Accord de traitement des données

Version : 3.0  ·  Date d'entrée en vigueur : 5 novembre 2026

Cette traduction est fournie pour plus de commodité. La version officielle est la version anglaise.

Le présent Accord de traitement des données (« DPA ») fait partie des Conditions d'utilisation de Plerdy (les « Conditions ») conclues entre Plerdy et le client qui utilise le service Plerdy (le « Client »). Il définit la manière dont Plerdy traite les données personnelles pour le compte du Client, conformément à l'article 28 du Règlement général sur la protection des données de l'UE 2016/679 (« RGPD ») et aux autres lois applicables en matière de protection des données.

1. Application du présent DPA

1.1. Le présent DPA s'applique automatiquement à chaque Client qui accepte les Conditions, dès l'acceptation. Aucune signature n'est nécessaire. L'article 28, paragraphe 9, du RGPD permet que l'accord revête une forme électronique.

1.2. Le présent DPA est identique pour toutes les formules et tous les modes de paiement : la formule gratuite, les abonnements mensuels et annuels, les factures et les forfaits AppSumo. Il couvre tous les sites web connectés au compte Plerdy du Client.

1.3. Plerdy ne négocie ni ne signe de versions individuelles du présent DPA. Sur demande adressée à [email protected], Plerdy envoie un PDF du présent DPA signé par Plerdy. L'exemplaire signé a le même texte et les mêmes effets que la présente page.

2. Rôles et définitions

2.1. Pour les données personnelles des visiteurs des sites web du Client collectées par le code Plerdy (les « Données personnelles du Client »), le Client est le responsable du traitement et Plerdy est le sous-traitant. Pour les données du compte du Client, Plerdy est le responsable du traitement, comme décrit dans la Politique de confidentialité ; le présent DPA ne s'y applique pas.

2.2. « Plerdy » désigne Andrii Chornyi, entrepreneur individuel (FOP), Ukraine. Les termes tels que « responsable du traitement », « sous-traitant », « données personnelles », « traitement », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens que leur donne le RGPD.

3. Instructions

3.1. Plerdy traite les Données personnelles du Client uniquement sur instructions documentées du Client, y compris en ce qui concerne les transferts vers des pays tiers, sauf si la loi l'exige autrement. Dans ce cas, Plerdy en informe le Client avant le traitement, sauf si la loi l'interdit.

3.2. Les Conditions, le présent DPA et les paramètres que le Client choisit dans son compte Plerdy (par exemple les outils activés, le masquage, la conservation et les intégrations connectées) constituent l'ensemble des instructions du Client. Toute autre instruction doit être envoyée par écrit à [email protected]. Si une instruction ne peut pas être suivie, Plerdy en informe le Client, et le Client peut cesser d'utiliser le service.

3.3. Plerdy informe le Client si, à son avis, une instruction constitue une violation de la législation sur la protection des données.

3.4. Le Client est responsable de la licéité du traitement, y compris d'informer les visiteurs et de recueillir leur consentement lorsque la loi l'exige.

4. Confidentialité

Plerdy ne donne accès aux Données personnelles du Client qu'aux personnes qui en ont besoin pour fournir, assister et sécuriser le service. Toutes sont tenues à la confidentialité.

5. Sécurité

Plerdy met en œuvre les mesures techniques et organisationnelles décrites à l'Annexe 2 et dans la Politique de sécurité, conformément à l'article 32 du RGPD. Plerdy peut mettre à jour ces mesures tant que le niveau global de protection ne diminue pas.

6. Sous-traitants ultérieurs

6.1. Le Client donne à Plerdy une autorisation générale de recourir à des sous-traitants ultérieurs. Les sous-traitants ultérieurs actuels sont énumérés à l'Annexe 3.

6.2. Plerdy informe le Client, par e-mail adressé au propriétaire du compte, au moins 14 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur. Le Client peut s'y opposer pour des motifs raisonnables de protection des données pendant ce délai, en écrivant à [email protected]. Si les parties ne trouvent pas de solution, le Client peut cesser d'utiliser la partie concernée du service ou supprimer son compte.

6.3. Plerdy impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent DPA et reste responsable à son égard.

6.4. Les intégrations que le Client connecte lui-même (par exemple e-mail marketing, CRM, Google Sheets, Slack ou Telegram) reçoivent des données sur instruction du Client. Ce sont les propres prestataires du Client, et non des sous-traitants ultérieurs de Plerdy.

7. Assistance au Client

7.1. Compte tenu de la nature du traitement, Plerdy aide le Client à répondre aux demandes des personnes concernées (accès, effacement, rectification, opposition et autres). Plerdy transmet au Client toute demande qu'elle reçoit directement d'un visiteur et n'y répond pas sans instruction du Client.

7.2. Plerdy supprime les données d'un visiteur donné à la demande du Client dans un délai de 30 jours. Le Client peut également supprimer à tout moment les données d'un site web ou de l'ensemble de son compte dans le compte Plerdy.

7.3. Plerdy fournit au Client les informations dont il a raisonnablement besoin pour les analyses d'impact relatives à la protection des données et les consultations préalables des autorités de contrôle.

8. Violations de données à caractère personnel

Plerdy notifie le Client dans les meilleurs délais et, lorsque c'est possible, dans un délai de 48 heures après avoir pris connaissance d'une violation de données à caractère personnel touchant les Données personnelles du Client. La notification décrit ce qui est connu à ce moment : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises. Plerdy complète les informations au fur et à mesure qu'elles sont disponibles et prend des mesures pour limiter la violation.

9. Suppression à la fin du service

9.1. Pendant la durée du service, les Données personnelles du Client sont supprimées automatiquement après la période d'historique des données de la formule du Client et conformément aux paramètres de conservation choisis par le Client.

9.2. Lorsque le Client supprime un site web ou son compte, Plerdy supprime les Données personnelles du Client correspondantes dans un délai de 30 jours, sauf si la loi oblige Plerdy à les conserver. Avant la suppression, le Client peut exporter ses données avec les outils disponibles dans le compte.

10. Informations et audits

10.1. Plerdy met à la disposition du Client les informations nécessaires pour démontrer le respect de l'article 28 du RGPD : le présent DPA, la Politique de sécurité et des réponses écrites à un questionnaire de sécurité raisonnable, une fois tous les 12 mois.

10.2. Si ces informations ne suffisent pas, le Client peut effectuer un audit, lui-même ou par l'intermédiaire d'un auditeur indépendant tenu à la confidentialité, une fois tous les 12 mois, moyennant un préavis écrit de 30 jours, pendant les heures ouvrables, sans perturber le service et aux frais du Client. Ces limites ne s'appliquent pas lorsqu'une autorité de contrôle exige l'audit ni après une violation de données à caractère personnel touchant le Client.

11. Transferts internationaux

11.1. Les Données personnelles du Client sont stockées sur des serveurs situés en Allemagne. L'équipe de Plerdy travaille depuis l'Ukraine et peut accéder aux données depuis ce pays pour assurer le support et la maintenance du service. Certains sous-traitants ultérieurs de l'Annexe 3 sont situés en dehors de l'Espace économique européen.

11.2. Lorsque le Client est soumis au RGPD et que des données sont transférées à Plerdy en dehors de l'Espace économique européen, les clauses contractuelles types adoptées par la décision d'exécution (UE) 2021/914 de la Commission (les « CCT »), Module Deux (du responsable du traitement au sous-traitant), sont incorporées par référence au présent DPA, avec les choix suivants : la clause 7 (clause d'adhésion) s'applique ; clause 9, point a), option 2 (autorisation générale), avec le délai de préavis prévu à la section 6.2 ; la formulation facultative de la clause 11 ne s'applique pas ; clause 13 : l'autorité de contrôle compétente pour le Client ; clause 17 : le droit allemand ; clause 18 : les juridictions allemandes. Les annexes I, II et III des CCT correspondent aux Annexes 1, 2 et 3 du présent DPA.

11.3. Pour les transferts soumis à la législation britannique sur la protection des données, l'addendum sur le transfert international de données publié par le Commissaire à l'information du Royaume-Uni (UK Information Commissioner) s'applique avec les CCT. Pour les transferts soumis au droit suisse, les CCT s'appliquent, les références au RGPD s'entendant comme des références à la loi fédérale suisse sur la protection des données, et le Préposé fédéral suisse à la protection des données et à la transparence est l'autorité compétente.

11.4. Plerdy ne transfère des Données personnelles du Client à des sous-traitants ultérieurs situés en dehors de l'Espace économique européen que dans le cadre des CCT ou d'un autre mécanisme de transfert autorisé par le RGPD.

12. Responsabilité

La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations prévues dans les Conditions, dans la mesure où la loi le permet. Aucune disposition du présent DPA ne limite les droits des personnes concernées en vertu du RGPD ou des CCT.

13. Durée, priorité et modifications

13.1. Le présent DPA s'applique aussi longtemps que Plerdy traite des Données personnelles du Client.

13.2. En cas de conflit, les CCT prévalent sur le présent DPA, et le présent DPA prévaut sur les Conditions en matière de données personnelles.

13.3. Plerdy peut mettre à jour le présent DPA pour tenir compte de changements de la loi ou du service. Plerdy informe les Clients par e-mail des modifications importantes au moins 14 jours à l'avance. Les modifications ne réduisent pas le niveau de protection des Données personnelles du Client.

13.4. Le présent DPA est régi par la loi qui régit les Conditions, à l'exception des CCT, qui sont régies comme indiqué à la section 11.2.

Annexe 1. Description du traitement

Annexe 2. Mesures techniques et organisationnelles

• Hébergement : serveurs, bases de données et stockage des enregistrements de sessions en Allemagne, dans des centres de données certifiés ISO/IEC 27001.
• Chiffrement en transit : TLS pour tout le trafic ; un réseau de diffusion de contenu avec protection contre les attaques.
• Minimisation des données dans le navigateur : les valeurs saisies dans les champs de formulaire sont masquées avant l'envoi ; les champs mot de passe, adresse e-mail, téléphone, nom et adresse sont toujours masqués ; les éléments marqués data-sensitive, data-payment ou data-private ne sont pas enregistrés ; les enregistrements de sessions ne sont ni des vidéos ni des captures d'écran.
• Adresses IP : non conservées dans les données de suivi (voir l'Annexe 1).
• Signaux de confidentialité : aucune donnée n'est collectée auprès des navigateurs qui envoient Global Privacy Control ou Do Not Track.
• Séparation : les données de chaque Client sont conservées séparément et ne sont pas combinées avec celles d'autres Clients.
• Contrôle d'accès : accès aux systèmes de production et aux données réservé aux membres autorisés de l'équipe qui en ont besoin ; comptes personnels ; mots de passe des clients stockés sous forme de hachages à sens unique salés (bcrypt) ; connexion en deux étapes facultative avec un code à usage unique envoyé par e-mail ; limitation des tentatives de connexion échouées répétées.
• Intégrité du code : le script de suivi est généré automatiquement à partir d'un code source sous contrôle de version et n'est pas modifié à la main sur les serveurs.
• Conservation : suppression automatique des enregistrements de sessions selon les paramètres du Client ; suppression automatique des autres données des visiteurs après la période d'historique des données de la formule.
• Personnel : obligations de confidentialité ; formation à l'hameçonnage et au signalement des incidents.
• Incidents : un processus documenté pour contenir, examiner et corriger les incidents et pour en informer les Clients comme décrit à la section 8.

Annexe 3. Sous-traitants ultérieurs

Les paiements sont traités par Paddle, en tant que revendeur officiel (merchant of record), et par AppSumo pour les forfaits AppSumo. Ils ne reçoivent que les données du compte et de facturation du Client, et non les Données personnelles du Client.

Contact

Confidentialité et présent DPA : [email protected]
Sécurité : [email protected]