Accord de traitement des données

Dernière mise à jour : 30 juillet 2026

Le présent accord (ci-après « DPA ») est conclu au sens de l'article 28 du Règlement (UE) 2016/679 (« RGPD ») entre le Client, agissant en qualité de responsable de traitement, et Siggmund - Structure en cours de formation, agissant en qualité de sous-traitant (ci-après « Siggmund »). Il fait partie intégrante des conditions générales de vente et est accepté par le Client lors de la souscription. En cas de contradiction, le présent DPA prévaut sur les autres documents contractuels pour ce qui concerne le traitement des données personnelles.

1. Objet et rôles

Siggmund traite des données personnelles pour le compte du Client aux seules fins d'exécuter le service décrit aux conditions générales : mesure de la recommandabilité de la marque du Client, production d'un score et de recommandations. Le Client détermine les finalités et les moyens de ce traitement ; Siggmund n'agit que sur ses instructions documentées, constituées par les conditions générales, le présent DPA et le paramétrage effectué par le Client dans son espace.

Siggmund demeure responsable de traitement pour ses propres besoins (gestion des comptes, facturation, sécurité), régis par la politique de confidentialité.

2. Description du traitement

Nature et finalité : collecte, stockage, analyse automatisée et restitution de données relatives à la présence en ligne du Client.
Catégories de personnes concernées : utilisateurs désignés par le Client ; le cas échéant, personnes physiques identifiables mentionnées dans les contenus publics analysés ou dans les réponses des modèles de langage.
Catégories de données : identifiants et adresses e-mail des utilisateurs ; contenus publics du site du Client ; métriques Search Console et Analytics 4 (impressions, clics, positions, sessions, sources de trafic) ; identifiants techniques des propriétés Google connectées.
Catégories particulières de données : aucune. Le service n'est pas conçu pour traiter des données visées à l'article 9 du RGPD, et le Client s'engage à ne pas en soumettre.
Durée : la durée de l'abonnement, augmentée des durées de conservation figurant à l'article 8.

3. Obligations de Siggmund

Siggmund s'engage à :

ne traiter les données que sur instruction documentée du Client, et l'informer sans délai si une instruction lui paraît constituer une violation du RGPD ;
ne pas utiliser les données du Client à d'autres fins, en particulier ni à des fins publicitaires, ni pour entraîner des modèles d'intelligence artificielle généralisés ;
garantir la confidentialité des données et soumettre toute personne autorisée à y accéder à une obligation de confidentialité ;
mettre en œuvre les mesures techniques et organisationnelles décrites à l'article 5 ;
assister le Client, dans la mesure du raisonnable, pour la réalisation d'analyses d'impact, la réponse aux demandes des personnes concernées et les échanges avec une autorité de contrôle ;
mettre à disposition les informations nécessaires pour démontrer le respect du présent DPA.

4. Obligations du Client

Le Client garantit disposer d'une base légale pour les traitements confiés, avoir informé les personnes concernées, et détenir les droits nécessaires sur les sites et comptes Google qu'il connecte. Il lui appartient de ne transmettre que les données nécessaires au service.

5. Sécurité

Siggmund met en œuvre, conformément à l'article 32 du RGPD : chiffrement des communications (TLS) et des données au repos ; chiffrement dédié des jetons d'accès Google ; contrôle d'accès fondé sur les rôles, vérifié côté serveur à chaque requête ; cloisonnement des données entre clients ; journalisation des accès administrateur ; sauvegardes ; limitation des accès de production aux personnes qui en ont besoin ; revue des dépendances et des secrets.

6. Sous-traitants ultérieurs

Le Client autorise Siggmund à recourir aux sous-traitants ultérieurs listés ci-dessous. Siggmund leur impose par contrat des obligations de protection équivalentes à celles du présent DPA et demeure responsable de leur exécution.

Google Ireland Limited (Firebase, Cloud Run, Firestore, Cloud SQL) — hébergement, base de données, exécution applicative. Localisation : Union européenne (europe-west1)
Mailjet (Sinch France SAS) — envoi des e-mails transactionnels (lien de connexion, notifications). Localisation : France
Stripe Payments Europe, Ltd. — encaissement des abonnements. Localisation : Irlande
DataForSEO OÜ (n° 14502291) — données de positionnement et de recherche publiques. Localisation : Estonie (Union européenne)
Mistral AI — analyse par modèle de langage. Localisation : France
Anthropic PBC — analyse par modèle de langage. Localisation : États-Unis Encadrement du transfert : clauses contractuelles types de la Commission européenne, incorporées aux conditions commerciales d'Anthropic
OpenAI Ireland Limited — analyse par modèle de langage. Localisation : Irlande (Union européenne) Encadrement du transfert : transferts vers les affiliés hors EEE encadrés par les clauses contractuelles types de la Commission européenne
OpenRouter, Inc. — routage des appels vers les fournisseurs de modèles de langage. Localisation : États-Unis Encadrement du transfert : clauses contractuelles types de la Commission européenne (art. 46), ou décision d'adéquation lorsqu'elle s'applique

Siggmund informe le Client de tout ajout ou remplacement de sous-traitant ultérieur au moins 30 jours avant sa mise en œuvre, par e-mail à l'adresse de contact du compte. Le Client peut s'y opposer pour un motif légitime et raisonnable dans ce délai ; à défaut d'accord, il peut résilier son abonnement sans pénalité, la part d'abonnement non consommée lui étant restituée.

7. Transferts hors Union européenne

Les données sont hébergées dans l'Union européenne, en europe-west1 (Belgique). Certains fournisseurs de modèles de langage sont établis aux États-Unis ; les transferts correspondants sont encadrés par une décision d'adéquation (EU-US Data Privacy Framework) ou par les clauses contractuelles types de la Commission européenne, selon le prestataire, accompagnées le cas échéant de mesures supplémentaires. Copie des garanties applicables est communiquée sur demande. Les données Search Console et Analytics du Client ne sont pas transmises à ces fournisseurs.

[Mécanisme retenu par prestataire à confirmer et à documenter au registre].

8. Conservation, restitution et suppression

Les durées de conservation applicables sont les suivantes :

Compte et adresse e-mail : durée de l'abonnement, puis 3 ans après le dernier contact.
Analyses, scores et recommandations produits : durée de l'abonnement, puis 12 mois.
Données Search Console et Analytics importées (snapshots) : 13 mois glissants, et suppression sous 30 jours après révocation de l'accès Google ou résiliation.
Jetons d'accès Google (chiffrés) : jusqu'à révocation par vous, ou 30 jours après la résiliation.
Journaux techniques et de sécurité : 12 mois.
Journaux d'accès administrateur (traçabilité RGPD) : 3 ans.
Factures et pièces comptables : 10 ans (obligation légale, art. L123-22 c. com.).

À la fin de la prestation, Siggmund supprime les données traitées pour le compte du Client selon ces durées, sauf obligation légale de conservation. Le Client peut demander, avant la résiliation, la restitution de ses données dans un format structuré et couramment utilisé.

9. Violation de données

Siggmund notifie le Client sans délai injustifié, et au plus tard sous 48 heures après en avoir pris connaissance, de toute violation de données à caractère personnel affectant ses données, en lui communiquant les éléments nécessaires à sa propre notification au titre des articles 33 et 34 du RGPD, ainsi que les mesures prises pour y remédier.

10. Audit

Siggmund répond aux questionnaires de sécurité du Client et lui fournit la documentation pertinente. Le Client peut, au plus une fois par an et sous réserve d'un préavis de 30 jours, faire réaliser un audit proportionné, à ses frais, dans des conditions préservant la confidentialité des autres clients et la sécurité du service.

11. Contact

Toute demande relative au présent accord : privacy@siggmund.com.