Accord de traitement des données

Le présent accord de traitement des données définit la manière dont Sizewright traite des données personnelles pour le compte des clients professionnels qui utilisent Sizewright, dans le cadre d’une sous-traitance au sens de l’article 28 du RGPD. Il s’applique à partir du 15 octobre 2026 et fait partie de nos conditions générales. Le propriétaire ou un admin d’un espace de travail l’accepte dans les paramètres de l’espace de travail ; nous conservons la trace de la version acceptée, de la personne qui l’a acceptée et de la date d’acceptation.

Parties

Responsable du traitement: Le client professionnel qui accepte le présent accord dans les paramètres de son espace de travail Sizewright (« vous »)
Sous-traitant: Sizewright (« nous »)
Contact pour le présent accord: support@sizewright.com

1. Définitions

1.1 Les termes « données à caractère personnel » (ou « données personnelles »), « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens que leur donne le règlement général sur la protection des données (UE) 2016/679 (RGPD).

1.2 Dans le présent accord :

Données personnelles du client désigne les données personnelles contenues dans votre contenu client, tel que défini dans les conditions générales, que nous traitons pour votre compte lorsque nous fournissons Sizewright.
Sous-traitant ultérieur désigne un tiers auquel nous faisons appel pour traiter des données personnelles du client.
Clauses contractuelles types désigne les clauses adoptées par la décision d’exécution (UE) 2021/914 de la Commission.
Espace de travail désigne un espace de travail Sizewright dont vous êtes propriétaire ou admin.

Les autres termes définis ont le sens qui leur est donné dans les conditions générales.

2. Champ d’application et rôles

2.1 Le présent accord s’applique aux données personnelles du client que nous traitons lorsque nous vous fournissons Sizewright en tant que client professionnel. L’annexe 1 décrit le traitement.

2.2 Vous êtes le responsable du traitement des données personnelles du client, et nous sommes votre sous-traitant. Si vous agissez vous-même en tant que sous-traitant pour vos propres clients, par exemple en tant qu’agence, nous sommes votre sous-traitant ultérieur, et vous confirmez que vos clients vous ont autorisé à faire appel à nous aux conditions du présent accord.

2.3 Nous traitons des données personnelles concernant les personnes qui utilisent Sizewright, telles que les données de compte, de facturation et de sécurité, en tant que responsable du traitement, pour nos propres finalités. Notre politique de confidentialité décrit ce traitement ; le présent accord ne s’y applique pas.

2.4 Il vous appartient d’assurer la licéité du traitement des données personnelles du client, notamment de disposer d’une base légale et d’informer les personnes concernées, telles que les personnes figurant sur les images que vous importez ou les clients qui relisent des bannières via des liens de validation.

3. Instructions

3.1 Nous ne traitons les données personnelles du client que sur instruction documentée de votre part, à moins que le droit de l’Union ou le droit d’un État membre ne nous impose de les traiter. Dans ce cas, nous vous informons de cette obligation juridique avant le traitement, sauf si la loi l’interdit.

3.2 Vos instructions sont constituées par le présent accord, les conditions générales et la manière dont vous utilisez et configurez Sizewright, par exemple lorsque vous importez des contenus, lancez des tâches, partagez des liens de validation, exportez des bannières ou supprimez des contenus. Toute instruction supplémentaire doit être donnée par écrit et être compatible avec la nature du service, et peut faire l’objet d’un accord sur les coûts qu’elle engendre.

3.3 Nous vous informons sans délai si, selon nous, une instruction constitue une violation du RGPD ou d’autres dispositions relatives à la protection des données.

3.4 Nous ne traitons pas les données personnelles du client pour nos propres finalités. Nous ne les vendons pas et ne les utilisons pas pour entraîner des modèles d’IA. Les données personnelles du client ne sont transmises aux fournisseurs d’IA que pour réaliser la génération, l’analyse ou le contrôle que vous avez demandé.

4. Confidentialité

4.1 Nous veillons à ce que toutes les personnes autorisées à traiter les données personnelles du client soient soumises à une obligation de confidentialité, contractuelle ou légale.

4.2 Nous n’accordons l’accès qu’aux personnes qui en ont besoin. Notre équipe d’assistance ne peut accéder à un espace de travail que pour vous aider ou pour analyser un problème : elle doit consigner un motif, chaque session prend fin au bout de 60 minutes au maximum, elle ne peut ni modifier la facturation ni rien supprimer pendant la session, et chaque session est journalisée.

5. Sécurité

5.1 Nous mettons en œuvre les mesures techniques et organisationnelles décrites à l’annexe 2, qui garantissent un niveau de sécurité adapté au risque, conformément à l’article 32 du RGPD.

5.2 Nous pouvons faire évoluer ces mesures en fonction de l’évolution des technologies et des menaces, à condition que le niveau global de sécurité ne soit pas réduit.

5.3 Vous êtes responsable de la sécurité de votre propre utilisation de Sizewright, y compris des mots de passe et de l’authentification à deux facteurs de vos utilisateurs, des rôles que vous attribuez aux membres de l’espace de travail et du choix des personnes avec lesquelles vous partagez des liens de validation.

6. Sous-traitants ultérieurs

6.1 Vous nous accordez une autorisation écrite générale de faire appel à des sous-traitants ultérieurs. Les sous-traitants ultérieurs auxquels nous faisons appel au moment où vous acceptez le présent accord figurent sur notre page des sous-traitants.

6.2 Nous faisons appel à chaque sous-traitant ultérieur au moyen d’un contrat écrit qui lui impose des obligations en matière de protection des données offrant au moins le même niveau de protection que le présent accord. Nous demeurons responsables envers vous de l’exécution par nos sous-traitants ultérieurs de leurs obligations.

6.3 Nous vous informons au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur, en mettant à jour le journal des modifications de la page des sous-traitants et par e-mail aux propriétaires des espaces de travail qui ont accepté le présent accord.

6.4 Vous pouvez vous opposer à un nouveau sous-traitant ultérieur dans ce délai de 30 jours, pour des motifs raisonnables liés à la protection des données, en écrivant à support@sizewright.com. Nous examinons alors votre objection de bonne foi et, lorsque c’est possible, vous proposons une solution de remplacement. Si l’objection ne peut être levée, vous pouvez mettre fin au service concerné avant que la modification ne prenne effet, en résiliant votre abonnement ; nous vous remboursons alors la partie non utilisée de la période payée en cours et la valeur des crédits non utilisés issus de packs de crédits.

6.5 Si nous devons remplacer un sous-traitant ultérieur en urgence, par exemple en raison d’un incident de sécurité ou parce que le sous-traitant ultérieur cesse de fournir son service, nous pouvons le faire immédiatement et vous en informons dès que possible. Votre droit d’opposition prévu à la clause 6.4 s’applique.

7. Transferts internationaux

7.1 Nous ne transférons des données personnelles du client vers un pays situé en dehors de l’Espace économique européen que conformément au chapitre V du RGPD : sur la base d’une décision d’adéquation de la Commission européenne, y compris le Data Privacy Framework UE–États-Unis pour les sous-traitants ultérieurs certifiés à ce titre, ou sur la base des clauses contractuelles types (module trois, de sous-traitant à sous-traitant) conclues avec le sous-traitant ultérieur, assorties de mesures supplémentaires si nécessaire.

7.2 Si vous êtes établi en dehors de l’Espace économique européen et que le RGPD l’exige, les clauses contractuelles types (module quatre, de sous-traitant à responsable du traitement) s’appliquent au transfert des données personnelles du client de nous vers vous, et sont intégrées au présent accord par référence.

7.3 Lorsque des clauses contractuelles types s’appliquent entre vous et nous : la clause d’adhésion facultative ne s’applique pas ; les parties et le traitement sont ceux décrits dans le présent accord et ses annexes ; les clauses sont régies par le droit néerlandais ; et les litiges sont tranchés par les juridictions des Pays-Bas.

7.4 La page des sous-traitants indique, pour chaque sous-traitant ultérieur, le lieu où il traite les données et le mécanisme de transfert applicable.

8. Assistance

8.1 Demandes des personnes concernées. Sizewright vous fournit les outils nécessaires pour répondre vous-même à la plupart des demandes : vous pouvez consulter, exporter, rectifier et supprimer des contenus, révoquer des liens de validation et supprimer des espaces de travail. Si nous recevons d’une personne concernée une demande portant sur des données personnelles du client, nous vous la transmettons dans les meilleurs délais et n’y répondons pas nous-mêmes, si ce n’est pour orienter la personne vers vous, sauf instruction contraire de votre part. Lorsque vous ne pouvez pas répondre à une demande au moyen des outils, nous vous aidons par des mesures appropriées.

8.2 Analyses d’impact et consultations. Nous vous aidons à réaliser les analyses d’impact relatives à la protection des données et les consultations préalables de l’autorité de contrôle, dans la mesure où elles concernent notre traitement, compte tenu de la nature du traitement et des informations dont nous disposons.

8.3 Coûts. L’assistance qui va au-delà des outils de Sizewright et de ce que la loi exige de nous peut être facturée à des tarifs raisonnables. Nous vous indiquons le coût prévisible avant de commencer.

9. Violations de données personnelles

9.1 Nous vous notifions toute violation de données personnelles touchant des données personnelles du client dans les meilleurs délais après en avoir pris connaissance. Notre objectif est de vous la notifier dans les 48 heures. Nous adressons la notification par e-mail aux propriétaires des espaces de travail concernés.

9.2 La notification décrit, dans la mesure de ce que nous savons à ce moment-là : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés, les conséquences probables, les mesures que nous avons prises ou proposons de prendre, et une personne à contacter. Lorsque nous ne pouvons pas fournir toutes les informations en même temps, nous les communiquons de manière échelonnée, sans autre retard indu.

9.3 Nous prenons des mesures raisonnables pour contenir la violation et en limiter les conséquences, nous documentons la violation et nous vous aidons à respecter vos propres obligations de notification à l’autorité de contrôle et aux personnes concernées. Conformément à notre procédure de gestion des violations, nous évaluons chaque incident dans les 24 heures.

9.4 La notification d’une violation ne vaut pas reconnaissance d’une faute ou d’une responsabilité.

10. Suppression et restitution

10.1 Pendant la durée du présent accord, vous pouvez à tout moment exporter et supprimer les données personnelles du client : exporter les bannières dans leurs formats d’export, télécharger une copie des données et des fichiers d’un espace de travail au moyen de l’export de données des paramètres du compte (pour les propriétaires d’espaces de travail), et supprimer des fichiers, des campagnes, des kits de marque et des espaces de travail entiers. Ces outils valent restitution des données personnelles du client.

10.2 La suppression intervient comme suit :

lorsque vous supprimez un espace de travail, ses enregistrements sont supprimés immédiatement et ses fichiers stockés dans l’heure ;
lorsque le compte du propriétaire est supprimé, le compte et les espaces de travail dont il est propriétaire et qui n’ont pas d’autres membres sont supprimés à l’issue d’un délai de grâce de 14 jours ;
les fichiers que vous supprimez d’une bibliothèque sont supprimés au bout de 30 jours, sauf si une bannière active les utilise encore ;
les copies figurant dans nos sauvegardes sont supprimées par rotation dans un délai de 30 jours.

10.3 Nous ne pouvons conserver des données personnelles du client après leur suppression que si le droit de l’Union ou le droit d’un État membre nous impose de les conserver, et uniquement pendant la durée requise par ce droit. Dans ce cas, les obligations du présent accord continuent de s’y appliquer.

10.4 Sur demande, nous confirmons la suppression par écrit.

11. Information et audits

11.1 Nous mettons à votre disposition les informations nécessaires pour démontrer le respect de l’article 28 du RGPD, notamment le présent accord, les mesures de l’annexe 2, la liste des sous-traitants ultérieurs et les réponses à des questionnaires de sécurité raisonnables, au plus une fois par an.

11.2 Si ces informations ne suffisent pas, ou si une autorité de contrôle l’exige, vous pouvez auditer le respect du présent accord, vous-même ou par l’intermédiaire d’un auditeur indépendant tenu à la confidentialité, aux conditions suivantes :

vous nous adressez un préavis d’au moins 30 jours et une description du périmètre de l’audit ;
l’audit a lieu pendant les heures ouvrables, sans perturber le service et sans accès aux données d’autres clients ni aux informations susceptibles de compromettre notre sécurité ;
un audit a lieu au plus une fois tous les 12 mois, sauf en cas de violation de données personnelles touchant vos données ou si une autorité de contrôle l’exige ;
les coûts de l’audit sont à votre charge, et nous pouvons facturer des frais raisonnables pour le temps que nous y consacrons ;
vous nous communiquez le rapport d’audit.

12. Responsabilité

La responsabilité de chaque partie au titre du présent accord est soumise aux limitations prévues par les conditions générales, dans la mesure où l’article 82 du RGPD et les autres dispositions impératives le permettent. Aucune disposition du présent accord ne limite les droits des personnes concernées.

13. Durée

13.1 Le présent accord prend effet lors de son acceptation dans les paramètres de l’espace de travail et reste en vigueur tant que nous traitons des données personnelles du client pour votre compte.

13.2 Les obligations qui, par leur nature, se poursuivent après la fin du présent accord, telles que la confidentialité et la suppression, continuent de s’appliquer.

14. Modifications

14.1 Nous pouvons modifier le présent accord, par exemple lorsque la loi ou nos sous-traitants ultérieurs changent. Nous vous informons des modifications importantes au moins 30 jours avant leur entrée en vigueur, par e-mail aux propriétaires des espaces de travail qui l’ont accepté, et la plateforme demande au propriétaire ou à un admin d’accepter la nouvelle version. Les modifications imposées par la loi peuvent prendre effet plus tôt.

14.2 Les modifications de la liste des sous-traitants ultérieurs suivent la clause 6.

15. Ordre de priorité et droit applicable

15.1 En matière de traitement de données personnelles, le présent accord prévaut sur les conditions générales. Les clauses contractuelles types, lorsqu’elles s’appliquent, prévalent sur le présent accord.

15.2 Le présent accord est régi par le droit néerlandais. Les litiges relèvent de la compétence exclusive du tribunal compétent d’Amsterdam, aux Pays-Bas.

Annexe 1 : description du traitement

Objet et durée

La fourniture de Sizewright à votre intention au titre des conditions générales, pendant la durée du présent accord et jusqu’à la suppression des données personnelles du client conformément à la clause 10.

Nature et finalité

Stockage et hébergement des contenus ; analyse des briefs, des kits de marque, des images et des sites internet importés au moyen de modèles d’IA de langage et de vision ; génération, retouche et extension d’images ; composition, rendu et contrôle des bannières ; partage des bannières avec des relecteurs via des liens de validation ; export de fichiers ; transmission de contenus aux sous-traitants ultérieurs dans la mesure nécessaire à ces étapes ; et suppression des contenus. La finalité est la fourniture du service que vous utilisez, tel que décrit dans les conditions générales.

Catégories de personnes concernées

Les personnes figurant sur les images que vous chargez, importez ou sélectionnez.
Les personnes nommées ou décrites dans les briefs, les kits de marque, les fichiers CSV, les textes et les commentaires.
Vos clients et leurs interlocuteurs, y compris les relecteurs qui utilisent des liens de validation.
Les membres de votre espace de travail, dans la mesure où ils apparaissent dans le contenu client, par exemple dans des commentaires et des mentions.
Les personnes dont les données figurent sur les sites internet que vous importez dans un kit de marque.

Catégories de données personnelles

Noms, adresses e-mail, fonctions et autres coordonnées.
Images représentant des personnes, et autres représentations de personnes.
Données personnelles contenues dans les textes que vous fournissez, tels que les briefs, les textes publicitaires, les mentions légales, les fichiers CSV et les commentaires.
Commentaires, demandes de modification et décisions de validation des relecteurs, avec leur nom et leur adresse e-mail.

Catégories particulières de données personnelles

Sizewright n’est pas destiné au traitement de catégories particulières de données personnelles ni de données relatives aux condamnations pénales. N’incluez pas de telles données dans le contenu client, sauf si vous disposez d’une base légale pour ce faire et que le traitement est nécessaire. Les images de personnes peuvent révéler des catégories particulières de données, comme l’état de santé ou les convictions religieuses ; il vous appartient de disposer d’une base légale pour les utiliser.

Fréquence

En continu, aussi longtemps que vous utilisez Sizewright.

Conservation

Comme décrit à la clause 10 et dans le tableau des durées de conservation de notre politique de confidentialité.

Annexe 2 : mesures techniques et organisationnelles

Accès et authentification

Connexion par adresse e-mail et mot de passe avec vérification de l’adresse e-mail, mots de passe d’au moins 10 caractères et comparaison avec les mots de passe connus à la suite de fuites de données ; connexion avec Google en option.
Authentification à deux facteurs avec une application d’authentification et des codes de secours à usage unique, disponible pour chaque utilisateur et obligatoire pour notre personnel.
Sessions dans des cookies sécurisés et HTTP-only d’une durée de vie de 30 jours, liste des appareils, déconnexion par appareil et partout.
Les actions sensibles, comme le changement de mot de passe ou d’adresse e-mail, la désactivation de l’authentification à deux facteurs ou la suppression d’un compte ou d’un espace de travail, exigent une connexion datant de moins de 15 minutes ou une nouvelle vérification du mot de passe avec le second facteur.
Protection contre les robots sur l’inscription, la connexion, la réinitialisation du mot de passe et les changements d’adresse e-mail ; limites de débit sur la connexion, l’inscription, la réinitialisation du mot de passe et la vérification à deux facteurs.
E-mails de sécurité en cas de connexion depuis un appareil inconnu et de modification du mot de passe, de l’adresse e-mail et des paramètres d’authentification à deux facteurs.

Séparation des clients et autorisations

Chaque requête est limitée à l’espace de travail de l’utilisateur connecté, déterminé à partir de la session authentifiée et jamais à partir de données transmises par le client, de sorte qu’un espace de travail ne peut pas accéder aux données d’un autre espace de travail.
Autorisations par rôle dans l’espace de travail (propriétaire, admin, membre, lecture seule), vérifiées côté serveur pour chaque lecture et chaque écriture.

Accès par notre personnel

Rôles de plateforme pour le personnel (assistance et administration), avec authentification à deux facteurs obligatoire pour les deux.
Accès de l’assistance à l’espace de travail d’un client uniquement avec un motif consigné, pendant 60 minutes au maximum par session, avec un bandeau visible, sans possibilité de modifier la facturation ni de supprimer, et avec une journalisation d’audit complète.

Liens de validation

Les liens comportent un jeton aléatoire de 256 bits que nous ne conservons que sous forme d’empreinte SHA-256.
Les liens expirent, peuvent être révoqués, peuvent exiger un mot de passe et sont exclus des moteurs de recherche.

Chiffrement et localisation

HTTPS exclusivement, avec HSTS.
La base de données et le stockage de fichiers sont chiffrés au repos. La base de données fonctionne dans une région de l’UE, et le stockage de fichiers relève de la juridiction UE.

Sécurité applicative

Une politique de sécurité du contenu et des en-têtes de sécurité qui bloquent l’intégration dans des cadres, la détection automatique du type de contenu (sniffing) et les fonctionnalités inutiles du navigateur.
Protection contre la falsification de requêtes intersites par vérification de l’origine ; vérification de la signature des webhooks entrants.
Validation de toutes les entrées ; aperçus de bannières rendus dans un bac à sable sans scripts.
Fichiers importés contrôlés en taille et identifiés d’après leur contenu plutôt que d’après leur nom ; images décodées par notre worker de traitement, qui rejette les fichiers malformés ; fichiers SVG débarrassés des scripts, des gestionnaires d’événements et des références externes ; polices analysées et validées.
Protection contre les requêtes vers des réseaux internes lors de la récupération de sites internet pour l’import de marque, avec des limites de redirections, de durée et de taille.
Requêtes signées et limitées dans le temps entre l’application web et le worker de traitement, avec protection contre le rejeu.
Limites de débit par adresse IP en périphérie du réseau, et par utilisateur et par espace de travail pour les actions payantes.

Journalisation et audit

Journaux structurés sans secrets, jetons ni données de carte complètes ; adresses IP des sessions conservées 90 jours.
Journal d’audit en ajout seul des actions du personnel, des changements de rôle, des accès de l’assistance, des ajustements de crédits, des modifications de facturation et des événements de sécurité, conservé un an.

Disponibilité et sauvegardes

Restauration à un instant donné pour la base de données ; sauvegardes supprimées par rotation dans un délai de 30 jours.
Tâches automatisées de conservation qui suppriment les données à l’expiration des durées prévues à la clause 10.

Développement et exploitation

Secrets conservés dans l’environnement d’hébergement, jamais dans le dépôt de code, avec détection des secrets.
Dépendances tenues à jour par des mises à jour groupées et vérifiées par des audits de sécurité.

Incidents

Une procédure de gestion des violations : évaluation dans les 24 heures, notification à l’autorité de contrôle dans les 72 heures lorsqu’elle est requise, et notification des clients conformément à la clause 9.

Minimisation des données transmises aux fournisseurs d’IA

Les fournisseurs d’IA ne reçoivent que ce dont une étape a besoin, jamais les adresses e-mail des comptes ni les données de facturation, et uniquement pour réaliser le travail demandé.
Nous demandons au fournisseur de génération d’images de ne pas conserver les entrées et les sorties de nos requêtes, et les fichiers générés chez lui expirent au bout d’un jour.

Annexe 3 : sous-traitants ultérieurs

La liste actuelle des sous-traitants ultérieurs, avec leur finalité, les données qu’ils traitent, leur localisation et le mécanisme de transfert, figure sur notre page des sous-traitants, accompagnée d’un journal des modifications daté.