Accord de traitement des données

1Parties et portée#

Cet Accord sur le traitement des données (l'« ATD ») est conclu entre le client qui détient un compte CommentWatchDog (le « Client », « vous ») et GrowMeOrganic LLC, 30 N Gould St STE R, Sheridan, WY 82801, États-Unis (« nous »), l'opérateur du Service décrit dans les Conditions d'utilisation.

Il s'applique chaque fois que nous traitons des données personnelles pour votre compte et que ce traitement est soumis au Règlement général sur la protection des données (RGPD) de l'UE, au RGPD du Royaume-Uni et au Data Protection Act 2018, à la Loi fédérale suisse sur la protection des données (LPD) ou à la Lei Geral de Proteção de Dados (LGPD) du Brésil. En vertu de ces lois, vous êtes le responsable du traitement de ces données et nous sommes votre sous-traitant. Là où la LGPD utilise les termes controlador et operador, ils désignent les mêmes rôles.

« Données personnelles du client » désigne les données personnelles contenues dans les commentaires, les messages et les profils des commentateurs que nous récupérons depuis les pages Facebook et les comptes Instagram que vous connectez, les actions que vous effectuez sur ceux-ci, les fiches de contact que l’automatisation des DM conserve pour les personnes que vos automatisations touchent, y compris ce qu’elles tapent en réponse aux questions que vous posez, et les données personnelles des membres de l’équipe que vous invitez, dans la mesure où nous les traitons selon vos instructions. Notre propre utilisation des données de votre compte et de facturation, ainsi que la mesure des publicités sur nos sites web, sont décrites dans la Politique de confidentialité, où nous agissons en tant que responsable du traitement.

Cet ATD fait partie des Conditions d'utilisation. Pour le sujet qu'il couvre, il prévaut sur les Conditions. Aucune signature n'est nécessaire : il nous lie tous les deux dès l'instant où vous utilisez le Service.

2Détails du traitement#

Cette section est la description du traitement requise par le RGPD et sert d'Annexe I des clauses contractuelles types de la section 6.

• Objet : modérer et répondre aux commentaires et aux messages sur les pages Facebook et les comptes Instagram que vous connectez au Service, et faire tourner les automatisations de DM que vous y configurez.
• Durée : pendant toute la durée où vous détenez un compte, puis jusqu'à ce que la suppression soit complète conformément à la section 10.
• Nature et finalité : récupérer les commentaires et les messages via les API de Meta, les stocker, les classer selon les règles que vous avez définies (par mot, et par sens via un fournisseur d’IA), les masquer, les supprimer, les archiver ou y répondre selon votre configuration, les afficher à votre équipe dans une boîte de réception, et produire des décomptes et des statistiques à leur sujet. Lorsque vous utilisez l’automatisation des DM : envoyer les réponses publiques et les messages directs que vos automatisations et vos agents IA écrivent, poser les questions que vous définissez et stocker les réponses, tenir une liste de contacts avec les tags et les champs que vous définissez, compter quels liens d’un message automatisé ont été ouverts, copier dans notre stockage les médias envoyés dans les messages, et envoyer les requêtes HTTP que vous configurez aux adresses que vous avez choisies.
• Catégories de personnes : les personnes qui commentent ou envoient des messages à vos pages et comptes, les personnes mentionnées dans ces commentaires, et les membres de votre équipe.
• Catégories de données : le texte des commentaires et des messages, le nom et la photo de profil publique de leur auteur, les identifiants de Meta pour l’auteur, la publication et le commentaire, les horodatages, les étiquettes attribuées par nos règles, les actions effectuées et par qui, et, pour les membres de l’équipe, leur nom, adresse e-mail et rôle. Pour les contacts que conserve l’automatisation des DM : nom et nom d’utilisateur ; sur Instagram, si la personne suit votre compte, son nombre d’abonnés et si elle est vérifiée ; une adresse e-mail ou un numéro de téléphone qu’elle a tapé, avec la question à laquelle elle a répondu et l’heure ; les réponses enregistrées dans vos champs personnalisés ; les tags et les notes de l’équipe ; si elle a demandé d’arrêter ; les liens qu’elle a ouverts ; les photos, vidéos, notes vocales et fichiers qu’elle a envoyés ; et l’historique des exécutions d’automatisations qui l’ont concernée.
• Catégories particulières de données : aucune n’est demandée. Un commentaire peut accessoirement contenir de telles données ; nous ne les traitons que pour modérer le commentaire et pour rien d’autre. Un message, ou une réponse à une question que pose votre automatisation, peut lui aussi contenir de telles données ; nous ne les traitons que pour exécuter vos instructions. C’est vous qui décidez des questions que posent vos automatisations.
• Fréquence : continu, à mesure que les commentaires et les messages arrivent.
• Emplacement : serveurs exploités par Hetzner Online GmbH en Allemagne, dans l'Union européenne.

3Nos obligations en tant que sous-traitant#

• Instructions. Nous traitons les Données personnelles du client uniquement selon vos instructions documentées. Vos instructions sont les Conditions d'utilisation, cet ATD, les règles, agents et automatisations que vous configurez dans le Service, et les actions que votre équipe y effectue. Nous vous informerons si nous pensons qu'une instruction enfreint la loi, et nous pouvons suspendre cette instruction jusqu'à ce qu'elle soit résolue.
• Confidentialité. Seules les personnes ayant besoin d'un accès pour faire fonctionner le Service y ont accès, et chacune d'entre elles est liée par une obligation de confidentialité.
• Sécurité. Nous maintenons les mesures de la section 7 en place et les améliorons à mesure que l'état de l'art évolue.
• Assistance. Nous vous aidons à répondre aux demandes des individus (section 8) et à réaliser des analyses d'impact relatives à la protection des données ainsi que des consultations avec une autorité de contrôle, dans la mesure où les informations sont entre nos mains.
• Suppression. Nous supprimons ou renvoyons les Données personnelles du client comme décrit à la section 9.
• Registres et coopération. Nous tenons les registres de traitement requis par la loi, mettons à votre disposition les informations nécessaires pour démontrer la conformité et coopérons avec votre autorité de contrôle lorsqu'elle le demande.
• Aucun autre usage. Nous ne vendons jamais les Données personnelles du client, ne les utilisons jamais pour la publicité et ne les utilisons jamais pour entraîner des modèles d'IA. Nos fournisseurs d'IA les traitent selon des conditions d'API qui excluent l'entraînement sur le contenu des clients.

4Vos obligations en tant que responsable du traitement#

• Vous disposez d'une base légale pour le traitement que vous ordonnez, et vos instructions respectent la loi qui vous est applicable.
• Les personnes qui commentent et envoient des messages à vos pages sont informées, de la manière requise par votre loi, que vous modérez avec un outil qui agit en votre nom.
• Vous configurez les règles, les agents et les automatisations, et vous êtes responsable des décisions de modération qu’ils exécutent, des messages qu’ils envoient et des questions qu’ils posent.
• Lorsqu’un flow envoie des données à une adresse web que vous avez configurée (une étape Requête HTTP), vous avez choisi ce destinataire et vous êtes responsable de ce transfert. Le destinataire n’est pas notre sous-traitant ultérieur.
• Vous respectez les conditions de Meta pour les pages et les comptes que vous connectez.
• Vous utilisez les commandes du Service (rôles, accès aux pages, suppression) pour limiter le traitement à ce dont vous avez besoin.

5Sous-traitants ultérieurs#

Vous nous donnez une autorisation générale d'utiliser les sous-traitants listés sur notre page Sous-traitants. Cette page sert d'Annexe III aux clauses contractuelles types de la section 6. Elle nomme chaque entreprise, ce qu'elle fait pour nous, quelles données elle traite et où.

Nous tenons cette page à jour : un sous-traitant y est ajouté avant de traiter les Données Personnelles du Client, un autre qui cesse de les traiter est retiré, et le journal des modifications sur la page enregistre les deux avec la date. La page constitue la notification de ces changements ; consultez-la aussi souvent que votre processus de conformité l'exige. En continuant à utiliser le Service après une modification, vous acceptez les sous-traitants qui y sont listés. Chaque sous-traitant est lié par des conditions écrites qui protègent les Données Personnelles du Client au moins aussi bien que cet Accord de Traitement des Données.

6Transferts internationaux#

Les Données personnelles du client sont stockées et traitées dans l'Union européenne. Étant donné que nous sommes une entreprise située aux États-Unis et que certains sous-traitants y traitent des données, les garanties suivantes s'appliquent aux transferts hors de l'EEE, du Royaume-Uni et de la Suisse :

• EEE : les clauses contractuelles types adoptées par la Commission européenne dans la Décision (UE) 2021/914, Module deux (responsable du traitement vers sous-traitant), sont intégrées à cet Accord de Traitement des Données. Vous êtes l'exportateur de données et nous sommes l'importateur de données. La clause 7 (clause d'adhésion) s'applique ; en vertu de la clause 9, vous donnez l'autorisation générale à la section 5, et la page des sous-traitants porte l'avis de modification ; en vertu de la clause 11, le règlement indépendant des litiges optionnel ne s'applique pas ; en vertu de la clause 13, l'autorité de contrôle est celle de l'État membre de l'UE où vous êtes établi ; en vertu de la clause 17, les clauses sont régies par le droit irlandais ; en vertu de la clause 18, les litiges sont portés devant les tribunaux d'Irlande. L'Annexe I est la section 2, l'Annexe II est la section 7 et l'Annexe III est la page des sous-traitants.
• Royaume-Uni : l'International Data Transfer Addendum aux clauses contractuelles types de l'UE publié par l'Information Commissioner du Royaume-Uni, en vigueur depuis le 21 mars 2022, est incorporé, les tableaux étant complétés par les mêmes sections. Chaque partie peut mettre fin à l'Addendum comme sa section 19 le permet.
• Suisse : les clauses de l'UE s'appliquent avec les adaptations requises par le Préposé fédéral à la protection des données et à la transparence de la Suisse : les références au RGPD s'entendent comme des références à la LPD, le Préposé est l'autorité compétente, et les clauses protègent également les données des personnes morales dans la mesure où la LPD le prévoit.
• Brésil : lorsque la LGPD s'applique, les clauses de l'UE servent de garantie contractuelle pour les transferts internationaux jusqu'à ce que les propres clauses types de l'ANPD les remplacent.

Lorsqu'un sous-traitant ultérieur traite des données en dehors de ces territoires, le transfert repose sur les mêmes clauses dans les conditions de traitement des données de ce sous-traitant, ou sur une décision d'adéquation, comme l'indique la page Sous-traitants pour chacun d'eux.

7Mesures de sécurité#

Il s'agit des mesures techniques et organisationnelles en place aujourd'hui, et elles servent d'Annexe II aux clauses de la section 6. La page Sécurité les explique en termes simples.

• Hébergement : toutes les données du Service résident sur des serveurs exploités par Hetzner Online GmbH en Allemagne, dans des centres de données certifiés ISO 27001.
• Chiffrement en transit : chaque connexion utilise TLS, et les navigateurs ont l'instruction d'utiliser uniquement HTTPS.
• Identifiants : il n'y a pas de mots de passe ; les codes et liens de connexion sont à usage unique, expirent en quelques minutes ou en un jour, et seuls leurs hachages sont conservés. Les jetons d'accès aux pages sont conservés côté serveur, jamais envoyés à un navigateur, et supprimés lorsqu'une page ou un compte Facebook est déconnecté.
• Contrôle d'accès : l'accès aux systèmes de production est limité aux personnes qui exploitent le Service, via SSH par clé. Dans le Service, quatre rôles et un accès par page limitent ce que chaque membre de l'équipe peut voir, et la suppression d'un membre met fin à son accès sur tous les appareils à la fois.
• Sauvegardes et récupération : des sauvegardes de la base de données sont effectuées quotidiennement et copiées sur un second serveur. Elles sont supprimées après 14 jours sur le premier et après 30 jours sur le second.
• Minimum de données aux tiers : un fournisseur d’IA reçoit le texte d’un commentaire, le nom d’affichage de l’auteur lorsqu’une règle le nécessite, et vos notes de règle, jamais les détails de votre compte ni les jetons de page. Lorsqu’un agent IA répond à un commentaire ou à un message, le fournisseur reçoit aussi ce commentaire ou ce message, les connaissances et les instructions que vous avez données à l’agent et, pour un message, les messages les plus récents de la même conversation avec le nom d’affichage de l’expéditeur et le nom de votre page. Notre prestataire de paiement détient les coordonnées de carte ; nous ne voyons jamais le numéro complet.
• Secrets dans les étapes Requête HTTP : une clé d’API, un jeton ou un mot de passe que vous enregistrez dans l’étape Requête HTTP d’un flow est chiffré en AES-256-GCM, lié à votre compte, ouvert uniquement sur nos serveurs au moment où la requête est faite, et tenu hors de l’historique des exécutions. Les requêtes vers des adresses situées dans des réseaux privés sont refusées.
• Surveillance : la surveillance des erreurs s'exécute sur nos propres serveurs. Lorsqu'elle enregistre le comportement d'un écran lors d'une erreur, chaque texte est masqué et chaque image est bloquée.
• Suppression : vous pouvez supprimer une page, votre connexion Facebook ou l'intégralité de votre compte à tout moment sans notre intervention, et les suppressions sont confirmées par un reçu.

8Demandes des particuliers#

Si une personne dont les données se trouvent dans votre espace de travail nous contacte pour exercer un droit (accès, rectification, suppression, limitation, opposition ou portabilité), nous ne répondons pas sur le fond. Nous transmettons la demande au propriétaire de votre espace de travail sous cinq jours ouvrables, et nous vous aidons à répondre dans les délais prévus par votre législation, avec les informations dont nous disposons. La plupart des éléments qu’une telle personne peut demander vous sont accessibles directement dans le Service : le commentaire, son auteur, les actions effectuées et l’option de suppression. Pour une personne de votre liste de contacts, l’onglet Personnes montre la fiche de contact que le Service détient, et Oublier supprime cette fiche ainsi que les réponses enregistrées de la personne et la conversation conservée dans le Service.

9Retour et suppression#

Pendant la durée du contrat, vous pouvez exporter ce que le Service propose à l'exportation et supprimer n'importe quelle page, votre connexion Facebook ou l'intégralité de votre compte à tout moment, comme le décrit la page Suppression des données. Avant de supprimer votre compte, vous pouvez nous demander par e-mail une copie des Données personnelles du client que nous détenons, et nous la fournirons dans un format courant lisible par machine.

Lorsque votre compte est supprimé, ou lorsque le Service prend fin, nous supprimons toutes les Données personnelles du client d’un coup. Elles quittent les sauvegardes, et toute trace a disparu, sous 30 jours au plus tard. Nous ne conservons que ce que la loi nous oblige à garder, comme les factures et les enregistrements de paiement, ainsi que les reçus de suppression décrits dans la Politique de confidentialité, qui comportent des décomptes et un code de confirmation mais jamais de contenu.

10Audits#

La page Sécurité, la page Sous-traitants et cet ATD sont notre première réponse à toute question sur la façon nous protégeons vos données. Au-delà, une fois par an et sans frais, nous répondons à un questionnaire de sécurité écrit raisonnable de votre part.

Lorsque votre loi ou votre autorité de contrôle exige un audit, vous ou un auditeur indépendant lié par une obligation de confidentialité pouvez en effectuer un, pas plus d'une fois par an sauf si une autorité l'exige autrement, avec un préavis écrit d'au moins 30 jours, pendant les heures de bureau, à vos frais, et d'une manière qui n'interrompt pas le Service ni n'expose les données d'autres clients.

11Responsabilité#

Chaque partie est responsable des dommages qu'elle cause en ne respectant pas cet Accord de traitement des données ou la loi, comme l'énoncent l'article 82 du RGPD et les dispositions équivalentes des autres lois de la section 1. Les limites de la section sur la responsabilité des Conditions d'utilisation s'appliquent à cet Accord de traitement des données, sauf là où la loi ne le permet pas.

12Durée et modifications#

Cet Accord de traitement des données dure aussi longtemps que nous traitons des Données personnelles du client pour vous, et ses obligations survivent à la fin des Conditions jusqu'à ce que la suppression prévue à la section 9 soit terminée.

Nous pouvons mettre à jour cet ATD lorsque la loi, nos sous-traitants ultérieurs ou le Service changent. Pour les modifications substantielles, nous informons le propriétaire de votre espace de travail par e-mail au moins 14 jours avant leur entrée en vigueur. Chaque version porte sa date en haut, et les versions antérieures sont disponibles sur demande.

13Copie signée et contact#

Si votre processus de conformité nécessite une copie contresignée, écrivez à support@commentwatchdog.com depuis l'e-mail de votre compte avec l'objet « Signed DPA » et le nom légal et l'adresse de votre entreprise. Nous vous renverrons cet ATD sous forme de PDF signé, avec vos coordonnées complétées, sous cinq jours ouvrables.

Questions sur cet ATD : support@commentwatchdog.com, ou par courrier à GrowMeOrganic LLC, 30 N Gould St STE R, Sheridan, WY 82801, États-Unis.