Accord de traitement des données

Dernière mise à jour : 14 octobre 2026

Le présent Accord de traitement des données (« DPA ») est conclu entre Aporia Research Ltd (numéro d’immatriculation 17518971, société enregistrée en Angleterre et au pays de Galles), London N22 8NL, Royaume-Uni (« nous »), qui exploite Page Lemon, et vous, le client. « Vous » inclut toute personne qui publie un site sur Page Lemon, avec ou sans compte. Le présent DPA fait partie de nos Conditions d’utilisation chaque fois que nous traitons des données à caractère personnel pour votre compte. Vous l’acceptez lorsque vous acceptez les Conditions, lorsque vous publiez un site ou lorsque vous rattachez un site à un compte. En cas de conflit entre le présent DPA et les Conditions en matière de protection des données, le présent DPA prévaut.

1. Rôles

• Pour les données à caractère personnel que vos sites collectent ou contiennent (« données personnelles du client »), vous êtes le responsable du traitement et nous sommes votre sous-traitant. Si vous agissez pour le compte d’un tiers (par exemple une agence qui crée le site d’un client), vous êtes sous-traitant et nous sommes votre sous-traitant ultérieur. L’Annexe 1 énumère les données.
• Pour les données relatives à votre propre compte, à la facturation et à l’assistance, nous sommes responsable du traitement. Notre Politique de confidentialité les couvre, et non le présent DPA.
• « Droit de la protection des données » désigne le UK GDPR et le Data Protection Act 2018 et, lorsqu’il vous est applicable, le RGPD de l’UE (règlement (UE) 2016/679), ainsi que les lois qui les remplacent ou les mettent en œuvre. Les termes tels que « responsable du traitement », « sous-traitant », « violation de données à caractère personnel » et « personne concernée » ont le sens que leur donnent ces textes.

2. Vos instructions

• Nous traitons les données personnelles du client uniquement sur vos instructions documentées. Vos instructions sont : le présent DPA et les Conditions ; les paramètres que vous choisissez dans Page Lemon ; et ce que vous, votre équipe ou une application d’IA que vous connectez demandez à Page Lemon de faire via l’application, l’API ou notre serveur MCP. Toute instruction supplémentaire doit être donnée par écrit (l’e-mail suffit) et être compatible avec le fonctionnement du service.
• Nous pouvons aussi traiter les données personnelles du client lorsque le droit du Royaume-Uni (ou, pour les données de l’UE, le droit de l’Union ou d’un État membre) l’exige. Dans ce cas, nous vous en informons au préalable, sauf si ce droit l’interdit pour des motifs importants d’intérêt public.
• Nous vous informons immédiatement si nous estimons qu’une instruction enfreint le droit de la protection des données. Nous ne sommes pas tenus de la suivre tant qu’elle n’a pas été confirmée ou modifiée.
• Vous êtes responsable de disposer d’une base légale pour les données que vos sites collectent, de votre propre mention d’information à l’attention de vos visiteurs, et de ce que vous demandez à vos formulaires et à vos pages de collecter.
• Nous ne vendons pas les données personnelles du client, ne les utilisons pas à des fins publicitaires ni pour entraîner des modèles d’IA, et ne les combinons pas avec les données d’autres clients.

3. Confidentialité

Toute personne que nous autorisons à traiter les données personnelles du client est tenue à la confidentialité, par contrat ou par la loi. L’accès est limité aux personnes qui en ont besoin pour exploiter, sécuriser ou assister le service.

4. Sécurité

• Nous maintenons les mesures techniques et organisationnelles de l’Annexe 2. Nous pouvons les modifier, mais pas d’une manière qui réduise le niveau global de protection.
• Vous êtes responsable de la sécurité de ce que vous contrôlez : votre connexion, vos jetons API et liens de rattachement, les personnes que vous invitez, les applications d’IA que vous connectez et le contenu de vos sites.

5. Sous-traitants ultérieurs

• Autorisation générale. Vous nous autorisez à recourir aux sous-traitants ultérieurs listés sur notre page des sous-traitants ultérieurs. Elle indique pour chaque prestataire sa finalité, les données concernées et le lieu de traitement.
• Information des modifications. Au moins 14 jours avant qu’un sous-traitant ultérieur nouveau ou de remplacement ne commence à traiter les données personnelles du client, nous écrivons à chaque titulaire de compte et mettons à jour la page des sous-traitants ultérieurs. Les sites publiés sans compte n’ont pas d’adresse e-mail ; pour eux, cette page tient lieu de notification.
• Objection. Vous pouvez vous opposer, pour des motifs raisonnables tenant à la protection des données, dans ces 14 jours en écrivant à support@pagelemon.com. Nous en discuterons de bonne foi. Si nous ne parvenons pas à résoudre le désaccord, vous pouvez mettre fin au forfait payant concerné et nous remboursons toute période prépayée non utilisée.
• Mêmes obligations. Chaque sous-traitant ultérieur est lié par un contrat écrit comportant des obligations en matière de protection des données au moins aussi protectrices que celles du présent DPA. Nous demeurons responsables envers vous de la manière dont il les respecte.

6. Notre aide

• Demandes des personnes. Nous vous aidons à répondre aux personnes qui exercent leurs droits en matière de protection des données. La plupart des démarches se font en libre-service : vous pouvez consulter, exporter et supprimer les messages de formulaire et les réservations, retirer des membres, supprimer un formulaire ou supprimer un site. Si une personne nous contacte au sujet de votre site, nous vous transmettons sa demande et n’y répondons pas nous-mêmes, sauf si la loi nous y oblige.
• Autre aide. Nous vous apportons une aide raisonnable pour vos obligations de sécurité, les notifications de violation, les analyses d’impact relatives à la protection des données et la consultation d’une autorité de contrôle, à partir des informations dont nous disposons.

7. Violations de données à caractère personnel

• Nous vous informons dans les meilleurs délais, et visons un délai de 48 heures, après avoir pris connaissance d’une violation de données à caractère personnel affectant les données personnelles du client. Nous écrivons à l’adresse e-mail du titulaire du compte.
• Nous vous indiquons ce que nous savons et complétons l’information à mesure que nous en apprenons davantage : ce qui s’est passé, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et ce que nous avons fait ou prévoyons de faire.
• Vous informer ne constitue pas une reconnaissance de faute. Il vous appartient de décider de notifier ou non l’autorité de contrôle ou les personnes concernées.

8. Localisation des données et transferts internationaux

• Où se trouvent les données. Nos serveurs sont à Londres, au Royaume-Uni. Ils hébergent la base de données des comptes (y compris les messages de formulaire, les réservations et les membres) et un cache des fichiers de site. Les fichiers de site sont stockés dans l’UE, ainsi que les sauvegardes de la base de données. Certains sous-traitants ultérieurs traitent des données dans d’autres pays, dont les États-Unis, comme l’indique la page des sous-traitants ultérieurs.
• Données de l’UE qui nous parviennent. Si le RGPD de l’UE vous est applicable, les données que vous nous envoyez au Royaume-Uni sont couvertes par la décision d’adéquation de la Commission européenne concernant le Royaume-Uni. Si cette décision prend fin, les clauses contractuelles types de l’UE s’appliquent automatiquement, avec les choix de l’Annexe 3.
• Transferts ultérieurs depuis chez nous. Lorsque nous transférons des données personnelles du client à un sous-traitant ultérieur situé dans un pays sans décision d’adéquation, nous recourons à la garantie de l’Annexe 3 et réalisons l’analyse d’impact du transfert qu’elle exige. Nous en communiquons un résumé sur demande.

9. Restitution et suppression

• Export à tout moment. Tant que votre compte est ouvert, vous pouvez télécharger les fichiers de vos sites, les messages de formulaire et les réservations, ainsi que les listes de membres.
• Votre choix à la fin. Lorsque vous fermez votre compte ou que le service prend fin, vous choisissez si nous restituons les données personnelles du client ou si nous les supprimons. Pour qu’elles vous soient restituées, écrivez à support@pagelemon.com avant la fermeture de votre compte, ou dans les 7 jours qui suivent, et nous vous les enverrons dans un format courant et lisible par machine. À défaut, nous les supprimons.
• Délais de suppression. Fichiers de site : dans les 7 jours suivant la suppression du site ou du compte. Messages de formulaire et réservations : 30 jours après que vous les avez mis à la corbeille, supprimé le formulaire ou supprimé le site. Membres et sessions de connexion : lorsque vous retirez la personne ou supprimez le site. Chiffres de fréquentation : pages vues individuelles après 30 jours ; totaux quotidiens 30 jours après la suppression du site. Données du compte : dans les 30 jours suivant la fermeture du compte. Les sauvegardes de la base de données sont renouvelées tous les 7 jours, de sorte que les données supprimées en disparaissent 7 jours plus tard. Les fichiers de site n’ont pas de sauvegarde distincte. Les sites anonymes qui ne sont jamais rattachés à un compte sont supprimés 72 heures après leur publication, leurs fichiers étant retirés dans les 7 jours suivants. Nous confirmons la suppression par écrit si vous le demandez.
• Nous ne conservons les données plus longtemps que lorsque le droit du Royaume-Uni (ou, pour les données de l’UE, le droit de l’Union ou d’un État membre) nous impose de les stocker, pendant la durée qu’il exige, et elles restent protégées par le présent DPA.

10. Audits et informations

• Nous mettons à disposition toutes les informations nécessaires pour démontrer que nous respectons nos obligations de sous-traitant : le présent DPA, la page des sous-traitants ultérieurs, nos pages Sécurité et Confiance, et des réponses à un questionnaire de sécurité raisonnable.
• Nous permettons la réalisation d’audits, y compris d’inspections, par vous ou par un auditeur indépendant que vous mandatez et qui est tenu à la confidentialité, et nous y contribuons. Prévenez-nous au moins 30 jours à l’avance, ou moins si une autorité de contrôle l’exige ou après une violation de données à caractère personnel. Les audits ont lieu pendant les heures ouvrables, ne doivent pas donner accès aux données d’autres clients ni mettre le service en danger, et chaque partie supporte ses propres coûts.
• Nous prévoyons normalement un audit par an. D’autres sont acceptables lorsqu’ils sont nécessaires pour démontrer la conformité, après une violation, ou à la demande d’une autorité de contrôle.
• Pour nos sous-traitants ultérieurs, nous nous appuyons sur leurs certifications et rapports d’audit, et nous les partageons lorsque leurs conditions le permettent. Lorsque cela ne suffit pas, nous exerçons pour vous nos propres droits d’audit prévus par nos contrats avec eux.

11. Responsabilité

La responsabilité de chaque partie au titre du présent DPA suit la section 8 des Conditions, sauf lorsque le droit de la protection des données ne permet pas de limiter la responsabilité. La responsabilité envers les personnes dont les données sont concernées suit le droit de la protection des données.

12. Durée, modifications et droit applicable

• Le présent DPA reste en vigueur aussi longtemps que nous traitons des données personnelles du client pour vous.
• Nous pouvons mettre à jour le présent DPA pour tenir compte des évolutions de la loi, des recommandations des autorités de contrôle ou de notre service. Nous donnons un préavis d’au moins 30 jours des modifications importantes par e-mail, comme pour les Conditions. Les modifications ne réduiront pas la protection des données personnelles du client, sauf si la loi l’exige.
• Le présent DPA est régi par les lois d’Angleterre et du pays de Galles, et les tribunaux d’Angleterre et du pays de Galles sont compétents, sauf lorsque les clauses contractuelles types de l’UE s’appliquent, lesquelles sont alors régies comme le prévoit l’Annexe 3.

Annexe 1 : Détails du traitement

Annexe 2 : Mesures de sécurité

1. Chiffrement en transit. Tout le trafic vers nos domaines et vers vos sites utilise TLS.
2. Chiffrement au repos. Les fichiers de site et les sauvegardes sont conservés dans un stockage chiffré dans l’UE.
3. Séparation. Vos sites sont servis depuis un domaine distinct de celui de l’application et de la connexion, de sorte qu’un site ne peut pas lire les sessions de l’application. Les données de chaque client sont séparées dans l’application et vérifiées à chaque requête.
4. Contrôle d’accès. Seuls des membres du personnel nommément désignés peuvent accéder aux serveurs de production, avec des clés individuelles et sans mots de passe partagés. L’accès du personnel aux données des clients est limité à ce que l’assistance, la sécurité ou la loi exigent.
5. Mots de passe et jetons. Les mots de passe de site et les jetons API ne sont stockés que sous forme de hachages irréversibles. Nous ne voyons jamais les mots de passe des comptes ; la connexion est gérée par notre fournisseur de connexion. Les données de carte n’atteignent jamais nos serveurs.
6. Minimisation des données. Les chiffres de fréquentation n’utilisent ni cookies ni scripts et ne stockent jamais d’adresse IP complète. Les limites anti-spam des formulaires utilisent un hachage irréversible de l’adresse IP.
7. Sécurité des envois. Les fichiers envoyés sont analysés pour détecter des clés secrètes divulguées, et ceux qui semblent en contenir sont bloqués. Nous n’exécutons pas le code côté serveur des clients.
8. Protection contre les attaques. Limitation du débit et protection contre les attaques par déni de service devant tous nos domaines.
9. Résilience. Sauvegardes continues de la base de données, procédure de restauration testée et possibilité de ramener un site à une version antérieure.
10. Réponse aux incidents. Une procédure écrite en cas de violation, avec des rôles, un délai de 72 heures pour l’autorité de contrôle concernant nos propres données, et la notification au client prévue à la section 7.
11. Gestion des fournisseurs. Les sous-traitants ultérieurs sont choisis pour leur sécurité et liés par des conditions de traitement des données.
12. Revue. Nous examinons ces mesures au moins une fois par an et après tout incident ou changement important.

Annexe 3 : Conditions des transferts internationaux

Parties

• Exportateur de données : vous, le client, avec les coordonnées de votre compte. Rôle : responsable du traitement, ou sous-traitant si vous agissez pour le compte d’un tiers. Activités : comme à l’Annexe 1.
• Importateur de données : Aporia Research Ltd (numéro d’immatriculation 17518971, société enregistrée en Angleterre et au pays de Galles), London N22 8NL, Royaume-Uni, contact : support@pagelemon.com. Rôle : sous-traitant (ou sous-traitant ultérieur). Activités : comme à l’Annexe 1.
• Signature et date : l’acceptation des Conditions ou la publication d’un site vaut signature de la présente annexe, à la date de l’acceptation.

Données de l’UE qui nous sont envoyées (uniquement si la décision d’adéquation du Royaume-Uni prend fin)

Transferts de notre part vers des sous-traitants ultérieurs

La garantie utilisée par chaque sous-traitant ultérieur est indiquée sur la page des sous-traitants ultérieurs ou disponible sur demande auprès de support@pagelemon.com.