Accord de traitement des données

• Le client, titulaire d’une organisation Takt, est responsable de traitement : il décide de mesurer l’audience de ses sites et en fixe les finalités.
• VSK, éditeur de Takt, est sous-traitant : il réalise la mesure pour le compte du client, selon ses instructions.

VSK ne traite les données que sur instruction documentée du client. Constituent ces instructions : le présent accord, les conditions d’utilisation, et les réglages que le client choisit dans Takt (sites mesurés, options du script, masquage de routes, exclusions, intégrations, suppressions). VSK informe immédiatement le client si une instruction lui paraît contraire au RGPD. VSK n’utilise jamais les données du client pour ses propres finalités, ne les vend pas et ne les croise avec aucune autre source.

Seules les personnes habilitées de VSK accèdent aux données, dans la mesure nécessaire à l’exploitation et au support, et chacune est tenue à une obligation de confidentialité. Les actions du support sur une organisation sont journalisées.

VSK met en œuvre les mesures suivantes (article 32 du RGPD), qu’il peut faire évoluer sans en réduire le niveau :

• Pseudonymisation dès la collecte : identifiant de visiteur calculé avec une clé journalière détruite après 48 heures, adresse IP jamais conservée.
• Chiffrement des échanges (HTTPS), des secrets et des sauvegardes.
• Double authentification obligatoire pour accéder au tableau de bord, contrôle d’accès par rôle au sein des organisations, journal d’audit.
• Cloisonnement des données par organisation et par site, comptes techniques en lecture seule pour la supervision.
• Sauvegardes chiffrées deux fois par jour, conservées 7 jours, avec test de restauration.
• Effacement automatique des données à l’échéance de leur durée de conservation.

Le client autorise VSK à recourir aux sous-traitants listés sur la page sous-traitants. VSK leur impose par contrat les mêmes obligations que celles du présent accord et reste responsable de leur exécution.

VSK prévient les propriétaires de l’organisation par e-mail au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant. Le client peut s’y opposer pendant ce délai, pour un motif lié à la protection des données. À défaut de solution, il peut résilier sans frais et obtenir le remboursement de la période payée et non utilisée.

Les données du client sont stockées dans l’Union européenne. Un transfert vers un pays tiers n’a lieu que par l’intermédiaire d’un sous-traitant listé, sur le fondement d’une décision d’adéquation ou des clauses contractuelles types de la Commission européenne.

• Droits des personnes : VSK transmet au client, sans délai, toute demande qu’il reçoit d’une personne concernée par les statistiques du client. Le client dispose des outils pour y répondre : suppression d’un site ou de son organisation, exclusions, export par l’API de lecture.
• Analyses d’impact et consultation de l’autorité : VSK fournit au client les informations dont il dispose pour réaliser une analyse d’impact ou consulter la CNIL.
• Conformité : VSK met à disposition du client toute information nécessaire pour démontrer le respect du présent accord.

VSK notifie au client toute violation de données le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, ses conséquences probables et les mesures prises ou envisagées. Le client peut ainsi notifier l’autorité dans le délai de 72 heures prévu par l’article 33 du RGPD.

Avant de quitter Takt, le client peut récupérer ses statistiques par l’API de lecture. La suppression d’un site, ou de l’organisation, entraîne l’effacement de toutes les statistiques correspondantes au terme d’un délai de grâce de 90 jours. Les sauvegardes qui les contiennent encore disparaissent 7 jours plus tard. VSK ne conserve aucune copie, sauf obligation légale.

Le client peut vérifier le respect du présent accord, d’abord sur la base des informations fournies par VSK. Si elles ne suffisent pas, il peut faire réaliser un audit, une fois par an au plus, par lui-même ou par un auditeur indépendant tenu au secret, avec un préavis de 30 jours. L’audit se déroule à ses frais et sans perturber le service ni compromettre les données des autres clients.

• Disposer d’une base légale pour mesurer l’audience de ses sites et informer ses visiteurs, par exemple avec le modèle ci-dessous.
• Ne pas envoyer à Takt de données permettant d’identifier directement une personne (e-mail, nom, numéro de téléphone, identifiant de compte) dans les adresses de page, les paramètres ou les propriétés d’événement, ni aucune donnée sensible.
• Offrir à ses visiteurs un moyen de refuser la mesure, par exemple avec la fonction de refus du script Takt.

Le texte suivant peut être repris tel quel, en remplaçant les éléments entre crochets :

« Nous mesurons l’audience de [nom du site] avec Takt, un outil édité par VSK et hébergé dans l’Union européenne. Takt ne dépose aucun cookie et ne conserve pas votre adresse IP : il enregistre la page vue, le site de provenance, votre pays, région et ville, votre navigateur et votre type d’appareil, avec un identifiant qui change chaque jour et ne permet pas de vous reconnaître d’un jour à l’autre. Ces statistiques servent uniquement à comprendre la fréquentation de notre site, sur la base de notre intérêt légitime, et sont conservées 25 mois. Vous pouvez refuser cette mesure en activant Do Not Track ou Global Privacy Control dans votre navigateur, ou en [lien vers votre bouton de refus]. »

Le présent accord s’applique aussi longtemps que VSK traite des données pour le compte du client. Il est régi par le droit français.