Accord entre responsables conjoints

§ 1. Parties et objet

1. Les responsables conjoints du traitement des données des Auteurs sont : VERTOM AI sp. z o.o., ul. Żurawia 45, 00-680 Warszawa, KRS 0001248500 (ci-après : « VERTOM ») et le Client.

2. La responsabilité conjointe du traitement comprend la lecture des Publications publiques dans les Sources indiquées, leur évaluation, la préparation d'un Brouillon de réponse, la conservation des Leads et l'envoi de notifications.

3. La responsabilité conjointe du traitement ne couvre pas ce que le Client fait du Lead après l'avoir reçu : le contact avec l'Auteur, l'enregistrement des données dans ses propres systèmes et la correspondance ultérieure. À cet égard, le Client est un responsable du traitement indépendant et en est seul responsable.

4. Le présent accord s'applique pendant la durée du contrat d'utilisation du Service et jusqu'à la suppression des données conformément au § 9.

§ 2. Nature, finalité, type de données et catégories de personnes

1. Nature du traitement : collecte automatisée, enregistrement, organisation, conservation, analyse du contenu, mise à disposition au Client et suppression.

2. Finalité : identifier les Publications publiques dans lesquelles l'Auteur exprime un besoin pour un produit ou un service du Client, afin de permettre au Client de prendre contact.

3. Type de données : nom et prénom ou nom de profil de l'Auteur, lien vers le profil s'il est public, contenu de la Publication, date de publication, adresse de la Source, compteurs publics de réactions et de commentaires, résultat de l'évaluation de la Publication avec la justification générée par le Service, contenu du Brouillon de réponse et statut du Lead attribué par le Client.

4. Catégories de personnes : Auteurs de Publications publiques dans les Sources indiquées par le Client, sur les services Facebook, Reddit et X.

5. Nous ne traitons pas intentionnellement de données relevant de catégories particulières. VERTOM établit la liste des Sources interdites (Règlement, § 7, paragraphe 3), qui s'applique indépendamment de la volonté du Client. Si, malgré cela, une Publication contient de telles données, elles sont traitées uniquement comme un élément du contenu de la Publication, sans analyse distincte, et sont soumises à la même durée de suppression que les autres données.

§ 3. Répartition des obligations (article 26, paragraphe 1, du RGPD)

1. VERTOM définit et exécute : le mode de lecture des Publications, l'étendue des champs enregistrés, la durée de conservation, le modèle utilisé pour l'évaluation, la suppression des données identifiantes du contenu transmis au modèle, la liste des Sources interdites ainsi que les mesures techniques et organisationnelles (§ 4).

2. Le Client définit et exécute : la liste des Sources, les critères d'évaluation, le calendrier des Scans, les canaux de notification ainsi que la finalité et le mode d'utilisation du Lead après sa réception.

3. L'obligation d'information envers les Auteurs (article 14 du RGPD) est exécutée par VERTOM. L'information est publiée à l'adresse useleadscanner.com/legal/notice-for-authors, dans chaque langue dans laquelle le Service est disponible. Le Client indique cette adresse à l'Auteur qui l'interroge sur la source de ses données.

4. Le point de contact pour les Auteurs au sens de l'article 26, paragraphe 1, troisième phrase, du RGPD est VERTOM : [email protected]. VERTOM reçoit et traite les demandes des Auteurs (§ 8), y compris lorsqu'elles concernent des données au sein de l'Organisation du Client. Le Client qui reçoit directement une demande la transmet sans délai à cette adresse.

5. Indépendamment de la répartition ci-dessus, l'Auteur peut exercer les droits qui lui sont conférés à l'égard de chacun des responsables conjoints du traitement (article 26, paragraphe 3, du RGPD), et chacun d'eux répond envers l'Auteur conformément à l'article 82 du RGPD.

6. Si VERTOM considère qu'un paramétrage mis en place par le Client enfreint les règles relatives à la protection des données, il en informe le Client et peut suspendre les Scans jusqu'à clarification.

§ 4. Mesures et obligations de VERTOM

1. VERTOM garantit que les personnes autorisées à traiter les données se sont engagées à respecter la confidentialité, et que seules les personnes pour lesquelles cet accès est nécessaire ont accès aux données des Auteurs ; toute lecture des données des Auteurs par un opérateur du Service en dehors du fonctionnement ordinaire du Service est enregistrée dans le journal d'audit.

2. Il met en œuvre des mesures techniques et organisationnelles adaptées au risque, notamment : le chiffrement des connexions, le chiffrement au repos des secrets d'intégration, l'isolation des données de chaque Organisation au moyen d'identifiants imprévisibles, l'authentification à deux facteurs pour les comptes des opérateurs, la limitation du nombre de tentatives de connexion, la suppression automatique des données après l'expiration de la durée de conservation, des copies de sauvegarde dans l'Espace économique européen ainsi que la suppression des données identifiantes du contenu transmis au modèle de langage avant son envoi.

3. Il traite les demandes des Auteurs de manière centralisée (§ 8) et en informe le Client lorsque cela est possible. VERTOM traite une demande adressée au Client dans un délai de 7 jours à compter de sa transmission.

4. Il met à la disposition du Client les informations nécessaires pour démontrer le respect des obligations découlant des articles 26 et 32 à 36 du RGPD, dans la mesure où elles concernent la partie du traitement effectuée par VERTOM.

5. Il informe le Client d'une violation de données à caractère personnel concernant les données des Auteurs sans retard injustifié, au plus tard dans les 48 heures suivant la constatation de la violation, en indiquant les circonstances dont il a connaissance, les catégories et le nombre approximatif de personnes concernées, ainsi que les mesures prises. VERTOM effectue les notifications à l'autorité de contrôle concernant le traitement visé au § 3, paragraphe 1.

6. Il permet au Client de vérifier l'exécution du présent accord selon les modalités du § 6.

§ 5. Sous-traitants et sources des données

1. VERTOM recourt aux sous-traitants énumérés dans la liste disponible à l'adresse useleadscanner.com/legal/subprocessors, dans la mesure qui y est décrite. Le Client y donne son autorisation générale.

2. Cette même liste indique les sources des données : les entités mettant à disposition les contenus publics des services Reddit et X. Elles n'agissent pas pour notre compte — elles déterminent elles-mêmes la manière dont elles collectent ces contenus et interviennent, à l'égard des données des Auteurs, en tant que responsables du traitement indépendants. Elles ne sont pas des sous-traitants et nous ne concluons pas avec elles de contrats de sous-traitance au titre de l'article 28 du RGPD ; nous les mentionnons parce que les données des Auteurs proviennent d'elles et que le Client a le droit de savoir d'où elles proviennent.

3. VERTOM informe le Client par e-mail, au moins 30 jours à l'avance, de son intention d'ajouter ou de modifier un sous-traitant ou une source de données. Le Client peut, dans ce délai, s'y opposer en indiquant des motifs justifiés liés à la protection des données. Si les parties ne parviennent pas à un accord, le Client peut résilier le contrat d'utilisation du Service avec effet à la date de mise en œuvre de la modification, et les frais correspondant à la période non utilisée sont remboursés proportionnellement.

4. VERTOM impose par contrat à chaque sous-traitant les mêmes obligations de protection des données que celles qui lui incombent et répond envers le Client du respect de ces obligations par ce sous-traitant.

§ 6. Vérification et audit

1. Le Client peut vérifier l'exécution du présent accord en demandant des informations et des documents, y compris les résultats d'audits et les certificats des sous-traitants. VERTOM répond dans un délai de 14 jours.

2. Si les informations visées au paragraphe 1 ne suffisent pas, le Client peut réaliser un audit, lui-même ou par l'intermédiaire d'un auditeur tenu à la confidentialité, au maximum une fois par an, sauf en cas de violation de données à caractère personnel, moyennant un préavis d'au moins 14 jours, pendant les heures de travail et d'une manière qui ne perturbe pas le fonctionnement du Service ni ne porte atteinte à la confidentialité des données d'autres clients. Les coûts de l'audit sont supportés par le Client, sauf si l'audit révèle une violation substantielle du présent accord.

§ 7. Transfert de données en dehors de l’EEE

1. Les données des Auteurs sont stockées sur des serveurs situés dans l’Espace économique européen.

2. Le transfert de données en dehors de l’EEE s’effectue exclusivement vers les sous-traitants indiqués dans la liste du § 5, al. 1, sur la base d’une décision de la Commission européenne constatant un niveau de protection adéquat (y compris dans le cadre du EU-U.S. Data Privacy Framework) ou, en l’absence d’une telle décision ou en cas de son annulation, sur la base de clauses contractuelles types adoptées par la Commission, complétées par une évaluation de l’impact du transfert.

3. Le fournisseur du modèle linguistique utilisé en Mode IA est OpenAI Ireland Ltd (EEE), sur la base de l’accord de sous-traitance d’OpenAI. Les requêtes adressées au modèle sont traitées sur les serveurs d’OpenAI aux États-Unis ; le fondement de ce transfert est constitué par les clauses contractuelles types intégrées à cet accord. Le contenu transmis via l’API n’est pas utilisé pour entraîner les modèles. Le contenu du Post transmis au modèle est préalablement débarrassé des noms et prénoms, adresses e-mail, numéros de téléphone et liens vers des profils.

4. Le fournisseur d’accès aux contenus publics des services Reddit et X est établi en dehors de l’EEE, mais le sens du flux est ici inverse de celui visé aux al. 2 et 3. Nous ne lui communiquons pas les données des Auteurs : nous envoyons le nom de la Source et la requête de recherche, et nous recevons les contenus publics accompagnés des données de leurs Auteurs. La réception de données depuis une source située en dehors de l’EEE constitue une collecte de données, et non un transfert au sens du chapitre V du RGPD, et est soumise aux mêmes règles que toute autre collecte décrite dans les présents accords.

5. Un flux sort toutefois et peut identifier une personne : lorsque la Source est un compte public spécifique sur le service X, son nom quitte l’EEE. Ce nom est public, nous l’envoyons uniquement afin de lire les publications publiques de ce compte et nous ne le relions à aucune autre donnée. La qualification juridique de ce seul flux fait l’objet d’une consultation juridique ; nous inscrirons son résultat à cet endroit. En dehors de ce flux, les données à caractère personnel ne peuvent pas quitter l’EEE par cette voie ; c’est pourquoi le § 7, al. 2, let. e du Règlement interdit au Client d’utiliser des données à caractère personnel comme requête de recherche.

6. L’évaluation de la licéité de la source au sens de l’Avis du CEPD 28/2024 est en cours d’élaboration pour ces deux sources. Jusqu’à son établissement, nous les utilisons en acceptant consciemment le risque décrit au § 5, al. 2 et dans le présent alinéa ; nous communiquerons cette évaluation au Client sur demande, lorsqu’elle aura été établie.

§ 8. Opposition de l'Auteur et liste d'exclusion

1. L'Auteur qui s'oppose au traitement ou demande la suppression des données peut s'adresser à VERTOM à l'adresse [email protected] — en tant que point de contact des responsables conjoints du traitement (§ 3, paragraphe 4) — ou directement au Client. VERTOM supprime alors les données de l'Auteur de toutes les Organisations, y compris de l'Organisation du Client, et enregistre un hachage irréversible de l'identifiant de l'Auteur dans la liste d'exclusion, grâce à laquelle les Scans ultérieurs ignorent ses Publications.

2. Le Client reconnaît que l'opposition de l'Auteur est exécutée sans consentement distinct du Client et qu'en raison du caractère local de l'identifiant, il n'est pas toujours possible de déterminer quelle Organisation elle concernait ; lorsque cela est possible, VERTOM informe le Client de la suppression.

3. La liste d'exclusion est un ensemble que VERTOM gère seul en tant que responsable du traitement, sur le fondement de l'article 6, paragraphe 1, point c), du RGPD (obligation de garantir l'exercice des droits des personnes) ainsi que de l'article 6, paragraphe 1, point f), du RGPD (intérêt légitime à l'exécution effective de l'opposition). La liste ne contient que des hachages ne permettant pas de reconstituer les données de l'Auteur et est tenue sans limitation de durée, car sa suppression entraînerait une nouvelle collecte des données d'une personne qui ne le souhaite pas.

§ 9. Fin du traitement

1. Les données des Auteurs sont supprimées automatiquement à l'expiration de la durée de conservation résultant du Plan (Règlement, § 5, paragraphe 6), et les Publications qui n'ont pas été évaluées comme Lead le sont selon la même procédure et au plus tard en même temps que les Leads.

2. Après la fin du contrat d'utilisation du Service, à l'expiration d'un délai de grâce de 30 jours, VERTOM supprime toutes les données des Auteurs traitées en lien avec l'Organisation du Client, y compris leurs copies, à l'exception de la liste d'exclusion (§ 8) et des données dont la conservation est exigée par le droit de l'Union ou le droit d'un État membre.

3. Avant la fin du contrat, le Client peut télécharger, dans le panneau, une copie des Leads dans un format ouvert. À compter du téléchargement, le Client est un responsable du traitement indépendant à l'égard de cette copie et fixe lui-même sa durée de conservation.

§ 10. Dispositions finales

1. Chacun des responsables conjoints du traitement répond envers l'Auteur des dommages causés par le traitement conformément à l'article 82 du RGPD ; l'Auteur peut exercer un recours contre chacun d'eux. Les règlements entre les parties à ce titre s'effectuent selon la répartition des obligations prévue au § 3. À l'égard d'un Client qui n'est pas un Client privilégié, la limitation de responsabilité prévue au § 10 du Règlement s'applique, dans la mesure où cela n'est pas contraire aux dispositions impératives.

2. Les questions non régies par le présent accord sont soumises au Règlement et au RGPD. Toute modification du présent accord intervient selon la procédure de modification du Règlement.

3. Le présent accord est établi en sept langues ; en cas de divergence, la version polonaise fait foi. Il s'applique à compter du 7 septembre 2026. Il a remplacé le Contrat de sous-traitance du traitement des données à caractère personnel du 2 septembre 2026, qui reposait sur l'hypothèse erronée selon laquelle seul le Client était responsable du traitement des données des Auteurs.