Le présent accord fixe, en application de l’article 28 du RGPD, les conditions dans lesquelles l’éditeur traite des données personnelles pour le compte du Client. Il fait partie du contrat d’abonnement.
Parties
- Sous-traitant : Creativity App, société par actions simplifiée unipersonnelle (SASU), SIRET 101 888 998 00016, 25 rue de Ponthieu, 75008 Paris, France, représentée par Jeremy Cariou, président.
- Responsable du traitement : le Client, pour chaque site qu’il exploite dans MallOps.
Traitements confiés
- Objet : hébergement et exploitation des données saisies dans MallOps par le Client, ses Utilisateurs, ses Prestataires et les Demandeurs de ses portails.
- Nature : collecte par formulaires, enregistrement, consultation, lecture automatisée de documents, génération de documents PDF, envoi de notifications, sauvegarde, suppression.
- Personnes concernées : salariés du Client, représentants des enseignes et des entreprises intervenantes, salariés des Prestataires, responsables de boutique.
- Données : identité et coordonnées professionnelles, fonction, contenu des demandes, des tickets et des comptes rendus, signatures tracées à l’écran, photos, documents de prévention, journaux d’accès.
- Durée : celle de l’abonnement, augmentée de la période de réversibilité.
Obligations du sous-traitant
L’éditeur traite les données sur instruction documentée du Client — l’usage des fonctions de la Plateforme valant instruction —, garantit la confidentialité des personnes autorisées, met en œuvre les mesures de sécurité décrites ci-dessous, aide le Client à répondre aux demandes des personnes concernées et à réaliser, s’il y a lieu, ses analyses d’impact, et l’alerte si une instruction lui paraît contraire au RGPD.
Formulaires et champs libres
Le Client définit lui-même les questions de ses portails et les règles de son site. Il veille à ne collecter que les données nécessaires, à informer les personnes concernées et à ne pas demander de données sensibles. L’éditeur fournit l’outil ; il ne contrôle pas le contenu configuré ou saisi.
Sous-traitants ultérieurs
Le Client autorise le recours aux sous-traitants suivants :
- o2switch SAS, France : hébergement.
- OVH SAS, France : serveur de traitement des documents, passerelle WhatsApp.
- Anthropic PBC, États-Unis : lecture et analyse par intelligence artificielle.
- Meta Platforms Ireland (WhatsApp), si le Client relie un groupe.
- Apple, pour les notifications de l’application iOS.
L’éditeur informe le Client de tout ajout ou remplacement au moins trente jours à l’avance ; le Client peut s’y opposer pour un motif légitime et, à défaut de solution, résilier sans frais.
Transferts hors de l’Union européenne
Les données sont hébergées en France. Le seul transfert concerne les fonctions d’intelligence artificielle : le texte nécessaire à l’analyse est transmis à un fournisseur établi aux États-Unis, sous couvert des clauses contractuelles types de la Commission européenne. Le Client peut désactiver l’intelligence artificielle pour son site ; les fonctions correspondantes cessent alors d’être disponibles.
Sécurité
Chiffrement des échanges, empreinte des mots de passe, cloisonnement des données par site, contrôle d’accès par rôle et par module, comptes prestataires restreints, jetons d’appareil révocables pour la saisie de terrain, journalisation, sauvegardes quotidiennes, mises à jour de sécurité des serveurs, clés d’API conservées côté serveur et jamais affichées.
Violation de données
L’éditeur notifie le Client dans les quarante-huit heures après avoir eu connaissance d’une violation de données le concernant, avec les informations utiles à une éventuelle notification à la CNIL et aux personnes concernées.
Audit
L’éditeur tient à la disposition du Client la documentation démontrant le respect du présent accord. Le Client peut faire réaliser un audit, à ses frais, une fois par an, avec un préavis de trente jours, dans le respect de la confidentialité des autres Clients.
Fin du contrat
Au terme de l’abonnement, le Client récupère ses données pendant trente jours dans un format courant ; elles sont ensuite supprimées des bases actives, puis des sauvegardes à l’expiration de leur cycle, sauf obligation légale de conservation.
Contact
contact@creativity-app.com