Accord de traitement des données (DPA)

3.1 Nature et finalité du traitement

TrustyData traite les données transmises par le Responsable du traitement exclusivement aux fins suivantes :

• Autocomplétion et suggestion d'adresses
• Validation d'adresses postales françaises
• Géocodage (coordonnées GPS WGS84 et Lambert 93)
• Recherche de localités (traitement des termes de recherche transmis)
• Géocodage territorial (rattachement IRIS INSEE)
• Enrichissement socio-démographique (données carroyage INSEE)
• Recherche d'entreprises et d'établissements (traitement des termes de recherche et identifiants transmis)
• Calcul d'itinéraire et matrice de distances (traitement des adresses et coordonnées d'origine et de destination transmises)

TrustyData traite les données déposées par le Responsable du traitement à la seule fin d'héberger ses référentiels du service Mes lieux, de les lui restituer, d'y exécuter les recherches de proximité qu'il demande, de résoudre en coordonnées les adresses qu'il fournit, et d'en assurer la sauvegarde.

3.2 Types de données personnelles traitées

Le présent DPA distingue deux catégories de données, selon le service concerné :

• Les données transmises — adressées par le Responsable du traitement dans le corps d'une requête pour obtenir un résultat, traitées puis écartées.
• Les données déposées — chargées par le Responsable du traitement dans un référentiel du service Mes lieux pour y être conservées et lui être restituées.

Données transmises. Les catégories susceptibles d'être transmises incluent :

• Adresses postales (numéro, voie, code postal, commune)
• Noms et prénoms (lorsque associés à une adresse dans la requête)
• Termes de recherche d'entreprises (dénominations, identifiants SIREN/SIRET), lorsqu'ils désignent un entrepreneur individuel

Données déposées. Les catégories susceptibles d'être déposées dans un référentiel du service Mes lieux incluent :

• Adresses postales et coordonnées géographiques des lieux référencés
• Coordonnées de contact associées à un lieu (numéro de téléphone, adresse e-mail), lorsqu'elles permettent d'identifier une personne physique
• Intitulés, descriptions, étiquettes et horaires associés à un lieu
• Toute donnée que le Responsable du traitement choisit de consigner dans les champs de données libres d'un référentiel

3.3 Catégories de personnes concernées

Les personnes concernées par le traitement sont déterminées par le Responsable du traitement et peuvent inclure :

• Ses clients et prospects
• Ses employés et collaborateurs
• Ses fournisseurs et partenaires
• Toute personne physique dont les données sont soumises aux Services

S'agissant des données déposées, les personnes concernées comprennent en outre les exploitants, responsables et personnels des lieux référencés, lorsque les coordonnées de contact associées à un lieu permettent de les identifier.

3.4 Durée du traitement

Données transmises. Elles sont traitées en mémoire vive pendant la durée strictement nécessaire au traitement de la requête API (typiquement inférieure à 500 millisecondes). Aucune donnée transmise dans le corps des requêtes n'est stockée, mise en cache ou conservée par TrustyData au-delà du temps de traitement.

Données déposées. Elles sont conservées pendant toute la durée du contrat, pour permettre au Responsable du traitement de les consulter, de les modifier et d'y effectuer des recherches. Elles font l'objet d'une sauvegarde quotidienne dont la rétention est de trente (30) jours. À la fin du contrat, elles sont supprimées dans les conditions de l'article 4.7.

Logs techniques. Les logs conservés par TrustyData (12 mois glissants) ne contiennent pas les données transmises dans le corps des requêtes, mais uniquement des métadonnées techniques (clé API, horodatage, endpoint appelé, code de réponse, temps de traitement, adresse IP d'appel).

4.1 Instructions documentées

TrustyData s'engage à traiter les Données personnelles uniquement sur instruction documentée du Responsable du traitement. Les présentes CGU et ce DPA constituent les instructions initiales. Toute instruction complémentaire devra être communiquée par écrit.

Si TrustyData estime qu'une instruction constitue une violation du RGPD ou de toute autre disposition du droit de l'Union ou du droit français en matière de protection des données, elle en informera immédiatement le Responsable du traitement.

4.2 Confidentialité

TrustyData veille à ce que les personnes autorisées à traiter les Données personnelles :

• Se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité
• Ne traitent les données que conformément aux instructions du Responsable du traitement

4.3 Mesures de sécurité

TrustyData met en œuvre les mesures techniques et organisationnelles appropriées suivantes pour assurer la sécurité des Données personnelles :

Mesures techniques :

• Chiffrement de toutes les communications via HTTPS/TLS 1.2 minimum
• Hébergement sur infrastructure OVH certifiée ISO 27001, SOC 1/2 et HDS
• Traitement des données transmises en mémoire vive, sans persistance sur disque
• Cloisonnement des données déposées par compte, détaillé à l'annexe A
• Clés API chiffrées et hachées en base de données
• Sauvegardes régulières et chiffrées des données d'infrastructure
• Surveillance continue de la disponibilité et des anomalies
• Protection contre les attaques DDoS et les injections

Mesures organisationnelles :

• Accès aux systèmes de production limité au strict nécessaire (principe du moindre privilège)
• Authentification forte pour l'accès aux serveurs de production
• Revue régulière des accès et des permissions
• Procédure documentée de gestion des incidents de sécurité
• Sensibilisation du personnel aux bonnes pratiques de protection des données

4.4 Sous-traitance ultérieure

TrustyData fait appel aux sous-traitants ultérieurs suivants pour la fourniture des Services :

TrustyData s'engage à :

• Informer le Responsable du traitement de tout changement envisagé concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, en lui laissant un délai de 30 jours pour émettre des objections
• Imposer à tout sous-traitant ultérieur, par contrat, les mêmes obligations de protection des données que celles prévues au présent DPA
• Demeurer pleinement responsable vis-à-vis du Responsable du traitement de l'exécution des obligations du sous-traitant ultérieur

En cas d'objection motivée du Responsable du traitement concernant un nouveau sous-traitant ultérieur, les parties se concerteront de bonne foi pour trouver une solution. À défaut d'accord dans un délai de 30 jours, le Responsable du traitement pourra résilier les Services sans pénalité.

Précision importante : Les sous-traitants Matomo, Make, HubSpot et Scalekit mentionnés dans la Politique de confidentialité interviennent pour le traitement des données de compte, d'audience, de relation client et d'authentification (TrustyData agissant alors en qualité de responsable du traitement). Ils ne sont impliqués ni dans le traitement des données transmises, ni dans l'hébergement des données déposées.

4.5 Assistance au Responsable du traitement

TrustyData assiste le Responsable du traitement, dans la mesure du possible et compte tenu de la nature du traitement, pour :

• Droits des personnes concernées (articles 15 à 22 du RGPD) : les demandes d'exercice de droits (accès, rectification, effacement, portabilité) doivent être adressées directement au Responsable du traitement. S'agissant des données transmises, TrustyData ne les conserve pas et n'est pas en mesure d'y répondre. S'agissant des données déposées, le Responsable du traitement y accède, les rectifie et les efface lui-même depuis l'Espace Client et par l'API. TrustyData collaborera avec lui si une assistance technique est nécessaire.
• Obligations de sécurité (article 32 du RGPD) : TrustyData fournira au Responsable du traitement les informations nécessaires pour l'aider à respecter ses obligations en matière de sécurité des traitements.
• Analyses d'impact (articles 35 et 36 du RGPD) : TrustyData fournira au Responsable du traitement les informations raisonnablement nécessaires pour réaliser une analyse d'impact relative à la protection des données (AIPD), si le traitement effectué via les Services l'exige.

4.6 Notification des violations de données

En cas de Violation de données affectant les Données personnelles traitées pour le compte du Responsable du traitement, TrustyData s'engage à :

• Notifier le Responsable du traitement dans un délai de 48 heures après avoir pris connaissance de la violation
• Fournir les informations suivantes, dans la mesure où elles sont disponibles :
  • La nature de la violation, y compris les catégories et le nombre approximatif de personnes concernées
  • Les conséquences probables de la violation
  • Les mesures prises ou envisagées pour remédier à la violation et en atténuer les effets
  • Le nom et les coordonnées du point de contact chez TrustyData
• Documenter la violation dans un registre interne conformément à l'article 33.5 du RGPD
• Coopérer avec le Responsable du traitement pour l'aider à remplir ses obligations de notification auprès de la CNIL et des personnes concernées

4.7 Sort des données en fin de contrat

À la résiliation ou à l'expiration des Services :

• Données transmises — n'ayant pas été conservées, il n'y a pas de données à restituer ou à supprimer à ce titre
• Données déposées — elles restent récupérables par le Responsable du traitement pendant trente (30) jours à compter de la fin du contrat, sur demande écrite. À l'issue de ce délai, TrustyData les supprime ; les sauvegardes qui les contiennent sont purgées dans les trente (30) jours qui suivent cette suppression
• Les logs techniques contenant des métadonnées (sans données personnelles des requêtes) seront supprimés selon le calendrier prévu à la Politique de confidentialité (12 mois glissants)
• Les données de compte de l'Utilisateur seront traitées conformément aux durées de conservation indiquées dans la Politique de confidentialité
• Sur demande écrite du Responsable du traitement, TrustyData fournit une attestation de non-conservation des données transmises et, lorsque le service Mes lieux a été utilisé, une attestation de suppression des données déposées indiquant la date de cette suppression et celle de la purge des sauvegardes

6.1 Informations et documentation

TrustyData met à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD, notamment :

• Le présent DPA
• La Politique de confidentialité
• La documentation technique des Services
• Les certifications de l'hébergeur (OVH : ISO 27001, SOC 1/2, HDS)

6.2 Audits

Le Responsable du traitement a le droit de réaliser ou de faire réaliser par un auditeur tiers indépendant des audits, y compris des inspections, pour vérifier le respect du présent DPA, sous réserve des conditions suivantes :

• La demande d'audit est notifiée par écrit avec un préavis minimum de 30 jours
• L'audit est réalisé pendant les heures ouvrables et de manière à ne pas perturber les activités de TrustyData
• L'auditeur tiers est soumis à des obligations de confidentialité appropriées
• La fréquence des audits est limitée à une fois par an, sauf en cas de Violation de données ou d'obligation réglementaire justifiant un audit supplémentaire
• Les frais de l'audit sont à la charge du Responsable du traitement

TrustyData pourra proposer de satisfaire la demande d'audit par la fourniture d'un rapport d'audit tiers existant ou d'une certification à jour, si cela répond aux besoins du Responsable du traitement.

7.1 Principe

Les données transmises via l'API et le Serveur MCP sont traitées exclusivement sur des serveurs situés en France, hébergés par OVH SAS. Les données déposées dans les référentiels du service Mes lieux sont hébergées, et leurs sauvegardes conservées, sur des serveurs situés en France, dans les conditions détaillées à l'annexe B. Aucun transfert hors de l'Union européenne n'est effectué, ni pour les unes ni pour les autres.

7.2 Évolution

En cas de nécessité future de transférer des Données personnelles vers un pays tiers, TrustyData s'engage à :

• Informer préalablement le Responsable du traitement
• Mettre en place les garanties appropriées prévues au chapitre V du RGPD (décision d'adéquation, clauses contractuelles types de la Commission européenne, ou autre mécanisme de transfert reconnu)
• Obtenir l'accord préalable du Responsable du traitement avant tout transfert

9.1 Responsabilité de TrustyData

La responsabilité de TrustyData au titre du présent DPA est soumise aux limitations prévues dans les CGU. TrustyData est responsable des dommages causés par un traitement effectué en violation du RGPD ou du présent DPA.

9.2 Responsabilité du Responsable du traitement

Le Responsable du traitement demeure pleinement responsable de la licéité du traitement des Données personnelles qu'il transmet à TrustyData, y compris du respect de la base légale applicable et de l'information des personnes concernées.