Lorsque vous installez Cookiesh sur votre site web, les choix de consentement de vos visiteurs sont des données personnelles. Vous décidez pourquoi ces données sont collectées : vous êtes donc le responsable du traitement. Cookiesh les traite pour votre compte : nous sommes donc votre sous-traitant. L’article 28 du RGPD impose un contrat entre nous, et notre accord de traitement des données (Data Processing Agreement, DPA) est ce contrat.
Cette page résume le DPA en termes simples. En cas de divergence, l’accord complet prévaut.
Application du DPA
Le DPA fait partie de nos conditions d’utilisation et s’applique automatiquement à chaque compte Cookiesh, y compris l’offre gratuite. Vous n’avez rien à signer pour qu’il soit en vigueur.
Si votre processus d’achat exige un exemplaire contresigné, écrivez à privacy@cookiesh.eu en indiquant la raison sociale et l’adresse de votre entreprise : nous vous en enverrons un pour signature électronique. Avec les offres Enterprise, nous pouvons aussi négocier un DPA sur mesure ou partir de votre propre modèle.
Ce que nous traitons
| Détails | |
|---|---|
| Objet | Fourniture du service de gestion du consentement Cookiesh |
| Personnes concernées | Visiteurs de vos sites web et applications ; vos utilisateurs qui se connectent au tableau de bord |
| Données personnelles | Identifiant de consentement pseudonyme, horodatage, choix de consentement par catégorie, version du bandeau et de la politique, région approximative (pays ou État), user agent tronqué et, si vous utilisez identify(), une empreinte salée de votre identifiant utilisateur |
| Données non traitées | Les adresses IP brutes ne sont pas conservées. Nous ne traitons pas de catégories particulières de données personnelles. |
| Finalité | Enregistrer, conserver et prouver le consentement, et le mettre à la disposition de votre site web |
| Durée | Tant que vous utilisez Cookiesh, plus la durée de conservation que vous configurez pour les enregistrements de consentement |
Nos obligations en tant que sous-traitant
Au titre du DPA, Cookiesh :
- ne traite les données personnelles que sur vos instructions documentées, qui résultent des conditions d’utilisation, du DPA et de votre configuration du service ;
- veille à ce que toute personne ayant accès aux données soit tenue à la confidentialité ;
- applique les mesures de sécurité techniques et organisationnelles décrites sur notre page Sécurité ;
- vous aide à répondre aux demandes des personnes concernées, par exemple en exportant ou en supprimant les enregistrements de consentement liés à un identifiant de consentement ou à un identifiant utilisateur ;
- vous aide dans vos analyses d’impact relatives à la protection des données et vos consultations des autorités de contrôle, lorsqu’elles concernent notre service ;
- vous notifie toute violation de données personnelles affectant vos données dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance ;
- supprime ou vous restitue vos données à la fin du contrat, selon votre choix, sauf si la loi nous impose de les conserver ;
- met à votre disposition les informations nécessaires pour démontrer la conformité, et permet les audits décrits ci-dessous.
Sous-traitants ultérieurs
Vous nous accordez une autorisation générale de recourir aux sous-traitants ultérieurs listés sur notre page des sous-traitants ultérieurs. Nous imposons à chacun des obligations de protection des données au moins aussi protectrices que le DPA, et nous restons responsables de leur travail.
Nous informons nos clients au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur. Si vous vous y opposez pour des motifs raisonnables liés à la protection des données, nous chercherons une solution avec vous. À défaut, vous pouvez résilier le service concerné et obtenir le remboursement des sommes payées d’avance pour celui-ci.
Transferts internationaux
Les enregistrements de consentement sont stockés dans l’Union européenne. Lorsqu’un sous-traitant ultérieur accède à des données personnelles depuis l’extérieur de l’Espace économique européen, le transfert est couvert par une décision d’adéquation, comme le EU-US Data Privacy Framework, ou par les clauses contractuelles types de la Commission européenne (modules 2 et 3). Pour les transferts depuis le Royaume-Uni et la Suisse, le DPA inclut l’addendum britannique relatif aux transferts internationaux de données (UK International Data Transfer Addendum) et les adaptations suisses des clauses.
Audits
Nous répondons aux questionnaires de sécurité raisonnables et fournissons sur demande des résumés de nos politiques de sécurité et des résultats de tests réalisés par des tiers. Si ces informations ne suffisent pas à démontrer la conformité, ou si une autorité de contrôle l’exige, vous pouvez réaliser un audit une fois par an, avec un préavis de 30 jours et sous réserve de confidentialité. Les audits sur site sont possibles avec les offres Enterprise.
Lois américaines sur la vie privée
Pour les clients soumis au CCPA/CPRA et à des lois similaires d’autres États américains, le DPA inclut des clauses de prestataire de services (service provider). Cookiesh ne vendra ni ne partagera les informations personnelles, ne les utilisera à aucune autre fin que la fourniture du service et ne les combinera pas avec des informations personnelles provenant d’autres sources, sauf dans la mesure permise par ces lois.
Contact
Pour obtenir un DPA signé ou pour toute question à son sujet, écrivez à privacy@cookiesh.eu.