Accord de traitement des données

Le présent accord est conclu entre le client identifié lors de l’inscription (“Client”) et entité juridique à compléter exploitant TheStakk (“TheStakk”).

La répartition des rôles est tout l’enjeu de ce document. Pour les contenus soumis aux applications, vous êtes responsable du traitement et nous sommes sous-traitant ; pour les données de votre propre compte, nous sommes responsable du traitement indépendant.

Chaîne de l’agence. Lorsque le Client est une agence qui met à disposition des espaces clients : l’agence est, vis-à-vis de son client final, responsable du traitement ou sous-traitant selon le contrat qui les lie ; TheStakk agit sur les instructions documentées de l’agence en tant que sous-traitant, ou sous-traitant ultérieur lorsque l’agence est elle-même sous-traitant. L’agence garantit qu’elle dispose de la base légale et de la chaîne contractuelle — ses propres conditions, sa politique de confidentialité et, le cas échéant, son propre accord de traitement des données avec son client — pour donner licitement des instructions à TheStakk. Les clients finaux ne sont pas parties au présent accord.

Le traitement porte sur l’hébergement, l’exécution, la mesure de consommation et la restitution des contenus soumis aux applications, pendant toute la durée du compte, dans le seul but de fournir le service décrit dans les Conditions.

• Catégories de données. Tout contenu que le Client ou ses utilisateurs choisissent de soumettre — textes, documents, médias, données de comptes connectés —, les résultats d’exécution et les métadonnées techniques de chaque exécution.
• Personnes concernées. Le personnel du Client, ses clients et leur personnel, ainsi que toute personne mentionnée dans les contenus soumis.

TheStakk ne traite les contenus que sur instructions documentées du Client — les Conditions, le présent accord et les actions effectuées dans le produit : lancer une application constitue une instruction —, sauf si le droit de l’Union ou le droit français en dispose autrement, auquel cas TheStakk en informe le Client avant le traitement, à moins que ce droit ne l’interdise.

TheStakk informe le Client si, selon lui, une instruction constitue une violation du RGPD.

Les personnes autorisées à traiter les contenus sont soumises à une obligation de confidentialité, n’y accèdent que dans la stricte mesure du nécessaire, et jamais en dehors du scénario d’assistance que décrit la Politique de confidentialité — demande explicite, durée limitée, accès journalisé.

Article 32. Mesures en vigueur, détaillées dans la Documentation sécurité et résumées ici sous forme d’engagements contraignants.

TheStakk maintient et améliore ces mesures et ne réduit pas le niveau global de protection pendant la durée du contrat.

Le Client accorde une autorisation générale de recourir à des sous-traitants ultérieurs pour l’hébergement, l’inférence des modèles, le traitement des paiements et l’e-mail transactionnel. La liste en vigueur — nom, rôle, localisation — est publiée et versionnée sur la page Sous-traitants.

TheStakk informe les clients avant tout ajout ou remplacement d’un sous-traitant ultérieur ; le Client peut s’y opposer par écrit dans un délai de 15 jours pour des motifs raisonnables liés à la protection des données et, si aucune solution de contournement n’est trouvée, résilier le service concerné sans pénalité. TheStakk impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent accord et demeure pleinement responsable de leur exécution.

L’hébergement et le traitement ont lieu au sein de l’Union européenne. prestataires et régions à compléter — doivent correspondre à la section 05 de la Politique de confidentialité.

Lorsqu’un sous-traitant ultérieur traite des données hors de l’UE, le transfert est encadré par les clauses contractuelles types de la Commission européenne, complétées le cas échéant par des mesures supplémentaires, comme indiqué dans la liste des sous-traitants ultérieurs.

Compte tenu de la nature du traitement, TheStakk aide le Client :

• Demandes des personnes concernées. Les fonctions d’export, de rectification et de suppression du produit constituent le premier niveau de réponse ; les demandes adressées directement à TheStakk sont transmises au Client dans les meilleurs délais.
• Sécurité, notification des violations, AIPD et consultations préalables — articles 32 à 36 — en fournissant les informations dont il dispose.

TheStakk notifie au Client, dans les meilleurs délais après en avoir pris connaissance, toute violation de données à caractère personnel affectant les contenus du Client, avec les informations exigées par l’article 33(3) — nature, catégories et nombre approximatif, conséquences probables, mesures prises —, complétées au fur et à mesure de l’enquête.

La notification aux autorités et aux personnes concernées demeure une décision et une obligation du responsable du traitement.

À tout moment pendant la durée du contrat, le Client peut exporter lui-même ses contenus et son historique d’exécution dans un format lisible par machine.

À la fin du service, TheStakk supprime les contenus dans les délais fixés à la section 06 de la Politique de confidentialité délais à y confirmer, à l’exception de ce que le droit français impose de conserver — les pièces de facturation et les enregistrements d’exécution qui les justifient. La suppression s’étend aux sauvegardes, selon le cycle de rotation décrit dans la Politique de confidentialité.

TheStakk met à disposition les informations nécessaires pour démontrer la conformité : le présent accord, la Documentation sécurité, la liste des sous-traitants ultérieurs, ainsi que les certifications ou synthèses d’audits tiers lorsqu’elles existent statut SOC2 / ISO : aucun à ce stade.

Le Client peut procéder à un audit une fois par période de douze mois, moyennant un préavis écrit de 30 jours, pendant les heures ouvrées, sans accès aux données des autres clients, à ses propres frais, d’abord au moyen de questionnaires écrits, et sur site uniquement s’il est démontré que les questionnaires sont insuffisants.

La responsabilité au titre du présent accord suit le plafond et les exclusions prévus par les Conditions générales, sans préjudice de l’article 82 du RGPD.