Accord de traitement des données (DPA)

Pour les données à caractère personnel que le Client transmet au Service ou que le Service collecte pour le Client (utilisateurs, éléments de marque, contenu des conversations, mesures relatives à la marque du Client), le Client est le responsable du traitement et New Map le sous-traitant. Pour ses propres finalités (exploitation du site web, comptabilité, prospection pour son propre compte), New Map agit en qualité de responsable du traitement indépendant, conformément à sa Politique de confidentialité. Les termes employés dans le présent DPA ont le sens que leur donne l’article 4 du RGPD.

New Map ne traite les données à caractère personnel que sur instruction documentée du Client, constituée par les Conditions générales, le présent DPA et l’utilisation par le Client des fonctions du Service, y compris en ce qui concerne les transferts vers des pays tiers, à moins d’être tenue d’y procéder en vertu du droit de l’Union ou du droit d’un État membre ; dans ce cas, New Map informe le Client de cette obligation juridique avant le traitement, sauf si la loi l’interdit. New Map informe le Client sans délai si elle estime qu’une instruction enfreint le droit de la protection des données. Les instructions qui dépassent les fonctions du Service doivent être données sous forme textuelle et peuvent être facturées au coût réel lorsqu’elles entraînent un surcroît de travail significatif. Le Client charge New Map d’établir, à partir de l’utilisation du Service et des données de mesure, des statistiques agrégées et dépersonnalisées, comme le prévoient les Conditions générales ; ces statistiques ne contiennent aucune donnée à caractère personnel et ne servent jamais à entraîner un modèle d’IA tiers, et les données identifiables du Client ne sont utilisées que pour ce Client.

New Map : a) veille à ce que les personnes autorisées à traiter les données soient tenues à une obligation de confidentialité ; b) met en œuvre les mesures décrites à l’annexe 2 ; c) ne fait appel à des sous-traitants ultérieurs que dans les conditions de la section 6 ; d) aide le Client, compte tenu de la nature du traitement, à donner suite aux demandes des personnes concernées au titre du chapitre III du RGPD, en lui transmettant toute demande reçue dans un délai de 3 jours ouvrés et en fournissant les fonctions et informations nécessaires ; e) aide le Client à respecter les articles 32 à 36 du RGPD, y compris pour les analyses d’impact relatives à la protection des données et la consultation préalable, dans la mesure où New Map dispose des informations nécessaires ; f) supprime ou restitue les données conformément à la section 9 ; g) met à disposition les informations nécessaires pour démontrer le respect de l’article 28 et permet la conduite d’audits conformément à la section 8 ; h) tient un registre des activités de traitement conformément à l’article 30, paragraphe 2, du RGPD.

New Map notifie au Client, dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, toute violation de données à caractère personnel touchant les données du Client, à l’adresse e-mail du titulaire du compte du Client. La notification contient les informations prévues à l’article 33, paragraphe 3, du RGPD dans la mesure où elles sont connues, et est complétée au fur et à mesure que les faits sont établis. New Map documente les violations et coopère aux notifications du Client auprès de l’autorité de contrôle et des personnes concernées. New Map ne procède à aucune notification auprès des autorités ou des personnes concernées pour le compte du Client sans instruction de sa part.

Le Client donne une autorisation générale pour le recours aux sous-traitants ultérieurs énumérés ci-dessous. Chacun est engagé par un contrat écrit qui lui impose des obligations de protection des données au moins aussi protectrices que celles du présent DPA, et New Map reste pleinement responsable envers le Client de l’exécution de leurs obligations. New Map informe le titulaire du compte par e-mail au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur. Le Client peut s’y opposer pendant ce délai pour des motifs raisonnables liés à la protection des données ; les parties recherchent alors une solution de bonne foi et, à défaut, le Client peut résilier sans pénalité le Service concerné à l’expiration du délai de préavis. Les prestataires signalés comme responsables du traitement indépendants ne sont pas des sous-traitants ultérieurs et ne sont énumérés que par souci d’exhaustivité. « DPF » désigne le cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework) ; « non vérifié » signifie que New Map n’a pas encore contrôlé la certification en vigueur du prestataire et s’appuie sur les clauses contractuelles types jusqu’à ce contrôle.

Les requêtes et contenus que nous transmettons aux fournisseurs d’IA sont traités selon leurs conditions d’API professionnelles. Anthropic, OpenAI, Perplexity et xAI n’utilisent pas les entrées ni les sorties de l’API pour entraîner leurs modèles, et Google applique à l’API Gemini, pour les développeurs établis dans l’EEE, les conditions relatives aux données de sa formule payante, en vertu desquelles les requêtes et les réponses ne servent pas à améliorer les produits de Google. Nous n’autorisons aucun fournisseur à entraîner un modèle public sur vos données.

Les données du Client sont stockées dans l’UE (annexe 1, lieu de stockage). Lorsqu’un sous-traitant ultérieur se situe hors de l’Espace économique européen et qu’aucune décision d’adéquation ne s’applique, le transfert s’effectue, pour les prestataires américains certifiés, au titre du cadre de protection des données UE-États-Unis (vérifié sur la liste officielle le 13 octobre 2026 ; l’annexe 3 indique la garantie applicable à chaque sous-traitant ultérieur) et, pour les sous-traitants ultérieurs non certifiés, en vertu des clauses contractuelles types de la Commission européenne (décision (UE) 2021/914, modules 2 et 3), complétées par une analyse d’impact des transferts et par les mesures de l’annexe 2. Pour les données britanniques, l’avenant britannique relatif aux transferts internationaux de données (UK International Data Transfer Addendum) s’applique ; pour les données suisses, les adaptations prévues par la LPD s’appliquent. Le Client autorise New Map à conclure ces clauses en son nom avec les sous-traitants ultérieurs lorsque cela est nécessaire.

New Map fournit, sur demande et au plus une fois par période de 12 mois, les informations raisonnablement nécessaires pour démontrer le respect de l’article 28 : le présent DPA, la version en vigueur de l’annexe 2, ainsi que les certifications et rapports d’audit de ses prestataires d’infrastructure (par exemple les rapports SOC 2 détenus par Vercel et Supabase). Si ces éléments sont insuffisants, le Client ou un auditeur indépendant tenu à la confidentialité peut auditer les systèmes et registres pertinents de New Map, moyennant un préavis de 30 jours, pendant les heures ouvrées, sans perturber l’activité et aux frais du Client ; après une violation avérée touchant le Client, l’audit est aux frais de New Map et n’est pas soumis à la limite de 12 mois.

À la fin du Service, ou plus tôt sur demande écrite du Client, New Map restitue les données du Client dans un format courant lisible par machine et les supprime, y compris les copies détenues par les sous-traitants ultérieurs, dans un délai de 30 jours, et confirme la suppression sous forme textuelle sur demande. Les sauvegardes chiffrées sont écrasées dans le cadre du cycle de rotation des sauvegardes, d’une durée maximale de 30 jours. Les données que New Map est tenue de conserver en vertu du droit de l’Union ou du droit d’un État membre ne sont conservées qu’à cette fin et pour la durée requise.

• Confidentialité, contrôle des accès : accès aux systèmes de production réservé à des membres du personnel nommément désignés, disposant de comptes individuels et d’une authentification multifacteur ; authentification à deux facteurs obligatoire pour toute connexion des administrateurs et de l’équipe de New Map, et proposée à chaque utilisateur du Client ; principe du moindre privilège ; revue des accès à chaque changement de fonction ; secrets conservés dans l’espace de variables d’environnement chiffré de l’hébergeur, jamais dans le code.
• Confidentialité, cloisonnement des données : sécurité au niveau des lignes dans la base de données, de sorte que les enregistrements de chaque Client ne soient lisibles que par les utilisateurs de ce Client et par le Service agissant pour leur compte ; périmètre limité à chaque client dans chaque outil des agents.
• Confidentialité, pseudonymisation et chiffrement : TLS 1.2 ou version ultérieure pour les données en transit ; chiffrement au repos chez les prestataires de base de données et de stockage ; jetons d’intégration chiffrés en AES-256-GCM avec une clé conservée uniquement dans l’espace de variables d’environnement ; mots de passe stockés sous forme de hachages salés par le prestataire d’authentification.
• Intégrité : routes d’API signées et soumises à une limitation du débit ; vérification anti-robots sur les formulaires publics de connexion, de création de compte et de contact, lorsqu’elle est activée ; champs d’audit (qui, quand) sur les enregistrements ; journalisation des actions de l’agent ; journal de sécurité des connexions et des sessions, que chaque Client peut consulter dans son onglet Sécurité ; vérification automatisée des contenus générés au regard des données du Client avant leur affichage.
• Disponibilité et résilience : infrastructure gérée et redondante ; base de données et authentification hébergées sur AWS en Irlande (UE) ; sauvegardes automatisées et chiffrées de la base de données avec restauration à un instant donné chez le prestataire, renouvelées par rotation sur 30 jours au plus ; limitation de débit contre les abus ; supervision et alertes en cas de défaillance.
• Gestion des incidents : procédure de réponse documentée, évaluation des violations, notification conformément à la section 5, analyse après incident.
• Processus : registre des activités de traitement ; examen, sous l’angle de la protection des données, des nouvelles fonctionnalités et des nouveaux prestataires ; personnel formé à la protection des données ; contrats de sous-traitance ultérieure conformes à l’article 28, paragraphe 4.

New Map peut faire évoluer ces mesures à condition de ne pas réduire le niveau de protection. Les mesures en vigueur sont également décrites sur la page Sécurité.

La responsabilité au titre du présent DPA est régie par les Conditions générales, sous réserve de l’article 82 du RGPD. Le présent DPA est soumis au droit et à la juridiction désignés dans les Conditions générales. En cas de contradiction, le présent DPA prévaut sur les Conditions générales pour le traitement des données à caractère personnel, et les clauses contractuelles types prévalent sur le présent DPA lorsqu’elles s’appliquent.

Demandes des personnes concernées, signalements de violations, demandes d’audit et oppositions à un sous-traitant ultérieur : privacy@thenewmap.ai.