Data Processing Addendum

Le présent Accord de Traitement des Données ("DPA") fait partie intégrante des Conditions d'Utilisation (les "Conditions") conclues entre Proyecta Labs, Inc. ("Proyecta," "nous," "notre" ou "nos") et le client qui les a acceptées ("Client," "vous" ou "votre"). Il s'applique chaque fois que Proyecta traite des données personnelles pour votre compte, et il s'applique à tout client, où qu'il soit situé. Les termes commençant par une majuscule qui ne sont pas définis ici ont le sens qui leur est donné dans les Conditions.

Aucune signature distincte n'est nécessaire. Le présent DPA est intégré aux Conditions par référence : vous le concluez en acceptant les Conditions, et Proyecta le conclut en le publiant ici. Vous pouvez télécharger ou imprimer cette page en tant qu'exemplaire signé. Il prend effet à la date à laquelle vous avez accepté les Conditions ou le 22 septembre 2026, la date la plus tardive étant retenue.

1. Définitions

• "Législation Applicable en matière de Protection des Données" désigne toute loi applicable au traitement des Données Personnelles du Client en vertu des Conditions, y compris, le cas échéant : le Règlement général sur la protection des données de l'UE 2016/679 ("RGPD") ; le RGPD tel qu'intégré au droit du Royaume-Uni et le UK Data Protection Act 2018 ("RGPD britannique") ; la loi fédérale suisse sur la protection des données ("FADP") ; le California Consumer Privacy Act tel que modifié par le CPRA ("CCPA") et les autres lois des États américains relatives à la vie privée ; la Ley Federal de Protección de Datos Personales en Posesión de los Particulares du Mexique ("LFPDPPP") ; et la Lei Geral de Proteção de Dados du Brésil ("LGPD").
• "Données Personnelles du Client" désigne les données personnelles que Proyecta traite pour le compte du Client dans le cadre de la fourniture des Services, telles que décrites à l'Annexe I. Elles comprennent les données personnelles des Utilisateurs Finaux de vos Applications Publiées.
• "Responsable du traitement," "sous-traitant," "personne concernée," "données personnelles," "traitement" et "autorité de contrôle" ont le sens qui leur est donné dans le RGPD. Les termes équivalents en vertu d'une autre Législation Applicable en matière de Protection des Données (par exemple "business" et "service provider" en vertu du CCPA, ou "responsable" et "encargado" en vertu de la LFPDPPP) s'interprètent en conséquence.
• "Violation de Données Personnelles" désigne une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de Données Personnelles du Client, ou l'accès non autorisé à celles-ci.
• "Sous-traitant Ultérieur" désigne tout tiers auquel Proyecta fait appel pour traiter des Données Personnelles du Client.
• "Clauses Contractuelles Types" ou "CCT" désigne les clauses contractuelles types approuvées par la Commission européenne dans la décision d'exécution (UE) 2021/914.

2. Rôles et Champ d'Application

2.1. Le Client est le responsable du traitement ; Proyecta est le sous-traitant. Pour les Données Personnelles du Client, vous êtes le responsable du traitement (ou un sous-traitant agissant pour votre propre responsable du traitement), et Proyecta est votre sous-traitant (ou sous-traitant ultérieur). Cela correspond à la Section 28.3 des Conditions.

2.2. Ce que le présent DPA ne couvre pas. Proyecta est un responsable du traitement indépendant pour les données personnelles qu'il traite afin d'exploiter sa propre activité : les informations de votre compte et de facturation, votre utilisation du constructeur, les journaux de sécurité et notre propre marketing. Ce traitement est décrit dans notre Politique de Confidentialité, et non dans le présent DPA.

2.3. Vos responsabilités en tant que responsable du traitement. Vous êtes responsable de la licéité du traitement que vous ordonnez. Cela comprend le fait de fournir une notice d'information sur la confidentialité à vos Utilisateurs Finaux, de disposer d'une base légale pour le traitement, d'obtenir tout consentement requis et de vous assurer que les données que vous ou vos Utilisateurs Finaux soumettez peuvent être licitement traitées au moyen des Services.

2.4. Mesure d'audience dans les Applications Publiées. La mesure d'audience intégrée d'une Application Publiée n'enregistre ni cookie ni aucun autre identifiant dans le navigateur de l'Utilisateur Final. Proyecta compte les visiteurs sur ses serveurs à l'aide d'un identifiant pseudonyme calculé à partir de la requête (adresse IP et caractéristiques du navigateur) et d'une valeur aléatoire remplacée chaque jour et supprimée dans un délai de 48 heures, de sorte que les identifiants ne peuvent pas être reliés d'un jour à l'autre. L'adresse IP n'est pas conservée avec les données de mesure d'audience. Les Applications Publiées construites avec une version antérieure de la mesure d'audience peuvent encore déposer un cookie propriétaire (_pry_vid) jusqu'à leur mise à jour ; Proyecta n'utilise plus sa valeur. Le consentement pour tout autre élément que votre Application Publiée enregistre dans le navigateur de l'Utilisateur Final — contenus intégrés de tiers, pixels, widgets de chat — reste de votre responsabilité en tant que responsable du traitement.

3. Traitement sur Vos Instructions

3.1. Proyecta ne traitera les Données Personnelles du Client que sur vos instructions documentées, y compris en ce qui concerne les transferts vers un pays tiers, sauf si la loi l'exige autrement. Dans ce cas, nous vous informerons de cette obligation légale avant le traitement, sauf si la loi interdit une telle information pour des motifs importants d'intérêt public.

3.2. Vos instructions sont : (a) les Conditions et le présent DPA ; (b) la manière dont vous configurez et utilisez les Services, y compris ce que vos Applications Publiées collectent et font ; et (c) toute autre instruction écrite raisonnable que vous nous donnez et qui est compatible avec les Conditions. Une instruction qui modifierait le périmètre des Services peut nécessiter un accord distinct.

3.3. Nous vous informerons sans délai si, selon nous, une instruction constitue une violation de la Législation Applicable en matière de Protection des Données. Nous ne sommes pas tenus d'exécuter une instruction illicite.

4. Confidentialité

Proyecta veillera à ce que toute personne qu'il autorise à traiter des Données Personnelles du Client soit soumise à une obligation de confidentialité, contractuelle ou légale. L'accès est limité au personnel qui en a besoin pour fournir, assister ou sécuriser les Services.

5. Sécurité

5.1. Proyecta mettra en œuvre et maintiendra des mesures techniques et organisationnelles appropriées pour protéger les Données Personnelles du Client, compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, comme l'exige l'article 32 du RGPD. Les mesures actuelles sont décrites à l'Annexe II.

5.2. Nous pouvons mettre à jour ces mesures au fil du temps, à condition qu'une mise à jour ne réduise pas de manière significative le niveau global de protection.

6. Sous-traitants Ultérieurs

6.1. Autorisation générale. Vous accordez à Proyecta une autorisation générale de faire appel à des Sous-traitants Ultérieurs. La liste actuelle, avec la finalité et la localisation de chaque Sous-traitant Ultérieur, est publiée à l'adresse /subprocessors.

6.2. Notification et opposition. Nous vous informerons au moins 30 jours avant qu'un nouveau Sous-traitant Ultérieur ne commence à traiter des Données Personnelles du Client, en mettant à jour cette page et en envoyant un e-mail aux contacts de votre compte. Vous pouvez vous y opposer pour des motifs raisonnables liés à la protection des données en écrivant à privacy@proyecta.dev dans ce délai. Nous travaillerons alors avec vous de bonne foi à une alternative. Si aucune n'est raisonnablement possible, vous pouvez résilier les Services concernés, et nous vous rembourserons les Frais de Plateforme prépayés pour la période postérieure à la résiliation.

6.3. Répercussion des obligations et responsabilité. Nous lierons chaque Sous-traitant Ultérieur par un contrat écrit comportant des obligations de protection des données non moins protectrices que le présent DPA. Nous restons responsables envers vous de l'exécution de ces obligations par nos Sous-traitants Ultérieurs.

7. Assistance

7.1. Demandes des personnes concernées. Compte tenu de la nature du traitement, Proyecta vous aidera, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes des personnes concernées visant à exercer leurs droits. Les Services fournissent, dans la console d'administration de votre Application Publiée, des outils permettant d'accéder aux données de vos Utilisateurs Finaux, de les rectifier, de les exporter et de les supprimer. Si une personne concernée nous contacte directement au sujet de Données Personnelles du Client, nous transmettrons ou redirigerons la demande vers vous et n'y répondrons pas nous-mêmes, sauf instruction de votre part.

7.2. Autre assistance. Compte tenu des informations à notre disposition, nous vous aiderons raisonnablement à respecter vos obligations en matière de sécurité, de notification des Violations de Données Personnelles, d'analyses d'impact relatives à la protection des données et de consultation préalable des autorités de contrôle (articles 32 à 36 du RGPD). Nous pouvons facturer des frais raisonnables pour une assistance allant au-delà des informations que nous mettons à la disposition de tous les clients.

8. Violations de Données Personnelles

8.1. Proyecta vous notifiera dans les meilleurs délais après avoir pris connaissance d'une Violation de Données Personnelles et, si possible, dans un délai de 72 heures. La notification est adressée aux contacts de votre compte.

8.2. La notification décrira, dans la mesure où ces éléments sont alors connus : la nature de la violation, y compris les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés ; ses conséquences probables ; et les mesures prises ou proposées pour y remédier et en atténuer les effets. S'il n'est pas possible de fournir toutes ces informations en même temps, nous les fournirons de manière échelonnée sans autre retard indu.

8.3. Nous prendrons des mesures raisonnables pour contenir la violation et y remédier. Notre notification ne constitue pas une reconnaissance de faute ou de responsabilité.

9. Restitution et Suppression

9.1. À la fin des Services, vous pouvez exporter vos Données Personnelles du Client pendant 30 jours, comme décrit à la Section 21.5 des Conditions. À l'issue de cette période, Proyecta les supprimera de ses systèmes actifs, sauf si la loi nous impose de les conserver.

9.2. Les copies conservées dans les sauvegardes sont supprimées à l'expiration de ces sauvegardes selon leur rotation normale. D'ici là, elles restent protégées par le présent DPA et ne sont utilisées à aucune autre fin.

9.3. Vous pouvez également supprimer des Données Personnelles du Client à tout moment tant que les Services sont actifs : en supprimant des enregistrements dans votre console d'administration, en dépubliant une Application Publiée ou en fermant votre compte.

10. Audits et Informations

10.1. Proyecta mettra à disposition toutes les informations raisonnablement nécessaires pour démontrer le respect du présent DPA et de l'article 28 du RGPD. Ces informations comprennent le présent DPA, les mesures de sécurité de l'Annexe II, la liste des Sous-traitants Ultérieurs et des réponses écrites à des questionnaires de sécurité raisonnables.

10.2. Si ces informations ne suffisent pas à démontrer la conformité, ou si une autorité de contrôle l'exige, vous pouvez auditer notre conformité, y compris par voie d'inspection, par l'intermédiaire d'un auditeur indépendant tenu à la confidentialité. Les audits sont limités à un par période de 12 mois (sauf à la suite d'une Violation de Données Personnelles ou à la demande d'une autorité), nécessitent un préavis écrit d'au moins 30 jours, doivent avoir lieu pendant les heures ouvrables sans perturber de manière déraisonnable nos activités et sont à vos frais. Ils ne portent que sur les systèmes qui traitent des Données Personnelles du Client.

11. Transferts Internationaux

11.1. Proyecta est établi aux États-Unis, et les Données Personnelles du Client peuvent être traitées aux États-Unis et dans les autres pays où nos Sous-traitants Ultérieurs exercent leurs activités, tels qu'énumérés à l'adresse /subprocessors.

11.2. Transferts depuis l'EEE. Dans la mesure où des Données Personnelles du Client soumises au RGPD sont transférées vers un pays ne bénéficiant pas d'une décision d'adéquation, les CCT sont intégrées au présent DPA par référence et s'appliquent comme suit :

• Le Module Deux (responsable du traitement à sous-traitant) s'applique lorsque vous êtes responsable du traitement, et le Module Trois (sous-traitant à sous-traitant) lorsque vous êtes sous-traitant. Vous êtes l'"exportateur de données" et Proyecta est l'"importateur de données."
• La clause 7 (clause d'adhésion) s'applique.
• Clause 9 : l'option 2 (autorisation écrite générale) s'applique, avec le délai de notification prévu à la Section 6.2 du présent DPA.
• Clause 11 : la formulation facultative ne s'applique pas.
• Clause 13 : l'autorité de contrôle compétente est celle déterminée conformément à la clause 13(a). Si vous n'êtes pas établi dans l'EEE, il s'agit de l'autorité de contrôle de l'État membre dans lequel votre représentant dans l'UE est établi ou, si vous n'en avez pas, de l'autorité autrichienne de protection des données (l'État membre de notre représentant au titre de l'article 27).
• Clause 17 : les CCT sont régies par le droit irlandais. Clause 18 : les litiges sont tranchés par les juridictions irlandaises.
• Les annexes I et II des CCT sont complétées par les Annexes I et II du présent DPA. L'annexe III est complétée par la liste publiée à l'adresse /subprocessors.

11.3. Transferts depuis le Royaume-Uni. Pour les transferts soumis au RGPD britannique, les CCT s'appliquent telles que modifiées par l'International Data Transfer Addendum publié par l'Information Commissioner du Royaume-Uni (version B1.0), qui est intégré par référence. Ses tableaux sont complétés par les informations figurant à la Section 11.2 et aux Annexes I et II du présent DPA, et chaque partie peut y mettre fin dans les conditions prévues à sa Section 19.

11.4. Transferts depuis la Suisse. Pour les transferts soumis à la FADP, les CCT s'appliquent avec les modifications suivantes : les références au RGPD s'entendent comme des références à la FADP ; le Préposé fédéral à la protection des données et à la transparence est l'autorité de contrôle compétente pour ces transferts ; et le terme "État membre" n'empêche pas les personnes concernées en Suisse d'intenter une action au lieu de leur résidence habituelle.

11.5. Data Privacy Framework. Lorsqu'un destinataire est certifié au titre du cadre de protection des données UE–États-Unis (EU-US Data Privacy Framework) (ou de son extension au Royaume-Uni ou du cadre Suisse–États-Unis), le transfert peut reposer sur cette certification au lieu des CCT.

11.6. Accès des autorités publiques. Si Proyecta reçoit d'une autorité publique une demande juridiquement contraignante portant sur des Données Personnelles du Client, nous vous en informerons sans délai, sauf si la loi l'interdit, et vous donnerons la possibilité de solliciter une mesure de protection. Nous contesterons toute demande que nous estimons raisonnablement illicite, et nous ne divulguerons que le minimum de données requis par la demande.

12. Lois des États américains relatives à la vie privée

Lorsque Proyecta traite des Données Personnelles du Client en tant que votre "service provider," "contractor" ou "processor" au sens du CCPA ou d'une autre loi d'un État américain relative à la vie privée, Proyecta :

• ne vendra ni ne partagera les Données Personnelles du Client (au sens où ces termes, "sell" et "share," sont définis dans le CCPA) ;
• ne conservera, n'utilisera ni ne divulguera les Données Personnelles du Client à d'autres fins que les finalités commerciales précisées dans les Conditions et le présent DPA, ni en dehors de la relation d'affaires directe entre vous et nous ;
• ne combinera pas les Données Personnelles du Client avec des données personnelles qu'il reçoit de toute autre personne ou pour le compte de celle-ci, ou qu'il collecte lui-même, sauf dans la mesure permise par ces lois ;
• respectera les obligations que ces lois imposent aux prestataires de services et assurera le niveau de protection de la vie privée qu'elles exigent ;
• vous informera s'il constate qu'il n'est plus en mesure de respecter ces obligations ; et
• accepte que vous puissiez prendre des mesures raisonnables et appropriées pour faire cesser et corriger toute utilisation non autorisée des Données Personnelles du Client.

Nous certifions comprendre ces restrictions et nous engageons à les respecter.

13. Mexique et Brésil

13.1. Mexique. Pour les Données Personnelles du Client soumises à la LFPDPPP, vous êtes le "responsable" et Proyecta est l'"encargado." Proyecta ne traitera les Données Personnelles du Client que sur vos instructions, ne les utilisera pas à ses propres fins, en préservera la confidentialité, appliquera les mesures de sécurité de l'Annexe II, les supprimera conformément à la Section 9 et ne les communiquera à des tiers qu'en tant que Sous-traitants Ultérieurs au titre de la Section 6, ce qui constitue une "remisión" au sens de cette loi.

13.2. Brésil. Pour les Données Personnelles du Client soumises à la LGPD, vous êtes le "controlador" et Proyecta est l'"operador," et le présent DPA s'applique en conséquence.

14. Dispositions Générales

14.1. Ordre de priorité. Pour le traitement des Données Personnelles du Client, le présent DPA prévaut sur toute disposition contraire des Conditions. Les CCT, lorsqu'elles s'appliquent, prévalent sur le présent DPA.

14.2. Responsabilité. La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations et exclusions de responsabilité prévues par les Conditions, sauf lorsque la Législation Applicable en matière de Protection des Données ou les CCT ne permettent pas une telle limitation.

14.3. Durée. Le présent DPA reste en vigueur aussi longtemps que Proyecta traite des Données Personnelles du Client pour votre compte, y compris pendant la période d'exportation et de suppression prévue à la Section 9.

14.4. Modifications. Nous pouvons mettre à jour le présent DPA pour tenir compte d'évolutions de la loi, de nos Sous-traitants Ultérieurs ou des Services, moyennant la notification prévue à la Section 25 des Conditions. Une mise à jour ne réduira pas de manière significative la protection que le présent DPA accorde aux Données Personnelles du Client, sauf si la loi l'exige.

14.5. Langue. Le présent DPA peut être mis à disposition en plusieurs langues. En cas de divergence, la version anglaise prévaut.

14.6. Contact. Questions relatives à la protection des données : privacy@proyecta.dev. Notifications juridiques : legal@proyecta.dev. Notre représentant dans l'UE au titre de l'article 27 du RGPD est iuro Rechtsanwälte GmbH t/a Prighter, Schellinggasse 3, 1010 Vienna, Austria (https://app.prighter.com/portal/proyecta).

Annexe I — Description du Traitement {#annex-1}

Parties.

• Exportateur de données / responsable du traitement : le Client, tel qu'identifié par son compte. Activité : création et exploitation de sites web et d'applications au moyen des Services. Contact : l'adresse e-mail du propriétaire du compte.
• Importateur de données / sous-traitant : Proyecta Labs, Inc., 2803 Philadelphia Pike, Suite B 1708, Claymont, DE 19703, United States. Activité : fournisseur des Services. Contact : privacy@proyecta.dev.

Catégories de personnes concernées.

• Utilisateurs Finaux de vos Applications Publiées : visiteurs, clients et acheteurs, personnes effectuant des réservations, personnes soumettant des formulaires ou des demandes de contact, membres et utilisateurs connectés, abonnés à la newsletter, et personnes qui envoient des messages à votre entreprise via des canaux connectés (tels que WhatsApp ou l'e-mail)
• Membres de votre équipe et autres utilisateurs que vous invitez dans votre Organisation ou dans la console d'administration de votre Application Publiée
• Toute autre personne physique dont vous ou vos Utilisateurs Finaux soumettez les données personnelles aux Services

Catégories de données personnelles.

• Données d'identification et de contact : nom, adresse e-mail, numéro de téléphone, adresse postale ou de livraison
• Données de compte et de connexion des Utilisateurs Finaux : identifiants d'utilisateur, méthode de connexion, codes à usage unique, identifiants de connexion tiers associés
• Données de transaction : commandes, réservations, abonnements, factures et statut de paiement (les données de carte sont traitées par le prestataire de paiement que vous connectez et ne sont pas stockées par Proyecta)
• Contenus soumis par les Utilisateurs Finaux : réponses aux formulaires, messages et leurs médias, avis, fichiers et éléments téléversés
• Données de communication : contenu des e-mails et des messages, statut de remise et de désinscription
• Données de mesure d'audience et données techniques : un identifiant de visiteur pseudonyme quotidien et un identifiant de session par visite, pages visitées, référent, paramètres UTM, navigateur, système d'exploitation et type d'appareil, et indicateurs de performance des pages. L'adresse IP est traitée de manière transitoire pour calculer l'identifiant de visiteur et protéger les Services contre les abus, et n'est pas conservée avec les données de mesure d'audience
• Toute autre donnée personnelle que vous choisissez de collecter au moyen de vos Applications Publiées

Catégories particulières de données. Les Services ne sont pas spécifiquement conçus pour les catégories particulières de données personnelles (article 9 du RGPD) ni pour les données relatives aux condamnations pénales. Si votre Application Publiée en collecte (par exemple, des informations de santé dans le formulaire de réservation d'une clinique), il vous appartient de disposer d'une base légale et d'apprécier si les mesures de l'Annexe II sont appropriées. Elles bénéficient de la même protection que toutes les autres Données Personnelles du Client.

Fréquence du transfert. Continue, aussi longtemps que les Services sont utilisés.

Nature du traitement. Hébergement, stockage, extraction, transmission, affichage, organisation, analyse en vue de vous fournir des rapports, sauvegarde et suppression. Lorsque vous utilisez des fonctionnalités d'IA (telles qu'un assistant IA qui répond à vos clients), également le traitement par des fournisseurs de modèles d'IA afin de générer des réponses.

Finalité du traitement. Vous fournir les Services : hébergement et exploitation de vos Applications Publiées et de leurs données, e-mail et messagerie, commerce et réservations, mesure d'audience, connexion de vos Utilisateurs Finaux, fonctionnalités d'IA que vous activez, assistance et sécurisation des Services.

Durée et conservation. Pendant la durée des Conditions, puis jusqu'à la suppression conformément à la Section 9 du présent DPA.

Sous-traitants Ultérieurs. Tels qu'énumérés à l'adresse /subprocessors, pour les finalités et dans les lieux qui y sont indiqués.

Annexe II — Mesures de Sécurité Techniques et Organisationnelles {#annex-2}

• Chiffrement. Les données sont chiffrées en transit au moyen de TLS 1.2 ou d'une version supérieure, et au repos par nos fournisseurs d'infrastructure cloud.
• Isolation des locataires. Les données des applications publiées sont conservées dans une base de données mutualisée dans laquelle chaque lecture et chaque écriture sont limitées à leur propre locataire, avec une sécurité au niveau des lignes de la base de données pour les enregistrements de contenu. Le code s'exécute dans des Environnements d'Exécution isolés et cloisonnés (sandbox) qui ne peuvent pas accéder aux données d'autres clients.
• Protection du réseau. Les bases de données de production n'ont pas d'adresse IP publique et ne sont accessibles que depuis notre réseau privé. L'accès administratif passe par une passerelle fondée sur l'identité. Les applications publiées sont servies derrière un réseau périphérique (edge) doté d'une protection contre les attaques DDoS.
• Contrôle d'accès. L'accès aux systèmes de production et aux Données Personnelles du Client est limité au personnel qui en a besoin, selon le principe du moindre privilège, avec des comptes individuels protégés par une authentification forte. Les investigations courantes s'effectuent avec un accès en lecture seule.
• Journalisation et surveillance. Les accès et les modifications sont journalisés. Les erreurs et les anomalies font l'objet d'une surveillance et d'alertes.
• Disponibilité et résilience. Bases de données gérées avec sauvegardes automatisées, et infrastructure gérée sous forme de code avec revue des modifications.
• Développement sécurisé. Revue de code, tests automatisés et contrôles statiques avant la mise en production, et gestion des dépendances et des vulnérabilités.
• Gestion des secrets. Les identifiants et les clés d'API sont conservés dans un coffre de secrets géré, jamais dans le code source. Les applications publiées s'authentifient au moyen de clés propres à chaque application, qui peuvent être renouvelées ou révoquées.
• Réponse aux incidents. Une procédure documentée pour détecter, contenir, analyser et notifier les Violations de Données Personnelles conformément à la Section 8.
• Personnel. Obligations de confidentialité et formation à la sécurité pour toute personne ayant accès aux Données Personnelles du Client.
• Vérification des Sous-traitants Ultérieurs. Les Sous-traitants Ultérieurs sont sélectionnés en fonction de leurs pratiques de sécurité et engagés conformément à la Section 6.3.
• Minimisation et suppression des données. Les demandes des personnes concernées sont prises en charge au moyen des Services, et les données sont supprimées conformément à la Section 9.