Accord de sous-traitance des données

• Objet : mesure d’audience des sites et applications du responsable de traitement.
• Durée : la durée du contrat, puis le délai de suppression prévu à la section « Fin du contrat ».
• Nature : collecte via le traceur ou l’API, enrichissement (localisation à la ville, navigateur, canal, logo du site de provenance à partir de son seul nom de domaine), stockage, agrégation, affichage, alertes, export et suppression.
• Finalité : fournir au responsable de traitement des statistiques sur la fréquentation de ses sites.
• Données : pages vues et événements, horodatage, identifiants de visite et de visiteur (empreinte quotidienne par défaut), provenance et campagnes, pays, région, ville et coordonnées de la ville, navigateur, système, type d’appareil, taille d’écran, langue, engagement, performances et erreurs techniques, propriétés et revenus envoyés par le site ; et, si le responsable les active, identifiant aléatoire persistant (data-persist) et identifiant d’utilisateur et traits (identify()). L’adresse IP n’est traitée qu’en mémoire et n’est jamais enregistrée.
• Personnes concernées : les visiteurs des sites du responsable de traitement et, s’il utilise identify(), ses utilisateurs.
• Catégories particulières : aucune. Le responsable s’interdit d’en envoyer (art. 9 et 10 RGPD).

Penra ne traite les données que sur instruction documentée du responsable : ces conditions, la configuration de chaque site dans le tableau de bord (exclusions, conservation, options de suivi) et les appels à l’API. Il n’utilise jamais les données pour son propre compte, ne les vend pas et ne les croise pas avec d’autres sources. Il informe immédiatement le responsable si une instruction lui paraît contraire au RGPD, et le prévient avant tout traitement imposé par le droit de l’Union ou d’un État membre, sauf interdiction légale. Les données envoyées vers des destinations que le responsable configure lui-même (webhooks d’alerte, exports, clients de l’API et du serveur MCP, liens de partage publics) le sont sur ses instructions et sous sa responsabilité ; ces destinataires ne sont pas des sous-traitants ultérieurs.

Seules les personnes habilitées qui en ont besoin accèdent aux données ; elles sont tenues à une obligation de confidentialité contractuelle ou légale.

Le sous-traitant met en œuvre les mesures techniques et organisationnelles de l’article 32 du RGPD décrites en annexe 1, et les adapte à l’état de l’art sans en réduire le niveau global.

Le responsable donne une autorisation générale au recours aux sous-traitants ultérieurs listés en annexe 2 et sur la page Sous-traitants.

• Tout ajout ou remplacement est notifié au moins 30 jours à l’avance, par e-mail au titulaire du compte et sur cette page.
• Le responsable peut s’y opposer pour un motif raisonnable lié à la protection des données pendant ce délai. À défaut de solution, il peut résilier le service concerné sans pénalité, avec remboursement de la période prépayée non utilisée.
• Chaque sous-traitant ultérieur est soumis par contrat à des obligations au moins équivalentes ; Penra reste responsable envers le responsable de traitement de leur exécution.

Les données sont stockées dans l’Union européenne (AWS eu-west-1, Irlande) et traitées par des fonctions exécutées à Dublin. Tout accès depuis un pays tiers par un sous-traitant ultérieur est encadré par les clauses contractuelles types de la Commission (décision 2021/914) ou une décision d’adéquation (EU-U.S. Data Privacy Framework pour les entreprises certifiées).

• Droits des personnes : le tableau de bord fournit les outils nécessaires (export des données brutes, durée de conservation par site, suppression de toutes les données d’un site). Toute demande reçue directement est transmise au responsable sous 5 jours ouvrés, sans y répondre à sa place.
• Le sous-traitant fournit les informations utiles aux analyses d’impact (art. 35) et aux consultations préalables (art. 36), et coopère avec l’autorité de contrôle.
• Il tient le registre des activités de traitement effectuées pour le compte de ses clients (art. 30.2).

Le sous-traitant notifie au responsable toute violation de données à caractère personnel dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par e-mail au titulaire du compte. La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises ou proposées ; les informations manquantes sont communiquées dès qu’elles sont connues. Contact sécurité : security@globatics.live.

Avant la fin du contrat, le responsable peut récupérer ses données (exports CSV, JSON et JSONL). À la suppression d’un site ou du compte, les données sont effacées immédiatement de la base de production, et des sauvegardes dans un délai de 30 jours, sauf obligation légale de conservation. Pendant le contrat, les événements bruts sont purgés automatiquement selon la durée choisie pour chaque site (760 jours par défaut) ; les « moments » du direct sont effacés après 7 jours et le journal des envois de webhooks après 30 jours.

Le sous-traitant met à disposition les informations nécessaires pour démontrer le respect de cet accord, d’abord sous forme documentaire (réponses à un questionnaire, attestations de ses sous-traitants ultérieurs). Le responsable, ou un auditeur indépendant tenu au secret qu’il mandate, peut réaliser un audit une fois par an, ou après une violation, avec un préavis de 30 jours, à ses frais et sans perturber le service ni compromettre les données des autres clients.

Minimisation

Adresse IP jamais enregistrée ; sel aléatoire renouvelé chaque jour (seuls ceux du jour et de la veille sont conservés) ; agent utilisateur brut non conservé ; paramètres d’URL supprimés hors UTM ; libellés de clics tronqués, chiffres et e-mails masqués ; respect de Global Privacy Control.

Chiffrement

TLS sur toutes les connexions, HSTS ; chiffrement au repos de la base et des sauvegardes par l’hébergeur.

Contrôle d’accès

Rôle applicatif à privilèges minimaux, sécurité au niveau des lignes, schéma non exposé ; mots de passe hachés (scrypt), jetons et clés API stockés hachés ; double authentification ; limitation des tentatives et verrouillage.

Cloisonnement

Données rattachées à un site ; autorisation vérifiée à chaque requête ; liens de partage en lecture seule et sans données d’identification.

Traçabilité

Journal de sécurité des comptes conservé 90 jours ; journalisation des erreurs serveur.

Disponibilité

Hébergement et base de données managés, sauvegardes selon l’offre de l’hébergeur (conservées 30 jours au plus) ; migrations transactionnelles ; contrôles de santé après chaque déploiement.

Conservation et effacement

Purge automatique selon la durée réglée par site ; suppression d’un site ou d’un compte en une transaction.

Organisation

Accès production limité aux personnes habilitées ; sous-traitants ultérieurs liés par un DPA ; tests automatisés et mises à jour de sécurité des dépendances.

Les autres prestataires de la page Sous-traitants (paiement, connexion Google, assistant IA, protection anti-robots de l’inscription) ne reçoivent aucune donnée personnelle de visiteurs (l’assistant IA ne reçoit que des statistiques agrégées). Les services d’icônes interrogés pour afficher le logo d’un site de provenance ne reçoivent que son nom de domaine, jamais une donnée rattachée à un visiteur.