Accord de sous-traitance (DPA)

Pour les données personnelles que tu traites au moyen de Cadence — celles de tes créateurs, de tes membres d’équipe et de tes utilisateurs finaux — tu agis en qualité de RESPONSABLE DU TRAITEMENT et VANIABEE LLC agit en qualité de SOUS-TRAITANT. Le présent accord complète les Conditions générales et prévaut sur elles en cas de contradiction sur ce point.

Objet : la fourniture du service de suivi des campagnes UGC et de calcul des rémunérations. Nature des opérations : collecte depuis des sources publiques et des API que tu connectes, stockage, structuration, calcul, consultation, communication à nos sous-traitants ultérieurs, effacement.

Durée : celle de ton abonnement, augmentée des durées de conservation légales décrites dans la Politique de confidentialité.

Nous ne traitons ces données que pour fournir le Service, sur ton instruction documentée, ou lorsqu’une obligation légale nous y contraint — auquel cas nous t’en informons préalablement, sauf interdiction légale.

Personnes concernées :

• les créateurs que tu déclares dans ton espace ;
• les membres de ton équipe et tes prestataires ayant un accès ;
• tes utilisateurs finaux, uniquement sous forme agrégée par jour et par pays.

Catégories de données :

• identification : nom, adresse e-mail, pays, pseudonymes de comptes publics ;
• professionnelles : rôle dans l’espace, marchés accessibles ;
• publications publiques et leurs compteurs de vues ;
• rémunération : montants dus, montants versés, références de virement, coordonnées de versement lorsque tu les saisis ;
• métadonnées techniques : adresse IP, journaux d’accès.

AUCUNE CATÉGORIE PARTICULIÈRE DE DONNÉES (article 9 du RGPD) n’est traitée, et tu t’engages à ne pas en téléverser. Le Service n’est ni conçu ni sécurisé pour cela.

Tu autorises le recours aux sous-traitants ultérieurs suivants, chacun lié par des obligations au moins équivalentes aux présentes : Google Cloud, Amazon Web Services et Cloudflare (hébergement, diffusion) ; Anthropic et OpenAI (assistant intégré) ; Stripe (paiement et versement) ; Resend, Postmark, SendGrid (courrier transactionnel) ; PostHog, Plausible (mesure d’audience) ; Apify (relevé des publications publiques).

Tout ajout ou remplacement t’est notifié au moins 14 jours à l’avance. Tu peux t’y opposer pour un motif raisonnable tenant à la protection des données ; à défaut d’accord, tu peux résilier la partie du Service concernée sans pénalité.

• Chiffrement en transit par TLS 1.2 ou supérieur, et au repos en AES-256.
• Contrôle d’accès par rôle, authentification à plusieurs facteurs sur les accès d’administration.
• Pare-feu, protection contre le déni de service, détection d’intrusion.
• Cycle de développement sécurisé et tests d’intrusion réguliers.
• Journalisation des accès, procédure de réponse à incident, sauvegardes régulières et testées.

Nous t’informons sans délai injustifié et au plus tard dans les 48 heures suivant la prise de connaissance d’une violation de données à caractère personnel, et nous t’assistons dans l’accomplissement de tes propres obligations de notification au titre des articles 33 et 34 du RGPD.

Nous t’assistons, compte tenu de la nature du traitement, pour répondre aux demandes d’exercice de droits, et pour réaliser une analyse d’impact ou une consultation préalable lorsqu’elle est requise. Lorsqu’une personne concernée nous saisit directement, nous la renvoyons vers toi et t’en informons.

Nous mettons à ta disposition toute information nécessaire pour démontrer le respect du présent accord et permettons la réalisation d’audits, y compris d’inspections, par toi ou un auditeur mandaté — sous réserve d’un préavis raisonnable, d’un engagement de confidentialité, et d’une fréquence n’excédant pas une fois par an hors incident.

Les transferts hors de l’Espace économique européen reposent sur les clauses contractuelles types de la Commission européenne (décision 2021/914), complétées de l’addendum international du Royaume-Uni lorsqu’il s’applique, et de mesures techniques supplémentaires de chiffrement et de contrôle d’accès.

À la fin de la prestation, tu choisis entre la restitution des données dans un format structuré et leur suppression. À défaut d’instruction dans les 30 jours, elles sont supprimées, sauf obligation légale de conservation. Les sauvegardes sont purgées selon leur cycle de rotation.

VANIABEE LLC — 501 Silverside Rd, Ste 105 #5341, Wilmington, DE 19809, États-Unis. EIN 32-0818017. hello@cadencelab.app