Accord de traitement des données (AVV)

Le présent Accord de traitement des données (« DPA » / « AVV ») est conclu entre : Responsable du traitement (Auftraggeber) : le Client qui a accepté les Conditions d'utilisation de CrunchJunkie. Sous-traitant (Auftragnehmer) : Tiki-Taka Media GmbH, Curschmannstraße 9, 20251 Hambourg, Allemagne (« CrunchJunkie »). Le présent DPA régit le traitement de données à caractère personnel par CrunchJunkie pour le compte du Client dans le cadre de la plateforme de reporting marketing CrunchJunkie (le « Service ») et fait partie intégrante des Conditions d'utilisation conformément à l'art. 28 du RGPD / art. 28 DSGVO.

CrunchJunkie traite des données à caractère personnel pour le compte du Client pendant la durée de l'abonnement actif du Client au Service. Le traitement cesse et les données sont supprimées conformément à la section 11 lors de la résiliation.

CrunchJunkie traite des données à caractère personnel uniquement pour fournir le Service tel que décrit dans les Conditions d'utilisation : • Récupérer, stocker et afficher les données publicitaires et d'analyse importées par le Client à partir de sources de données connectées (Google Ads, Meta, LinkedIn, TikTok, Microsoft Ads, Google Analytics 4, Google Business Profile, Google Search Console). • Générer des rapports, des tableaux de bord et des résumés assistés par IA pour le Client et ses clients. • Envoyer des e-mails de rapports programmés aux destinataires désignés par le Client. • Fournir les fonctionnalités de monitoring, d'alerte et de gestion de campagnes incluses dans le Service. • Exécuter des scans de visibilité IA : envoyer les prompts suivis, les noms de concurrents et les requêtes de recherche du Client aux fournisseurs d'IA et de recherche énumérés à l'annexe 2, et produire les métriques, citations et recommandations de contenu qui en résultent. • Émettre des jetons d'accès pour les assistants IA que les utilisateurs du Client connectent via le connecteur MCP (annexe 2, WorkOS). Tout traitement à une fin autre que celles-ci est interdit sans instruction écrite explicite du Client.

Les catégories suivantes de données à caractère personnel peuvent être traitées, selon la configuration du Client : • Données d'identité et de contact : noms et adresses e-mail des membres de l'équipe du Client et des contacts de ses clients finaux. • Données de performance publicitaire : noms de campagnes, noms d'ensembles de publicités, libellés de segments d'audience et métriques de performance (impressions, clics, conversions, dépenses) importés depuis les plateformes connectées. Ces données peuvent faire indirectement référence à des données à caractère personnel si des noms de campagnes ou des libellés d'audience contiennent des identifiants personnels. • Jetons d'authentification : jetons d'accès et d'actualisation OAuth émis par les plateformes connectées pour le compte du Client. • Destinataires de la remise de rapports : adresses e-mail des destinataires de rapports désignés par le Client. • Données d'entrée de la visibilité IA : prompts suivis, noms de concurrents et requêtes de recherche saisis par le Client. Ce sont des données d'entrée professionnelles (questions sur la marque, le produit et la catégorie) qui ne doivent pas contenir de données à caractère personnel (section 5.6).

• Les employés, prestataires ou utilisateurs autorisés du Client. • Les clients finaux du Client (dans la mesure où leurs coordonnées sont saisies dans la plateforme). • Les personnes dont les données peuvent être référencées dans les données des plateformes publicitaires (indirectement, via les métadonnées de campagne).

Le Client, en tant que responsable du traitement, est chargé de : 5.1 Veiller à ce qu'une base juridique existe pour toutes les données à caractère personnel fournies au Service ou traitées par son intermédiaire. 5.2 Informer les personnes concernées du traitement conformément aux art. 13/14 du RGPD. 5.3 Veiller à ce que la connexion de sources de données tierces (plateformes publicitaires) respecte les conditions d'utilisation de ces plateformes et le droit applicable en matière de protection des données. 5.4 Donner des instructions documentées à CrunchJunkie lorsqu'un écart par rapport au comportement standard du Service est nécessaire. Toutes les instructions doivent être écrites (l'e-mail suffit). 5.5 Notifier à l'autorité de contrôle compétente et aux personnes concernées les violations de données à caractère personnel comme l'exigent les art. 33/34 du RGPD, à partir des informations fournies par CrunchJunkie conformément à la section 7.3. 5.6 Ne pas inclure de données à caractère personnel dans les prompts suivis, les listes de concurrents, les requêtes de recherche ou d'autres saisies en texte libre que le Service envoie aux fournisseurs d'IA et de recherche énumérés à l'annexe 2. Le Service est conçu pour des questions sur la marque, le produit et la catégorie ; plusieurs de ces fournisseurs reçoivent ces saisies sans mécanisme de transfert au titre de l'art. 46 du RGPD (voir l'annexe 2), ce qui n'est licite que parce que ces saisies ne contiennent pas de données à caractère personnel.

CrunchJunkie, en tant que sous-traitant, s'engage à : 6.1 Traiter les données à caractère personnel uniquement sur instructions documentées du Client, sauf si le droit de l'Union ou d'un État membre l'exige (auquel cas CrunchJunkie en informera le Client avant le traitement, sauf si la loi l'interdit). 6.2 Veiller à ce que tout le personnel autorisé à traiter des données à caractère personnel soit tenu par des obligations légales ou contractuelles de confidentialité et soit formé aux exigences de la protection des données. 6.3 Mettre en œuvre et maintenir les mesures techniques et organisationnelles décrites à la section 8 (annexe 1). 6.4 Aider le Client — compte tenu de la nature du traitement et des informations dont dispose CrunchJunkie — à remplir son obligation de donner suite aux demandes d'exercice des droits des personnes concernées (art. 15 à 22 du RGPD). CrunchJunkie transmettra au Client dans un délai de 5 jours ouvrés toute demande de personne concernée reçue directement. 6.5 Aider le Client à garantir le respect des art. 32 à 36 du RGPD (sécurité, notification des violations, analyses d'impact) dans la mesure raisonnablement possible compte tenu du rôle de CrunchJunkie. 6.6 Au choix du Client, supprimer ou renvoyer toutes les données à caractère personnel au terme de la relation de service, et supprimer les copies existantes, sauf si le droit de l'Union ou d'un État membre exige leur conservation (voir la section 11). 6.7 Mettre à la disposition du Client toutes les informations nécessaires pour démontrer le respect de l'art. 28 du RGPD et permettre la réalisation d'audits, et y contribuer, comme décrit à la section 10.

7.1 Le Client donne une autorisation générale à CrunchJunkie de faire appel à des sous-traitants ultérieurs. La liste actuelle des sous-traitants ultérieurs approuvés figure à l'annexe 2 ci-dessous. 7.2 CrunchJunkie informera le Client de tout changement prévu de la liste des sous-traitants ultérieurs (ajouts ou remplacements) avec un préavis d'au moins 14 jours, par e-mail ou notification dans l'application, en donnant au Client la possibilité de s'y opposer. Si aucune objection n'est formulée dans un délai de 14 jours, le Client est réputé avoir approuvé le changement. 7.3 Lorsqu'un Client s'oppose à un nouveau sous-traitant ultérieur et que CrunchJunkie ne peut pas fournir le Service sans ce sous-traitant ultérieur, le Client peut résilier l'abonnement et recevoir un remboursement au prorata de la période non utilisée. 7.4 CrunchJunkie imposera aux sous-traitants ultérieurs des obligations de protection des données équivalentes à celles prévues par le présent DPA, et reste responsable envers le Client du respect de ces obligations par les sous-traitants ultérieurs.

Les mesures suivantes sont maintenues par CrunchJunkie pour garantir un niveau de sécurité adapté au risque conformément à l'art. 32 du RGPD : PSEUDONYMISATION ET CHIFFREMENT • Toutes les données en transit sont chiffrées avec TLS 1.2 ou supérieur (HSTS appliqué). • Les clés d'API d'IA et les jetons d'accès/d'actualisation OAuth sont chiffrés en AES-256-GCM au niveau applicatif avant stockage ; la base de données est en outre chiffrée au repos par notre fournisseur d'infrastructure. • Les mots de passe sont hachés avec bcrypt avec un facteur de coût de 12 ; les mots de passe en clair ne sont jamais stockés. CONFIDENTIALITÉ • Isolation des locataires : toutes les requêtes de base de données sont limitées à l'identifiant de l'équipe authentifiée au niveau applicatif. L'accès aux données d'autres locataires est empêché par l'architecture. • L'accès des employés aux données de production est limité à un ensemble minimal de personnes autorisées, selon le principe du besoin d'en connaître. INTÉGRITÉ • La validation des entrées et les requêtes de base de données paramétrées préviennent les attaques par injection. • Des jetons de protection CSRF sont appliqués à toutes les opérations qui modifient l'état. DISPONIBILITÉ ET RÉSILIENCE • Le calcul du Service s'exécute dans la région de Francfort (UE) de Vercel ; les ressources statiques sont servies depuis le CDN edge distribué mondialement de Vercel, qui offre une haute disponibilité. • La base de données (Neon), située à Francfort (UE), fonctionne avec une réplication continue et une restauration à un instant donné. CONTRÔLE D'ACCÈS • L'authentification multifacteur (MFA) est requise pour tout accès à l'infrastructure de production. • Les droits d'accès sont revus périodiquement et révoqués sans délai en cas de changement de personnel. • Tous les événements d'accès à la production sont journalisés. GESTION DES INCIDENTS ET NOTIFICATION DES VIOLATIONS • Un processus documenté de réponse aux incidents est maintenu. • En cas de violation de données à caractère personnel, CrunchJunkie notifiera le Client dans les 72 heures suivant sa prise de connaissance, en fournissant : (i) une description de la nature de la violation ; (ii) le nombre approximatif d'enregistrements et de personnes concernées ; (iii) les conséquences probables ; (iv) les mesures prises ou proposées pour remédier à la violation. TESTS ET REVUE • Les mesures de sécurité sont revues au moins une fois par an et mises à jour en fonction des risques identifiés ou de l'évolution du paysage des menaces. • Les mises à jour de dépendances et les correctifs de vulnérabilités sont appliqués selon un cycle régulier.

Les sous-traitants ultérieurs suivants sont actuellement engagés par CrunchJunkie : Nom : Vercel Inc. Finalité : hébergement de la plateforme, CDN, exécution de fonctions serverless (calcul) et stockage de fichiers/objets Localisation : États-Unis (région des données : Francfort, Allemagne — fra1, UE) Mécanisme de transfert : clauses contractuelles types + EU–US Data Privacy Framework DPA : vercel.com/legal/dpa Nom : Neon Inc. Finalité : hébergement de la base de données PostgreSQL Localisation : États-Unis (région des données : eu-central-1, Francfort, Allemagne — UE) Mécanisme de transfert : clauses contractuelles types DPA : neon.tech/dpa Nom : Upstash, Inc. Finalité : compteurs de limitation de débit partagés pour les points d'accès de l'API et de connexion (nombre de requêtes par adresse IP ; les compteurs expirent automatiquement dans un délai maximal de 15 minutes) Localisation : États-Unis (région des données : eu-central-1, Francfort, Allemagne — UE ; pas de réplicas en lecture) Mécanisme de transfert : clauses contractuelles types DPA : upstash.com/static/trust/dpa.pdf Ajouté le : 10 septembre 2026 Nom : WorkOS, Inc. Finalité : serveur d'autorisation OAuth pour le connecteur MCP (émet les jetons d'accès que les assistants IA utilisent pour appeler CrunchJunkie au nom d'un utilisateur ; reçoit l'identifiant, l'adresse e-mail et le nom de l'utilisateur qui se connecte). Sollicité uniquement lorsqu'un utilisateur connecte un client MCP. Localisation : États-Unis Mécanisme de transfert : clauses contractuelles types DPA : workos.com/legal/dpa Ajouté le : 18 septembre 2026 (utilisé depuis le 3 juillet 2026 ; listé tardivement, voir l'avis) Nom : Stripe, Inc. Finalité : traitement des paiements et gestion des abonnements (données de facturation uniquement) Localisation : États-Unis Mécanisme de transfert : clauses contractuelles types + EU–US Data Privacy Framework DPA : stripe.com/legal/dpa Nom : Resend Inc. Finalité : envoi d'e-mails transactionnels (réinitialisations de mot de passe, e-mails de rapports programmés) Localisation : États-Unis Mécanisme de transfert : clauses contractuelles types Nom : DataForSEO OÜ Finalité : résultats de recherche Google et Bing pour le Rank Tracker, pour les espaces de travail qui utilisent un budget Rank Tracker. Sollicité uniquement lorsque vous achetez un budget ; avec votre propre compte DataForSEO, DataForSEO est votre sous-traitant ultérieur, et non celui de CrunchJunkie. Localisation : Union européenne (Estonie ; centre de données en Allemagne) et États-Unis (infrastructure cloud) ; opérations également en Ukraine Mécanisme de transfert : clauses contractuelles types DPA : dataforseo.com/privacy-policy Nom : sous-traitants ultérieurs d'IA et de recherche Finalité : traitement des prompts de scan et des données de rapport pour produire des métriques de visibilité IA et des fonctionnalités d'IA. Sollicités uniquement lorsque vous activez Managed AI, ou une fonctionnalité qui utilise le fournisseur. Lorsque vous apportez votre propre clé d'IA, ou votre propre compte DataForSEO pour le Rank Tracker, vous êtes le responsable du traitement pour ce traitement et le fournisseur est votre sous-traitant ultérieur, et non celui de CrunchJunkie. Fournisseurs et localisations : OpenAI, L.L.C. (États-Unis) ; Anthropic, PBC (États-Unis) ; Google LLC (États-Unis) ; Perplexity AI, Inc. (États-Unis) ; X.AI LLC (États-Unis) ; DeepSeek (Chine) ; Meta Platforms Ireland Limited (Irlande ; traitement par Meta Platforms, Inc., États-Unis) ; SerpAPI, LLC (États-Unis) ; Tavily (États-Unis) Mécanisme de transfert : selon le fournisseur — EU–US Data Privacy Framework + clauses contractuelles types pour les fournisseurs américains certifiés DPF (OpenAI, Google) ; EU–US Data Privacy Framework pour Meta AI (entité contractante dans l'UE, entité de traitement américaine certifiée DPF) ; clauses contractuelles types pour les autres (Anthropic, Perplexity, xAI) ; et, pour les fournisseurs qui ne publient aucun mécanisme au titre de l'article 46 (SerpAPI, Tavily, DeepSeek), aucun n'est affirmé — voir le registre des sous-traitants ultérieurs. SerpAPI et Tavily ne reçoivent que des termes de recherche non personnels ; DeepSeek et Meta AI ne sont sollicités que sur choix explicite.

Le Client peut réaliser ou faire réaliser un audit du respect du présent DPA par CrunchJunkie au plus une fois par année civile, ou à tout moment à la suite d'une violation de données à caractère personnel confirmée. Les audits doivent être : • notifiés par écrit à CrunchJunkie au moins 14 jours à l'avance ; • menés pendant les heures de bureau normales ; • réalisés par le Client ou par un tiers indépendant convenu d'un commun accord et tenu à des obligations de confidentialité ; • à la charge du Client. CrunchJunkie peut répondre aux demandes d'audit en fournissant un rapport d'audit indépendant à jour (ISO 27001, SOC 2 ou équivalent) lorsqu'il en existe un, en lieu et place d'un audit sur site.

À la résiliation de l'abonnement du Client : 11.1 L'abonnement est résilié lorsqu'il a pris fin dans les enregistrements du prestataire de paiement de CrunchJunkie (statut Stripe « canceled »). Un abonnement dont le paiement est encore en cours de recouvrement n'est pas résilié. Un abonnement que le Client a suspendu dans le Service (« Suspendre l'abonnement et garder mes données ») est suspendu, et non résilié : les données de l'espace de travail sont conservées jusqu'à 12 mois à compter du jour de la suspension. Lorsque les enregistrements de CrunchJunkie ne permettent pas de montrer si un abonnement a été suspendu ou résilié (une suspension ou une résiliation demandée avant que les suspensions ne soient enregistrées, même si l'abonnement a pris fin plus tard), il est traité comme suspendu à compter du jour où il a pris fin. CrunchJunkie conservera les données à caractère personnel du Client pendant au moins 30 jours après la résiliation afin de permettre au Client d'exporter ses données : le propriétaire de l'espace de travail peut les télécharger à tout moment dans le Service (Paramètres → Exporter vos données), et le Client peut également demander un export de ses données en écrivant à hello@crunchjunkie.io. 11.2 Une fois 30 jours écoulés depuis la résiliation (pour un espace de travail suspendu : une fois 12 mois écoulés depuis sa suspension), CrunchJunkie informera par e-mail le ou les propriétaires de l'espace de travail que celui-ci sera supprimé, en indiquant la date de suppression : 7 jours après cet e-mail, ou 30 jours après celui-ci pour un espace de travail suspendu. À cette date, CrunchJunkie supprimera toutes les données à caractère personnel traitées pour le compte du Client dans cet espace de travail (ses clients, rapports, connexions et données importées, données de visibilité IA et de Rank Tracker, et fichiers téléversés), ainsi que chaque compte utilisateur qui n'appartient à aucun autre espace de travail et n'est pas un compte d'ambassadeur de marque, sauf si le droit de l'Union ou le droit allemand exige une durée de conservation plus longue (par exemple les données de facturation conservées en vertu du § 257 HGB et du § 147 AO). Si le Client commence ou reprend un abonnement avant cette date, rien n'est supprimé. Les copies figurant dans les sauvegardes chiffrées de la base de données de CrunchJunkie sont supprimées à l'expiration de ces sauvegardes, dans un délai supplémentaire de 30 jours. 11.3 Exceptions. Un espace de travail relevant d'une formule convenue individuellement (une offre sur mesure, un accord Scale ou Enterprise) est supprimé comme le prévoit cet accord. Un espace de travail à prix convenu individuellement, un espace auquel CrunchJunkie a donné accès gratuitement, un espace comptant un employé de CrunchJunkie parmi ses membres, un espace sans adresse e-mail de propriétaire, et tout autre espace de travail que CrunchJunkie a mis de côté pour examen ne sont pas supprimés automatiquement : CrunchJunkie les examine et les supprime à la main après les mêmes délais. 11.4 Sur demande, CrunchJunkie fournira une confirmation écrite de la suppression.

Le présent DPA est régi par le droit allemand. Les litiges découlant du présent DPA relèvent de la compétence exclusive des tribunaux de Hambourg, Allemagne.

Le présent DPA est conclu en anglais. Toute traduction n'est fournie qu'à titre de commodité. En cas de divergence entre la version anglaise et une traduction, la version ANGLAISE prévaut et est la seule version juridiquement contraignante.

En cas de conflit entre le présent DPA et les Conditions d'utilisation, le présent DPA prévaut en ce qui concerne le traitement des données à caractère personnel.