Accord de traitement des données (DPA)

Rôle des parties

Dans le cadre du contrat de prestation, l'éditeur client agit en qualité de responsable de traitement. 1% (Prism') intervient en qualité de sous-traitant, exclusivement sur instruction documentée du client. Prism' n’utilise pas les données abonnés à des fins propres, de monétisation, de mutualisation avec des bases tierces, ni pour entraîner des modèles à son bénéfice.

Périmètre du traitement

• Gestion administrative, logistique et comptable des abonnements et commandes VPC.
• Relation client déléguée et traitement des réclamations liées aux abonnements.
• Synchronisation des flux avec l'écosystème éditeur (routeurs, imprimeurs, comptabilité).

Catégories de données : identité, coordonnées, historique d'abonnements et de commandes. Prism' ne stocke pas de données bancaires complètes : l'encaissement relève du compte éditeur ou de prestataires de paiement tiers générant des jetons sécurisés.

Engagements de sécurité

• Hébergement des données métier sur des infrastructures situées dans l'Union européenne.
• Chiffrement des flux (TLS 1.2 minimum) et protection des accès (authentification renforcée, moindre privilège).
• Cloisonnement logique strict entre les environnements de chaque éditeur client.
• Sauvegardes, journalisation des accès et procédures de restitution ou suppression en fin de contrat.

Le détail des mesures techniques avancées est communiqué sous contrat / NDA.

Sous-traitance ultérieure

Prism' peut recourir à des sous-traitants ultérieurs pour l'infrastructure et les services spécialisés (hébergement cloud, paiement, messagerie, etc.), dans le respect de l'article 28 du RGPD. La liste nominative n’est pas publiée sur ce site : elle est communiquée dans le cadre contractuel, sous NDA si nécessaire, et via l'espace client authentifié. Toute modification significative fait l'objet d'une notification préalable au client (délai raisonnable pour objection motivée).

Droits des personnes et durées

Prism' assiste le client dans la gestion des demandes d'exercice des droits (accès, rectification, effacement, opposition, portabilité, limitation), dans les délais légaux. Selon le contrat, Prism' peut répondre pour le compte du responsable de traitement aux demandes portant sur les données gérées dans le service, en informant le contact désigné chez l’éditeur.

• Prospects inactifs : purge ou anonymisation selon les recommandations CNIL (ordre de grandeur : 3 ans après dernier contact).
• Comptes en ligne inactifs : suppression après une période d’inactivité définie avec le client, avec avertissement préalable lorsque prévu.
• Pièces contractuelles / comptables : archivage intermédiaire sécurisé (obligations légales, typiquement jusqu’à 10 ans).

Notification des violations

En cas de violation de données à caractère personnel, Prism' informe le responsable de traitement dans les meilleurs délais et au plus tard sous quarante-huit (48) heures après en avoir pris connaissance, afin de lui permettre d’évaluer le risque et, le cas échéant, de notifier l’autorité compétente dans le délai légal.

Fin de contrat — restitution et destruction

À l’issue du contrat, selon les instructions du client, Prism' restitue les données dans un format électronique standard structuré (par exemple CSV ou JSON) et/ou procède à leur destruction sécurisée, y compris chez les sous-traitants ultérieurs, avec attestation sur demande. Un droit d’audit documentaire ou sur site peut être exercé sous préavis raisonnable, dans les conditions du contrat.

Transferts hors UE

En cas de transit technique vers un pays tiers, Prism' s'assure de mécanismes de transfert valides (décision d'adéquation, clauses contractuelles types) et de mesures complémentaires lorsque nécessaire.

CGV · Confidentialité · Mentions légales