Accord de traitement des données (DPA)

1. Présentation

Cet accord de traitement des données (« DPA ») fait partie de l'accord entre :

• Client — l'entité ou la personne qui s'inscrit pour un compte Créateur ArtInStack et accepte nos Conditions d’utilisation (« vous », « Responsable du traitement » le cas échéant) ; et
• ArtInStack (« nous », « notre société », « Sous-traitant » le cas échéant),

collectivement les « Parties ».

Ce DPA s'applique lorsque nous traitons des données personnelles en votre nom dans le cadre des Services, par exemple, lorsque vous utilisez la Plateforme pour héberger un site public, exploiter un portail client, vendre des produits à des Clients finaux, stocker des informations client/projet ou exécuter des enquêtes de conservation/terrain et des fonctionnalités de preuves.

Lorsque nous traitons des données personnelles à nos propres fins (par exemple, la facturation de votre compte, le marketing auprès de vous, l'analyse des produits sur notre site marketing ou la conformité en tant qu'opérateur de plateforme), nous agissons en tant que responsable du traitement indépendant et notre Politique de confidentialité s'applique, et non celle-ci DPA.

2. Définitions

Les termes en majuscules non définis ici ont la signification indiquée dans les Conditions ou dans la loi applicable en matière de protection des données.

• « Loi applicable sur la protection des données » désigne RGPD, UK RGPD et les lois similaires qui s'appliquent au traitement des données personnelles dans le cadre du présent DPA.
• « Données personnelles » désigne les informations relatives à une personne physique identifiée ou identifiable.
• « Client final » désigne une personne physique qui visite votre site, utilise votre portail client ou achète chez vous via les Services.
• « Sous-traitant » désigne un tiers que nous engageons pour traiter les données personnelles en votre nom.
• « Services » désigne les produits ArtInStack décrits dans les Conditions et la documentation.

3. Rôles et portée

3.1 Lorsque ce DPA s'applique (rôle de sous-traitant)

Nous agissons en tant que Sous-traitant (ou fournisseur de services sous CCPA/CPRA) lorsque nous traitons des Données personnelles sur vos instructions via les Services, notamment :

Vous êtes le Responsable du traitement de ce traitement, sauf si vous agissez en tant que sous-traitant pour une autre partie (par exemple, une agence), auquel cas vous garantissez que vous avez le pouvoir de nous désigner comme sous-traitant ultérieur.

3.2 Quand nous sommes Responsable du traitement

Nous sommes Responsable du traitement pour : l'enregistrement et l'authentification du compte ; facturation de l'abonnement à vous ; prévention de la fraude sur la Plateforme ; amélioration du produit basée sur des données agrégées/anonymisées ; et la conformité juridique liée à notre fonctionnement de la Plateforme. Consultez la Politique de confidentialité.

4. Détails du traitement

Sujet : Fourniture de la plateforme d'entreprise créative (sites Web, portfolios, livraison, commerce, cours, outils d'équipe et fonctionnalités facultatives de conservation/terrain).

Durée : Pour la durée de votre compte plus les périodes de conservation indiquées dans la Section 12.

Nature et finalité : Stockage, organisation, récupération, transmission, affichage, sauvegarde, sécurité, facilitation des paiements, routage d'exécution, affichage de la carte et géocodage selon la configuration, emballage de l'enquête de conservation et exportation facultative du registre selon vos instructions, et assistance selon la configuration de votre compte.

Catégories de personnes concernées : Clients finaux, vos clients, sujets représentés dans les médias (si identifiables), personnel de terrain et collaborateurs que vous invitez, et vos utilisateurs autorisés.

Types de données personnelles : Coordonnées, identifiants, données de commande et de livraison, utilisation/journaux liés aux identités, contenu que vous téléchargez, métadonnées d'observation et d'enquête que vous saisissez et métadonnées techniques (y compris EXIF/emplacement lorsqu'elles sont présentes et non supprimées par vos paramètres).
Catégories spéciales : Les Services ne sont pas conçus pour vous permettre de collecter des données de catégorie spéciale (santé, biométriques, etc.). Vous ne devez pas télécharger de telles données à moins de disposer d'une base légale et de garanties appropriées ; nous ne surveillons pas activement le contenu des catégories. La localisation des espèces sensibles est opérationnellement sensible et contrôlée par vos paramètres ; elle n'est pas traitée comme une catégorie spéciale RGPD uniquement parce qu'elle concerne la faune.

5. Vos responsabilités (Responsable du traitement)

Vous acceptez de :

1. Base légale — Garantir une base juridique valide (ou le consentement du client final, lorsque celui-ci est requis) pour toutes les données personnelles que vous soumettez aux Services.
2. Transparence — Fournir aux clients finaux un avis de confidentialité décrivant avec précision vos pratiques et notre rôle.
3. Instructions — Configurer les Services (visibilité, portails, paiement, paramètres géographiques, cookies, choix de publication et de masquage liés à la conservation) conformément à vos politiques. Votre utilisation des paramètres du compte et du contenu publié constitue des instructions documentées, sauf accord écrit contraire de notre part.
4. Exactitude — Maintenir les données personnelles exactes et pertinentes.
5. Demandes d’exercice des droits — Répondre aux demandes des clients finaux (accès, suppression, etc.) concernant les données dont vous êtes responsable ; nous vous assisterons conformément à la Section 10.
6. Sécurité — Utiliser des identifiants robustes, limiter les accès de l'équipe et nous informer rapidement de toute violation présumée affectant votre compte.

6. Nos obligations (Sous-traitant)

Nous nous engageons à :

1. Traitement sur instructions uniquement — Traiter les données personnelles uniquement selon vos instructions documentées conformément à la Section 5, sauf obligation légale contraire (auquel cas nous vous en informerons, sauf interdiction).
2. Confidentialité — Veiller à ce que le personnel autorisé à traiter les données personnelles soit soumis à une obligation de confidentialité.
3. Sécurité — Mettre en œuvre les mesures techniques et organisationnelles appropriées (voir Section 8).
4. Sous-traitants ultérieurs — Recourir à des sous-traitants ultérieurs uniquement dans les conditions prévues à la Section 7.
5. Assistance — Apporter une assistance raisonnable pour les analyses d'impact relatives à la protection des données et les consultations auprès des autorités de contrôle, lorsque cela est requis, compte tenu de la nature du traitement et des informations dont nous disposons.
6. Suppression/restitution — À la résiliation ou sur votre demande écrite, supprimer ou restituer les données personnelles conformément à la Section 12, sous réserve des obligations légales de conservation.
7. Informations d'audit — Mettre à disposition les informations nécessaires pour démontrer la conformité et permettre les audits décrits à la Section 11.

7. Sous-traitants

7.1 Autorisation

Vous nous fournissez une autorisation générale pour engager des sous-traitants répertoriés sur notre Liste des sous-traitants. Nous restons responsables de l’exécution par les sous-traitants de leurs obligations en matière de protection des données.

7.2 Modifications

Nous maintiendrons une liste des sous-traitants ultérieurs à jour et fournirons un avis des modifications importantes comme décrit sur cette page (généralement 30 jours avant qu'un nouveau sous-traitant traite vos données de client final). Vous pouvez vous opposer pour des motifs raisonnables liés à la protection des données en contactant [email protected] dans le délai de préavis. Si nous ne pouvons pas répondre à l'objection, vous pouvez résilier les services concernés ou votre compte comme seul recours.

7.3 Flux vers le bas

Nous imposons aux sous-traitants ultérieurs des conditions de protection des données qui sont substantiellement similaires à celles de DPA pour les obligations du sous-traitant.

8. Mesures de sécurité

Nous maintenons des mesures adaptées au risque, notamment, le cas échéant :

• Chiffrement en transit (TLS) pour les données transmises sur les réseaux publics ;
• Contrôles d'accès et authentification des systèmes de production ;
• Séparation logique des données clients dans une architecture multi-tenant ;
• Procédures de sauvegarde et de récupération ;
• Processus de surveillance et de réponse aux incidents ; et
• Examen des fournisseurs pour les sous-traitants à haut risque.

Aucune sécurité n’est parfaite. Vous êtes responsable des informations d'identification, des autorisations de l'équipe et de la configuration (par exemple, albums publics ou privés, codes d'accès au portail, rédaction géographique et choix de publication).

Notification d'incident : Si nous prenons connaissance d'une violation de données personnelles affectant les données de votre client final sous notre garde en tant que sous-traitant, nous vous en informerons sans délai injustifié et vous fournirons les informations raisonnablement disponibles pour vous aider à remplir vos obligations. Nous n’informerons pas les clients finaux en votre nom, sauf accord ou exigence légale.

9. Transferts internationaux

Les données personnelles peuvent être traitées aux États-Unis et dans d'autres pays où nous ou les sous-traitants ultérieurs opérons. Lorsque la loi applicable sur la protection des données exige des garanties pour les transferts depuis l'EEE/le Royaume-Uni/la Suisse, nous nous appuyons sur :

• Clauses contractuelles types (EU Commission 2021/914, le cas échéant), incorporées par référence et complétées comme suit :
  • Module Two (Responsable du traitement à Sous-traitant) s'applique aux transferts de vous (Responsable du traitement) vers nous (Sous-traitant) ;
  • Module Three (Sous-traitant à Sous-traitant) s'applique aux transferts de notre part vers les sous-traitants ultérieurs lorsque cela est nécessaire ;
• l'Addendum sur le transfert international de données au Royaume-Uni (où UK RGPD s'applique) ; et
• des mesures supplémentaires que nous mettons raisonnablement en œuvre lorsque les régulateurs l'exigent.

[Counsel: attach executed SCC annex or link to downloadable PDF.]

Stripe et d'autres prestataires de paiement/d'exécution peuvent transférer des données dans le cadre de leurs propres cadres de conformité lorsqu'ils agissent en tant que responsables du traitement indépendants ou sous-traitants ultérieurs dans les flux de paiement.

10. Droits des personnes concernées

Nous vous informerons dans les plus brefs délais si nous recevons une demande d'un client final visant à exercer ses droits en vertu de la loi applicable sur la protection des données, sauf interdiction légale.

Vous êtes responsable de répondre. Nous fournirons une assistance raisonnable (par exemple, des outils d'exportation ou de suppression dans le tableau de bord, ou une assistance manuelle pour les demandes complexes) sans frais supplémentaires pour les demandes standard, ou à des tarifs convenus pour les demandes excessives ou répétitives.

Notre Politique de confidentialité décrit les droits relatifs à votre données de compte en tant que client.

11. Audits

Sur demande écrite pas plus de une fois tous les 12 mois (sauf si requis par une autorité de contrôle ou après un incident de sécurité important), vous pouvez demander des informations pour vérifier notre conformité à ce DPA. Nous pouvons satisfaire cela à travers :

• les réponses à un questionnaire de sécurité raisonnable ;
• résumé des certifications tierces ou des rapports d'audit (si disponibles) ; ou
• un audit sur site ou à distance sous NDA mutuelle, programmé à l'avance, pendant les heures de bureau, et sans perturbation déraisonnable.

Si vous avez besoin d'un audit sur site non couvert ci-dessus, vous en supportez le coût, sauf si nous sommes en violation substantielle.

12. Conservation et suppression

Pendant la durée : Nous conservons les données personnelles traitées en votre nom pendant que votre compte est actif et si nécessaire pour fournir les services.

Après une demande de résiliation ou de suppression :

• Nous supprimerons ou anonymiserons les données du client final et du contenu dans les [30–90] jours après la suppression du compte, à l'exception des données que nous devons conserver en vertu de la loi ou pour des réclamations légales légitimes (par exemple, enregistrements de facturation, prévention de la fraude).
• Les sauvegardes peuvent persister pendant une période limitée avant d'être écrasées.
• Vous devez exporter les données avant de les supprimer à l'aide des outils d'exportation disponibles.

Conservations légales : Nous pouvons conserver des données si la loi ou une demande gouvernementale l'exige.

13. Responsabilité

La responsabilité découlant de ce DPA est soumise aux dispositions de limitation de responsabilité et d'indemnisation des Conditions d’utilisation, sauf lorsque la loi applicable sur la protection des données interdit une telle limitation pour les sanctions imposées au sous-traitant ou les dommages directs exigés par la loi.

La responsabilité globale de chaque partie en vertu du présent DPA suit les conditions, sauf indication contraire dans un accord d'entreprise signé distinct.

14. CCPA / CPRA (conditions du fournisseur de services)

Dans la mesure où le CCPA/CPRA s'applique, nous agissons en tant que votre fournisseur de services pour les données personnelles que nous traitons en votre nom. Nous ne :

• Vendre ou partager des données personnelles (telles que définies par CPRA) à des fins de publicité comportementale intercontextuelle ;
• conserver, utiliser ou divulguer des données personnelles à toute fin autre que la fourniture des services spécifiés dans les conditions et dans le présent DPA (et comme autorisé par CPRA pour les fournisseurs de services) ; ou
• combiner les données personnelles avec des données provenant d'autres sources, sauf dans la mesure autorisée par les prestataires de services.

Vous déclarez que vous fournissez tous les avis de collecte et droits de désinscription requis aux résidents de Californie pour vos propres pratiques.

15. Ordre de préséance

En cas de conflit entre ce DPA et les Conditions concernant le traitement des données personnelles du client final, ce DPA contrôle. Pour toutes les autres questions, les Conditions contrôlent.

Un accord d'entreprise signé ou un bon de commande avec des conditions de protection des données personnalisées prévaut sur ce site web DPA pour le client signataire.

16. Durée et mises à jour

Ce DPA entre en vigueur à la Date d'entrée en vigueur ci-dessus et se poursuit pendant que vous utilisez les Services. Nous pouvons mettre à jour ce DPA pour refléter des modifications juridiques ou des produits. Les modifications importantes seront publiées avec une nouvelle date d’entrée en vigueur et, si nécessaire, un préavis supplémentaire. L’utilisation continue après la date d’entrée en vigueur constitue une acceptation là où cela est autorisé.

17. Comment exécuter ou demander une copie signée

• Clients standards : L'acceptation des conditions intègre ce DPA par référence.
• Clients entreprises/agences/studios de l'UE : Contactez [email protected] pour obtenir un PDF contresigné, une exposition SCC personnalisée ou un questionnaire de sécurité.

ArtInStack

DPA et confidentialité : [email protected]