Accord de traitement des données (DPA)

conformément à l’article 28 du règlement général sur la protection des données (RGPD) de l’UE

Parties

entre le client de la plateforme PanelWave (le créateur ou son équipe) — ci-après le « Responsable du traitement » —

et

PanelWave, Jens Hoppe
c/o RUFFINI Creative Hub
Sendlinger Straße 1
80331 München
Deutschland
E-mail : privacy@panelwave.org

— ci-après le « Sous-traitant » —

Préambule

Le Responsable du traitement utilise la plateforme SaaS (logiciel en tant que service) PanelWave (création, gestion, publication et diffusion de romans graphiques interactifs, y compris les statistiques de lecture et la monétisation facultative auprès des lecteurs). Dans ce cadre, le Sous-traitant traite des données personnelles pour le compte du Responsable du traitement — en particulier des données des lecteurs des œuvres publiées par le Responsable du traitement. Le présent Accord précise les obligations des parties en matière de protection des données conformément à l’article 28 du RGPD.

Le présent Accord est conclu par voie électronique : il fait partie intégrante du contrat de services et prend effet dès l’inscription du Responsable du traitement sur la plateforme ou dès son acceptation des conditions d’utilisation. Aucune signature distincte n’est requise (article 28, paragraphe 9, du RGPD — la forme électronique est suffisante).

Pour les données personnelles des propres utilisateurs inscrits du Responsable du traitement (données de compte et de profil des créateurs et des membres de leurs équipes), PanelWave est le responsable du traitement ; ces données sont régies par la politique de confidentialité, et non par le présent Accord.

§ 1 Objet et durée du traitement

1. L’objet du traitement est la fourniture des services SaaS décrits dans le Préambule, conformément au contrat de services.
2. La durée du traitement correspond à la durée du contrat de services. À la fin de celui-ci, le § 12 s’applique.

§ 2 Nature, finalité et lieu du traitement

1. La nature et la finalité du traitement, les catégories de données et les catégories de personnes concernées sont précisées à l’annexe 1.
2. Le traitement a lieu dans des centres de données situés dans l’Union européenne — y compris les bases de données, le stockage objet et les sauvegardes.
3. Les transferts vers des pays tiers n’ont lieu que par l’intermédiaire des sous-traitants ultérieurs énumérés à l’annexe 3 et uniquement lorsque des garanties appropriées conformes au chapitre V du RGPD sont en place (décision d’adéquation, cadre de protection des données UE-États-Unis (EU-U.S. Data Privacy Framework) ou clauses contractuelles types de l’UE).

§ 3 Responsabilité et obligations du Responsable du traitement

1. Dans le cadre du présent Accord, le Responsable du traitement répond de la licéité du traitement et de la sauvegarde des droits des personnes concernées (article 4, point 7), et article 24 du RGPD).
2. Le Responsable du traitement veille notamment à ce que les lecteurs soient informés conformément aux articles 13 et 14 du RGPD, à ce que les consentements éventuellement requis soient recueillis (par exemple pour les statistiques de lecture, lorsque le consentement est la base juridique retenue — le PanelWave Player fournit à cet effet un mécanisme de recueil du consentement) et à ce que les contenus téléversés sur la plateforme ne contiennent pas de données personnelles de tiers sans base juridique.
3. Les instructions du Responsable du traitement sont en principe données au moyen des fonctions de la plateforme (configuration, saisie, suppression, export) ; les instructions allant au-delà doivent être données sous forme textuelle.

§ 4 Obligations du Sous-traitant

Le Sous-traitant s’engage à :

1. ne traiter les données personnelles que sur instruction documentée du Responsable du traitement, à moins d’y être tenu en vertu du droit de l’Union ou du droit de l’État membre auquel il est soumis ; dans ce cas, le Sous-traitant informe le Responsable du traitement de cette obligation juridique avant le traitement, sauf si ce droit interdit une telle information (article 28, paragraphe 3, point a), du RGPD) ;
2. informer immédiatement le Responsable du traitement si, selon lui, une instruction constitue une violation du RGPD ou d’autres dispositions relatives à la protection des données ;
3. veiller à ce que les personnes autorisées à traiter les données personnelles s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité (article 28, paragraphe 3, point b), du RGPD) ;
4. prendre toutes les mesures requises en vertu de l’article 32 du RGPD (annexe 2) ;
5. aider le Responsable du traitement, par des mesures techniques et organisationnelles appropriées, à donner suite aux demandes des personnes concernées (articles 12 à 23 du RGPD) — notamment au moyen des fonctions d’export, de rectification et de suppression intégrées à la plateforme ;
6. aider le Responsable du traitement à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD (sécurité du traitement, notification des violations, analyse d’impact relative à la protection des données, consultation préalable), compte tenu de la nature du traitement et des informations à la disposition du Sous-traitant ;
7. notifier au Responsable du traitement dans les meilleurs délais après en avoir pris connaissance toute violation de données à caractère personnel affectant les données traitées pour le compte du Responsable du traitement, et fournir, dans la mesure où elles sont disponibles, les informations nécessaires à une notification conformément à l’article 33 du RGPD ;
8. mettre à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues à l’article 28 du RGPD (§ 10) ;
9. tenir un registre des activités de traitement conformément à l’article 30, paragraphe 2, du RGPD ;
10. ne pas traiter les données qui lui sont confiées à ses propres fins. Font exception les évaluations agrégées et anonymisées sans lien avec une personne (par exemple les métriques système et les statistiques d’utilisation de la plateforme).

§ 5 Confidentialité

Le Sous-traitant soumet toutes les personnes participant au traitement (y compris le personnel d’assistance disposant d’un accès aux comptes) à une obligation de confidentialité. L’accès de l’assistance aux comptes des clients (« accès par substitution », impersonation) n’a lieu qu’aux fins de la fourniture du service, requiert un motif documenté, est limité dans le temps et intégralement journalisé ; le titulaire du compte concerné en est informé par e-mail.

§ 6 Mesures techniques et organisationnelles (MTO)

1. Le Sous-traitant met en œuvre les mesures techniques et organisationnelles conformes à l’article 32 du RGPD décrites à l’annexe 2.
2. Les mesures évoluent avec le progrès technique. Le Sous-traitant peut les faire évoluer, à condition que le niveau de protection ne soit pas réduit.

§ 7 Sous-traitants ultérieurs

1. Le Responsable du traitement donne une autorisation générale pour le recours aux sous-traitants ultérieurs énumérés à l’annexe 3 (article 28, paragraphe 2, du RGPD).
2. Le Sous-traitant informe le Responsable du traitement de tout changement envisagé (ajout ou remplacement de sous-traitants ultérieurs) au moins 30 jours à l’avance, sous forme textuelle (par exemple par e-mail ou par un avis dans l’application), et publie la liste à jour des sous-traitants ultérieurs sur cette page.
3. Le Responsable du traitement peut, dans un délai de 30 jours, s’opposer à un changement pour des motifs importants tenant à la protection des données. À défaut de solution amiable, chacune des parties dispose d’un droit de résiliation extraordinaire du contrat de services.
4. Le Sous-traitant impose à chaque sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles fixées dans le présent Accord (article 28, paragraphe 4, du RGPD) et demeure responsable envers le Responsable du traitement de l’exécution des obligations du sous-traitant ultérieur.

§ 8 Assistance concernant les droits des personnes concernées

1. Si une personne concernée s’adresse directement au Sous-traitant, celui-ci transmet la demande au Responsable du traitement dans les meilleurs délais, dans la mesure où elle peut lui être rattachée.
2. La plateforme met à la disposition du Responsable du traitement des outils en libre-service, notamment : l’export des œuvres et des données dans un format structuré, couramment utilisé et lisible par machine (articles 15 et 20 du RGPD), la rectification des contenus (article 16 du RGPD) ainsi que la suppression de données individuelles et du compte dans son intégralité (article 17 du RGPD), sous réserve des obligations légales de conservation.

§ 9 Notifications

Le Sous-traitant adresse les notifications prévues au § 4, point 7 (violations de données à caractère personnel), ainsi que celles relatives aux autres incidents pertinents pour le Responsable du traitement en matière de protection des données, à l’adresse e-mail enregistrée dans le compte de ce dernier.

§ 10 Justificatifs et droits d’audit

1. Le Sous-traitant démontre le respect de ses obligations par des moyens appropriés, notamment : une documentation à jour des MTO, les certifications et rapports d’audit de ses prestataires de centres de données et de cloud (par exemple ISO 27001) et des informations fournies sous forme textuelle.
2. En outre, le Responsable du traitement peut réaliser lui-même des audits ou les faire réaliser par un auditeur tenu à la confidentialité et non concurrent du Sous-traitant : au maximum une fois par an et, en sus, en présence d’indices concrets de manquement, moyennant un préavis raisonnable et pendant les heures ouvrables habituelles. Les audits ne doivent porter atteinte ni à l’activité du Sous-traitant ni aux données des autres clients. Le Sous-traitant peut facturer une rémunération raisonnable pour les audits sur place, à moins que l’audit n’ait été motivé par un manquement établi à ses obligations.

§ 11 Responsabilité

La responsabilité des parties est régie par l’article 82 du RGPD. Dans les relations internes entre les parties, les dispositions du contrat de services relatives à la responsabilité s’appliquent en complément.

§ 12 Suppression et restitution après la fin du contrat

1. Après la fin du contrat de services, le Sous-traitant supprime toutes les données personnelles traitées pour le compte du Responsable du traitement à l’issue d’un délai de grâce de 30 jours, à moins que le Responsable du traitement ne demande une suppression anticipée. Pendant le délai de grâce, le Responsable du traitement peut récupérer les données au moyen des fonctions d’export, dans un format structuré, couramment utilisé et lisible par machine.
2. Sont exclues de la suppression les données soumises à des obligations légales de conservation — en particulier les données de facturation et de comptabilité (8 ans pour les factures et les pièces comptables, 10 ans pour les livres et les comptes annuels en vertu du § 147 AO / des GoBD). Ces données sont verrouillées, conservées à cette seule fin et supprimées automatiquement à l’expiration du délai.
3. Les sauvegardes sont écrasées par rotation ; les données contenues dans les sauvegardes sont supprimées au plus tard dans le cadre du cycle de sauvegarde régulier et ne sont pas restaurées avant cette échéance, sauf si une restauration est nécessaire pour rétablir le fonctionnement du système.

§ 13 Dispositions finales

1. Le présent Accord est régi par le droit de la République fédérale d’Allemagne.
2. En cas de contradiction entre le présent Accord et le contrat de services, les dispositions du présent Accord prévalent en matière de protection des données.
3. Si certaines dispositions devaient être invalides, la validité des autres dispositions n’en serait pas affectée.
4. Les modifications et compléments apportés au présent Accord doivent revêtir la forme textuelle. Le Sous-traitant peut adapter le présent Accord avec effet pour l’avenir dans la mesure où cela est nécessaire en raison d’évolutions juridiques ou techniques ; le Responsable du traitement en sera informé en temps utile.

Annexe 1 — Objet du traitement, catégories de données, personnes concernées

Finalités du traitement

• hébergement, gestion et publication des romans graphiques interactifs du Responsable du traitement (œuvres, chapitres, cases, ressources)
• diffusion des œuvres publiées aux lecteurs via le PanelWave Player et un réseau de diffusion de contenu (CDN)
• collecte et agrégation de statistiques de lecture (sessions, vues de cases, temps de lecture, choix, lecture complète, entonnoirs) pour les tableaux de bord du Responsable du traitement
• mesure des consultations de contenus bonus (« extras ») et des interactions de partage
• monétisation facultative auprès des lecteurs : paywalls, droits d’accès issus d’achats et rétablissement des accès (le traitement des paiements lui-même est effectué par le prestataire de paiement ; le Responsable du traitement est le commerçant officiel (merchant of record))
• traitement facultatif, par IA, des contenus fournis par le Responsable du traitement (import de scripts, découpage de pages, traduction, synthèse vocale, agrandissement d’images)

Catégories de personnes concernées

• lecteurs et lecteurs potentiels des œuvres publiées par le Responsable du traitement
• acheteurs d’un accès aux œuvres du Responsable du traitement (lorsque la monétisation est activée)
• personnes dont les données personnelles figurent dans les contenus téléversés par le Responsable du traitement (par exemple personnes représentées dans des illustrations ou nommées dans des scripts)

Catégories de données personnelles

• Événements de statistiques de lecture : identifiant de session aléatoire et pseudonyme, propre à chaque visite ; références de l’œuvre, du chapitre et de la case ; type d’événement (par exemple vue de case, temps de lecture, choix, clic sur une zone interactive, « j’aime », favori, partage, lecture complète) ; type d’appareil ; langue de l’interface ; horodatages. Aucune adresse IP ni aucun user agent ne sont conservés avec ces événements ; l’adresse IP n’est utilisée que de manière transitoire, aux seules fins de limitation du débit (rate limiting).
• Consultations d’extras et partages : adresse IP, user agent, horodatage et référence du contenu, aux fins de la mesure de la portée et de la prévention des abus.
• Données relatives aux droits d’accès (lorsque la monétisation est activée) : adresse e-mail utilisée lors du paiement sous forme d’empreinte (pseudonymisée), références du prestataire de paiement (par exemple identifiants de client et de transaction), référence du produit, statut du droit d’accès. Aucune donnée de carte bancaire ni aucune coordonnée bancaire.
• Données de contenu : données personnelles figurant dans les œuvres, scripts, illustrations, fichiers audio ou autres fichiers téléversés par le Responsable du traitement (variables selon le contenu ; déterminées par le Responsable du traitement).
• État de l’histoire côté client : variables d’histoire (par exemple choix et progression du lecteur) enregistrées dans le stockage local (local storage) du navigateur du lecteur ; ces données restent sur l’appareil du lecteur et ne sont pas transmises au Sous-traitant.

Les catégories particulières de données à caractère personnel (article 9 du RGPD) ne font pas l’objet de la présente mission ; elles peuvent toutefois figurer indirectement dans des contenus libres téléversés par le Responsable du traitement.

Annexe 2 — Mesures techniques et organisationnelles (article 32 du RGPD)

1. Confidentialité

• Sécurité physique et des centres de données : exploitation exclusivement dans des centres de données situés dans l’UE et certifiés ISO 27001, avec les mesures de sécurité physique de l’exploitant.
• Contrôle de l’accès aux systèmes : accès aux systèmes de production uniquement via un accès administratif sécurisé avec authentification par clé ; les services internes (base de données, files d’attente, stockage objet) ne sont accessibles que sur le réseau privé.
• Contrôle de l’accès aux applications : autorisations fondées sur les rôles au niveau de l’équipe (propriétaire, éditeur, lecteur) et rôles de plateforme distincts pour le personnel administratif (superadmin, support, analyste) ; authentification à deux facteurs (TOTP) facultative pour les clients ; limitation du débit (rate limiting) contre les attaques par force brute sur les points d’accès d’authentification.
• Cloisonnement des clients (tenants) : séparation stricte des données de chaque client au niveau de l’application et de la base de données.
• Chiffrement et hachage : chiffrement des données en transit (TLS) sur toutes les connexions publiques ; mots de passe conservés exclusivement sous forme d’empreintes bcrypt/PBKDF2 salées ; jetons de rafraîchissement, jetons de réinitialisation de mot de passe, codes d’invitation et de récupération conservés sous forme d’empreintes SHA-256 ; adresses e-mail d’achat conservées uniquement sous forme d’empreintes.
• Minimisation des données dès la conception : la chaîne de traitement des statistiques de lecture ne conserve ni adresses IP ni user agents ; les identifiants de session sont aléatoires, conservés en mémoire uniquement et propres à chaque visite ; le Player ne dépose aucun cookie.

2. Intégrité

• Contrôle de la saisie : journal d’audit en ajout seul (append-only) des actions administratives et pertinentes pour la sécurité (auteur, action, état avant/après, motif, horodatage, adresse IP) ; journalisation complète des accès de l’assistance aux comptes des clients, y compris notification par e-mail au titulaire du compte.
• Contrôle de la transmission : URL signées de courte durée pour l’accès aux fichiers ; webhooks de paiement à signature vérifiée ; liens de prévisualisation protégés par jeton pour les œuvres non publiées ; registre des sessions avec sessions révocables individuellement.

3. Disponibilité et résilience

• sauvegardes régulières des bases de données avec restauration à un instant donné (point-in-time recovery) ; les sauvegardes restent dans des centres de données situés dans l’UE.
• traitement en arrière-plan fondé sur des files d’attente, avec mécanismes de nouvelle tentative ; surveillance et alertes.
• limitation du débit (rate limiting) et coupe-circuits (kill switches) sur les points d’accès publics de collecte de données.

4. Procédures de vérification régulière

• vérification régulière et amélioration continue des mesures (état de la technique).
• paramètres par défaut respectueux de la vie privée (article 25 du RGPD) : les statistiques de lecture sont soumises par défaut au consentement, les types d’événements sont limités à une liste autorisée, aucun suivi publicitaire ni intersites.
• routines de suppression automatisées : suppression des comptes à l’issue du délai de grâce, nettoyage des sessions et des jetons à leur expiration, agrégation et suppression des événements de statistiques bruts.

Annexe 3 — Sous-traitants ultérieurs autorisés

La liste à jour est publiée sur cette page ; les modifications sont annoncées conformément au § 7 du présent Accord.