Accord de traitement des données

En clair. Lorsque nous hébergeons votre site internet ou vous transmettons les messages envoyés via ses formulaires, nous traitons pour vous les données personnelles de vos clients. Vous restez aux commandes en tant que « responsable du traitement ». Nous agissons uniquement sur vos instructions, en tant que « sous-traitant ». Nous protégeons les données et ne faisons appel qu’aux prestataires figurant sur notre liste des sous-traitants. Nous vous prévenons 30 jours avant d’en ajouter un nouveau. Nous vous informons de toute violation de données dans les meilleurs délais, avec pour objectif de le faire sous 48 heures. Nous vous aidons à répondre aux demandes de vos clients, et nous supprimons ou restituons les données dans les 30 jours suivant la fin de notre mission. Ce sont les clauses numérotées ci-dessous qui ont valeur contractuelle.

1. À propos du présent accord

1.1 Le présent accord de traitement des données (le « DPA ») constitue l’annexe 3 de nos Conditions générales. Il est conclu entre Northpin Studio (un studio indépendant ; la personne qui le dirige est nommée dans le bon de commande) (« nous »), et l’entreprise désignée dans le bon de commande (« vous »).

1.2 Il s’applique chaque fois que nous traitons des Données personnelles du Client pour votre compte dans le cadre des services prévus par votre bon de commande. Par exemple, lorsque nous hébergeons votre site internet, vous transmettons les messages envoyés via ses formulaires, conservons des sauvegardes, effectuons des modifications dans le cadre d’un forfait d’entretien ou vous remettons votre site.

1.3 Il fait partie du Contrat dès que vous signez le bon de commande : vous n’avez donc pas à le signer séparément. Il constitue le contrat écrit exigé par l’article 28(3) et 28(9) du UK GDPR (la version britannique du RGPD) et, lorsqu’il s’applique, du RGPD de l’UE.

2. Définitions

2.1 Les termes définis dans les Conditions générales ont le même sens dans le présent DPA. En outre :

« Contrat » désigne votre bon de commande, nos Conditions générales et leurs annexes.
« Données personnelles du Client » désigne les données personnelles que nous traitons pour votre compte dans le cadre du Contrat, telles que décrites à l’annexe 1.
« Lois sur la protection des données » désigne le UK GDPR, le Data Protection Act 2018 (la loi britannique sur la protection des données, telle que modifiée, notamment par le Data (Use and Access) Act 2025), les Privacy and Electronic Communications Regulations 2003 (la réglementation britannique sur la vie privée et les communications électroniques) et, lorsqu’ils s’appliquent au traitement, le RGPD de l’UE (règlement (UE) 2016/679) et les lois nationales transposant la directive européenne ePrivacy.
« Violation de données personnelles » désigne une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération ou la divulgation non autorisée de Données personnelles du Client, ou l’accès non autorisé à celles-ci.
« Sous-traitant ultérieur » désigne tout autre sous-traitant auquel nous faisons appel pour traiter des Données personnelles du Client.
« Clauses de transfert » désigne, selon le cas : l’accord de transfert international de données (International Data Transfer Agreement) publié par l’Information Commissioner du Royaume-Uni (l’« IDTA ») ; l’avenant de transfert international de données (International Data Transfer Addendum) aux clauses contractuelles types de l’UE, publié par l’Information Commissioner du Royaume-Uni (l’« UK Addendum ») ; et les clauses contractuelles types approuvées par la décision d’exécution (UE) 2021/914 de la Commission (les « CCT de l’UE »).
« Jour ouvré » désigne tout jour du lundi au vendredi, à l’exception des jours fériés en Angleterre.

2.2 Les termes « responsable du traitement », « sous-traitant », « personne concernée », « données personnelles », « traitement » et « autorité de contrôle » ont le sens que leur donnent les Lois sur la protection des données.

3. Rôles et champ d’application

3.1 Pour les Données personnelles du Client, vous êtes le responsable du traitement et nous sommes votre sous-traitant.

3.2 Pour les données personnelles que nous utilisons pour gérer notre propre entreprise, comme les coordonnées de vos salariés, nos e-mails avec vous et nos documents de facturation, nous sommes responsable du traitement, et non votre sous-traitant. Notre politique de confidentialité couvre ces données.

3.3 L’annexe 1 précise l’objet et la durée du traitement, sa nature et sa finalité, les types de données personnelles et les catégories de personnes concernées.

4. Instructions et confidentialité

4.1 Nous traitons les Données personnelles du Client uniquement sur vos instructions documentées, y compris en ce qui concerne les transferts hors du Royaume-Uni ou de l’Espace économique européen, sauf si la loi nous impose de procéder autrement. Dans ce cas, nous vous en informerons avant le traitement, sauf si la loi interdit une telle information pour des motifs importants d’intérêt public.

4.2 Vos instructions sont constituées par le Contrat et par toute autre instruction que vous nous donnez par écrit. Un e-mail envoyé par un contact désigné dans votre bon de commande vaut écrit. Les instructions qui modifient le périmètre ou le coût de nos services suivent la procédure de modification prévue par les Conditions générales.

4.3 Nous vous informerons immédiatement si nous estimons qu’une instruction enfreint les Lois sur la protection des données. Nous pourrons suspendre l’exécution de cette instruction jusqu’à ce que vous la confirmiez ou la modifiiez.

4.4 Toute personne que nous autorisons à traiter des Données personnelles du Client, qu’il s’agisse de nous-mêmes ou d’un prestataire indépendant travaillant sur votre projet, est tenue à une obligation de confidentialité. Elle n’a accès qu’aux données nécessaires à sa mission.

5. Sécurité

5.1 Nous mettrons en œuvre les mesures techniques et organisationnelles appropriées pour protéger les Données personnelles du Client, comme l’exige l’article 32. Nous tiendrons compte de l’état des connaissances, des coûts, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des personnes. L’annexe 2 énumère les mesures minimales que nous appliquons.

5.2 Nous pouvons faire évoluer nos mesures au fil du temps, mais sans jamais abaisser le niveau global de protection.

6. Sous-traitants ultérieurs

6.1 Vous nous donnez une autorisation écrite générale pour faire appel aux sous-traitants ultérieurs figurant sur notre liste des sous-traitants à la date à laquelle vous signez le bon de commande. Vous autorisez également tout prestataire indépendant désigné dans votre bon de commande ou que vous approuvez ultérieurement par écrit.

6.2 Nous vous enverrons un e-mail au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur qui traite des Données personnelles du Client. Cet e-mail indiquera de qui il s’agit, ce qu’il fera et où il traitera les données. Nous mettrons la liste à jour en même temps.

6.3 Vous pouvez vous y opposer pour des motifs raisonnables liés à la protection des données, en nous écrivant par e-mail dans ce délai de 30 jours. Nous en discuterons avec vous de bonne foi et nous efforcerons de vous proposer une solution de remplacement raisonnable. Si nous ne parvenons pas à trouver une solution, vous pouvez mettre fin aux services concernés par notification écrite avant que le changement ne prenne effet. Nous vous rembourserons les sommes versées d’avance pour la période postérieure à la fin de ces services, et aucuns frais de sortie anticipée ni aucun paiement restant au titre de la durée minimale d’engagement ne s’appliqueront à ces services. Cela n’annule pas les sommes dues au titre d’une Création. Pour une formule sans frais de création, la clause 10.9 des Conditions générales s’applique.

6.4 Si nous devons remplacer un sous-traitant ultérieur en urgence, par exemple pour des raisons de sécurité ou parce qu’un prestataire cesse son service, nous pouvons vous prévenir dans un délai plus court. Nous vous informerons dès que possible, et votre droit d’opposition prévu à la clause 6.3 continue de s’appliquer.

6.5 Nous conclurons avec chaque sous-traitant ultérieur un contrat écrit assurant aux Données personnelles du Client une protection au moins équivalente à celle du présent DPA, y compris des garanties suffisantes en matière de sécurité. Nous restons pleinement responsables envers vous de la manière dont nos sous-traitants ultérieurs respectent ces obligations.

7. Transferts internationaux

7.1 Nous sommes établis au Royaume-Uni. Lorsque le RGPD de l’UE s’applique à vos données et que vous nous les transmettez, ce transfert est couvert par la décision d’adéquation de la Commission européenne concernant le Royaume-Uni. Si cette décision cesse de s’appliquer, les CCT de l’UE (module 2, de responsable du traitement à sous-traitant) s’appliqueront entre nous ; elles sont intégrées par référence au présent DPA.

7.2 Nous ne transférerons des Données personnelles du Client hors du Royaume-Uni et de l’Espace économique européen, et n’autoriserons un sous-traitant ultérieur à le faire, que si le transfert est licite. Par exemple :

vers un pays couvert par un règlement d’adéquation du Royaume-Uni (UK adequacy regulations) ou par une décision d’adéquation de l’UE, y compris vers des organisations américaines certifiées au titre de l’extension britannique (UK Extension) du cadre de protection des données UE–États-Unis (EU–US Data Privacy Framework) ou au titre du cadre de protection des données UE–États-Unis lui-même
dans le cadre de l’IDTA ou de l’UK Addendum, pour les données britanniques, ou des CCT de l’UE (module 3, de sous-traitant à sous-traitant), pour les données de l’UE, avec les mesures supplémentaires éventuellement nécessaires

7.3 Notre liste des sous-traitants indique la garantie utilisée pour chaque sous-traitant ultérieur.

7.4 Lorsque les CCT de l’UE s’appliquent au titre du présent DPA, les informations qu’elles requièrent sont tirées du présent DPA. L’annexe 1 complète leur annexe I, et l’annexe 2 complète leur annexe II. Les sous-traitants ultérieurs relèvent d’une autorisation générale, avec le délai de préavis prévu à la clause 6.2. Les CCT de l’UE sont régies par le droit irlandais, et les litiges qui en découlent relèvent des juridictions irlandaises. Lorsque l’IDTA ou l’UK Addendum s’applique, il est régi par le droit de la juridiction suivante : Angleterre et pays de Galles.

8. Vous aider à respecter vos obligations

8.1 Demandes des personnes concernées. Compte tenu de la nature du traitement, nous vous aiderons à répondre aux personnes qui exercent leurs droits en matière de protection des données, comme les droits d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition. Nous le ferons au moyen de mesures techniques et organisationnelles appropriées, dans toute la mesure du possible. Si une personne nous adresse directement une demande, nous n’y répondrons pas nous-mêmes, sauf pour lui indiquer que nous vous l’avons transmise. Nous vous la transmettrons dans un délai de 5 jours ouvrés.

8.2 Sécurité, violations et analyses d’impact. Compte tenu de la nature du traitement et des informations dont nous disposons, nous vous aiderons à respecter vos obligations au titre des articles 32 à 36. Celles-ci portent sur la sécurité, la notification des violations, les analyses d’impact relatives à la protection des données et la consultation préalable d’une autorité de contrôle.

8.3 Coût. L’assistance raisonnable prévue par la présente clause est comprise dans votre formule. Si une demande exige un temps important, nous vous communiquerons d’abord une estimation et pourrons facturer notre taux horaire de 60 £. Nous ne facturerons rien si cette assistance est nécessaire parce que nous avons manqué au présent DPA.

9. Violations de données personnelles

9.1 Si nous avons connaissance d’une Violation de données personnelles touchant des Données personnelles du Client, nous vous en informerons dans les meilleurs délais. Notre objectif est de vous prévenir dans les 48 heures suivant le moment où nous en avons pris connaissance.

9.2 Nous vous indiquerons, dans la mesure où nous en avons connaissance :

ce qui s’est passé, et quand
les catégories et le nombre approximatif de personnes et d’enregistrements concernés
les conséquences probables
les mesures que nous avons prises, ou prévoyons de prendre, pour y remédier et en limiter les effets négatifs
la personne à contacter pour obtenir plus d’informations

Si nous ne disposons pas de toutes ces informations en même temps, nous vous les communiquerons de manière échelonnée, sans autre retard injustifié.

9.3 Nous prendrons des mesures raisonnables pour contenir la violation et enquêter à son sujet, nous l’inscrirons dans notre registre des violations et nous travaillerons avec vous. C’est vous qui décidez de la signaler ou non à l’ICO (Information Commissioner’s Office, l’autorité britannique de protection des données) ou à une autre autorité de contrôle, et d’en informer ou non les personnes concernées. Nous ne ferons ni l’un ni l’autre à votre place, sauf si vous nous le demandez ou si la loi l’exige.

9.4 Le fait de vous informer d’une violation ne constitue pas une reconnaissance de faute ou de responsabilité.

10. Suppression ou restitution en fin de contrat

10.1 Lorsque nos services impliquant des Données personnelles du Client prennent fin, nous supprimerons ou restituerons les données, selon votre choix, dans un délai de 30 jours. Si vous ne nous avez pas fait connaître votre choix à la date de fin, nous les supprimerons. Cette opération se fait en parallèle de la remise du site décrite dans les Conditions générales. Lorsque la clause 27.3 des Conditions générales s’applique (sommes impayées à la fin du forfait d’entretien), le délai de 30 jours commence à courir à l’expiration du délai prévu par cette clause.

10.2 Nos sauvegardes sont écrasées selon un cycle glissant de 30 jours : les copies de sauvegarde disparaissent donc elles aussi dans les 30 jours suivant la fin des services.

10.3 Nous ne conserverons une copie que si la loi nous y oblige. Dans ce cas, le présent DPA continue de la protéger, et nous ne l’utiliserons qu’à cette fin légale.

10.4 Sur demande, nous vous confirmerons la suppression par écrit.

11. Audits et informations

11.1 Nous mettrons à votre disposition toutes les informations raisonnablement nécessaires pour démontrer que nous respectons l’article 28 et le présent DPA. Nous permettrons la réalisation d’audits et d’inspections par vous-même ou par un auditeur indépendant que vous aurez désigné, et nous y contribuerons.

11.2 Pour que les audits restent proportionnés à la taille d’une petite entreprise :

nous répondrons d’abord à vos questions écrites raisonnables et vous communiquerons les documents pertinents, comme la description de nos mesures de sécurité et les certifications ou rapports d’audit de nos sous-traitants ultérieurs
si cela ne suffit pas, vous pourrez réaliser un audit moyennant un préavis écrit d’au moins 30 jours, pendant les heures normales de travail, au maximum une fois par période de 12 mois, votre auditeur étant tenu à la confidentialité
la limite d’un audit par an ne s’applique pas après une Violation de données personnelles, ni lorsqu’une autorité de contrôle exige un audit
vous prenez en charge vos propres frais ainsi que le temps raisonnable que nous y consacrons, à notre taux horaire, sauf si l’audit révèle que nous avons manqué de manière substantielle au présent DPA

11.3 Nous auditons nos sous-traitants ultérieurs, comme Cloudflare, au moyen des rapports et certifications qu’ils publient ou fournissent. Nous vous les communiquerons lorsque leurs conditions le permettent.

11.4 Nous vous informerons immédiatement si nous estimons qu’une instruction donnée au titre de la présente clause enfreint les Lois sur la protection des données.

12. Vos responsabilités

12.1 En tant que responsable du traitement, vous devez disposer d’une base légale pour les traitements que vous nous demandez d’effectuer, et vous êtes responsable de vos autres obligations au titre des Lois sur la protection des données. Celles-ci comprennent la politique de confidentialité de votre site, le recueil du consentement aux cookies si votre site en a besoin, et les réponses aux demandes de vos clients.

12.2 Les instructions que vous nous donnez doivent être conformes aux Lois sur la protection des données.

12.3 Prévenez-nous par écrit avant que votre site ne collecte des catégories particulières de données, comme des informations de santé dans le formulaire de prise de rendez-vous d’un cabinet médical, ou des données relatives à des infractions pénales, afin que nous puissions convenir de garanties supplémentaires. Nous ne mettrons pas en place de formulaires collectant ces données sans que vous le demandiez et sans accord écrit entre nous.

12.4 Les modèles de politique de confidentialité ou de politique relative aux cookies que nous fournissons pour votre site ne sont proposés qu’à titre pratique. Ils ne constituent pas un conseil juridique, et vous restez responsable de votre propre conformité.

13. Responsabilité, durée et ordre de priorité

13.1 La responsabilité de chaque partie au titre du présent DPA ou en lien avec celui-ci est soumise aux plafonds et exclusions prévus par les Conditions générales, sauf lorsque les Lois sur la protection des données ou les Clauses de transfert ne permettent pas de la limiter. Aucune disposition du présent DPA ne limite la responsabilité de l’une ou l’autre partie envers les personnes concernées au titre des Clauses de transfert.

13.2 Le présent DPA reste en vigueur aussi longtemps que nous traitons des Données personnelles du Client pour votre compte, y compris après la fin du Contrat, jusqu’à ce que la suppression ou la restitution soit achevée. Les clauses 9 à 11 et la présente clause 13 continuent de s’appliquer après sa fin, aussi longtemps que nécessaire.

13.3 En cas de contradiction entre documents, l’ordre de priorité suivant s’applique :

les Clauses de transfert, lorsqu’elles s’appliquent, prévalent sur le présent DPA
le présent DPA prévaut sur le reste du Contrat pour tout ce qui concerne le traitement des données personnelles
la version anglaise du présent DPA prévaut sur toute traduction

13.4 Le présent DPA est régi par le droit de la juridiction suivante : Angleterre et pays de Galles. Les tribunaux de cette même juridiction (Angleterre et pays de Galles) ont compétence exclusive, comme le prévoient les Conditions générales, sauf disposition contraire des Clauses de transfert.

13.5 Nous pouvons mettre à jour le présent DPA pour le maintenir en conformité avec les Lois sur la protection des données ou avec les recommandations d’une autorité de contrôle. Nous vous enverrons un e-mail au moins 30 jours avant l’entrée en vigueur d’une modification. Toute modification qui réduit la protection des Données personnelles du Client nécessite votre accord écrit.

Annexe 1 : Détails du traitement

Le traitement

Objet : les données personnelles que nous devons traiter pour fournir les services liés à votre site internet prévus dans votre bon de commande.
Durée : la durée du Contrat, plus 30 jours au maximum pour la suppression ou la restitution (clause 10), ou davantage lorsque la clause 27.3 des Conditions générales s’applique.
Nature : l’hébergement, la conservation, la transmission et le réacheminement, la sauvegarde, l’extraction, la modification (lorsque nous effectuons les modifications que vous demandez) et l’effacement de données. Cela comprend l’hébergement de boîtes e-mail professionnelles et la redirection des e-mails de votre nom de domaine, lorsque votre formule les inclut. Nous ne collectons des données via les formulaires de votre site que selon la configuration que vous nous demandez.
Finalité : héberger, sécuriser, maintenir et assister votre site internet, vous transmettre les messages envoyés via ses formulaires, gérer les boîtes e-mail professionnelles et la redirection des e-mails de votre nom de domaine lorsque votre formule les inclut, et vous remettre le site à la fin de nos services.
Fréquence : en continu, pendant toute la durée des services.
Conservation : avec notre configuration standard, les messages des formulaires sont transmis à la boîte de réception de votre choix et ne sont pas conservés par nous après leur remise. Les sauvegardes sont conservées 30 jours selon un cycle glissant. Tout le reste est conservé jusqu’à la fin de nos services, puis traité conformément à la clause 10.

Catégories de personnes concernées

les visiteurs de votre site internet
vos clients et clients potentiels qui vous contactent ou réservent via votre site
les personnes qui vous écrivent à des adresses de votre nom de domaine que nous hébergeons ou redirigeons pour vous
vos salariés, et toute autre personne dont les coordonnées ou les photos apparaissent sur votre site

Types de données personnelles

les données techniques utilisées par notre hébergeur pour afficher et protéger votre site : adresse IP, informations sur le navigateur et l’appareil, pages demandées, date et heure
tout ce que les personnes envoient via les formulaires de votre site, comme leur nom, numéro de téléphone, adresse e-mail, adresse postale, message et détails de réservation
les e-mails envoyés vers ou depuis les boîtes e-mail professionnelles ou les adresses de redirection que nous configurons pour vous, y compris leur contenu et leurs pièces jointes
les données personnelles figurant dans le contenu de votre site, comme les noms, photos et courtes biographies de vos salariés, et les avis que vous choisissez d’afficher
les statistiques de visite, si vous nous demandez d’activer une mesure d’audience sans cookies (totaux uniquement, sans cookies)

Catégories particulières de données : aucune, sauf accord écrit conformément à la clause 12.3. Les éventuelles garanties supplémentaires convenues seront consignées dans votre bon de commande.

Sous-traitants ultérieurs et contacts

Sous-traitants ultérieurs : ceux qui figurent sur notre liste des sous-traitants, ainsi que tout prestataire indépendant que vous approuvez conformément à la clause 6.1.
Notre contact : [email protected]
Votre contact : la personne désignée dans votre bon de commande.

Annexe 2 : Mesures de sécurité

Contrôle des accès

Authentification multifacteur sur chaque compte donnant accès à des Données personnelles du Client, notamment l’hébergement, le DNS, le bureau d’enregistrement des noms de domaine, la messagerie, les dépôts de code et notre gestionnaire de mots de passe.
Principe du moindre privilège : seules les personnes qui ont besoin d’un accès pour votre projet l’obtiennent, au niveau le plus bas nécessaire. Nous retirons l’accès sous 1 jour ouvré lorsqu’il n’est plus nécessaire.
Comptes individuels, jamais d’identifiants partagés.
Vos mots de passe et informations d’accès sont conservés uniquement dans un gestionnaire de mots de passe chiffré, jamais dans un e-mail ni dans une messagerie instantanée.

Chiffrement

Chaque site que nous hébergeons utilise le protocole HTTPS (TLS 1.2 ou supérieur).
Les données sont chiffrées au repos par nos prestataires d’hébergement et de stockage.
Les ordinateurs portables et téléphones professionnels utilisent le chiffrement intégral du disque et un verrouillage automatique de l’écran.
Les sauvegardes sont chiffrées.

Sauvegardes et restauration

Sauvegardes versionnées des fichiers et du contenu des sites, conservées 30 jours selon un cycle glissant.
Nous testons la restauration d’un site à partir d’une sauvegarde au moins tous les 6 mois.

Mises à jour et correctifs

Les systèmes d’exploitation, navigateurs et applications se mettent à jour automatiquement.
Les mises à jour de sécurité critiques et à haut risque sont installées dans les 14 jours suivant leur publication.
Les dépendances du code des sites sont contrôlées au moins une fois par mois pour détecter les vulnérabilités connues. Les problèmes critiques sont corrigés, ou contournés de manière sûre, dans un délai de 14 jours.

Sécurité des sites et du réseau

Protection Cloudflare contre les attaques par déni de service, ainsi que son pare-feu et sa protection contre les robots, sur chaque site que nous hébergeons.
Dans la mesure du possible, les sites sont conçus en pages statiques, sans base de données ni interface d’administration publique exposée aux attaques.
Le spam des formulaires est bloqué grâce à des champs cachés et à des contrôles côté serveur, et non avec des outils de pistage.

Minimisation des données

Les formulaires ne collectent que les champs que vous demandez.
Nous ne saisissons aucune Donnée personnelle du Client dans des outils d’IA.
Les tests et démonstrations utilisent des données fictives, jamais de vraies données de clients.

Personnes et procédures

Toute personne ayant accès aux données est tenue à la confidentialité et liée par un contrat écrit comprenant des clauses de protection des données.
Nous suivons un plan écrit de réponse aux violations et tenons un registre des violations (clause 9).
Nous réexaminons ces mesures au moins une fois par an, ainsi qu’après tout incident important.
Les appareils sont effacés de manière sécurisée avant d’être réutilisés ou mis au rebut.