Sous-traitance des données personnelles.

Objet

Cet accord s’applique lorsque le bandeau OpenCookies est installé sur un site : OpenCookies traite alors des données personnelles des visiteurs de ce site pour le compte de son propriétaire. Le propriétaire du site est le responsable du traitement ; OpenCookies (Antoine Bartrolich) est son sous-traitant, au sens de l’article 28 du règlement (UE) 2016/679 (RGPD).

Il s’applique dès l’installation du bandeau sur un site rattaché à un compte et dure autant que le service est utilisé. Il complète les conditions d’utilisation.

Description du traitement

• Finalité. Afficher le bandeau, appliquer les choix des visiteurs, conserver la preuve de leur consentement, mesurer l’audience sans cookie et repérer les services tiers contactés par le site.
• Personnes concernées. Les visiteurs des sites du responsable du traitement.
• Données. Identifiant aléatoire de consentement, choix par catégorie, date, page, version du texte ; pages vues, source, type d’appareil, performances et erreurs ; avec l’accord du visiteur, identifiant aléatoire de visiteur et de session et parcours ; noms des services tiers et des cookies détectés (jamais leur contenu). Aucune adresse IP n’est enregistrée avec ces données.
• Durées. Preuves de consentement : 3 mois (offre Gratuite) ou 13 mois (offres Pro et Agence). Parcours avec identifiant : 13 mois au plus. Statistiques agrégées : 25 mois au plus.

Obligations d’OpenCookies

• Traiter les données uniquement sur instruction documentée du responsable du traitement, c’est-à-dire pour fournir le service, et l’informer si une instruction lui paraît contraire à la loi.
• Garantir la confidentialité : les personnes autorisées à traiter les données sont tenues à une obligation de confidentialité.
• Mettre en œuvre les mesures de sécurité décrites en fin de page.
• Aider le responsable du traitement à répondre aux demandes d’exercice des droits des personnes, et à respecter ses obligations de sécurité, d’analyse d’impact et de notification, compte tenu de la nature du traitement.
• Notifier au responsable du traitement toute violation de données personnelles dans les meilleurs délais et au plus tard 72 heures après en avoir eu connaissance.
• Supprimer les données à la fin du service (voir ci-dessous) et fournir les informations nécessaires pour démontrer le respect de ces obligations.

Sous-traitants ultérieurs

Le responsable du traitement autorise OpenCookies à faire appel aux sous-traitants ultérieurs suivants : o2switch SAS (222-224 Boulevard Gustave Flaubert, 63000 Clermont-Ferrand, France), pour l’hébergement du service ; GitHub, Inc. (Microsoft), uniquement pour exécuter les tests lancés depuis les États-Unis, auxquels il reçoit le domaine testé.

OpenCookies impose à ses sous-traitants ultérieurs les mêmes obligations de protection des données et informe les titulaires de compte de tout changement avant qu’il prenne effet. Le responsable du traitement peut s’y opposer en supprimant son compte.

Transferts hors de l’Union européenne

Les données sont hébergées France (Clermont-Ferrand). Pour tout transfert hors de l’Union européenne, les garanties suivantes s’appliquent : les clauses contractuelles types de la Commission européenne ou le cadre de protection des données UE-États-Unis.

Fin du service et suppression

Quand le compte ou le site est supprimé, les données qui s’y rattachent sont supprimées de la base. Elles peuvent subsister jusqu’à 14 jours dans les sauvegardes techniques, avant d’être effacées à leur tour. Le responsable du traitement peut exporter ses preuves de consentement (CSV) depuis son espace client avant la suppression.

Audit

Sur demande écrite à contact@opencookies.com, OpenCookies fournit les informations utiles pour démontrer le respect de cet accord et permet les audits raisonnables, annoncés à l’avance, réalisés par le responsable du traitement ou par un tiers soumis à la confidentialité.

Responsabilités du responsable du traitement

Le responsable du traitement reste responsable de la licéité du traitement : informer ses visiteurs, choisir les catégories et les textes du bandeau, tenir sa politique de confidentialité à jour et paramétrer le blocage des services tiers qu’il utilise.

Mesures de sécurité

• Communications chiffrées (HTTPS) entre le navigateur, le bandeau et les serveurs.
• Collecte minimale : aucune adresse IP enregistrée avec les preuves de consentement, aucun cookie pour la mesure d’audience au niveau standard.
• Cloisonnement des données par compte et par site, mots de passe hachés, protection contre les envois de formulaire frauduleux, limitation du nombre de requêtes.
• Sauvegardes quotidiennes de la base, stockées hors du dossier public du site, avec contrôle d’intégrité.
• Accès d’administration limité aux personnes qui en ont besoin.

Acceptation

Cet accord est accepté par l’utilisation du service. Pour en obtenir un exemplaire signé ou pour toute question, écrivez à contact@opencookies.com.