Accord de traitement des données (DPA) — Annexe I des Conditions Générales — MailContactDaemon

Annexe I — Accord de traitement des données (DPA)

La présente Annexe I (« DPA ») fait partie intégrante des Conditions Générales d’Utilisation / de Vente de MailContactDaemon (« CG »). En cas de conflit portant sur le traitement de données personnelles pour lequel VHF agit en tant que sous-traitant, le DPA prévaut sur les autres clauses des CG.

Responsable du traitement (Client) / Sous-traitant : VHF Solution Unipessoal Lda, NIPC 517 024 489, Rua das Oliveiras 35, 4520-626 São João de Ver, Santa Maria da Feira, Portugal. Contact : privacy@mailcontactdaemon.com.

A1. Objet, durée et nature

Objet : le traitement par VHF des données personnelles des contacts / prospects / destinataires importés ou gérés par le Client dans MCD (« Données Client » au sens du présent DPA), strictement pour fournir le Service (stockage, campagnes, envoi technique via les fournisseurs du Client, réponses inbound / Catch Leads, statistiques techniques, exclusions / désinscription, support Client).

Durée : pendant la relation contractuelle et tant que les données demeurent dans MCD, y compris la période de fermeture de compte (jusqu’à 30 jours) et les obligations légales résiduelles.

Nature et finalité : traitement automatisé sur infrastructure cloud, limité à l’exécution du Service selon les instructions documentées du Client.

A2. Rôles

Le Client est responsable du traitement pour les contacts / prospects / destinataires qu’il importe, charge ou génère dans MCD, ainsi que pour la base légale, l’information des personnes et le respect des lois marketing applicables.

VHF est sous-traitant lorsqu’elle traite ces Données Client pour fournir MCD pour le compte du Client.

Pour les données de compte MCD (utilisateurs, facturation, authentification, preuves d’acceptation des documents juridiques, support), VHF est responsable du traitement — voir Politique de confidentialité (section A). Ce traitement n’est pas l’objet du présent DPA.

A3. Catégories de données et de personnes

Personnes concernées : contacts / prospects / destinataires du Client ; éventuellement expéditeurs de réponses inbound liées aux campagnes. Les Données Client peuvent inclure des données de mineurs lorsque le Client les introduit — le Client reste responsable ; VHF agit en sous-traitant au titre du présent DPA.

Données typiquement traitées : identifiants de contact, métadonnées de campagne et d’envoi, événements techniques d’envoi (y compris l’acceptation technique par le fournisseur d’envoi, ouvertures/clics si le suivi est actif, rejets), réponses inbound / Catch Leads, exclusions / désinscription, assets e-mail référencés.

Le Client ne doit pas charger de catégories particulières de données (art. 9 RGPD) sauf base légale et accord écrit avec VHF. MCD n’est pas conçu à cette fin.

A4. Instructions documentées

VHF ne traite les Données Client que selon les instructions documentées du Client — y compris pour d’éventuels transferts internationaux —, notamment via l’usage des fonctionnalités MCD, la configuration des campagnes / envois, les interfaces documentées, l’export, la fermeture de compte et les demandes écrites de support alignées sur le Service.

Exception : VHF peut traiter des Données Client lorsque le droit de l’Union européenne ou le droit national applicable lui impose ce traitement. Dans ce cas, VHF informe préalablement le Client de cette obligation légale, sauf si le droit applicable interdit cette information pour un motif important d’intérêt public.

VHF informe immédiatement le Client si elle estime qu’une instruction viole le RGPD ou le droit de l’Union / national applicable en matière de protection des données, et peut refuser l’exécution jusqu’à clarification.

VHF n’utilise pas les Données Client pour son propre marketing ni pour enrichir des bases tierces.

A5. Confidentialité

Les personnes autorisées à traiter les Données Client sont soumises à une obligation de confidentialité appropriée et à des contrôles d’accès.

Il est interdit de journaliser des identifiants, jetons, secrets client ou en-têtes d’autorisation en clair.

A6. Sécurité (art. 32 RGPD)

Conformément à l’article 32 du RGPD, VHF applique des mesures techniques et organisationnelles adaptées au risque, compte tenu de l’état de l’art, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des personnes.

Ces mesures comprennent, de manière durable et sans préjudice de leur évolution technique : contrôles d’accès ; isolation logique multi-tenant ; chiffrement approprié des secrets / identifiants ; confidentialité ; intégrité et disponibilité adaptées aux risques ; capacité raisonnable de restauration ; et évaluation / tests périodiques des mesures lorsque cela est approprié.

Aucune mesure ne garantit une sécurité absolue. Le Client doit protéger ses comptes, fournisseurs et terminaux.

A7. Assistance aux droits des personnes

VHF assiste raisonnablement le Client pour répondre aux demandes des personnes concernées relatives aux données traitées au titre du présent DPA, dans la mesure où le Client ne peut le faire seul via MCD.

Le Client reste l’interlocuteur principal des personnes pour ses contacts / campagnes.

A8. Assistance aux art. 32 à 36 RGPD

Compte tenu de la nature du traitement et des informations dont VHF dispose, VHF assiste raisonnablement le Client dans le respect des obligations découlant des articles 32 à 36 du RGPD, notamment : (a) sécurité du traitement (art. 32) ; (b) notification des violations de données à l’autorité de contrôle et communication aux personnes (art. 33 et 34), le cas échéant ; (c) réalisation d’analyses d’impact relatives à la protection des données — AIPD / DPIA (art. 35) ; et (d) consultation préalable de l’autorité de contrôle (art. 36), lorsqu’elle est requise.

L’assistance est fournie de manière raisonnable et proportionnée, sur demande du Client et avec les informations dont VHF dispose.

A9. Notification des violations de données

VHF notifie le Client sans retard indu après avoir pris connaissance d’une violation de données personnelles affectant des Données Client traitées au titre du présent DPA, avec les informations raisonnablement disponibles.

Contact : privacy@mailcontactdaemon.com.

A10. Sous-traitants ultérieurs

Le Client confère à VHF une autorisation générale écrite de recourir à des sous-traitants ultérieurs nécessaires au traitement des Données Client au titre du présent DPA, limitée aux prestataires qui traitent effectivement ces Données Client.

Avant tout ajout ou remplacement de sous-traitant ultérieur, VHF informe préalablement le Client, avec un délai raisonnable permettant une objection motivée fondée sur le RGPD. En cas d’objection légitime, les parties coopèrent de bonne foi pour trouver une solution raisonnable ; à défaut, le Client peut cesser le service concerné ou la relation contractuelle selon les CG.

VHF impose contractuellement à chaque sous-traitant ultérieur des obligations de protection des données au moins équivalentes à celles du présent DPA. VHF demeure responsable envers le Client de l’exécution des obligations du sous-traitant ultérieur conformément au RGPD.

Liste actuelle (sous-traitants ultérieurs Art. 28 relatifs aux Données Client) :

Microsoft Azure — hébergement de l’infrastructure MCD (y compris le stockage des Données Client) — Spain Central, Union européenne.

OpenAI Platform et/ou Azure OpenAI — uniquement si l’assistance IA est activée et si des Données Client (ou contenus qui en dérivent) sont effectivement transmises à ces prestataires dans le cadre des fonctionnalités de rédaction.

Ne figurent pas dans cette liste DPA les prestataires qui traitent uniquement des données de compte / facturation pour lesquelles VHF est responsable du traitement (par exemple Stripe, Odoo, TOConline, e-mails de plateforme de facturation) : ces traitements sont décrits dans la Politique de confidentialité.

Ne sont pas des sous-traitants ultérieurs de VHF pour l’envoi des campagnes Client : le tenant Microsoft 365, SMTP ou IMAP choisis et contrôlés par le Client.

A11. Transferts internationaux

Les composants d’hébergement principaux de MCD sont sur Microsoft Azure — Spain Central — Union européenne. Lorsque l’assistance IA est activée et que des Données Client sont transmises à OpenAI / Azure OpenAI, des traitements hors EEE peuvent intervenir.

Lorsqu’un transfert international est nécessaire, VHF a recours à une décision d’adéquation, aux clauses contractuelles types approuvées par la Commission européenne (CCT / SCC), ou à un autre mécanisme valide reconnu par le droit applicable.

Des informations complémentaires sur les garanties applicables peuvent être demandées à privacy@mailcontactdaemon.com.

Le Client reconnaît que l’usage de fournisseurs qu’il configure (Microsoft 365, SMTP, IMAP, etc.) peut entraîner des transferts additionnels sous sa responsabilité.

A12. Suppression / restitution (art. 28 § 3 g) RGPD)

Pendant le contrat, le Client peut exporter ses contacts (CSV self-service) et gérer / supprimer des données via les fonctionnalités disponibles.

Fermeture de compte : suspension immédiate ; réouverture possible pendant 30 jours ; après 30 jours, purge des données opérationnelles MCD, sous réserve de conservation exigée par le droit de l’Union / national ou de preuves minimales nécessaires à la défense de droits.

Conformément à l’article 28 § 3 g) du RGPD, au terme des services de traitement, VHF, au choix du Client, supprime ou restitue les Données Client et supprime les copies existantes, sauf si le droit de l’Union ou le droit national exige leur conservation.

Une restitution complémentaire raisonnable requise par l’art. 28 peut être demandée à privacy@mailcontactdaemon.com AVANT la purge définitive (par exemple pendant le délai de réouverture de 30 jours). VHF ne s’oblige pas à fournir un export intégral self-service de toutes les métadonnées techniques.

La suppression d’une campagne par le Client est irréversible dans les systèmes actifs.

A13. Audits

VHF met à la disposition du Client les informations nécessaires pour démontrer le respect des obligations du présent DPA et permet / contribue aux audits et inspections réalisés par le Client ou par un auditeur qu’il mandate.

Des règles raisonnables de préavis, de confidentialité, de sécurité, de non-perturbation du Service et de fréquence peuvent s’appliquer, sauf urgence, incident, exigence réglementaire ou suspicion raisonnable de non-conformité.

Ces règles d’organisation ne rendent pas le droit d’audit illusoire. Les coûts d’audits de routine peuvent être partagés ou supportés par le Client de manière raisonnable ; VHF n’utilise pas l’allocation des coûts pour empêcher l’exercice du droit d’audit en cas d’urgence, d’incident, d’exigence réglementaire ou de suspicion raisonnable de non-conformité.

A14. Droits du responsable du traitement (synthèse)

Sans préjudice des autres clauses du présent DPA et des CG, le Client, en tant que responsable, a notamment le droit de : (a) donner et modifier des instructions documentées ; (b) recevoir les informations nécessaires à la démonstration de conformité ; (c) exercer le droit d’audit ; (d) être informé préalablement des nouveaux sous-traitants ultérieurs ; (e) s’y opposer pour motif légitime fondé sur le RGPD ; et (f) choisir, en fin de traitement, la restitution ou la suppression des Données Client, sous réserve des obligations légales de conservation.

A15. Obligations du Client et indemnisation

Le Client garantit la base légale, l’information des personnes, la qualité et l’origine des données, le respect anti-spam / marketing, la gestion immédiate des désinscriptions, la configuration correcte des fournisseurs et le caractère licite des campagnes.

Le Client indemnise raisonnablement VHF contre les réclamations de tiers découlant des Données Client, contenus ou usage illicite.

Cette répartition contractuelle des responsabilités entre VHF et le Client ne réduit pas les droits des personnes concernées ni les responsabilités impératives du RGPD, et n’est pas opposable aux personnes concernées ni aux autorités de contrôle.