DPA / RGPD

Accord de traitement — Winstory

ARTICLE 1 — PARTIES ET RÔLE

Le présent accord s’applique lorsque le client professionnel est responsable du traitement et que Winstory traite des données pour son compte, sur instructions documentées. Le traitement dont Winstory est elle-même responsable, notamment la facturation, la sécurité de la plateforme et la preuve d’acceptation, n’est pas couvert par le seul présent accord. Winstory n’est pas sous-traitant de toutes les données.

ARTICLE 2 — OBJET

L’objet est l’exécution de la Campagne et des services commandés : hébergement des contenus fournis, routage des générations demandées, et support associé. La durée est celle du contrat, puis les délais de restitution ou de suppression.

ARTICLE 3 — INSTRUCTIONS

Winstory ne traite que sur instructions documentées du client, y compris pour les transferts, sauf obligation légale. Elle informe le client si une instruction lui paraît illicite, et peut suspendre l’instruction contestée.

ARTICLE 4 — CONFIDENTIALITÉ

Les personnes autorisées à traiter sont tenues à la confidentialité. Cette obligation survit à la fin de leur mission.

ARTICLE 5 — SÉCURITÉ

Winstory applique des mesures techniques et organisationnelles proportionnées : contrôle d’accès, chiffrement en transit lorsque le canal le permet, journalisation, sauvegardes et séparation logique des Campagnes. Le détail figure à l’annexe des mesures. Il n’est pas présenté comme un catalogue certifié exhaustif.

ARTICLE 6 — SOUS-TRAITANTS

Le client autorise les sous-traitants ultérieurs nécessaires au service, notamment l’hébergement, la base et les fournisseurs d’IA effectivement utilisés pour ses instructions. La liste publiée avec le contrat n’est pas déclarée complète au-delà de ces catégories. Winstory informe d’un changement significatif et permet au client de s’y opposer pour un motif légitime lié à la protection des données. Winstory impose au sous-traitant des obligations équivalentes.

ARTICLE 7 — ASSISTANCE AUX PERSONNES

Compte tenu de la nature du traitement, Winstory aide le client à répondre à la personne concernée, par des mesures techniques appropriées, dans un délai compatible avec le délai du client.

ARTICLE 8 — VIOLATION

Winstory notifie au client une violation de données dont elle a connaissance, sans retard injustifié, avec les informations dont elle dispose pour que le client puisse notifier l’autorité et les personnes si la loi l’exige.

ARTICLE 9 — AIPD

Winstory aide le client, dans la mesure du service, pour une analyse d’impact (AIPD) ou une consultation préalable, en fournissant les informations sur le traitement qu’elle réalise. L’analyse reste celle du responsable.

ARTICLE 10 — SUPPRESSION ET RESTITUTION

Au terme, Winstory, au choix du client, restitue ou procède à la suppression des données traitées pour son compte, puis détruit les copies, sauf obligation légale de conservation. Les sauvegardes s’effacent selon leur cycle.

ARTICLE 11 — AUDIT

Le client peut auditer le respect du présent accord, au plus une fois par an sauf incident, sur préavis raisonnable, par lui-même ou un auditeur indépendant tenu au secret, sans accéder aux données d’autres clients. Winstory peut substituer un rapport d’audit pertinent.

ARTICLE 12 — TRANSFERTS

Si un sous-traitant est hors de l’Espace économique européen, le transfert repose sur une décision d’adéquation ou sur des clauses qui lient ce sous-traitant, lorsque ce mécanisme existe pour lui. Winstory n’affirme pas que toutes les données restent dans l’Union européenne.

ARTICLE 13 — CATÉGORIES

Les données sont celles que le client ou les participants fournissent pour la Campagne : identité professionnelle, brief, contenus, prompts demandés par le client. Les personnes sont les contacts du client et les participants que le client fait traiter.

ARTICLE 14 — MINEURS

Le client ne demande pas le traitement de données de mineurs sans base légale. Winstory peut refuser cette instruction.

ARTICLE 15 — LOCALISATION

Les lieux de traitement dépendent des sous-traitants utilisés pour la Campagne. Ils sont indiqués au client sur demande, dans la limite des informations détenues.

ARTICLE 16 — RESPONSABILITÉ

Chaque partie répond de ses obligations au titre du règlement général sur la protection des données. Le plafond des conditions professionnelles ne limite pas ce que ce règlement interdit de limiter.

ARTICLE 17 — SORT DES DONNÉES PROPRES

Les journaux de sécurité et les preuves de paiement dont Winstory est responsable ne sont pas restitués comme s’ils étaient des données du client, sous réserve des droits des personnes.

ARTICLE 18 — COOPÉRATION AVEC L’AUTORITÉ

Winstory coopère avec l’autorité compétente à la demande du client ou lorsque la loi l’y oblige directement.

ARTICLE 19 — NULLITÉ

Si une stipulation est contraire au règlement, elle est remplacée par la règle de celui-ci. Le reste demeure.

ARTICLE 20 — DROIT

Le droit français s’applique, sans écarter le règlement européen. Les tribunaux de Paris sont compétents entre professionnels.

ARTICLE 21 — DURÉE DE L’ACCORD

L’accord suit le contrat de service. Les obligations de confidentialité, de suppression et de responsabilité pour les faits nés survivent.

ARTICLE 22 — ORDRE

En cas de conflit sur un traitement pour le compte du client, le présent accord prévaut sur les conditions commerciales. Il ne prévaut pas sur la loi.

ANNEX — MESURES

Contrôle d’accès, authentification, chiffrement en transit lorsque le canal le permet, journalisation, sauvegardes et séparation des environnements de Campagne. Ces mesures sont proportionnées au service et peuvent évoluer sans diminuer le niveau de façon substantielle.

ANNEX — CATÉGORIES DÉTAILLÉES

Données d’identité professionnelle, coordonnées, brief, fichiers fournis, prompts demandés par le client, métadonnées techniques de génération. Personnes : contacts du client et participants concernés par l’instruction. Pas de catégorie particulière traitée pour le compte du client sauf instruction expresse et licite.

ANNEX — SOUS-TRAITANTS

Catégories utilisées selon le service commandé : hébergement HTTP, base de données et stockage, paiement lorsque le client l’utilise via la plateforme, fournisseurs d’IA effectivement appelés. L’identité exacte est communiquée avec le dossier contractuel du client. Cette annexe ne prétend pas énumérer un registre fermé au-delà de ces catégories.