Siggmund
ConnexionCommencer
← Retour à l'accueil

Accord de traitement des données

Dernière mise à jour : · Première publication :

Le présent accord (ci-après « DPA ») est conclu au sens de l'article 28 du Règlement (UE) 2016/679 (« RGPD ») entre le Client, agissant en qualité de responsable de traitement, et Siggmund, agissant en qualité de sous-traitant (ci-après « Siggmund »). Il fait partie intégrante des conditions générales de vente et est accepté par le Client lors de la souscription. En cas de contradiction, le présent DPA prévaut sur les autres documents contractuels pour ce qui concerne le traitement des données personnelles.

1. Objet et rôles

Siggmund traite des données personnelles pour le compte du Client aux seules fins d'exécuter le service décrit aux conditions générales : mesure de la recommandabilité de la marque du Client, production d'un score et de recommandations. Le Client détermine les finalités et les moyens de ce traitement ; Siggmund n'agit que sur ses instructions documentées, constituées par les conditions générales, le présent DPA et le paramétrage effectué par le Client dans son espace.

Siggmund demeure responsable de traitement pour ses propres besoins (gestion des comptes, facturation, sécurité), régis par la politique de confidentialité.

2. Description du traitement

  • Nature et finalité : collecte, stockage, analyse automatisée et restitution de données relatives à la présence en ligne du Client.
  • Catégories de personnes concernées : utilisateurs désignés par le Client ; le cas échéant, personnes physiques identifiables mentionnées dans les contenus publics analysés ou dans les réponses des modèles de langage.
  • Catégories de données : identifiants et adresses e-mail des utilisateurs ; contenus publics du site du Client ; métriques Search Console et Analytics 4 (impressions, clics, positions, sessions, sources de trafic) ; identifiants techniques des propriétés Google connectées.
  • Catégories particulières de données : aucune. Le service n'est pas conçu pour traiter des données visées à l'article 9 du RGPD, et le Client s'engage à ne pas en soumettre.
  • Durée : la durée de l'abonnement, augmentée des durées de conservation figurant à l'article 8.

3. Obligations de Siggmund

Siggmund s'engage à :

  • ne traiter les données que sur instruction documentée du Client, et l'informer sans délai si une instruction lui paraît constituer une violation du RGPD ;
  • ne pas utiliser les données du Client à d'autres fins, en particulier ni à des fins publicitaires, ni pour entraîner des modèles d'intelligence artificielle généralisés ;
  • garantir la confidentialité des données et soumettre toute personne autorisée à y accéder à une obligation de confidentialité ;
  • mettre en œuvre les mesures techniques et organisationnelles décrites à l'article 5 ;
  • assister le Client, dans la mesure du raisonnable, pour la réalisation d'analyses d'impact, la réponse aux demandes des personnes concernées et les échanges avec une autorité de contrôle ;
  • mettre à disposition les informations nécessaires pour démontrer le respect du présent DPA.

4. Obligations du Client

Le Client garantit disposer d'une base légale pour les traitements confiés, avoir informé les personnes concernées, et détenir les droits nécessaires sur les sites et comptes Google qu'il connecte. Il lui appartient de ne transmettre que les données nécessaires au service.

5. Sécurité

Siggmund met en œuvre, conformément à l'article 32 du RGPD : chiffrement des communications (TLS) et des données au repos ; chiffrement dédié des jetons d'accès Google ; contrôle d'accès fondé sur les rôles, vérifié côté serveur à chaque requête ; cloisonnement des données entre clients ; journalisation des accès administrateur ; sauvegardes ; limitation des accès de production aux personnes qui en ont besoin ; revue des dépendances et des secrets.

6. Sous-traitants ultérieurs

Le Client autorise Siggmund à recourir aux sous-traitants ultérieurs listés ci-dessous. Siggmund leur impose par contrat des obligations de protection équivalentes à celles du présent DPA et demeure responsable de leur exécution.

  • Google Ireland Limited (Firebase, Cloud Run, Firestore, Cloud SQL) — hébergement, base de données, exécution applicative. Localisation : Union européenne (europe-west1)
  • Google Ireland Limited (Google Analytics 4) — mesure d'audience du site public, sous réserve de votre consentement. Localisation : Irlande (Union européenne), avec transferts vers les États-Unis Encadrement du transfert : décision d'adéquation UE–États-Unis (Data Privacy Framework), Google LLC y étant certifié ; clauses contractuelles types à défaut
  • Stripe Payments Europe, Ltd. — encaissement des abonnements. Localisation : Irlande
  • Google (API Gemini) — analyse par modèle de langage et recherche appuyée sur Google (adresse du site, activité et extrait de la page d'accueil). Localisation : tout pays où Google exploite des installations, dont les États-Unis (aucune région de traitement garantie)

Siggmund informe le Client de tout ajout ou remplacement de sous-traitant ultérieur au moins 30 jours avant sa mise en œuvre, par e-mail à l'adresse de contact du compte. Le Client peut s'y opposer pour un motif légitime et raisonnable dans ce délai ; à défaut d'accord, il peut résilier son abonnement sans pénalité, la part d'abonnement non consommée lui étant restituée.

7. Transferts hors Union européenne

Les données sont hébergées dans l'Union européenne, en europe-west1 (Belgique). Siggmund ne transfère aucune donnée personnelle du Client à un prestataire de traitement de contenu : les modèles de langage et les services de mesure reçoivent des questions de mesure, des adresses de sites publics et des contenus publics, non des données personnelles. Copie des garanties applicables à un prestataire établi hors de l'Union européenne est communiquée sur demande.

Les données Search Console et Analytics 4 du Client peuvent être transmises à ces fournisseurs de modèles de langage lorsqu'elles servent à produire les analyses et recommandations du service (par exemple pour interpréter les requêtes les mieux positionnées ou les sources de trafic). Elles le sont à cette seule fin, à des fins d'inférence uniquement : elles ne servent jamais à entraîner ou affiner un modèle, et Siggmund n'active aucune option de conservation ou de partage des contenus proposée par un fournisseur.

8. Conservation, restitution et suppression

Les durées de conservation applicables sont les suivantes :

  • Compte et adresse e-mail : durée de l'abonnement, puis 3 ans après le dernier contact.
  • Numéro de téléphone (le cas échéant) : durée de l'abonnement, puis 3 ans après le dernier contact.
  • Analyses, scores et recommandations produits : durée de l'abonnement, puis 12 mois.
  • Données Search Console et Analytics importées (snapshots) : 13 mois glissants, et suppression sous 30 jours après révocation de l'accès Google ou résiliation.
  • Lectures de l'effet des actions : pendant toute la durée de l'abonnement, supprimées sous 30 jours après résiliation ou révocation de l'accès Google.
  • Jetons d'accès Google (chiffrés) : jusqu'à révocation par vous, ou 30 jours après la résiliation.
  • Clé API ChatGPT Ads (chiffrée) : jusqu'à votre déconnexion, ou 30 jours après la résiliation.
  • Images d'annonces ChatGPT Ads que vous téléversez (hébergées pour qu'OpenAI les récupère) : 91 jours au plus, ou jusqu'à la suppression du client.
  • Logo de l'agence (marque blanche des rapports) : jusqu'à son remplacement ou au retrait de la marque, ou jusqu'à la suppression de l'organisation.
  • Campagnes ChatGPT Ads créées depuis l'application, et adresse e-mail de leur auteur : durée de l'abonnement, puis 12 mois.
  • Lead anonyme non réclamé (avant inscription) : 7 jours après la soumission, purge automatique quotidienne (SIG-88) — un lead réclamé (converti en client) n'est jamais concerné par cette durée.
  • Demandes envoyées depuis la page d'accueil (adresse e-mail, téléphone) : 3 ans après la dernière mise à jour de la demande, suppression automatique quotidienne.
  • Messages envoyés par le formulaire de contact : 3 ans après le dernier échange.
  • Données d'usage du site et de l'application (PostHog) : 1 an, puis suppression automatique par PostHog.
  • Journaux techniques et de sécurité : 12 mois.
  • Journaux d'accès administrateur (traçabilité RGPD) : 3 ans.
  • Factures et pièces comptables : 10 ans (obligation légale, art. L123-22 c. com.).

À la fin de la prestation, Siggmund supprime les données traitées pour le compte du Client selon ces durées, sauf obligation légale de conservation. Le Client peut demander, avant la résiliation, la restitution de ses données dans un format structuré et couramment utilisé.

9. Violation de données

Siggmund notifie le Client sans délai injustifié, et au plus tard sous 48 heures après en avoir pris connaissance, de toute violation de données à caractère personnel affectant ses données, en lui communiquant les éléments nécessaires à sa propre notification au titre des articles 33 et 34 du RGPD, ainsi que les mesures prises pour y remédier.

10. Audit

Siggmund répond aux questionnaires de sécurité du Client et lui fournit la documentation pertinente. Le Client peut, au plus une fois par an et sous réserve d'un préavis de 30 jours, faire réaliser un audit proportionné, à ses frais, dans des conditions préservant la confidentialité des autres clients et la sécurité du service.

11. Contact

Toute demande relative au présent accord : privacy@siggmund.com.