Accord de sous-traitance

1. Parties et objet

Cet accord fait partie des conditions d'utilisation. Il s'applique quand vous (le responsable de traitement) utilisez Bearing, édité par Nicolas Croce (le sous-traitant), pour mesurer l'audience de vos sites. Il prend effet avec votre compte et prend fin à sa suppression.

2. Le traitement

• Finalité : statistiques d'audience de vos sites, présentées dans Bearing, par export et via l'accès IA que vous autorisez.
• Personnes concernées : les visiteurs de vos sites.
• Données : un code visiteur calculé chaque jour à partir du site, de l'adresse IP, du navigateur et d'un secret qui change chaque jour (le secret est supprimé au bout de deux jours et l'adresse IP n'est jamais conservée) ; pages vues, référent, paramètres de campagne, pays, navigateur, système et type d'appareil, heure ; les événements et propriétés personnalisés envoyés par votre site.
• Non traité : aucun cookie ni stockage sur l'appareil du visiteur, aucune empreinte, aucune adresse IP conservée, aucun profil d'un jour ou d'un site à l'autre.
• Si vous connectez Stripe : pour chaque paiement de votre compte, son montant, sa devise, sa date, ses remboursements et la référence que Stripe lui donne ; une empreinte à sens unique de la référence client de Stripe, uniquement pour reconnaître les paiements suivants d'un même client ; et la visite dont vient le paiement, quand votre site a transmis à Stripe le code de cette visite (un code aléatoire créé dans la page, jamais stocké sur l'appareil du visiteur). Jamais le nom, l'email, l'adresse ni la carte de l'acheteur.

3. Nos engagements

• Nous traitons les données uniquement pour vous fournir vos statistiques, selon vos instructions documentées (ces conditions et vos réglages), et jamais pour notre propre compte.
• Seules les personnes qui font fonctionner Bearing y ont accès, sous obligation de confidentialité.
• Nous les protégeons : connexions chiffrées, données isolées par compte dans la base, clés et jetons conservés sous forme d'empreintes seulement, secret quotidien supprimé au bout de deux jours.
• Nous vous aidons à répondre aux demandes de vos visiteurs et à vos propres obligations (sécurité, analyses d'impact), dans la mesure de ce que Bearing permet : les données ne contiennent aucun identifiant direct, si bien qu'un visiteur ne peut en général pas y être retrouvé.
• Nous vous signalons toute violation de données personnelles touchant vos données dans les meilleurs délais, et au plus tard 48 heures après en avoir eu connaissance, avec ce que nous savons.
• À la suppression de votre compte, les données sont effacées immédiatement. Avant cela, vous pouvez les exporter à tout moment.
• Nous vous fournissons, sur demande, les informations nécessaires pour démontrer le respect de cet accord.

4. Sous-traitants ultérieurs

Vous nous autorisez à recourir à ces sous-traitants : Supabase (base de données, serveurs dans l'UE, en Irlande) et Vercel (hébergement et réception des visites). Nous vous prévenons par email au moins 30 jours avant d'en ajouter ou d'en remplacer un ; vous pouvez vous y opposer en supprimant votre compte avant le changement. Chacun est tenu à des obligations de protection des données équivalentes. Quand des données peuvent sortir de l'UE, les transferts reposent sur le cadre de protection des données UE-États-Unis ou sur les clauses contractuelles types.

5. Vos engagements

Vous informez vos visiteurs que vous mesurez votre site avec Bearing (dans votre politique de confidentialité), et vous n'envoyez pas de données personnelles à Bearing dans les adresses de pages, les noms ou les propriétés d'événements. Si cela arrive, vous en restez responsable et vous pouvez les effacer en supprimant le site.