Accord de Traitement des Données

Le présent Accord de traitement des données ("ATD") s'applique au traitement des données à caractère personnel par Adbrains B.V. ("Sous-traitant") pour le compte du Client ("Responsable du traitement") dans le cadre du contrat de prestation de services.

Article 1, Définitions

• RGPD : Règlement (UE) 2016/679 (Règlement général sur la protection des données)
• Données à caractère personnel : toute information concernant une personne physique identifiée ou identifiable
• Traitement : toute opération portant sur des données à caractère personnel au sens du RGPD
• Violation : une violation de données à caractère personnel au sens de l'art. 4, point 12, du RGPD

Article 2, Finalité & nature du traitement

Le Sous-traitant traite les données à caractère personnel exclusivement aux fins suivantes :

• la gestion et l'optimisation des campagnes Google Ads pour le compte du Responsable du traitement
• la transmission des données de conversion à Google Ads et, le cas échéant, à Meta
• la production de rapports de campagne et d'analyses par IA
• la mise à disposition du portail client et du tableau de bord

Catégories de personnes concernées : les visiteurs du site web et les clients du Responsable du traitement.

Catégories de données à caractère personnel : adresses IP, identifiants de clic (GCLID, fbclid), adresses e-mail, données de conversion.

Article 3, Obligations du sous-traitant

Le Sous-traitant s'engage à :

• ne traiter les données que conformément aux instructions écrites du Responsable du traitement
• garder les données à caractère personnel confidentielles vis-à-vis des tiers
• mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées (art. 32 RGPD)
• ne recourir à aucun sous-traitant ultérieur sans l'accord préalable du Responsable du traitement
• coopérer à l'exercice des droits des personnes concernées

Article 4, Sous-traitants ultérieurs

Le Responsable du traitement autorise le recours aux sous-traitants ultérieurs suivants :

• Google LLC, Google Ads API, Google Analytics, Google Cloud
• Anthropic, PBC, Claude AI API (données de campagne anonymisées)
• Hébergeurs, infrastructure serveur (basée dans l'UE)

Le Sous-traitant informe le Responsable du traitement de toute modification des sous-traitants ultérieurs. Le Responsable du traitement a le droit de s'y opposer.

Article 5, Sécurité (art. 32 RGPD)

Le Sous-traitant met en œuvre et maintient des mesures techniques et organisationnelles appropriées :

• chiffrement des données à caractère personnel au repos et en transit (AES-256, TLS 1.2+)
• authentification à deux facteurs pour l'accès aux systèmes
• pseudonymisation des données analytiques dans la mesure du possible
• tests de sécurité réguliers et revues des accès
• procédures de restauration après incident

Article 6, Violations de données & incidents

En cas de violation de données à caractère personnel, le Sous-traitant en informe le Responsable du traitement dans les meilleurs délais et au plus tard dans les 72 heures suivant sa découverte. La notification comprend : la nature de la violation, les catégories et le nombre de personnes concernées, les conséquences probables et les mesures prises.

Article 7, Transfert hors de l'EEE

Le Sous-traitant ne transfère pas de données à caractère personnel vers des pays situés en dehors de l'EEE, sauf si cela est nécessaire (par ex. Google/Anthropic aux États-Unis) et conforme à l'art. 46 du RGPD au moyen des Clauses contractuelles types (CCT) de la Commission européenne.

Article 8, Droits des personnes concernées

Le Sous-traitant apporte son concours au Responsable du traitement dans le traitement des demandes des personnes concernées (accès, rectification, effacement, etc.) dans un délai permettant au Responsable du traitement de respecter le délai légal de 30 jours.

Article 9, Audit & contrôle

Le Sous-traitant permet au Responsable du traitement de réaliser des audits ou de les faire réaliser par un tiers indépendant, moyennant un préavis d'au moins 30 jours et sous obligation de confidentialité.

Article 10, Suppression & restitution

À la fin du contrat, le Sous-traitant supprime toutes les données à caractère personnel dans un délai de 90 jours, sauf obligation légale de conservation. Sur demande, le Sous-traitant fournit une confirmation écrite de la suppression.

Article 11, Droit applicable

Le présent accord de traitement des données est régi par le droit néerlandais. Les litiges sont soumis au tribunal compétent de Rotterdam.