Accord de traitement des données — OAZEE

Le présent Accord de traitement des données (« Accord ») fait partie des Conditions d'utilisation de OAZEE conclues entre Arti Group s.r.o., numéro d'identification (IČO) 27930432, numéro de TVA (DIČ) CZ27930432, siège social Schulhoffova 793/3, Háje, 149 00 Prague 4, République tchèque (OAZEE), et le client utilisant OAZEE pour traiter des données personnelles pour son compte (le Client).

Il s'applique lorsque OAZEE traite des données personnelles dans le contenu du site, les demandes des visiteurs ou l'hébergement et l'acheminement associés uniquement pour le Client. Le Client est normalement le responsable du traitement ; s'il est une agence agissant pour un responsable du traitement, OAZEE agit comme son sous-traitant ultérieur. Le Client doit être habilité à donner les instructions concernées.

Les définitions du RGPD de responsable du traitement, sous-traitant, données personnelles, traitement et violation de données personnelles s'appliquent. Le présent Accord prévaut sur les conditions générales contradictoires pour les traitements relevant de son champ. Il ne régit pas les finalités distinctes de OAZEE comme responsable du traitement pour les comptes, la facturation, la sécurité ou l'assistance décrites dans la Politique de confidentialité. Le droit applicable à la protection des données prévaut sur toute limitation contractuelle.

• Objet : hébergement et exploitation du site du Client et gestion des données personnelles qu'il choisit d'inclure ou de collecter au moyen des fonctions prises en charge.
• Nature et finalité : stockage, récupération, affichage et publication du contenu du site selon les instructions ; réception, filtrage antispam, stockage et envoi par e-mail des demandes des visiteurs ; assistance technique, sécurité, suppression ou restitution nécessaires à ces fonctions.
• Personnes concernées : visiteurs du site du Client, prospects et clients, personnes de contact, personnel et autres personnes dont le Client fournit licitement les données.
• Types de données : textes et images du site soumis aux instructions, noms, coordonnées professionnelles, adresses e-mail, numéros de téléphone, messages, détails des services ou rendez-vous le cas échéant, dates d'envoi, informations d'adresse IP hachée, données du navigateur/user-agent et indicateurs de sécurité ou antispam pertinents. Les prestataires d'infrastructure et de protection peuvent traiter les données de connexion nécessaires à l'acheminement et à la sécurité.
• Durée : pendant le service de traitement concerné et la validité des instructions licites de conservation, puis restitution ou suppression selon la section 10. Le maintien du stockage dans un compte n'autorise pas une réutilisation sans rapport.

Le service standard n'est pas conçu pour collecter des catégories particulières de données, des données d'infractions pénales, des documents d'identité ou d'autres informations très sensibles via des formulaires génériques ou des instructions IA. Le Client ne doit pas demander de tels traitements sans base légale ni dispositif adapté expressément convenu. Un message sensible non sollicité reste une donnée personnelle protégée et ne devient pas disponible pour un usage indépendant.

Le Client donne instruction à OAZEE de traiter les données uniquement pour fournir les fonctions choisies au titre du contrat, selon ses paramètres et demandes enregistrés et le présent Accord. Une demande de publication du contenu d'un site constitue une instruction de rendre ce contenu public ; une demande privée transmise par formulaire ne constitue pas une instruction de la publier.

OAZEE traite les données uniquement sur instructions documentées licites, y compris concernant les transferts internationaux, sauf exigence contraire du droit de l'UE ou d'un État membre applicable. Dans ce cas, OAZEE en informe le Client avant le traitement, sauf interdiction légale. OAZEE informe rapidement le Client si une instruction semble enfreindre le droit applicable à la protection des données et peut suspendre l'instruction concernée pendant sa clarification.

OAZEE n'utilise pas les données de visiteurs sous le contrôle du Client pour sa propre publicité, l'entraînement indépendant de modèles, la vente ou un développement de produits sans rapport. L'autorisation d'héberger un formulaire ne permet pas d'envoyer ses messages à un fournisseur IA pour les finalités indépendantes de ce dernier. Un traitement IA relevant du présent Accord exige une instruction applicable du Client et un accord avec le prestataire conforme au présent Accord.

Le Client détermine la base légale, fournit les mentions requises aux visiteurs, limite la collecte aux données nécessaires et donne des instructions licites de conservation. Ces responsabilités ne libèrent pas OAZEE de ses propres obligations de sous-traitant.

OAZEE veille à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité et n'y accèdent que selon les besoins de leurs fonctions. OAZEE applique les mesures techniques et organisationnelles appropriées selon l'article 32 du RGPD, compte tenu des risques, de la portée, du contexte, de l'état des connaissances et du coût de mise en œuvre.

Ces mesures comprennent la restriction et l'authentification des accès, la protection des données en transit, la gestion sécurisée des identifiants, la séparation des accès clients, une protection proportionnée contre les abus et le spam, une journalisation et une gestion des incidents adaptées, ainsi que des mesures de disponibilité et de restauration appropriées. Les protections et la conservation de l'infrastructure gérée sont évaluées pour le traitement concerné. Le présent Accord ne revendique aucune certification particulière, région de stockage exclusive, durée fixe de récupération des sauvegardes ni garantie de sécurité absolue.

OAZEE fournit au Client les informations raisonnablement nécessaires pour évaluer les mesures applicables et ne réduit pas sensiblement le niveau global de protection exigé par la loi pendant le service de traitement.

Le Client donne une autorisation écrite générale pour les sous-traitants ultérieurs dûment identifiés pour le traitement concerné. Le relevé des prestataires de la section 12 doit identifier les prestataires effectifs, leurs fonctions, leurs lieux de traitement et les mécanismes de transfert applicables avant que le traitement concerné leur soit confié. Une intégration logicielle inutilisée ne signifie pas en soi que le prestataire reçoit les données du Client.

Avant d'ajouter ou de remplacer un sous-traitant ultérieur des données du Client, OAZEE informe le contact enregistré du Client du changement proposé au moins 30 jours à l'avance lorsque cela est réalisable, pour lui donner une possibilité réelle d'opposition fondée sur des motifs raisonnables de protection des données. Un changement réellement urgent lié à la sécurité ou à la loi est notifié dès que possible et ne supprime pas les exigences d'autorisation et de protection licites.

Le Client peut s'opposer pendant le délai de préavis. Les parties recherchent une solution ou une mesure protectrice raisonnable. Si l'opposition ne peut être résolue et qu'aucune solution licite n'est disponible, le Client peut mettre fin au service de traitement concerné avant le changement, sans frais de résiliation anticipée, et obtenir le remboursement légalement ou contractuellement dû pour le service inutilisé concerné. Cela ne garantit pas de continuer à recourir à un prestataire illicite ou indisponible.

OAZEE impose par écrit aux sous-traitants ultérieurs des obligations offrant la même protection pertinente des données que le présent Accord et reste responsable envers le Client de leur exécution conformément à l'article 28 du RGPD. Un fournisseur de modèle IA en aval n'est pas exempté au seul motif que son accès passe par une autre plateforme.

Les instructions du Client ne valent pas renonciation aux restrictions du RGPD sur les transferts hors EEE. Avant un transfert soumis à restrictions, OAZEE doit établir et documenter un mécanisme valide pour le destinataire et le traitement effectifs, ainsi que toute évaluation et mesure supplémentaire requise.

Le traitement décrit à la section 12 comprend des transferts aux États-Unis. Ces transferts reposent sur le cadre UE–États-Unis de protection des données (DPF) lorsque le destinataire et l'activité sont couverts par une certification actuelle, et/ou sur les clauses contractuelles types (SCC) applicables selon l'accord de traitement des données du prestataire concerné. La Politique de confidentialité, sections 8–9 précise les lieux, les entités destinataires et les liens vers leurs conditions de transfert. Une entité contractante européenne n'exclut pas un accès ou un traitement aux États-Unis.

Une décision d'adéquation n'est utilisable que si ses conditions sont remplies. Le recours au cadre UE–États-Unis de protection des données exige que le destinataire et l'activité concernés soient couverts par une certification actuelle. Si des clauses contractuelles types sont utilisées, les parties, le module, les annexes, la description du traitement et les mesures appropriés doivent être renseignés ; une simple référence dans le présent Accord ne constitue pas un ensemble de clauses de transfert valablement conclu.

OAZEE fournit sur demande des informations sur le mécanisme effectif et l'accès aux garanties, sous réserve de la protection licite des informations confidentielles et des données personnelles de tiers. Si un transfert ne peut être maintenu licitement, il doit cesser ou un autre dispositif licite doit être adopté.

Compte tenu du traitement, OAZEE aide le Client par des mesures appropriées à répondre aux demandes d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité lorsqu'elles sont applicables. Les demandes peuvent être coordonnées à Afficher l'adresse e-mail.

Si OAZEE reçoit une demande concernant des données contrôlées par le Client, elle la lui transmet sans retard injustifié et ne décide pas seule de sa réponse, sauf obligation légale. Le Client reste chargé de l'évaluation ; OAZEE apporte son aide à temps pour permettre le respect du délai légal. La restitution peut être effectuée sur demande et ne se limite pas aux informations visibles dans un tableau de bord.

OAZEE informe le Client sans retard injustifié dès qu'elle prend connaissance d'une violation affectant les données traitées sous le présent Accord. La notification comprend, selon les informations disponibles, la nature de l'incident, les catégories et nombres approximatifs concernés, un point de contact, les conséquences probables et les mesures prises ou proposées.

Les informations peuvent être fournies progressivement sans retard injustifié pendant l'enquête. OAZEE coopère pour contenir l'incident, y remédier et permettre au Client d'évaluer ses obligations et d'effectuer les notifications requises. L'éventuel délai de 72 heures du responsable du traitement pour notifier l'autorité n'est pas une période contractuelle pendant laquelle OAZEE pourrait retarder l'information du Client.

Compte tenu de la nature du traitement et des informations disponibles, OAZEE aide le Client à respecter ses obligations de sécurité, de notification de violations, d'analyse d'impact et de consultation préalable lorsque cela est requis.

OAZEE fournit les informations nécessaires pour démontrer le respect de l'article 28 du RGPD, permet les audits, y compris les inspections du Client ou d'un auditeur indépendant mandaté, et y contribue. Les parties conviennent de modalités raisonnables de préavis, de portée, de confidentialité et de protection des données des autres clients ; ces modalités ne peuvent vider un droit légal d'audit de sa substance ni entraver une autorité compétente. Des rapports indépendants existants peuvent être utilisés si adaptés, sans être présentés à tort comme des certifications détenues par OAZEE.

La coopération courante fait partie des obligations légales concernées. Des frais convenus séparément pour un travail réellement supplémentaire doivent être raisonnables et ne pas entraver les droits impératifs ni la correction d'un manquement propre à OAZEE.

À la fin du service de traitement concerné, le Client peut choisir la restitution ou la suppression de ses données personnelles, copies comprises, sauf obligation de conservation du droit de l'UE ou d'un État membre. Les demandes s'adressent à Afficher l'adresse e-mail ; OAZEE apporte son aide sans retard injustifié et fournit, si la restitution est demandée, un format utilisable et couramment utilisé adapté aux données. Après restitution, OAZEE supprime les copies restantes, sauf obligation de conservation du droit de l'UE ou d'un État membre, sous réserve du cycle limité de sauvegarde décrit ci-dessous.

Si le Client conserve un compte et demande le maintien du stockage pour restauration, cette finalité de stockage définie peut se poursuivre sous le présent Accord. Mettre fin à l'hébergement payant en gardant du contenu récupérable n'équivaut pas à demander la suppression de tout le contenu stocké. Les durées opérationnelles de la Politique de confidentialité restent soumises aux instructions licites du Client et à la nécessité selon le RGPD.

Les documents dont la conservation est légalement requise sont isolés pour cette finalité. Les copies de sauvegarde attendant le cycle de suppression applicable restent protégées, ne sont pas utilisées pour de nouvelles finalités et sont supprimées ou anonymisées quand cette conservation limitée n'est plus nécessaire. OAZEE explique sur demande l'exception ou le cycle de conservation applicable.

Le contact pour les instructions de sous-traitance et la protection des données est Afficher l'adresse e-mail. Les notifications concernant les données du Client sont envoyées au contact actuel de son compte, sauf autre contact convenu. Le Client doit le tenir à jour.

Le présent Accord suit la clause de droit tchèque des Conditions d'utilisation sans restreindre le RGPD, les autorités de contrôle compétentes, les droits des personnes ou les autres protections impératives. Il n'impose pas à un consommateur un tribunal exclusivement tchèque contrairement au droit applicable.

La Politique de confidentialité, section 8 identifie les marques et fonctions des prestataires concernés. Pour le traitement effectif du Client, le relevé doit distinguer :

• Vercel Inc. (États-Unis) : hébergement, stockage Blob et protection liée à BotID, dont tout traitement pertinent de Kasada ;
• Neon : stockage en base de données ; les conditions publiques actuelles identifient Databricks, Inc. et sa filiale Neon, LLC (États-Unis) ;
• Resend / Plus Five Five, Inc. (États-Unis) : acheminement des demandes et e-mails de service, y compris le stockage des données de messages aux États-Unis ;
• les prestataires IA ou vocaux configurés, lorsque des données du Client sont licitement incluses : Google (dont Google Cloud EMEA Limited, Irlande, pour Gemini API Paid Services avec une adresse de facturation tchèque), OpenAI, OpenRouter avec le prestataire en aval pertinent, ou Recraft ;
• les autres prestataires uniquement dans la mesure où ils sont effectivement utilisés pour le compte du Client sous l'autorisation requise.

Le traitement indépendant des paiements par Stripe, les communications de registre à Gransy / Subreg ou au registre de domaine concerné et les notifications d'assistance propres à OAZEE sont évalués selon leurs rôles réels ; ils ne sont pas tous automatiquement des sous-traitants ultérieurs des données de formulaires visiteurs.

La région de la base de données est AWS US East 1, en Virginie du Nord, aux États-Unis (us-east-1). La région par défaut des fonctions Vercel pour OAZEE est Washington, D.C., aux États-Unis (iad1), et le contenu statique est acheminé via un CDN mondial. Les logos, photos et fichiers envoyés utilisent Vercel Blob ; la région des fonctions ne détermine pas tous les lieux des copies Blob, des caches, des sauvegardes ou des accès à distance. Resend stocke les données d'e-mails aux États-Unis ; choisir une région d'envoi ne change pas ce lieu de stockage.

Les destinataires et conditions de transfert de la Politique de confidentialité, sections 8–9 font partie du présent relevé. Pour chaque sous-traitant ultérieur actif, OAZEE fournit à Afficher l'adresse e-mail l'entité contractante concernée, la fonction, les catégories de données, les lieux applicables de traitement et d'accès à distance et les garanties de transfert, et notifie les changements selon la section 5. Les prestataires supplémentaires ou en aval doivent être identifiés pour le traitement effectif ; les régions d'infrastructure indiquées ne signifient pas que tous les traitements sont limités à ces régions.