Avenant relatif au traitement des données
Dernière mise à jour : 17 septembre 2026
Version 1.1
Cet avenant relatif au traitement des données (DPA) régit les données personnelles qu'OwnersPal traite en votre nom lorsque vous utilisez le Service. Si vous êtes une petite entreprise basée aux États-Unis, vous n'avez très probablement pas besoin d'une copie signée — mais elle est disponible ici si vos clients, votre équipe juridique ou votre assureur la demandent. Les termes ci-dessous reprennent le DPA standard pour sous-traitant de l'IAPP, adapté à la liste des sous-traitants d'OwnersPal sur /subprocessors.
Journal des modifications
La version 1.1 n'ajoute que des informations : elle ne crée aucune nouvelle obligation pour vous et il n'y a rien à accepter de nouveau. v1.1 — 17 septembre 2026. Ce qui a changé depuis la v1.0 (14 juillet 2026) : • Annexe 1 — un registre de traitement pour la mesure des conversions publicitaires : ce qui est envoyé à Meta et Google pour vos propres comptes publicitaires (un identifiant de clic et un hachage SHA-256 de l'adresse e-mail ou du numéro de téléphone fourni avec une réservation, jamais l'adresse ni le numéro), la fréquence quotidienne, la fenêtre de 30 jours (7 jours pour Meta) et la condition de consentement marketing. (PR #2284, 13 septembre 2026.) • Article 2.7 du DPA téléchargeable — les captures d'écran de diagnostic facultatives jointes aux signalements de problème, qui peuvent contenir incidemment des données personnelles visibles à l'écran, avec leur durée de conservation et leur voie de suppression. (PR #2040, 19 août 2026.) • Article 2 — la description de ce que nous traitons pour votre compte mentionne désormais l'importation des témoignages que vous publiez sur votre propre site web, la gestion des réservations, la prise de commandes et de devis, et la liste d'attente. (PR #2284, 13 septembre 2026.) • Article 10 — le rapport de suppression affiché lorsque vous supprimez vous-même votre compte, et le résumé envoyé à l'adresse e-mail du compte. (PR du rapport de suppression de compte, 27 septembre 2026.) • Article 2 — les catégories de données mentionnent désormais le montant de la vente que vous pouvez enregistrer pour un prospect devenu client. (PR de la page de valeur des prospects, 27 septembre 2026.) • Inchangé en v1.1 : les articles relatifs aux demandes de confidentialité des personnes qui visitent votre site web, qui nous engagent déjà à vous aider à y répondre. v1.0 — 14 juillet 2026. La première version enregistrée avec une trace d'acceptation côté serveur.
Comment utiliser cette page
Lisez-le une fois. Si vos politiques exigent un instrument entièrement signé, téléchargez le fichier Markdown, contresignez-le, puis envoyez-le par e-mail à privacy@ownerspal.app. Nous le contresignerons et vous le renverrons sous cinq jours ouvrés. Sinon, votre utilisation du Service vaut acceptation.
Télécharger le DPA (Markdown)1. Champ d'application et rôles
Lorsque vous utilisez OwnersPal, vous (le Client) êtes le responsable du traitement de toutes les données personnelles que vous soumettez : les avis, les témoignages de clients que vous publiez sur votre propre site web, prospects, listes de contacts et jetons de comptes publicitaires de vos clients, ainsi que les réservations, commandes, demandes de devis et inscriptions sur liste d'attente que vos clients soumettent via votre site web OwnersPal. OwnersPal est le sous-traitant de ces données. Le présent DPA couvre le RGPD, le RGPD britannique, la CCPA/CPRA et d'autres lois comparables en matière de confidentialité dans la mesure où elles vous sont applicables. Il ne couvre pas les données qu'OwnersPal collecte directement auprès de vous en qualité de responsable du traitement (e-mail de facturation, connexion, analyses du produit) : celles-ci sont traitées dans notre Politique de confidentialité publiée.
2. Objet, durée, nature et finalité
Objet : les données personnelles que vous ou vos utilisateurs finaux soumettez au Service. Durée : aussi longtemps que votre abonnement est actif, plus toute conservation postérieure à la résiliation nécessaire à la suppression ou à l'exportation. Nature et finalité : fournir le Service — génération de contenu, gestion publicitaire, suivi des avis, importation des témoignages que vous publiez sur votre propre site web, captation de prospects, gestion des réservations, réception des commandes et des devis, gestion des listes d'attente, fiches d'établissement, analyses et tout traitement auxiliaire strictement nécessaire pour fournir ces fonctionnalités. Personnes concernées : vos clients et prospects, ainsi que votre propre personnel qui utilise OwnersPal. Catégories de données : noms, adresses e-mail, numéros de téléphone, adresses postales, texte libre des formulaires de captation, le montant de la vente que vous enregistrez pour un prospect devenu client, détails des réservations et des rendez-vous (par exemple l'heure demandée et le nombre de convives), texte libre des commandes et des devis, contenu des avis publics, témoignages de clients publiés sur votre site web (y compris les noms et les propos des clients tels que vous les avez publiés), métadonnées des fiches publiques et jetons d'accès aux plateformes publicitaires que vous autorisez. Ne soumettez pas de données de catégories particulières (santé, biométrie, etc.) sauf accord écrit de notre part. Le Service produit également des statistiques agrégées pour votre site web publié : des compteurs quotidiens de pages vues et d'appuis sur les boutons avec une source de trafic approximative (un domaine référent ou « direct »). Ces compteurs n'utilisent ni cookies ni identifiants d'appareil, ne conservent aucune adresse IP, ne peuvent être rattachés à aucune personne et sont conservés pendant 13 mois glissants. Si un utilisateur signalant un problème y consent expressément (via une invite de consentement affichée avant toute capture), nous traitons également une capture d'écran de diagnostic de la page qu'il consultait, laquelle peut incidemment contenir des données personnelles visibles à l'écran ; les captures sont conservées dans un stockage à accès contrôlé, supprimées automatiquement au plus tard après 90 jours (les envois jamais joints à un signalement, sous environ 24 heures) et supprimées lors de la suppression du compte. La mesure des conversions publicitaires est décrite à l'annexe 1.
3. Instructions du client
OwnersPal ne traite les données personnelles que selon vos instructions documentées. Les paramètres que vous configurez dans le tableau de bord OwnersPal — connexions aux plateformes, définitions d'audience, règles d'approbation, actions administratives — constituent vos instructions documentées au sens de l'article 28(3)(a) du RGPD. Si nous estimons qu'une de ces instructions est illicite, nous vous en informerons rapidement ; nous ne fournissons pas de conseil juridique.
4. Sous-traitants ultérieurs
La liste actuelle des sous-traitants ultérieurs d'OwnersPal se trouve sur la page /subprocessors. C'est la source de vérité unique — nous la mettons à jour à chaque changement de prestataire. Nous vous donnerons un préavis d'au moins 30 jours avant d'ajouter un nouveau sous-traitant ultérieur ; si vous vous y opposez par écrit pendant cette période et qu'aucun accord n'est trouvé, vous pouvez résilier la partie concernée du Service. OwnersPal demeure responsable envers vous de tout ce que font nos sous-traitants ultérieurs.
5. Mesures de sécurité
OwnersPal maintient des mesures de sécurité techniques et organisationnelles appropriées : TLS 1.2+ en transit et AES-256 au repos ; accès selon le principe du moindre privilège avec journalisation d'audit ; revues d'accès trimestrielles ; formation écrite du personnel à la confidentialité et à la protection des données ; analyse des dépendances et gestion des correctifs ; sauvegarde et reprise après sinistre adaptées à un SaaS de cette envergure. Les mesures ci-dessus sont nos engagements à la date indiquée ci-dessus et peuvent évoluer, mais ne s'affaibliront pas de manière significative.
6. Violation de données personnelles
Si nous confirmons une violation de données personnelles affectant vos données, nous vous en informerons sans délai injustifié et dans les 72 heures. La notification comprendra ce que nous savons à ce stade : nature de la violation, catégories et nombre approximatif d'enregistrements concernés, conséquences probables, et les mesures que nous avons prises.
7. Demandes des personnes concernées
Nous vous aiderons à répondre aux demandes de vos clients souhaitant exercer leurs droits — accès, rectification, effacement, limitation, portabilité, opposition. Si nous recevons directement une demande concernant vos données, nous vous la transmettrons et n'y répondrons pas en votre nom, sauf si la loi nous y oblige. Lorsqu'un visiteur d'un site web qu'OwnersPal héberge pour vous utilise son formulaire « Vos choix de confidentialité », OwnersPal vous transmet la demande par e-mail et dans votre boîte de réception OwnersPal, et n'y répond pas en votre nom. OwnersPal conserve une trace de chaque demande (référence, type, message facultatif, empreinte à sens unique de l'adresse e-mail du visiteur et date de réception) pendant 24 mois afin de vous aider à répondre et de documenter les délais de réponse, puis supprime le message et l'empreinte. Le nom et l'adresse e-mail du visiteur restent dans votre boîte de réception.
8. Transferts internationaux
Lorsque des données personnelles quittent l'EEE, le Royaume-Uni ou la Suisse dans le cadre de la fourniture du Service, OwnersPal utilise un mécanisme de transfert valide — y compris les clauses contractuelles types de l'UE (décision d'exécution (UE) 2021/914 de la Commission) et l'IDTA du Royaume-Uni — incorporées ici par référence. Vous concluez le ou les modules pertinents de ces clauses avec OwnersPal et autorisez OwnersPal à les conclure avec nos sous-traitants ultérieurs en votre nom.
9. Contrôle
Nous mettons à disposition les informations nécessaires pour démontrer notre conformité à ce DPA, y compris des réponses écrites à des questionnaires de sécurité raisonnables. Si nous obtenons un rapport SOC 2 / ISO 27001, le partager sous accord de confidentialité satisfait votre droit d'audit au titre de l'article 28(3)(h) du RGPD. Sinon, vous pouvez effectuer un audit sur site une fois tous les douze mois avec un préavis de 30 jours, à vos frais, pendant les heures normales de bureau — sans perturber les opérations ni accéder aux données d'autres clients.
10. Restitution et suppression des données
À la fin de votre abonnement, vous choisissez — dans un délai de 45 jours — entre (a) un export de vos données personnelles dans un format exploitable par machine, ou (b) leur suppression avec un certificat écrit. Si la loi nous oblige à conserver certaines données plus longtemps, nous les conservons sous les protections de ce DPA. Nous pouvons également conserver des enregistrements d'audit hachés et salés strictement à des fins de prévention des abus et de défense juridique (le durcissement PII de mai 2026 a remplacé l'e-mail en clair par des hachages HMAC-SHA256 dans la piste d'audit de suppression de compte) — ces enregistrements ne sont pas des données personnelles de la personne supprimée. Lorsque vous supprimez vous-même votre compte dans vos paramètres, nous vous présentons à ce moment un rapport de suppression (par catégorie : ce qui a été supprimé, où c'était stocké, et ce que nous ou nos sous-traitants conservons, pourquoi et jusqu'à quand, avec un téléchargement sous forme de tableur) et envoyons le même résumé à l'adresse e-mail du compte. Nous ne gardons aucune copie de ce rapport.
11. Durée
Ce DPA prend effet à la date indiquée ci-dessus et court pendant la durée de votre abonnement. Les sections 6, 7, 9, 10, et toute autre disposition devant par nature survivre, y survivent.
Annexe 1. Registre de traitement : mesure des conversions publicitaires
Finalité : mesurer les conversions publicitaires pour vos propres comptes Meta et Google Ads, afin que vous puissiez voir lesquelles de vos campagnes ont abouti à une réservation réelle. Données personnelles : un hachage SHA-256 de l'adresse e-mail et du numéro de téléphone que votre client a indiqués lors de la réservation, calculé en mémoire au moment de l'envoi et jamais stocké ni journalisé par OwnersPal (l'adresse e-mail et le numéro de téléphone eux-mêmes ne sont jamais envoyés) ; l'identifiant de clic publicitaire de sa visite (gclid pour Google, fbclid pour Meta) ; et l'heure à laquelle la réservation a été effectuée. Aucun montant de réservation n'est envoyé. Google ne reçoit les hachages que lorsque votre compte Google Ads indique avoir accepté les conditions de Google relatives aux données client ; sinon, il reçoit uniquement l'identifiant de clic. Personnes concernées : vos clients qui ont effectué une réservation (confirmée ou honorée) sur votre site web OwnersPal après avoir cliqué sur l'une de vos publicités. Destinataires : Meta Platforms (Conversions API) et Google (conversions hors ligne de clics Google Ads), chacun recevant les données pour votre propre compte publicitaire. Fréquence : une fois par jour, par une tâche automatisée. Conservation : aucune du côté d'OwnersPal pour les valeurs hachées. Une réservation ne peut être envoyée que dans les 30 jours suivant sa création (7 jours pour Meta). OwnersPal ne conserve qu'un enregistrement d'envoi (identifiant de réservation, plateforme et statut). La suppression de la réservation, y compris via une demande d'effacement, la supprime avec son enregistrement d'envoi, de sorte qu'elle n'est jamais envoyée par la suite ; la déconnexion de votre compte publicitaire arrête tous les envois. Condition : le visiteur a accepté les cookies marketing sur votre site web et son navigateur n'a envoyé aucun signal Global Privacy Control. Les réservations sans identifiant de clic recueilli avec ce consentement ne sont jamais envoyées.
Questions, réponses d'audit, ou copie signée :