Accord de traitement des données (DPA)

Le présent Accord de traitement des données (« DPA ») s'applique lorsqu'une entreprise ou une autre organisation (le « Client ») utilise Fips, par exemple avec une formule Team, et que T2MA Labs LLC (« T2MA Labs », « nous ») traite des données personnelles pour le compte du Client. Il fait partie des Conditions d'utilisation conclues entre le Client et T2MA Labs. Pour les utilisateurs individuels, c'est notre Politique de confidentialité qui s'applique.

1. Rôles

Le Client est le responsable du traitement des données personnelles que lui-même ou ses utilisateurs saisissent dans Fips, et T2MA Labs est son sous-traitant. Si le Client est lui-même sous-traitant, T2MA Labs est son sous-traitant ultérieur. Pour les données que nous traitons pour nos propres besoins, comme l'administration des comptes, la facturation, la sécurité et les obligations légales, nous sommes un responsable du traitement indépendant au titre de notre Politique de confidentialité.

2. Description du traitement

• Objet : la fourniture de Fips au Client.
• Durée : pendant la durée de l'abonnement du Client et jusqu'à la suppression prévue à la section 9.
• Nature et finalité : hébergement, stockage, synchronisation et analyse des données de trading ; gestion des comptes utilisateurs ; envoi de notifications ; assistance.
• Catégories de données personnelles : noms et adresses e-mail, identifiants de compte, données de trading (trades, comptes de trading, soldes, notes, captures d'écran), informations des comptes connectés, données d'appareil et d'utilisation, et messages d'assistance.
• Personnes concernées : les utilisateurs autorisés du Client, comme ses salariés, membres ou traders.
• Catégories particulières de données : aucun traitement n'est prévu.

3. Nos obligations

Nous nous engageons à :

• ne traiter les données personnelles que sur instruction documentée du Client, à savoir le présent DPA, les Conditions ainsi que l'utilisation et les réglages du Service par le Client, et informer le Client si nous estimons qu'une instruction enfreint la réglementation sur la protection des données ;
• veiller à ce que toutes les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité ;
• appliquer les mesures de sécurité de la section 6, conformément à l'article 32 du RGPD ;
• aider le Client à répondre aux demandes des personnes concernées, ainsi que pour les analyses d'impact relatives à la protection des données et les consultations des autorités, compte tenu de la nature du traitement ;
• notifier le Client dans les meilleurs délais après avoir pris connaissance d'une violation de données personnelles affectant les données du Client, et lui fournir les informations dont il a besoin pour remplir ses propres obligations ;
• mettre à disposition les informations nécessaires pour démontrer le respect du présent DPA, et permettre des audits raisonnables moyennant un préavis raisonnable.

4. Obligations du Client

Le Client est responsable de disposer d'une base juridique pour le traitement, de fournir à ses utilisateurs les informations requises et de veiller à la conformité de ses instructions avec la loi. Le Client n'utilisera pas Fips pour traiter des catégories particulières de données personnelles.

5. Sous-traitants ultérieurs

Le Client nous accorde une autorisation générale de recourir à des sous-traitants ultérieurs. Nos sous-traitants ultérieurs actuels sont :

• Cloudflare : hébergement des sites et de l'API, base de données, stockage de fichiers et sécurité.
• Resend : e-mails transactionnels.
• Google : Firebase Cloud Messaging pour l'envoi des notifications push, et l'API Gemini pour la rédaction de projets de réponse de l'assistance (uniquement pour les conversations d'assistance).
• Sentry : rapports de plantage de l'application mobile.
• PostHog : analyse produit dans l'application mobile.
• RevenueCat : statut des abonnements souscrits dans les applications mobiles.
• Notre prestataire de paiement : paiements web ; il peut agir en tant que vendeur officiel (merchant of record).
• Fournisseur de serveurs cloud : héberge notre chat d'assistance auto-hébergé (Chatwoot) et nos services de collecte de données.

Nous mettrons à jour cette liste avant qu'un nouveau sous-traitant ultérieur ne commence à traiter les données du Client, et le Client pourra s'y opposer pour des motifs raisonnables liés à la protection des données. Si nous ne pouvons pas résoudre l'objection, le Client pourra résilier l'abonnement concerné et obtenir le remboursement des sommes prépayées pour la période non utilisée. Nous imposons à chaque sous-traitant ultérieur des obligations de protection des données offrant au moins le même niveau de protection que le présent DPA, et nous restons responsables de leur travail.

6. Mesures de sécurité

• chiffrement des données en transit (HTTPS) et au repos par nos hébergeurs ;
• mots de passe conservés uniquement sous forme de hachages salés ;
• authentification de chaque requête à l'API, chaque utilisateur étant limité à ses propres données ;
• limitation du débit des requêtes et protection contre les attaques au niveau du réseau ;
• accès en lecture seule aux comptes de trading connectés ;
• accès aux systèmes de production réservé aux personnes qui en ont besoin ;
• suppression de compte effaçant les données de l'utilisateur de nos systèmes actifs.

7. Transferts internationaux

Nous traitons des données personnelles aux États-Unis et dans d'autres pays où opèrent nos sous-traitants ultérieurs. Pour les transferts de données personnelles depuis l'UE/EEE, le présent DPA intègre les clauses contractuelles types adoptées par la Commission européenne dans la décision d'exécution (UE) 2021/914, module 2 (responsable du traitement vers sous-traitant) ou module 3 (sous-traitant vers sous-traitant) selon le cas, le Client étant l'exportateur de données et T2MA Labs l'importateur de données. La clause facultative de la clause 11 ne s'applique pas, et les clauses 17 et 18 sont régies par le droit et les juridictions de l'Irlande. La section 2 du présent DPA constitue l'annexe I, la section 6 l'annexe II et la section 5 l'annexe III.

Pour les transferts depuis le Royaume-Uni, l'avenant britannique relatif aux transferts internationaux de données (UK International Data Transfer Addendum) s'applique ; pour la Suisse, les clauses s'appliquent avec les adaptations requises par le droit suisse ; et pour la Turquie, nous nous fondons sur les garanties prévues par l'article 9 de la KVKK, comme les contrats types.

8. Demandes des personnes concernées

Si une personne concernée nous contacte directement au sujet de données du Client, nous transmettrons la demande au Client et n'y répondrons pas nous-mêmes, sauf pour l'orienter vers le Client ou lorsque la loi nous y oblige.

9. Restitution et suppression

À la fin de l'abonnement du Client, celui-ci peut exporter ses données avant de fermer ses comptes. Nous supprimons ensuite les données personnelles du Client de nos systèmes actifs dans un délai de 30 jours, sauf si la loi nous impose de les conserver. Les sauvegardes détenues par nos hébergeurs expirent selon leur calendrier habituel.

10. Responsabilité, ordre de priorité et droit applicable

La responsabilité au titre du présent DPA est soumise aux limitations prévues par les Conditions, sauf lorsque la loi ne les autorise pas. En cas de contradiction, les clauses contractuelles types prévalent, puis le présent DPA, puis les Conditions. Le présent DPA est régi par le droit applicable aux Conditions, à savoir le droit de l'État du Nouveau-Mexique (États-Unis), à l'exception des clauses contractuelles types, qui sont régies par le droit qu'elles désignent.

11. Contact

T2MA Labs LLC, 1209 Mountain Road Pl NE, Ste N, Albuquerque, NM 87110, USA. E-mail : [email protected]