Accord de traitement des données (DPA)

En bref

• Pour les fans de ta page, tu décides (responsable de traitement) et allsaw exécute (sous-traitant, article 28 du RGPD).
• allsaw ne traite ces données que sur tes instructions, jamais pour son propre compte.
• Les contacts de tes fans sont masqués par défaut dans l'application ; les accès à une fiche complète sont enregistrés.
• Nos prestataires sont listés ci-dessous avec leur pays ; tu es prévenu·e avant tout changement et tu peux t'y opposer.
• Si tu supprimes ton compte, les données de tes fans sont supprimées ; tu peux les exporter avant.

1. Parties et portée

Cet accord est une annexe des conditions générales : en les acceptant, tu acceptes cet accord. Il lie l'artiste qui utilise allsaw (le « responsable de traitement ») et allsaw, édité par Marin Mittet-Magnan, entrepreneur individuel, 9 boulevard de Picpus, 75012 Paris, SIREN 917 860 454 (le « sous-traitant »). Il couvre les données des fans de l'artiste. Pour les données du compte de l'artiste lui-même, allsaw est responsable de traitement : voir la politique de confidentialité.

2. Ce qui est traité

• Objet et nature : héberger la liste de fans de l'artiste, recueillir les inscriptions sur sa page, calculer ses statistiques, et envoyer en son nom des e-mails et des SMS.
• Finalité : permettre à l'artiste de garder le contact avec ses fans au sujet de sa musique et de son activité d'artiste.
• Personnes concernées : les fans qui s'inscrivent sur la page de l'artiste ou qu'il importe, et les visiteurs de sa page.
• Catégories de données : adresse e-mail, numéro de mobile, prénom, ville, région, pays, langue et fuseau horaire, consentements (date, page, version du texte, empreinte de l'adresse IP) et déclarations de consentement faites par l'artiste pour des fans importés (auteur, date, canaux, texte), gestes et événements (inscription, déblocage, écoute privée, clic, désinscription, arrêt SMS), messages envoyés et leur état de remise.
• Durée : celle des conditions générales, tant que le compte de l'artiste est ouvert, puis la suppression décrite à l'article 9.

3. Instructions de l'artiste

allsaw ne traite les données des fans que sur les instructions documentées de l'artiste : ses actions dans l'application (inscrire, importer, écrire, exporter, supprimer), ses réglages et ces conditions. Si une instruction nous paraît contraire au RGPD, nous te le disons. L'artiste reste responsable de la base légale (accord des fans, case SMS à part, respect des arrêts) et de ce qu'il écrit à ses fans. allsaw n'envoie aucun e-mail ni SMS de confirmation : l'accord d'un fan est la case décochée au départ qu'il coche lui-même sur ta page. Pour une liste importée, tu déclares, canal par canal, que les personnes ont donné leur accord ; allsaw n'écrit à ces personnes qu'après cette déclaration, qu'il enregistre (auteur, date, canaux, texte) et dont tu portes la responsabilité. Un arrêt ou une désinscription est toujours enregistré et l'emporte sur toute inscription, déclaration ou import.

4. Confidentialité

Les personnes autorisées à accéder à ces données sont tenues à la confidentialité.

5. Mesures de sécurité (article 32)

• Cloisonnement : chaque table est protégée par des règles d'accès au niveau de la ligne (RLS) ; un artiste ne lit que ses propres fans.
• Minimisation : l'application affiche les e-mails et numéros masqués (« j•••@gmail.com ») ; le contact complet d'une fiche s'obtient une fiche à la fois, par une fonction qui l'enregistre et le plafonne par jour.
• Exports : l'export de la liste (allsaw+) est journalisé (date, période, nombre de lignes, sans les adresses).
• Chiffrement en transit (HTTPS) ; mots de passe chiffrés ; données stockées chez notre hébergeur en France.
• Preuves et anti-abus : l'adresse IP des fans n'est conservée que sous forme hachée (consentement) ou d'empreinte effacée au bout d'un jour.
• Les fonctions qui écrivent des données de fans utilisent des clés de service gardées hors du code, et les fonctions publiques refusent de répondre si leurs secrets manquent.

6. Sous-traitants ultérieurs

Tu autorises d'une manière générale allsaw à recourir aux sous-traitants suivants pour les données des fans :

• Supabase : base de données et fichiers, serveurs à Paris (France) ; société basée à Singapour.
• Cloudflare (États-Unis) : hébergement et diffusion du site ; il voit l'adresse IP des visiteurs.
• Resend (États-Unis) : envoi des e-mails aux fans (adresse, prénom, contenu du message).
• OVHcloud (France, traitement dans l'Union européenne) : envoi des SMS (numéro et texte).

Stripe encaisse tes paiements mais ne reçoit pas les données de tes fans. Les outils que tu relies toi-même (Brevo, Mailchimp, webhook) et les pixels publicitaires que tu ajoutes sont tes propres prestataires, sous ta responsabilité. Si nous ajoutons ou remplaçons un sous-traitant, nous te prévenons par e-mail et sur cette page avant qu'il traite des données de fans ; tu peux t'y opposer par la page Contact et, à défaut d'accord, résilier. Chaque sous-traitant est soumis à des obligations de protection au moins équivalentes à celles-ci.

7. Droits des fans

Le fan peut se désinscrire d'un e-mail en un clic, arrêter les SMS avec le lien d'arrêt (ou « STOP »), et écrire via la page Contact : nous transmettons sa demande à l'artiste. Nous aidons l'artiste à y répondre : accès et portabilité par l'export de la liste (allsaw+) ou, sur demande via la page Contact, par une copie ; suppression ou correction d'un fan sur ta demande via la page Contact ; opposition et retrait du consentement par la désinscription et l'arrêt, appliqués aussitôt. Si un fan nous écrit directement, nous ne répondons pas à ta place sur le fond : nous te transmettons sa demande.

8. Aide pour les articles 32 à 36 et violation de données

Nous t'aidons, compte tenu de la nature du traitement, pour la sécurité (article 32), la notification des violations (articles 33 et 34), les analyses d'impact et les consultations de la CNIL (articles 35 et 36), en te donnant les informations dont nous disposons. En cas de violation de données touchant celles de tes fans, nous te prévenons sans retard injustifié et au plus tard 48 heures après en avoir pris connaissance, avec ce que nous savons (nature, données et fans concernés, conséquences probables, mesures prises).

9. Fin du traitement

Avant de fermer ton compte, exporte ta liste (CSV avec allsaw+) ou demande-en une copie via la page Contact. Quand tu supprimes ton compte depuis les Paramètres, ta page, ta liste de fans, leurs consentements, leurs empreintes de désinscription et tes fichiers sont supprimés aussitôt ; les sauvegardes techniques de notre hébergeur s'effacent d'elles-mêmes. Nous ne gardons les données de tes fans pour aucune autre finalité. Une obligation légale de conservation peut s'y opposer ; nous t'en informons alors.

10. Audits

Nous mettons à ta disposition les informations nécessaires pour démontrer le respect de cet accord. Tu peux demander, par la page Contact, un audit raisonnable (au plus un par an, sauf violation de données), avec un préavis de 30 jours, pendant les heures ouvrées et sans accès aux données d'autres clients ; ses frais sont à ta charge.

11. Transferts hors de l'Union européenne

Les données sont hébergées en France. Cloudflare et Resend, sociétés américaines, peuvent traiter des données aux États-Unis : le transfert s'appuie sur les clauses contractuelles types de la Commission européenne ou sur le cadre de protection des données UE–États-Unis. Nous n'autorisons aucun autre transfert hors de l'Union.

12. Droit applicable

Cet accord suit le droit français, comme les conditions générales. En cas de contradiction sur les données des fans, c'est lui qui prévaut.