Accord de traitement des données

Le présent Accord de traitement des données (l'« Accord ») fait partie du contrat conclu entre MIRAKL SRL et le client, conformément aux Conditions générales. L'Accord fixe les conditions dans lesquelles nous traitons des données à caractère personnel pour le compte du client, conformément à l'article 28 du règlement (UE) 2016/679 (le « RGPD »).

• L'Accord s'applique aux clients personnes morales et aux professionnels, ainsi qu'à tout client dont le contenu hébergé comprend des données à caractère personnel de tiers (par exemple les données des visiteurs d'un site, des clients d'une boutique en ligne, des abonnés d'une newsletter ou le contenu des boîtes e-mail).
• Pour ces données, le client est le responsable du traitement et MIRAKL SRL est le sous-traitant.
• L'Accord ne s'applique pas aux données que nous traitons en tant que responsable du traitement pour notre propre compte (compte client, facturation, paiements, données des titulaires de noms de domaine transmises aux registres, journaux de sécurité). Ces données relèvent de la Politique de confidentialité.
• Si votre activité est strictement personnelle ou domestique, le RGPD peut ne pas s'appliquer au traitement que vous effectuez ; dans ce cas, nous appliquons néanmoins, à titre contractuel, les mesures prévues par le présent Accord.
• L'acceptation des Conditions générales lors de la commande vaut acceptation du présent Accord. Les clients personnes morales l'acceptent expressément lors de la commande.

• Nous ne traitons les données à caractère personnel que sur instruction documentée du client, y compris en ce qui concerne les transferts vers des pays tiers, sauf si le droit de l'Union ou le droit roumain nous impose un traitement. Dans ce cas, nous informons le client de cette obligation avant le traitement, sauf si la loi interdit une telle information pour des motifs importants d'intérêt public.
• Les instructions du client figurent dans le contrat, dans le présent Accord, dans la configuration du service effectuée par le client et dans les demandes transmises via l'espace client ou par e-mail.
• Nous informons immédiatement le client si, selon nous, une instruction constitue une violation du RGPD ou d'autres dispositions relatives à la protection des données.
• Nous n'utilisons pas les données du client à nos propres fins, nous ne les vendons pas et nous n'y accédons que dans la mesure nécessaire à la fourniture du service, au support technique, à la sécurité ou au respect de la loi (par exemple en cas d'injonction d'une autorité ou de notification d'un contenu illicite).

Nous veillons à ce que les personnes autorisées à traiter les données à caractère personnel (salariés, collaborateurs) se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale de confidentialité, et à ce que leur accès soit limité à ce qui est nécessaire.

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées, conformément à l'article 32 du RGPD, compte tenu de l'état des connaissances, des coûts et des risques. De manière générale, elles comprennent :

• l'hébergement des serveurs dans un centre de données situé dans l'Union européenne, avec une sécurité physique et un contrôle d'accès assurés par le fournisseur du centre de données ;
• la restriction de l'accès administratif aux personnes autorisées, avec une authentification sécurisée ;
• la séparation des comptes des clients sur les serveurs ;
• le chiffrement du trafic en transit lorsque le service le permet (par exemple certificats TLS/SSL) ;
• une protection au niveau du réseau (pare-feu, filtrage et protection contre les attaques DDoS) ;
• l'application en temps utile des mises à jour de sécurité pour l'infrastructure que nous administrons ;
• une surveillance et une journalisation à des fins de sécurité ;
• des procédures de gestion des incidents.

Nous ne détenons pas de certifications de sécurité et ne revendiquons pas la conformité à une norme particulière. La sécurité des applications, des mots de passe et des contenus installés et administrés par le client (par exemple WordPress, extensions, scripts) relève de la responsabilité du client, de même que la conservation de ses propres sauvegardes (voir les Conditions générales).

1. Autorisation générale. En acceptant le présent Accord, le client nous donne une autorisation écrite générale, au sens de l'article 28, paragraphe 2, du RGPD, de recruter d'autres sous-traitants (« sous-traitants ultérieurs ») pour les activités de traitement nécessaires à la fourniture des services, par exemple : centres de données et infrastructure de serveurs, réseau, DNS et protection contre les attaques, stockage des sauvegardes, acheminement des e-mails et assistance technique spécialisée.
2. Liste des sous-traitants ultérieurs. La liste à jour, précisant l'activité de chaque sous-traitant ultérieur, le lieu du traitement et les garanties applicables aux transferts, est publiée sur la page Liste des sous-traitants ultérieurs. Cette liste a un caractère informatif et ne fait pas partie des clauses du présent Accord ; sa mise à jour, effectuée conformément à la présente section, ne constitue donc pas une modification de l'Accord.
3. Information préalable. Nous informons le client de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur ayant accès aux données du client au moins 14 jours avant que le changement ne prenne effet, par e-mail à l'adresse indiquée dans le compte client ou par un message dans le compte client, et nous mettons la liste à jour en même temps.
4. Remplacements urgents. Si un sous-traitant ultérieur doit être remplacé d'urgence afin d'assurer la continuité ou la sécurité du service (par exemple en cas de cessation de son activité, d'incident de sécurité ou de manquement à ses obligations), nous pouvons procéder au remplacement avant l'expiration du délai ci-dessus, en informant le client sans délai. Le droit d'opposition ci-dessous s'applique également dans ce cas, le délai courant à compter de la date de l'information.
5. Droit d'opposition. Le client peut s'opposer à un changement, dans un délai de 14 jours à compter de l'information, par un e-mail motivé par des raisons de protection des données, envoyé à [email protected]. Nous examinons l'opposition de bonne foi et recherchons une solution raisonnable (par exemple une alternative pour le service du client). À défaut de solution, le client peut résilier les services concernés par le changement, sans pénalité, avec remboursement au prorata de la partie non utilisée de la période payée. L'absence d'opposition dans le délai vaut acceptation du changement.
6. Obligations des sous-traitants ultérieurs. Nous imposons à chaque sous-traitant ultérieur, par contrat ou par un autre acte juridique, les mêmes obligations en matière de protection des données que celles du présent Accord, en particulier des garanties suffisantes quant aux mesures techniques et organisationnelles, conformément à l'article 28, paragraphe 4, du RGPD.
7. Responsabilité. Nous demeurons pleinement responsables envers le client de l'exécution des obligations de chaque sous-traitant ultérieur.
8. Qui n'est pas sous-traitant ultérieur. Le prestataire de paiement, les registres de noms de domaine, les bureaux d'enregistrement (registrars) et les autorités publiques traitent les données en tant que responsables du traitement indépendants, selon leurs propres règles, et n'ont pas accès au contenu hébergé par le client. Nous les mentionnons sur la page ci-dessus uniquement par souci de transparence.

Les données hébergées sont stockées dans l'Union européenne. Si un sous-traitant ultérieur traite des données du client en dehors de l'Espace économique européen (par exemple dans le cadre d'un réseau mondial de distribution et de protection du trafic), le transfert n'a lieu qu'avec l'une des garanties prévues au chapitre V du RGPD : une décision d'adéquation de la Commission européenne (y compris l'EU-US Data Privacy Framework, pour les entités certifiées), des clauses contractuelles types adoptées par la Commission européenne ou d'autres garanties appropriées. La garantie applicable à chaque sous-traitant ultérieur est indiquée dans la Liste des sous-traitants ultérieurs.

Compte tenu de la nature du traitement, nous aidons le client, par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à s'acquitter de son obligation de donner suite aux demandes des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition). En règle générale, le client peut répondre directement à ces demandes, car il dispose d'un accès complet à son contenu. Si nous recevons directement d'une personne concernée une demande portant sur les données du client, nous la transmettons au client sans délai et n'y répondons sur le fond qu'avec l'accord du client ou si la loi nous y oblige.

• Nous notifions le client dans les meilleurs délais après avoir pris connaissance d'une violation de données à caractère personnel affectant les données du client.
• Nous nous efforçons d'envoyer la notification suffisamment tôt pour que le client, en tant que responsable du traitement, puisse respecter le délai de 72 heures dans lequel il doit notifier l'autorité de contrôle, conformément à l'article 33 du RGPD (délai qui court à partir du moment où le responsable du traitement a pris connaissance de la violation).
• La notification comprend, dans la mesure où elles sont disponibles : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements affectés, les conséquences probables, les mesures prises ou proposées et les coordonnées permettant d'obtenir des informations complémentaires. Les informations qui ne sont pas disponibles initialement sont communiquées ultérieurement, dans les meilleurs délais.
• La notification est envoyée à l'adresse e-mail indiquée dans le compte client.
• Nous prenons des mesures raisonnables pour limiter les effets de la violation et coopérons avec le client.
• Les incidents causés par les applications, les mots de passe ou les configurations du client (par exemple un site WordPress compromis) ne constituent pas des violations de sécurité de notre part ; nous informons néanmoins le client de ces incidents si nous les détectons.

Compte tenu de la nature du traitement et des informations dont nous disposons, nous aidons le client à respecter les obligations prévues aux articles 32 à 36 du RGPD (sécurité, notification des violations, communication aux personnes concernées, analyse d'impact et consultation préalable de l'autorité), notamment en fournissant les informations pertinentes sur le service et sur les mesures de sécurité. L'assistance allant au-delà de la fourniture de ces informations peut être facturée à un coût raisonnable, communiqué au préalable.

• Pendant la durée du contrat, le client peut télécharger son contenu à tout moment au moyen des outils du service (par exemple le panneau de contrôle, FTP/SFTP, l'export des bases de données).
• À la fin du service, au choix du client, nous supprimons toutes les données à caractère personnel ou les mettons à la disposition du client pour téléchargement, puis nous détruisons les copies existantes, sauf si le droit de l'Union ou le droit roumain exige leur conservation.
• Le client doit télécharger ses données avant la fin du service ou pendant la période comprise entre la suspension et la suppression, prévue par les Conditions générales. Passé ce délai, les données sont supprimées des serveurs actifs.
• Les sauvegardes (7 quotidiennes, 4 hebdomadaires, 3 mensuelles) sont écrasées ou supprimées dans le cadre du cycle de rotation habituel, au plus tard 90 jours après la suppression des données des serveurs actifs.

• Nous mettons à la disposition du client, sur demande, toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD.
• Nous permettons la réalisation d'audits, y compris d'inspections, par le client ou par un auditeur qu'il a mandaté, et y contribuons, aux conditions suivantes : un préavis d'au moins 30 jours ; un auditeur tenu à la confidentialité ; un déroulement qui ne porte pas atteinte à la sécurité ni aux données des autres clients ; au plus une fois par an, sauf en cas de violation de données à caractère personnel ou si une autorité de contrôle demande l'audit.
• Les inspections dans les centres de données des sous-traitants ultérieurs se déroulent conformément à leurs politiques ; au lieu d'une inspection, nous pouvons fournir les rapports ou documents mis à disposition par les sous-traitants ultérieurs.
• Les coûts de l'audit sont à la charge du client, sauf si l'audit constate un manquement significatif de notre part au présent Accord.

• Le client, en tant que responsable du traitement, répond de la licéité du traitement des données qu'il héberge : base juridique, information des personnes concernées, réponse à leurs demandes et, le cas échéant, notification des violations à l'autorité et aux personnes concernées.
• Le client s'assure que ses instructions sont conformes à la loi et qu'il a le droit de nous transmettre les données.
• Le client choisit et configure les mesures de sécurité qui relèvent de lui (mots de passe, mises à jour, sauvegardes, chiffrement des données sensibles au niveau de l'application).

• L'Accord s'applique pendant toute la durée du contrat et, après sa fin, jusqu'à la suppression de toutes les données du client.
• La responsabilité des parties est celle prévue par l'article 82 du RGPD et par les Conditions générales, dans les limites permises par la loi.
• En cas de contradiction entre le présent Accord et les Conditions générales en matière de protection des données, le présent Accord prévaut.
• L'Accord est régi par le droit roumain. Nous pouvons mettre à jour l'Accord selon la procédure de modification des Conditions générales, à l'exception des modifications relatives aux sous-traitants ultérieurs, pour lesquelles s'applique la section 6.
• Les questions concernant le présent Accord sont à adresser à [email protected].
• L'Accord est en vigueur depuis le 29 octobre 2026.