et champ d’application

Le présent accord est conclu entre le Client, responsable du traitement, et NEURALWORD S.r.l., numéro de TVA IT03570180244, sous-traitant au sens de l’art. 28 du règlement (UE) 2016/679 (RGPD). Il s’applique aux données personnelles que TrustInsider traite pour le compte du Client dans le cadre du service et fait partie des Conditions du service. Les termes en majuscule ont le sens que leur donnent les Conditions et le RGPD.

Art. 2 — Objet, durée, nature et finalité

TrustInsider traite les données pendant la durée du contrat et le temps nécessaire à leur restitution ou suppression, dans le seul but de fournir les fonctions choisies par le Client : lecture des intégrations, veille, rapports, Ask, gestion des pages et newsletters hébergées, publication vers les destinations autorisées. Les catégories de données et de personnes concernées sont décrites à l’annexe 1.

Art. 3 — Instructions du Client

TrustInsider ne traite les données que sur instruction documentée du Client, constituée du présent accord, des Conditions et des paramètres que le Client configure dans le service, sauf obligation du droit de l’Union ou d’un État membre ; dans ce cas, elle en informe le Client lorsque la loi le permet. Si elle estime qu’une instruction enfreint la réglementation, TrustInsider en informe immédiatement le Client. Le Client garantit la licéité des données et de ses instructions.

Art. 4 — Confidentialité et personnel

Les personnes autorisées à traiter les données sont tenues à la confidentialité et n’accèdent qu’à ce qui est nécessaire à leur mission. L’accès du personnel aux données du Client est limité, journalisé et motivé, par exemple pour l’assistance demandée par le Client.

Art. 5 — Sécurité

TrustInsider applique les mesures techniques et organisationnelles de l’annexe 2, adaptées au risque au sens de l’art. 32 RGPD, et peut les mettre à jour à condition que le niveau de protection ne diminue pas.

Art. 6 — Sous-traitants ultérieurs

Le Client donne à TrustInsider une autorisation générale de recourir aux sous-traitants ultérieurs énumérés à l’annexe 3. TrustInsider leur impose contractuellement des obligations de protection des données au moins équivalentes à celles du présent accord et répond de leur exécution. Avant d’ajouter ou de remplacer un sous-traitant ultérieur, TrustInsider met à jour la liste sur cette page et en avise les Clients disposant d’une offre payante au moins 30 jours à l’avance ; le Client peut s’y opposer pour des motifs raisonnables liés à la protection des données et, à défaut de solution, résilier sans pénalité avec remboursement de la part payée et non utilisée.

Art. 7 — Transferts internationaux

Les données ne peuvent être transférées hors de l’Espace économique européen que vers des sous-traitants ultérieurs couverts par une décision d’adéquation, l’EU-U.S. Data Privacy Framework ou les clauses contractuelles types de la décision (UE) 2021/914, avec les mesures supplémentaires nécessaires. Pour les transferts qui l’exigent, les parties conviennent que les clauses contractuelles types, module 2 ou module 3, s’appliquent et sont réputées intégrées au présent accord.

Art. 8 — Assistance au Client

Compte tenu de la nature du traitement, TrustInsider aide le Client par des mesures appropriées à répondre aux demandes des personnes concernées, en lui transmettant sans délai celles reçues directement, et l’aide à respecter ses obligations en matière de sécurité, de notification des violations, d’analyse d’impact et de consultation préalable (art. 32 à 36 RGPD), avec les informations dont elle dispose.

Art. 9 — Violations de données

TrustInsider notifie au Client toute violation de données personnelles traitées pour son compte dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, à l’adresse e-mail du compte, avec les informations de l’art. 33, par. 3, RGPD disponibles à ce moment, complétées dès que possible, et prend immédiatement les mesures pour la contenir. Le Client peut signaler des incidents à privacy@trustinsider.com.

Art. 10 — Restitution et suppression

Pendant le contrat, le Client peut exporter ses données depuis l’espace réservé. À la fin du contrat, TrustInsider supprime ou anonymise les données traitées pour le compte du Client dans un délai de 30 jours, sauf si le droit de l’Union ou d’un État membre en impose la conservation ; les sauvegardes chiffrées sont écrasées selon leur cycle ordinaire.

Art. 11 — Informations et audits

TrustInsider met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord. Le Client peut réaliser, ou faire réaliser par un auditeur indépendant tenu à la confidentialité, un audit par an moyennant un préavis d’au moins 30 jours, sans perturber le service ni accéder aux données d’autres clients ; les frais d’audit sont à la charge du Client, sauf manquement important constaté. Les audits demandés par une autorité de contrôle sont toujours possibles.

Art. 12 — Responsabilité et primauté

La responsabilité des parties est régie par les Conditions, dans les limites permises par l’art. 82 RGPD. En matière de protection des données, le présent accord prévaut sur les Conditions ; les clauses contractuelles types, lorsqu’elles s’appliquent, prévalent sur les deux. Une copie signée de l’accord est disponible pour les Clients Enterprise qui la demandent à privacy@trustinsider.com.

Annexe 1 — Description du traitement

• Personnes concernées : utilisateurs autorisés du Client ; visiteurs du site du Client, de manière agrégée, via les intégrations de statistiques ; abonnés aux newsletters et personnes remplissant les formulaires des pages hébergées pour le Client ; personnes citées dans les contenus que le Client téléverse ou publie.
• Catégories de données : données de contact et de compte, statistiques de trafic et de recherche normalement agrégées, contenus et documents, identifiants des comptes connectés, journaux des opérations. Aucune catégorie particulière de données n’est requise : le Client s’engage à ne pas en saisir.
• Opérations : collecte via des intégrations autorisées, conservation, analyse, traitement par des modèles d’intelligence artificielle, génération de rapports et de brouillons, publication vers des destinations autorisées, suppression.

Annexe 2 — Mesures techniques et organisationnelles

• Chiffrement en transit (HTTPS avec HSTS) et chiffrement au repos de la base de données et des sauvegardes ; chiffrement applicatif des identifiants des intégrations avec des clés conservées uniquement dans l’environnement de production.
• Contrôle des accès : connexion par lien à usage unique, vérification en deux étapes, rôles par espace de travail, SSO et provisionnement SCIM pour l’offre Enterprise ; accès administratifs limités et journalisés.
• Séparation des données par espace de travail, minimisation des données envoyées aux fournisseurs de modèles et masquage des données confidentielles dans les journaux des assistants.
• Protection du périmètre : en-têtes de sécurité, limites de requêtes, protection anti-robots, signature vérifiée des webhooks, secrets uniquement dans les variables d’environnement.
• Continuité : sauvegardes chiffrées, restauration de la base de données à un instant donné, surveillance des erreurs et de l’état des services.
• Conservation limitée avec suppression automatique à l’échéance, procédure documentée de gestion des violations et réexamen périodique des mesures.

Annexe 3 — Sous-traitants ultérieurs

La liste est mise à jour à chaque changement. Les prestataires indiqués comme responsables autonomes traitent les données pour leur propre compte, selon leurs conditions, lorsque le Client connecte ou utilise leurs services.