Accord de traitement des données

Le présent accord fait partie des conditions d'utilisation conclues entre Blok Consulting BV, Boomlaarstraat 75B, 2500 Lier, Belgique, numéro d'entreprise et de TVA BE 0767.642.063 (« nous », le sous-traitant) et l'organisation qui utilise BlokCms (« vous », le responsable du traitement). Il s'applique chaque fois que nous traitons des données à caractère personnel pour votre compte, et prend effet lorsque vous acceptez les conditions. Si vous avez besoin d'un exemplaire signé, écrivez à privacy@blokcms.app.

1. Définitions

Les termes tels que données à caractère personnel, traitement, responsable du traitement, sous-traitant, personne concernée et violation de données à caractère personnel ont le sens que leur donne le règlement général sur la protection des données (UE) 2016/679 (« RGPD »). Par « vos données », on entend les données à caractère personnel contenues dans ce que votre organisation stocke dans BlokCms, y compris les réponses à vos formulaires.

2. Rôles et instructions

• Vous êtes le responsable du traitement de vos données et nous les traitons en tant que votre sous-traitant, uniquement sur vos instructions documentées. Celles-ci sont constituées des conditions, du présent accord et de la manière dont vous configurez et utilisez BlokCms : les formulaires que vous créez et leurs durées de conservation, les personnes que vous invitez, les intégrations et les fonctions d'IA que vous activez.
• Nous vous informons si nous estimons qu'une instruction enfreint la législation sur la protection des données.
• Vous vous assurez de pouvoir collecter et utiliser vos données, par exemple en informant les visiteurs de votre site web de vos formulaires dans votre propre politique de confidentialité. BlokCms n'est pas conçu pour les catégories particulières de données (comme les données de santé) ; si vos formulaires en collectent, il vous appartient d'en assurer la base légale.

3. Ce que nous traitons

L'objet, la finalité, les types de données et les catégories de personnes concernées sont décrits à l'annexe 1.

4. Confidentialité

Toute personne que nous autorisons à traiter vos données est tenue d'en préserver la confidentialité.

5. Sécurité

Nous protégeons vos données par les mesures techniques et organisationnelles décrites à l'annexe 2, et les maintenons adaptées au risque à mesure que BlokCms évolue.

6. Sous-traitants ultérieurs

• Vous autorisez les sous-traitants ultérieurs énumérés à l'annexe 3.
• Nous informons les administrateurs de votre organisation par e-mail au moins 30 jours avant d'en ajouter ou d'en remplacer un. Si vous vous y opposez pour des motifs raisonnables liés à la protection des données et que nous ne pouvons pas y remédier, vous pouvez résilier les conditions avant le changement.
• Chaque sous-traitant ultérieur est soumis à des obligations de protection des données comparables à celles du présent accord, et nous restons responsables envers vous de son travail.

7. Où se trouvent vos données

Vos données sont stockées dans la juridiction UE de Cloudflare. Le contenu que vous publiez pour le public est aussi mis en cache sur le réseau mondial de Cloudflare, pour que les sites web se chargent vite. Les fonctions d'IA, que vous activez espace par espace, peuvent traiter du contenu hors de l'UE. Lorsque vos données quittent l'Espace économique européen, elles sont protégées par les clauses contractuelles types de l'UE ou par le cadre de protection des données UE-États-Unis.

8. Demandes des personnes concernées

BlokCms vous permet d'y répondre vous-même : vous pouvez retrouver et effacer tout ce qu'une adresse e-mail a envoyé via vos formulaires, exporter le contenu d'un espace et supprimer du contenu. Si une personne concernée nous contacte au sujet de vos données, nous vous transmettons la demande et n'y répondons pas nous-mêmes. Nous vous aidons davantage lorsque vous en avez raisonnablement besoin.

9. Violations de données à caractère personnel

Nous vous informons dans les meilleurs délais, et au plus tard dans les 48 heures après avoir pris connaissance d'une violation qui concerne vos données. Nous y joignons ce dont vous avez besoin pour notifier les autorités et les personnes concernées (ce qui s'est passé, quelles données et combien de personnes sont touchées, les conséquences probables et ce que nous faisons pour y remédier), et nous vous transmettons ce que nous ne savons pas encore dès que nous le savons.

10. Autre assistance

Nous vous aidons, dans la mesure raisonnablement nécessaire, pour les analyses d'impact relatives à la protection des données et les consultations d'une autorité de contrôle qui concernent BlokCms.

11. Suppression et restitution

• Vous pouvez exporter votre contenu à tout moment.
• Lorsque vous supprimez un espace ou votre organisation, la mise hors ligne est immédiate, et le contenu, les fichiers et les sauvegardes sont effacés dans un délai d'un jour. Les copies de récupération conservées par notre hébergeur expirent dans les 30 jours suivants.
• Lorsque les conditions prennent fin, exportez ce que vous souhaitez conserver et supprimez votre organisation. Nous effaçons de la même manière tout ce qui reste, sauf si la loi nous oblige à le conserver.

12. Information et audits

Nous vous fournissons les informations nécessaires pour démontrer le respect du présent accord. Vous pouvez le faire auditer une fois par an, moyennant un préavis de 30 jours, à vos frais, par un auditeur indépendant tenu à la confidentialité, d'une manière qui ne donne pas accès aux données d'autres clients. Dans la mesure du possible, un audit s'appuie sur les rapports de notre hébergeur, Cloudflare, qui dispose des certifications ISO/IEC 27001 et SOC 2 Type II.

13. Durée, responsabilité et primauté

Le présent accord s'applique tant que nous traitons vos données. La responsabilité est limitée comme prévu dans les conditions. En cas de contradiction entre le présent accord et les conditions en matière de protection des données, le présent accord prévaut. Il est régi par le droit belge, et les litiges relèvent des tribunaux d'Anvers, division de Malines. Le présent accord existe aussi en anglais, en néerlandais, en allemand et en espagnol ; ce texte français est une traduction et, en cas de divergence avec la version anglaise, c'est la version anglaise qui s'applique.

Annexe 1 : Détails du traitement

• Objet et finalité : hébergement, modification, publication et diffusion du contenu de vos sites web ; réception, conservation et notification des réponses à vos formulaires ; les fonctions d'IA que vous activez.
• Durée : tant que les conditions s'appliquent, puis jusqu'à l'effacement prévu à la section 11.
• Nature : conservation, organisation, extraction, diffusion via nos API, notifications par e-mail, webhooks et intégrations que vous configurez, et effacement.
• Personnes concernées : les visiteurs qui envoient vos formulaires ; les personnes mentionnées ou représentées dans votre contenu ; les membres de votre équipe en tant qu'auteurs de contenus et de commentaires.
• Types de données : ce que demandent vos formulaires (par exemple noms, adresses e-mail, numéros de téléphone, messages et fichiers envoyés), avec la page et la langue depuis lesquelles un formulaire a été envoyé, l'agent utilisateur du navigateur et le texte de consentement accepté par le visiteur ; les adresses IP ne sont pas stockées. Le contenu concernant des personnes, comme des noms, des photos et des biographies. Les commentaires et mentions.
• Conservation : réponses aux formulaires aussi longtemps que vous le définissez pour chaque formulaire (un an, sauf autre choix de votre part), spam 30 jours ; contenu jusqu'à ce que vous le supprimiez ; sauvegardes jusqu'à 30 jours.

Annexe 2 : Mesures techniques et organisationnelles

• Localisation et séparation : bases de données et fichiers dans la juridiction UE de Cloudflare ; chaque espace dans sa propre base de données.
• Chiffrement : TLS pour tout le trafic, chiffrement au repos de toutes les données stockées.
• Contrôle d'accès : rôles par organisation et par espace (administrateur, éditeur, auteur, lecteur et rôles personnalisés, limités à des dossiers ou à des types de contenu) ; réponses aux formulaires accessibles uniquement aux personnes autorisées à les lire ; jetons d'accès stockés uniquement sous forme de hachages ; jetons d'aperçu distincts des jetons publics.
• Authentification : connexion via un fournisseur spécialisé (Clerk) ; jetons de session vérifiés à chaque requête.
• Traçabilité : historique des modifications et de l'activité par espace ; journaux d'exploitation sans adresses e-mail ni contenu, conservés jusqu'à 30 jours.
• Disponibilité : sauvegardes chaque nuit (les 14 dernières sont conservées) et restauration à un instant donné sur 30 jours ; contenu publié servi depuis des caches dans le monde entier.
• Protection contre les abus : limites de requêtes par personne, par jeton et par visiteur de formulaire ; protection anti-spam des formulaires (Cloudflare Turnstile, un champ piège caché et des limites contre les envois massifs).
• Effacement : durées de conservation par formulaire, effacement par adresse e-mail, et effacement des espaces et organisations supprimés comme prévu à la section 11.
• Développement et exploitation : les modifications sont relues et testées avant d'être déployées ; l'accès à la production est limité à nos administrateurs.

Annexe 3 : Sous-traitants ultérieurs

• Cloudflare, Inc. (États-Unis) : hébergement, bases de données, stockage de fichiers, diffusion de contenu, envoi d'e-mails (notifications de formulaires) et journaux ; Workers AI pour les fonctions d'IA que vous activez. Données au repos dans la juridiction UE.
• Microsoft Ireland Operations Ltd (Microsoft 365) : e-mails d'assistance, uniquement pour les données à caractère personnel que vous nous envoyez dans une demande d'assistance.

Clerk, Inc. gère les comptes et la connexion de BlokCms. Nous sommes le responsable du traitement de ces données de compte (voir notre politique de confidentialité) ; Clerk ne reçoit pas vos données.