Accord de traitement des données (DPA)
1. Objet et champ d'application
Le présent accord de traitement des données (l'« Accord ») complète les conditions applicables à Zyllio Studio (les « Conditions »). Il s'applique lorsque Zyllio traite des données personnelles pour le compte du Client dans le cadre de la fourniture de la Plateforme.
Dans ce cadre, le Client agit en qualité de responsable du traitement et Zyllio en qualité de sous-traitant, au sens du Règlement (UE) 2016/679 (« RGPD »). Le présent Accord ne s'applique pas aux traitements pour lesquels Zyllio agit en son propre nom, notamment la gestion des comptes, de la facturation, de la relation commerciale et du support, décrits dans la politique de confidentialité de Zyllio.
2. Instructions, objet et durée du traitement
Zyllio ne traite les données personnelles que sur instruction documentée du Client, y compris pour les transferts vers un pays tiers, sauf si le droit de l'Union européenne ou le droit français lui impose un traitement ; dans ce cas, Zyllio informe le Client avant le traitement, sauf interdiction légale.
Les instructions initiales du Client sont celles nécessaires à l'hébergement, au stockage, à l'affichage, au traitement technique, à la sauvegarde et à la mise à disposition des projets et applications configurés par le Client dans Zyllio Studio. Le Client peut transmettre des instructions complémentaires à contact@zyllio.com, sous réserve qu'elles soient licites, réalisables et compatibles avec les Conditions.
Le traitement commence à l'ouverture du compte ou à la mise à disposition de la Plateforme au Client, selon l'événement le plus précoce, et dure jusqu'à la suppression ou à la restitution des données conformément à l'article 9 du présent Accord, sauf obligation légale de conservation.
3. Description du traitement
| Élément | Description |
|---|---|
| Objet | Fourniture de Zyllio Studio et des services associés au Client |
| Nature des opérations | Hébergement, stockage, organisation, consultation, transmission technique, sauvegarde, maintenance et suppression des données selon les instructions du Client |
| Finalité | Permettre au Client de créer, configurer, exploiter et administrer ses projets et applications |
| Catégories de personnes concernées | Utilisateurs, clients, prospects, salariés, partenaires ou toute autre personne dont le Client intègre les données dans ses projets |
| Catégories de données | Données de compte ou de contact, contenus, textes, médias, données métiers, identifiants techniques, paramètres, journaux et, selon le projet, toute autre donnée importée ou générée par le Client |
Le Client s'engage à ne pas utiliser la Plateforme pour traiter des catégories particulières de données au sens de l'article 9 du RGPD, des données relatives aux infractions ou toute autre donnée soumise à des exigences renforcées, sauf accord écrit préalable de Zyllio et mise en place des garanties appropriées.
4. Obligations du Client
Le Client garantit qu'il dispose d'une base juridique valable pour les traitements qu'il confie à Zyllio et qu'il fournit aux personnes concernées les informations requises par la réglementation. Il demeure responsable de la licéité de ses instructions, de ses contenus, de la configuration de ses applications et de la gestion des demandes des personnes concernées.
Le Client informe sans délai Zyllio de toute instruction susceptible de contrevenir à la réglementation applicable. Il désigne les personnes autorisées à accéder à son compte et protège ses identifiants de connexion.
5. Confidentialité et sécurité
Zyllio veille à ce que les personnes autorisées à traiter les données personnelles soient soumises à une obligation de confidentialité ou à une obligation légale appropriée de confidentialité.
Zyllio met en œuvre des mesures techniques et organisationnelles appropriées au regard de l'état de l'art, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques pour les personnes. Ces mesures comprennent notamment le chiffrement des échanges en transit au moyen de TLS, des contrôles d'accès, des sauvegardes, de la journalisation et des revues de sécurité.
6. Sous-traitants ultérieurs
Le Client autorise Zyllio à recourir aux sous-traitants ultérieurs nécessaires à la fourniture de la Plateforme, identifiés dans la liste tenue à jour des sous-traitants. Zyllio impose à ces sous-traitants des obligations de protection des données au moins équivalentes à celles du présent Accord.
Zyllio informe le Client de tout ajout ou remplacement envisagé d'un sous-traitant ultérieur au moins 30 jours avant sa prise d'effet. Le Client peut s'y opposer pour des motifs légitimes liés à la protection des données, en adressant une demande motivée à contact@zyllio.com pendant ce délai. Les parties rechercheront alors une solution raisonnable. À défaut de solution, le Client pourra résilier le service concerné avant l'entrée en vigueur du changement, dans les conditions à préciser dans les Conditions.
7. Transferts hors de l'Espace économique européen
Les données hébergées dans Zyllio Studio sont stockées en France auprès d'OVHcloud. Zyllio ne transfère pas ces données hors de l'Espace économique européen.
8. Assistance, droits des personnes et violations de données
Compte tenu de la nature du traitement, Zyllio assiste le Client, par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, afin de lui permettre de répondre aux demandes d'exercice des droits des personnes concernées. Si Zyllio reçoit directement une telle demande portant sur les données du Client, elle la transmet au Client sans y répondre au fond, sauf instruction du Client ou obligation légale.
Zyllio fournit au Client les informations raisonnablement nécessaires pour l'aider à respecter ses obligations relatives à la sécurité, aux analyses d'impact, aux consultations préalables et à la notification des violations de données, compte tenu des informations dont elle dispose.
En cas de violation de données personnelles affectant les données traitées pour le compte du Client, Zyllio notifie le Client dans les meilleurs délais après en avoir pris connaissance et lui communique les informations disponibles permettant au Client de respecter ses obligations réglementaires. Zyllio ne notifie pas directement les personnes concernées ou l'autorité de contrôle au nom du Client, sauf instruction écrite du Client ou obligation légale.
9. Sort des données à la fin du service
À la cessation du service, Zyllio supprime ou anonymise les données personnelles traitées pour le compte du Client, ainsi que les copies existantes, au plus tard un mois après la fermeture du compte, sauf obligation légale de conservation ou instruction documentée contraire du Client.
Zyllio informe le Client, sur demande raisonnable, de la réalisation de cette suppression.
10. Information, audits et conformité
Zyllio met à la disposition du Client les informations raisonnablement nécessaires pour démontrer le respect de ses obligations prévues à l'article 28 du RGPD. À cette fin, le Client peut demander des informations ou documents de conformité pertinents à contact@zyllio.com.
Lorsque ces informations ne permettent pas raisonnablement au Client de vérifier la conformité, le Client peut demander un audit, au plus une fois par période de douze mois, moyennant un préavis écrit d'au moins 30 jours, pendant les heures ouvrées et sans perturber de manière excessive l'activité de Zyllio ni compromettre la sécurité ou la confidentialité des autres clients. L'audit est réalisé aux frais du Client par un auditeur indépendant soumis à un engagement de confidentialité.
11. Hiérarchie et contact
En cas de contradiction entre le présent Accord et les Conditions, le présent Accord prévaut pour les questions relatives au traitement de données personnelles pour le compte du Client.
Pour toute question relative au présent Accord ou pour transmettre une instruction documentée, le Client peut contacter Zyllio à contact@zyllio.com.
Zyllio
SASU — SIREN 994 131 274
24 rue des Fleurs
91470 Limours, France