1. Préambule
Le présent Accord de traitement des données (« ATD ») est conclu entre :
- Responsable du traitement : Le client (« Responsable du traitement ») utilisant les services de Creativate Technologies GmbH
- Sous-traitant : Creativate Technologies GmbH, Lahnstraße 65, 60326 Francfort-sur-le-Main, Allemagne (« Sous-traitant »)
Le présent ATD complète et fait partie intégrante des Conditions d'utilisation et de la Politique de confidentialité. Il régit le traitement des données personnelles par le Sous-traitant pour le compte du Responsable du traitement conformément à l'article 28 du Règlement Général sur la Protection des Données (RGPD).
2. Champ d'application et finalité du traitement
Le Sous-traitant traite des données personnelles pour le compte du Responsable du traitement uniquement aux fins de fourniture des Services tels que définis dans les Conditions d'utilisation, notamment :
- L'hébergement et le stockage du contenu professionnel et des données utilisateurs
- L'analyse, la génération de contenu et l'aide à la décision alimentées par l'IA
- La gestion des comptes et l'authentification
- La gestion de la relation client et la communication
- L'analyse et l'optimisation de la plateforme
3. Catégories de personnes concernées
- Les utilisateurs (employés, contractuels ou agents du Responsable du traitement)
- Les utilisateurs finaux des produits ou services du Responsable du traitement (le cas échéant)
- Les contacts professionnels et parties prenantes mentionnés dans le contenu téléchargé
4. Catégories de données personnelles traitées
- Données d'identité et de contact
- Données de compte et d'authentification
- Contenu professionnel et données d'interaction avec l'IA
- Données techniques et relatives aux appareils
- Données d'utilisation et d'interaction
- Données de communication
5. Durée du traitement
Le traitement se poursuit pendant la durée de l'accord de service, plus toute période de conservation légalement requise. À la résiliation, les données sont supprimées ou restituées conformément à la Section 11.
6. Obligations du Sous-traitant
Le Sous-traitant s'engage à :
a) Traiter les données personnelles uniquement sur instructions documentées du Responsable du traitement, sauf si le droit de l'UE ou d'un État membre l'exige
b) Veiller à ce que les personnes autorisées à traiter les données personnelles soient soumises à des obligations de confidentialité
c) Mettre en œuvre des mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque, notamment :
- Le chiffrement des données personnelles en transit (TLS) et au repos
- Les contrôles d'accès basés sur les rôles (RBAC)
- Les évaluations régulières de la sécurité et les tests de vulnérabilité
- La journalisation et la surveillance de l'accès aux données
- Les procédures de réponse aux violations de données
d) Ne pas faire appel à un autre sous-traitant sans l'autorisation écrite préalable spécifique ou générale du Responsable du traitement
e) Assister le Responsable du traitement dans le traitement des demandes d'exercice des droits des personnes concernées
f) Assister le Responsable du traitement dans la réalisation des AIPD et des consultations préalables auprès des autorités de contrôle lorsque cela est requis
g) Au choix du Responsable du traitement, supprimer ou restituer toutes les données personnelles à la fin de la fourniture des services
h) Mettre à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer la conformité et permettre la réalisation d'audits
7. Sous-traitants ultérieurs
Le Responsable du traitement donne une autorisation générale au Sous-traitant pour faire appel à des sous-traitants ultérieurs. Le Sous-traitant informe le Responsable du traitement de toute modification envisagée concernant les sous-traitants ultérieurs, en donnant au Responsable du traitement la possibilité de s'y opposer.
Sous-traitants ultérieurs actuels
| Sous-traitant ultérieur | Finalité | Localisation des données |
|---|---|---|
| Amazon Web Services (AWS) | Infrastructure cloud (EC2, S3, CloudFront, Route 53) | UE (Francfort) |
| Anthropic | Modèle de langage IA (Claude) | États-Unis (CCT) |
| OpenAI | Modèle de langage IA (GPT) | États-Unis (CCT) |
| Google AI | Modèle de langage IA (Gemini) | États-Unis (CCT) |
| HuggingFace | Hébergement et inférence de modèles d'IA | UE/États-Unis (CCT) |
| HubSpot | CRM et automatisation marketing | UE (Allemagne) |
Les services auto-hébergés (PostgreSQL, TimescaleDB, Redis, MinIO, Grafana, Loki, Prometheus) fonctionnent sur l'infrastructure AWS EC2 à Francfort, Allemagne et ne constituent pas des sous-traitants ultérieurs distincts.
8. Transferts internationaux de données
Lorsque des données personnelles sont transférées en dehors de l'EEE, le Sous-traitant veille à ce que des garanties appropriées soient en place :
- Clauses contractuelles types (CCT) adoptées par la Commission européenne (Décision d'exécution (UE) 2021/914 de la Commission)
- Accords de traitement des données avec chaque sous-traitant ultérieur
- Mesures techniques incluant le chiffrement et les contrôles d'accès
- Analyses d'impact du transfert lorsque cela est requis
9. Droits des personnes concernées
Le Sous-traitant assiste le Responsable du traitement dans le traitement des demandes des personnes concernées en vertu des articles 15 à 22 du RGPD, notamment :
- Droit d'accès
- Droit de rectification
- Droit à l'effacement
- Droit à la limitation du traitement
- Droit à la portabilité des données
- Droit d'opposition
- Droits relatifs à la prise de décision automatisée et au profilage
10. Notification des violations de données
Le Sous-traitant notifie le Responsable du traitement dans les meilleurs délais (et en tout état de cause dans les 48 heures) après avoir pris connaissance d'une violation de données personnelles. La notification comprend :
- Une description de la nature de la violation
- Les catégories et le nombre approximatif de personnes concernées affectées
- Les conséquences probables de la violation
- Les mesures prises ou proposées pour remédier à la violation
11. Suppression et restitution des données
À la résiliation de l'accord de service :
- Le Sous-traitant supprime ou restitue toutes les données personnelles dans un délai de 30 jours, au choix du Responsable du traitement
- Le Sous-traitant supprime les copies existantes sauf si le droit de l'UE ou d'un État membre exige leur conservation
- Le Sous-traitant fournit une confirmation écrite de la suppression sur demande
12. Audits et inspections
Le Responsable du traitement peut auditer la conformité du Sous-traitant au présent ATD :
- Avec un préavis écrit d'au moins 30 jours
- Pendant les heures normales de travail
- Sans perturber de manière déraisonnable les opérations du Sous-traitant
- Aux frais du Responsable du traitement
Le Sous-traitant coopère pleinement et fournit l'accès aux informations, locaux et personnel pertinents.
13. Dispositions Enterprise
Pour les clients Enterprise, un ATD personnalisé peut être négocié pour répondre à des exigences spécifiques. Contactez legal@creativate.tech pour discuter des arrangements de traitement des données Enterprise.
14. Contact
Pour toute question concernant le présent ATD ou le traitement des données :
Creativate Technologies GmbH Lahnstraße 65, 60326 Francfort-sur-le-Main, Allemagne E-mail : legal@creativate.tech Délégué à la protection des données : privacy@creativate.tech
Date d'effet : Février 2026 Creativate Technologies GmbH