Accord de traitement des données

Introduction

Le présent Accord de traitement des données (« ATD ») fait partie intégrante des Conditions d'utilisation conclues entre Hangar.Media Ltd, société enregistrée en Angleterre et au Pays de Galles (« Hangar.Media », « Sous-traitant »), et le client identifié dans le compte Hangar.Media applicable (« Client », « Responsable du traitement »).

Il définit les conditions dans lesquelles Hangar.Media traite les données personnelles pour le compte du Client dans le cadre de la plateforme d'affichage dynamique Hangar.Media (le « Service »), conformément à l'article 28 du Règlement général sur la protection des données du Royaume-Uni (« UK GDPR ») et du Data Protection Act 2018.

Le présent ATD s'applique automatiquement à tous les Clients du Service. Aucune signature séparée n'est requise ; l'ATD prend effet dès que le Client accepte les Conditions d'utilisation. Une version contresignée est disponible sur demande via le formulaire de contact pour les Clients dont les processus internes l'exigent.

Définitions

Les termes utilisés mais non définis dans le présent ATD ont la signification qui leur est attribuée dans les Conditions d'utilisation ou dans le UK GDPR. Pour plus de clarté :

« Responsable du traitement », « Sous-traitant », « Personne concernée », « Données personnelles », « Traitement » et « Violation de données personnelles » ont la signification qui leur est attribuée dans le UK GDPR.
« Données personnelles du Client » désigne les données personnelles que Hangar.Media traite pour le compte du Client dans le cadre de la fourniture du Service.
« Sous-traitant ultérieur » désigne tout tiers mandaté par Hangar.Media pour traiter les données personnelles du Client.
« Autorité de contrôle » désigne l'Information Commissioner's Office (ICO) au Royaume-Uni.

Rôles des parties

En ce qui concerne les données personnelles du Client traitées dans le cadre du présent ATD :

Le Client est le Responsable du traitement.
Hangar.Media est le Sous-traitant, agissant uniquement sur la base des instructions documentées du Client.

L'utilisation du Service par le Client, y compris la configuration du contenu, des écrans, des utilisateurs et des fonctionnalités optionnelles de mesure d'audience, constitue des instructions documentées adressées à Hangar.Media aux fins de l'article 28(3)(a) du UK GDPR.

Pour plus de clarté, en ce qui concerne les données de compte et de facturation propres à Hangar.Media (notamment les informations d'inscription du Client, ses coordonnées de paiement et ses échanges avec le support), Hangar.Media agit en qualité de Responsable du traitement, et ce traitement est régi par la Politique de confidentialité, et non par le présent ATD.

Objet, durée, nature et finalité

Élément	Description
Objet	Fourniture de la plateforme d'affichage dynamique Hangar.Media au Client.
Durée	Pour la durée de l'abonnement du Client, augmentée de la période de conservation des données post-résiliation spécifiée dans les Conditions d'utilisation (30 jours).
Nature et finalité	Stockage, transmission, affichage et gestion du contenu d'affichage dynamique ; gestion des comptes utilisateurs et des accès ; diffusion du contenu sur les appareils ; surveillance de l'état des appareils ; et, lorsque le Client l'a activée, génération de statistiques agrégées et anonymes de mesure d'audience.
Catégories de personnes concernées	Utilisateurs autorisés du Client (employés, prestataires, mandataires) Personnes identifiées dans le contenu téléchargé par le Client Lorsque la mesure d'audience est activée : membres du public présents dans l'établissement du Client, traités uniquement pour produire des comptages agrégés et anonymes
Catégories de données personnelles	Données d'identification (nom, intitulé de poste, adresse e-mail, numéro de téléphone) Données d'authentification (mots de passe hachés, identifiants de session) Données techniques (adresse IP, identifiant d'appareil, modèle d'appareil, version de l'application) Données d'utilisation (actions effectuées dans le tableau de bord, activité de gestion du contenu) Contenu fourni par le Client (pouvant contenir des Données Personnelles déterminées exclusivement par le Client) Lorsque la mesure d'audience est activée : les données capteurs transitoires sont traitées sur l'appareil et immédiatement supprimées ; seules des statistiques agrégées et anonymes sont transmises à Hangar.Media
Données de catégorie spéciale	Hangar.Media ne requiert pas, ne sollicite pas et ne traite pas intentionnellement de données de catégorie spéciale au sens de l'Article 9 du UK GDPR. Le Client ne doit pas téléverser de Contenu contenant des données de catégorie spéciale, sauf s'il a établi une base légale appropriée au titre de l'Article 9(2).

Obligations du Sous-traitant

Hangar.Media s'engage à :

Traiter les Données Personnelles du Client uniquement sur la base des instructions documentées du Client, y compris en ce qui concerne les transferts de Données Personnelles en dehors du Royaume-Uni, sauf obligation légale contraire (auquel cas Hangar.Media informera le Client de cette exigence légale avant le traitement, sauf si la loi interdit une telle notification pour des motifs importants d'intérêt public).
Veiller à ce que les personnes autorisées à traiter les Données Personnelles du Client soient liées par des obligations contractuelles appropriées de confidentialité ou par des obligations légales de confidentialité.
Prendre toutes les mesures requises en vertu de l'Article 32 du UK GDPR, telles que décrites dans la section Sécurité ci-dessous.
Assister le Client, compte tenu de la nature du traitement, par des mesures techniques et organisationnelles appropriées, dans l'exécution de son obligation de répondre aux demandes des Personnes Concernées exerçant leurs droits au titre du UK GDPR.
Assister le Client dans le respect de ses obligations au titre des Articles 32 à 36 du UK GDPR (sécurité, notification des violations, AIPD et consultation préalable), en tenant compte de la nature du traitement et des informations disponibles pour Hangar.Media.
Au choix du Client, supprimer ou restituer l'ensemble des Données Personnelles du Client à l'issue de la prestation du Service, et supprimer les copies existantes sauf si leur conservation est requise par la loi, comme décrit plus en détail dans la section Suppression et Restitution des Données ci-dessous.
Mettre à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations énoncées dans le présent DPA et à l'Article 28 du UK GDPR.

Sous-traitants ultérieurs

Le Client accorde à Hangar.Media une autorisation générale de faire appel à des Sous-traitants ultérieurs pour l'assister dans la fourniture du Service, sous réserve des conditions énoncées dans la présente section.

Sous-traitants ultérieurs actuels

Sous-traitant ultérieur	Finalité	Localisation
DigitalOcean, LLC	Hébergement d'infrastructure (serveurs, bases de données, stockage objet)	Royaume-Uni (Londres)
Stripe Payments Europe, Ltd	Traitement des paiements	Union européenne (Irlande)

Modifications des Sous-traitants ultérieurs

Hangar.Media informera le Client à l'avance de toute modification envisagée de la liste des Sous-traitants ultérieurs (par exemple, l'ajout d'un nouveau Sous-traitant ultérieur ou le remplacement d'un Sous-traitant ultérieur existant), en donnant au Client la possibilité de s'y opposer. La notification sera effectuée par mise à jour du présent DPA et, lorsqu'une adresse e-mail de notification a été fournie, par e-mail au contact enregistré du Client, au moins 30 jours avant l'entrée en vigueur de la modification.

Si le Client formule une objection raisonnable à l'encontre d'un nouveau Sous-traitant ultérieur proposé pour des motifs liés à la protection des données, il doit en informer Hangar.Media par écrit dans les 14 jours suivant la réception de la notification. Les parties s'efforceront de bonne foi de résoudre l'objection. Si aucune résolution acceptable ne peut être trouvée, l'une ou l'autre des parties peut résilier l'abonnement du Client sans pénalité, et Hangar.Media remboursera les frais prépayés non utilisés au prorata.

Obligations des Sous-traitants ultérieurs

Lorsque Hangar.Media fait appel à un Sous-traitant ultérieur, il lui impose, par voie de contrat écrit, des obligations en matière de protection des données au moins aussi protectrices que celles énoncées dans le présent DPA. Hangar.Media demeure pleinement responsable envers le Client de l'exécution des obligations de tout Sous-traitant ultérieur.

Droits des Personnes Concernées

Compte tenu de la nature du traitement, Hangar.Media assistera le Client par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, dans l'exécution de son obligation de répondre aux demandes d'exercice des droits des Personnes Concernées au titre du Chapitre III du UK GDPR, notamment :

Le droit d'accès (Article 15)
Le droit de rectification (Article 16)
Le droit à l'effacement (Article 17)
Le droit à la limitation du traitement (Article 18)
Le droit à la portabilité des données (Article 20)
Le droit d'opposition (Article 21)

Si Hangar.Media reçoit directement une demande d'une Personne Concernée relative aux Données Personnelles du Client, Hangar.Media n'y répondra pas directement (sauf pour en accuser réception) et transmettra la demande au Client sans délai injustifié.

Le Service met à la disposition du Client des outils en libre-service via le tableau de bord et l'API pour répondre à la plupart des demandes des Personnes Concernées (par exemple, l'export, la correction ou la suppression de comptes utilisateurs et de Contenu).

Sécurité

Hangar.Media mettra en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément aux exigences de l'Article 32 du UK GDPR. Ces mesures comprennent, au minimum :

Chiffrement en transit : Toutes les données transmises entre les appareils des utilisateurs finaux et les serveurs de Hangar.Media sont chiffrées via TLS 1.3 ou équivalent.
Chiffrement au repos : Les Données Personnelles du Client stockées dans les bases de données et le stockage objet sont chiffrées à l'aide d'AES-256.
Contrôle des accès : L'accès aux Données Personnelles du Client est limité au personnel autorisé selon le principe du besoin d'en connaître, grâce à des contrôles d'accès basés sur les rôles et une authentification renforcée. Les accès administratifs sont journalisés.
Sécurité réseau : L'infrastructure de production est protégée par des pare-feux, un système de détection des intrusions et une analyse automatisée des vulnérabilités.
Sauvegardes : Des sauvegardes chiffrées sont maintenues sur un cycle glissant de 30 jours et stockées dans un site britannique géographiquement distinct.
Gestion des vulnérabilités : Les correctifs de sécurité sont appliqués aux systèmes de production conformément à une politique documentée de gestion des correctifs, les correctifs critiques étant appliqués sans délai injustifié.
Gestion des incidents : Hangar.Media maintient un processus documenté de gestion des incidents couvrant la détection, le confinement, la notification et la remédiation.
Formation du personnel : Le personnel ayant accès aux Données Personnelles du Client reçoit une formation en matière de protection des données et de sécurité de l'information.
Développement sécurisé : Les modifications apportées au Service sont examinées, testées et déployées selon un processus de mise en production contrôlé.

Hangar.Media se réserve le droit de mettre à jour ces mesures au fil du temps afin de maintenir un niveau de sécurité approprié, à condition que les mesures mises à jour offrent une protection au moins équivalente à celle décrite ici.

Notification de Violation de Données Personnelles

Hangar.Media notifiera le Client sans délai injustifié, et en tout état de cause dans les 72 heures suivant la prise de connaissance d'une Violation de Données Personnelles affectant les Données Personnelles du Client. La notification comprendra, dans la mesure où ces informations sont connues au moment de la notification :

La nature de la Violation de Données Personnelles, y compris les catégories et le nombre approximatif de Personnes Concernées et d'enregistrements en cause
Les conséquences probables de la Violation de Données Personnelles
Les mesures prises ou envisagées pour remédier à la Violation de Données Personnelles et atténuer ses éventuels effets négatifs
Les coordonnées d'un point de contact auprès duquel des informations complémentaires peuvent être obtenues

Lorsqu'il n'est pas possible de fournir l'ensemble de ces informations simultanément, elles seront communiquées par étapes sans délai injustifié supplémentaire. Hangar.Media coopérera également de manière raisonnable avec le Client dans le cadre de ses obligations d'enquête et de notification auprès de l'Autorité de Contrôle et des Personnes Concernées.

Transferts Internationaux

Les Données Personnelles du Client sont stockées et traitées au Royaume-Uni. Lorsqu'un Sous-traitant est établi au sein de l'Union Européenne (par exemple, Stripe en Irlande), Hangar.Media s'appuie sur la réglementation d'adéquation du Royaume-Uni relative à l'UE, en vertu de laquelle les normes européennes de protection des données sont reconnues comme adéquates aux fins du UK GDPR.

Hangar.Media ne transférera pas les Données Personnelles du Client vers un pays tiers situé en dehors du Royaume-Uni ou de l'Espace Économique Européen sans s'assurer qu'un mécanisme de transfert approprié est en place, tel que l'Accord de Transfert International de Données du Royaume-Uni, les Clauses Contractuelles Types assorties de l'Addendum britannique, ou le recours à une réglementation d'adéquation.

Droits d'Audit

Hangar.Media mettra à la disposition du Client, sur demande écrite raisonnable et au maximum une fois par période de douze mois, les informations raisonnablement nécessaires pour démontrer la conformité au présent DPA et à l'article 28 du UK GDPR. Ces informations pourront prendre la forme de :

Réponses écrites à un questionnaire raisonnable en matière de protection des données
Copies des politiques, procédures ou certifications pertinentes
Rapports de synthèse des évaluations de sécurité réalisées sur le Service

Lorsque le Client a une obligation réglementaire ou un motif raisonnable d'exiger un audit sur site, les parties conviendront à l'avance du calendrier, du périmètre et des conditions de confidentialité d'un tel audit, lequel sera réalisé aux frais du Client et d'une manière qui ne perturbe pas le fonctionnement du Service.

Suppression et Restitution des Données

À la résiliation ou à l'expiration de l'abonnement du Client :

Le Client disposera d'une fenêtre de 30 jours suivant la résiliation pour exporter le Contenu Client et les données de compte via le tableau de bord du Service ou l'API.
À l'issue de cette fenêtre de 30 jours, Hangar.Media supprimera l'ensemble des Données Personnelles du Client des systèmes de production actifs. Les données supprimées seront purgées des sauvegardes dans le cadre de la rotation des sauvegardes sur 30 jours.
Les enregistrements de facturation et les factures seront conservés pendant 7 ans conformément aux obligations légales de HMRC, comme décrit dans la Politique de Confidentialité.
Hangar.Media fournira, sur demande, une confirmation écrite attestant que la suppression a bien eu lieu.

Responsabilité

La responsabilité de chaque partie au titre du présent DPA ou en lien avec celui-ci est soumise aux limitations et exclusions de responsabilité énoncées dans les Conditions d'Utilisation. Aucune disposition du présent DPA n'exclut ni ne limite une responsabilité qui ne pourrait être exclue ou limitée en vertu du droit applicable.

Prévalence

En cas de conflit entre le présent DPA et les Conditions d'Utilisation, le présent DPA prévaudra en ce qui concerne le traitement des Données Personnelles du Client. Toutes les autres questions sont régies par les Conditions d'Utilisation.

Droit Applicable

Le présent DPA est régi et interprété conformément au droit de l'Angleterre et du Pays de Galles. Tout litige découlant du présent DPA sera soumis à la compétence exclusive des tribunaux d'Angleterre et du Pays de Galles.

Modifications du présent DPA

Hangar.Media peut mettre à jour le présent DPA de temps à autre afin de refléter les évolutions des exigences légales, des sous-traitants ou du Service. Les modifications substantielles seront notifiées au Client au moins 30 jours à l'avance, selon les mêmes modalités que les modifications des Conditions d'Utilisation.

Contact

Pour toute question relative au présent DPA, ou pour contacter Hangar.Media en lien avec toute question couverte par celui-ci, veuillez utiliser le formulaire de contact disponible sur notre site web.

Accord de traitement des données.