Accord de sous-traitance de données (DPA)

Le Client agit en qualité de responsable de traitement pour les données personnelles collectées via le CMP CookieFort sur ses sites. La société COOKIEFORT SAS (capital 5 000 €, RCS Paris 107 807 554, siège : 5 rue de la Terrasse, 75017 Paris) agit en qualité de sous-traitant au sens de l'article 28 du RGPD.

Le présent DPA fait partie intégrante des Conditions Générales de Vente et d'Utilisation (CGV/CGU). En cas de contradiction, prévalent les dispositions les plus protectrices pour les personnes concernées.

2.1 Personnes concernées

Les visiteurs des sites internet du Client sur lesquels le CMP CookieFort est installé et qui interagissent avec la bannière de consentement ou le centre de préférences.

2.2 Catégories de données

• Identifiant de consentement (visitor ID)
• Données de choix (catégories acceptées/refusées, préférences granulaires)
• Horodatage de la décision
• Données d'environnement technique : adresse IP tronquée, User-Agent, nom de domaine du site visité

2.3 Finalités

• Collecter, stocker et restituer les choix de consentement au Client
• Tenir un registre de preuve du consentement
• Transmettre les signaux Consent Mode v2 vers Google Analytics, GTM ou GA4 selon la configuration du Client
• Produire des statistiques anonymisées sur les taux d'acceptation

CookieFort garantit une imperméabilité au Cloud Act américain et à la FISA Section 702. Les données personnelles sont hébergées exclusivement en Union européenne et Suisse par Infomaniak Network SA, sans transfert vers les États-Unis ni vers des prestataires soumis à des lois américaines de surveillance extraterritoriale.

• Traiter les données personnelles uniquement sur instruction documentée du Client, y compris en matière de transferts
• Veiller à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité
• Aider le Client, le cas échéant, à mener des analyses d'impact relative à la protection des données (AIPD)
• Aider le Client à répondre aux demandes des personnes concernées exerçant leurs droits
• Notifier le Client de toute violation de données personnelles dans un délai de 48 heures après en avoir pris connaissance, avec les informations requises par l'article 33 du RGPD

CookieFort informera le Client de toute modification envisagée concernant l'ajout ou le remplacement de sous-traitants au moins 15 jours à l'avance, le Client disposant d'un droit d'opposition pour des motifs légitimes liés à la protection des données.

• Troncature ou masquage des adresses IP dans les journaux de consentement
• Chiffrement en transit (TLS 1.3) et au repos (AES-256)
• Authentification multifacteur (MFA), moindre privilège et journalisation des actions administratives
• Sauvegardes chiffrées quotidiennes avec procédures de restauration testées

Le présent DPA s'applique dès l'acceptation des CGV/CGU pour la durée de l'abonnement. À la résiliation, CookieFort supprime ou restitue l'ensemble des données personnelles traitées pour le compte du Client dans un délai de 30 jours, sauf obligation légale de conservation. Un certificat de destruction peut être délivré sur demande écrite.

Le Client peut demander un audit documentaire de la conformité au présent DPA une fois par année civile, sur demande écrite adressée à cmp@cookiefort.com. CookieFort fournira la documentation pertinente dans un délai raisonnable.

Le présent DPA est soumis au droit français. Tout litige relatif au traitement des données au titre du présent accord relève de la compétence de la Cour d'Appel de Paris.