Accord de sous-traitance des données (DPA)

Cet accord s’applique lorsque vous utilisez Elpis pour traiter des données personnelles de vos clients, prospects ou visiteurs (article 28 du RGPD). Il fait partie des conditions d’utilisation.

1. Rôles

• Vous êtes responsable du traitement : vous décidez pourquoi et comment ces données sont utilisées.
• Elpis ([À COMPLÉTER : raison sociale]) est sous-traitant : nous traitons ces données uniquement pour vous fournir le Service et sur vos instructions documentées (vos réglages, vos approbations).

2. Données et personnes concernées

• Personnes : vos prospects, clients, visiteurs de votre site, correspondants par e-mail.
• Données : identité et coordonnées professionnelles, contenu des e-mails échangés, inscriptions aux formulaires de votre site, historique des achats (transmis par votre compte Stripe).
• Durée : la durée de votre compte, ou jusqu’à ce que vous supprimiez les données, l’entreprise ou le compte.

3. Nos engagements

• traiter les données uniquement sur vos instructions, et vous prévenir si une instruction nous semble contraire au RGPD ;
• garantir la confidentialité : accès limité aux personnes qui en ont besoin, tenues au secret ;
• sécuriser les données : chiffrement en transit, isolement des données de chaque compte au niveau de la base (Row Level Security), journal d’audit, clés et secrets hors du code ;
• ne faire appel qu’aux sous-traitants listés dans la politique de confidentialité, et vous informer de tout changement ;
• vous aider à répondre aux demandes des personnes (export des contacts en CSV, suppression, liste de désinscription respectée partout) ;
• vous notifier toute violation de données vous concernant sans délai injustifié, et au plus tard dans les 48 heures après en avoir eu connaissance ;
• supprimer les données à la fin du Service, après vous avoir permis de les exporter.

4. Vos engagements

• disposer d’une base légale pour chaque contact que vous importez ou démarchez ;
• informer les personnes concernées ;
• respecter les règles de la prospection (B2B : message lié à l’activité et lien de désinscription ; B2C : consentement préalable).

5. Transferts hors de l’Union européenne

Certains sous-traitants sont situés aux États-Unis. Les transferts sont encadrés par les clauses contractuelles types de la Commission européenne. [À COMPLÉTER : liste des garanties par prestataire.]

6. Audit

Sur demande écrite et raisonnable, nous mettons à votre disposition les informations nécessaires pour démontrer le respect de ces obligations. [À COMPLÉTER : modalités.]