Accord de traitement des données

Le présent accord s’applique à toutes les données personnelles que SpecStream traite pour votre compte en tant que sous-traitant : les demandes que vous lancez et les résultats que SpecStream renvoie pour elles, les listes et fichiers que vous importez, les données que vous envoyez via l’API, un agent ou un outil connecté, les fiches que vous ajoutez ou modifiez, et les notes. Vous êtes le responsable du traitement de ces données. Il prend effet lorsque vous acceptez les conditions d’utilisation et dure tant que SpecStream traite de telles données pour vous.

SpecStream n’est responsable du traitement que pour sa propre liste de désinscription. Les exclusions inscrites sur cette liste s’appliquent aux résultats qui vous sont renvoyés et à ceux enregistrés dans votre espace de travail, et vous chargez SpecStream de les respecter.

SpecStream ne traite les données personnelles que sur vos instructions documentées, à savoir les présentes conditions, le présent accord, ainsi que votre utilisation et votre paramétrage du service, y compris les transferts vers les destinations que vous choisissez, sauf obligation légale contraire ; dans ce cas, SpecStream vous en informe au préalable, sauf si la loi l’interdit. SpecStream vous informe si, selon lui, une instruction constitue une violation du droit de la protection des données.

Toute personne chez SpecStream ayant accès aux données est tenue à la confidentialité.

SpecStream met en œuvre des mesures techniques et organisationnelles appropriées au titre de l’article 32 du RGPD, notamment :

• Un hébergement dans l’Union européenne et le chiffrement en transit de tout le trafic vers le site, l’espace de travail et l’API
• Une authentification forte, notamment par clés d’accès (passkeys) et authentification unique, et des sessions protégées
• Un contrôle d’accès par rôle, vérifié à chaque accès, export, partage et livraison
• Le chiffrement des identifiants enregistrés des outils connectés
• Un journal d’audit du compte (connexions, changements d’accès, dépenses et exports), conservé 12 mois
• Des journaux techniques qui excluent le contenu des requêtes, les coordonnées, les identifiants et les jetons de connexion
• Des enregistrements de désinscription pseudonymisés
• La prévention des abus et la limitation du débit
• Des sauvegardes régulières, avec des copies chiffrées conservées hors site dans l’Union européenne

Vous accordez à SpecStream une autorisation générale de recourir à des sous-traitants ultérieurs. SpecStream impose à chacun d’eux, par contrat, les mêmes obligations de protection des données et reste responsable envers vous de leurs actes. Les catégories utilisées sont les suivantes :

La liste à jour, avec le nom et l’adresse de chaque sous-traitant ultérieur, est disponible auprès de [email protected]. SpecStream informe par e-mail les propriétaires de comptes au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur. Vous pouvez vous y opposer pour des motifs raisonnables liés à la protection des données pendant ce délai. Si SpecStream ne peut pas répondre à l’objection, vous pouvez mettre fin au service concerné et obtenir le remboursement des sommes prépayées non utilisées pour celui-ci.

Compte tenu de la nature du traitement, SpecStream vous aide à répondre aux demandes des personnes exerçant leurs droits, principalement via le service lui-même : vous pouvez retrouver, rectifier, exporter et supprimer les fiches de votre espace de travail. SpecStream vous transmet toute demande reçue concernant vos données.

SpecStream vous notifie toute violation de données personnelles affectant vos données dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec les informations exigées par l’article 33, paragraphe 3, du RGPD à mesure qu’elles sont disponibles, et vous aide dans vos propres notifications. SpecStream vous apporte une aide raisonnable pour les analyses d’impact relatives à la protection des données et les consultations préalables d’une autorité de contrôle.

Vous pouvez exporter vos données à tout moment. Lorsque vous supprimez des fiches, des listes ou votre compte, SpecStream supprime les données personnelles correspondantes de ses systèmes actifs, immédiatement pour une suppression de compte, et de ses sauvegardes dans un délai de 8 jours, sauf si la loi impose leur conservation.

Les copies des pages lues pour vos demandes sont conservées 24 heures au plus et pour vous seul ; les copies de travail d’une exécution sont supprimées sous 7 jours.

SpecStream met à disposition les informations nécessaires pour démontrer le respect de l’article 28 du RGPD, répond aux questions écrites raisonnables et permet des audits menés par vous ou par un auditeur mandaté tenu à la confidentialité : une fois par an, avec un préavis écrit de 30 jours, pendant les heures ouvrées, d’une manière qui ne compromet ni les données des autres clients ni la sécurité de SpecStream, et à vos frais, sauf si un audit révèle un manquement substantiel de SpecStream ou est exigé par une autorité de contrôle.

Lorsqu’un traitement relevant du présent accord implique un transfert de données personnelles depuis l’Espace économique européen vers un pays ne bénéficiant pas d’une décision d’adéquation, les clauses contractuelles types de la Commission européenne (décision (UE) 2021/914) s’appliquent et sont intégrées par référence : le module 2 lorsque vous êtes responsable du traitement, le module 3 lorsque vous êtes sous-traitant, et le module 4 lorsque SpecStream vous renvoie des données hors d’Europe. La clause 7 ne s’applique pas ; pour la clause 9, point a), l’option 2 s’applique avec le préavis de 30 jours ci-dessus ; la mention facultative de la clause 11 ne s’applique pas ; l’autorité de contrôle compétente est la CNIL ; les clauses sont régies par le droit français et relèvent des juridictions françaises. Les sections ci-dessus en constituent les annexes. L’addendum britannique sur les transferts internationaux et les adaptations suisses s’appliquent aux données provenant de ces pays.

En cas de contradiction entre le présent accord et les conditions d’utilisation, le présent accord prévaut pour le traitement des données personnelles. En cas de contradiction avec les clauses contractuelles types, ces clauses prévalent. La responsabilité de chaque partie au titre du présent accord est soumise aux limites prévues par les conditions d’utilisation, sauf lorsque la loi ne les permet pas.