pour les fonctionnalités cloud d’EZZE WCAG Pro
Date d’entrée en vigueur : 2026-10-14
Le présent Addendum de traitement des données (« DPA ») fait partie de l’accord conclu entre :
(1) le client / responsable du traitement, c’est-à-dire la personne physique ou morale qui accepte le présent DPA ou pour le compte de laquelle les Services sont utilisés ou activés (« Client » ou « Responsable du traitement »),
et
(2) Patrick Helms, Neue Heimat 20, 15848 Beeskow, Allemagne, support@ezze-wcag-pro.com, https://ezze-wcag-pro.com/support/ (« Fournisseur » ou « Sous-traitant »),
concernant l’utilisation de EZZE WCAG Pro et de ses fonctionnalités cloud optionnelles (les « Services »).
Le Client accepte le présent DPA en cochant la case applicable, en activant une fonctionnalité cloud couverte par le présent DPA ou en utilisant d’une autre manière les Services. La personne qui accepte le présent DPA déclare et garantit qu’elle est autorisée à lier le Client au présent DPA.
1. Champ d’application et applicabilité
- Le présent DPA s’applique uniquement dans la mesure où le Fournisseur traite des Données à caractère personnel pour le compte du Client en qualité de Sous-traitant dans le cadre des fonctionnalités cloud optionnelles d’EZZE WCAG Pro.
- Le présent DPA ne s’applique pas :
- aux fonctionnalités fonctionnant uniquement localement sur les systèmes du Client sans transmission au Fournisseur ou à ses sous-traitants ultérieurs ;
- aux traitements pour lesquels le Fournisseur, Freemius, des prestataires de paiement ou d’autres tiers agissent en qualité de responsables du traitement indépendants ;
- aux usages purement privés ou domestiques en dehors du champ du droit applicable en matière de protection des données, le cas échéant.
- En cas de contradiction entre le présent DPA et l’accord principal, le présent DPA prévaut pour ce qui concerne l’objet du Traitement couvert par le présent DPA.
2. Définitions
Aux fins du présent DPA, les termes Données à caractère personnel, Responsable du traitement, Sous-traitant, Personne concernée, Traitement, Violation de données à caractère personnel, Autorité de contrôle et Droit applicable en matière de protection des données ont le sens qui leur est attribué par le RGPD, le UK GDPR, la LPD suisse et les autres lois applicables en matière de protection des données, selon le cas.
3. Rôles des parties
- Le Client agit en qualité de Responsable du traitement des Données à caractère personnel traitées dans le cadre du présent DPA.
- Le Fournisseur agit en qualité de Sous-traitant et traite les Données à caractère personnel uniquement sur instructions documentées du Client, sauf obligation contraire découlant du droit applicable.
- Les parties reconnaissent que certains services connexes peuvent être fournis par des tiers agissant en leur propre qualité. Un tel traitement n’est pas régi par le présent DPA sauf dans la mesure où le tiers agit comme sous-traitant ultérieur du Fournisseur.
4. Objet, nature, finalité et durée
4.1 Objet
Le Fournisseur fournit des services cloud optionnels au sein d’EZZE WCAG Pro, notamment, selon la configuration ou l’activation choisie par le Client :
- des tests d’accessibilité et rapports basés sur le cloud ;
- la génération assistée par IA de textes alternatifs ;
- des explications, recommandations de correction ou résumés de problèmes assistés par IA ;
- des insights, recommandations ou analyses agrégées assistés par IA ;
- le support, le diagnostic, la prévention des abus et les opérations de service liées à ces fonctionnalités.
4.2 Nature du Traitement
Le Traitement peut inclure la collecte, la transmission, l’organisation, le stockage, la consultation, l’analyse, la génération de texte de sortie, la limitation, la suppression et d’autres opérations nécessaires à la fourniture des Services.
4.3 Finalité du Traitement
La finalité du Traitement est de fournir, sécuriser, maintenir et assister les fonctionnalités cloud optionnelles d’EZZE WCAG Pro demandées ou activées par le Client.
4.4 Durée
Le Traitement se poursuit pendant la durée de l’accord principal ainsi que pendant toute période de conservation limitée raisonnablement nécessaire pour les procédures de suppression, la rotation des sauvegardes, la conformité légale, la prévention de la fraude, la journalisation de sécurité, le règlement des litiges ou l’établissement, l’exercice ou la défense de droits en justice.
5. Catégories de personnes concernées
Selon la mise en œuvre et l’utilisation des Services par le Client, les Personnes concernées peuvent inclure :
- les visiteurs du site web ;
- les utilisateurs, éditeurs, administrateurs et contacts support du Client ;
- les personnes dont les Données à caractère personnel apparaissent dans le contenu du site web, les médias, les métadonnées, les résultats de tests, les captures d’écran, les tickets de support ou les configurations transmis aux Services.
6. Catégories de Données à caractère personnel
Selon la fonctionnalité activée, les Données à caractère personnel peuvent inclure :
- les URL de pages et les données de requête associées ;
- les URL d’images, identifiants de médias, noms de fichiers et métadonnées ;
- les constats d’accessibilité, descriptions de problèmes, identifiants d’audit, extraits DOM ou HTML, valeurs liées au CSS, captures d’écran et résultats techniques de tests ;
- la langue, la locale, la configuration des fonctionnalités, la version du plugin, les identifiants de site et les métadonnées d’installation ;
- les identifiants de licence, d’abonnement, de plan et de référence de site lorsque cela est nécessaire pour l’activation du service, la prévention des abus ou le support ;
- des données limitées de journalisation, de diagnostic et de sécurité, y compris l’adresse IP lorsque nécessaire ;
- des prompts, textes de sortie, textes alternatifs, explications, recommandations et résumés générés via des fonctionnalités assistées par IA ;
- les communications de support et les pièces jointes associées soumises par le Client.
Instruction du Client : le Client ne doit pas soumettre de catégories particulières de Données à caractère personnel sauf si cela est expressément pris en charge par le Service et couvert par des garanties documentées supplémentaires.
7. Instructions du Client
- Le Fournisseur traite les Données à caractère personnel uniquement sur instructions documentées du Client, y compris le présent DPA, l’accord principal, les paramètres du Client, l’utilisation des Services par le Client et toute instruction écrite supplémentaire acceptée par le Fournisseur.
- Le Client donne instruction au Fournisseur de traiter les Données à caractère personnel dans la mesure nécessaire à la fourniture des fonctionnalités cloud spécifiques sélectionnées, activées ou utilisées par le Client.
- Si le Fournisseur estime qu’une instruction enfreint le Droit applicable en matière de protection des données, il en informe le Client sans retard indu.
8. Confidentialité
Le Fournisseur veille à ce que les personnes autorisées à traiter des Données à caractère personnel :
- soient soumises à des obligations de confidentialité ou à une obligation légale appropriée de confidentialité ;
- reçoivent une formation appropriée en matière de protection des données et de sécurité ;
- n’accèdent aux Données à caractère personnel que dans la mesure nécessaire à l’exécution de leurs tâches.
9. Mesures de sécurité
- Le Fournisseur met en œuvre et maintient des mesures techniques et organisationnelles appropriées destinées à protéger les Données à caractère personnel contre la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé, qu’ils soient accidentels ou illicites.
- Ces mesures peuvent inclure, selon le cas :
- le contrôle d’accès basé sur les rôles et l’authentification ;
- les principes du moindre privilège ;
- le chiffrement en transit et, le cas échéant, au repos ;
- la séparation des environnements et la ségrégation logique ;
- la journalisation et la surveillance de sécurité ;
- la gestion des vulnérabilités et des correctifs ;
- les procédures de sauvegarde et de restauration ;
- les procédures de réponse aux incidents et de continuité d’activité ;
- la révision et les tests réguliers des mesures de sécurité.
- Les mesures techniques et organisationnelles actuellement mises en œuvre par le Fournisseur sont décrites plus en détail à l’Annexe 2.
10. Assistance au Client
Compte tenu de la nature du Traitement et des informations dont dispose le Fournisseur, celui-ci assiste le Client, dans la mesure du raisonnable, pour :
- répondre aux demandes des Personnes concernées ;
- remplir les obligations relatives à la sécurité du Traitement ;
- notifier les Violations de données à caractère personnel et établir la documentation correspondante ;
- réaliser des analyses d’impact relatives à la protection des données ;
- consulter au préalable les autorités compétentes lorsque cela est requis.
11. Violations de données à caractère personnel
- Le Fournisseur informe le Client sans retard indu après avoir pris connaissance d’une Violation de données à caractère personnel affectant des Données à caractère personnel traitées dans le cadre du présent DPA.
- Dans la mesure disponible, cette notification comprend :
- la nature de la violation ;
- les catégories de Personnes concernées et de Données à caractère personnel affectées ;
- les conséquences probables ;
- les mesures prises ou proposées ;
- les coordonnées permettant un suivi.
12. Sous-traitants ultérieurs
- Le Client accorde au Fournisseur une autorisation écrite générale pour recourir à des sous-traitants ultérieurs dans le cadre du Traitement de Données à caractère personnel au titre du présent DPA.
- Le Fournisseur tient à jour une liste actuelle des sous-traitants ultérieurs et la met à disposition à l’adresse : https://ezze-wcag-pro.com/de/subprozessoren/.
- Le Fournisseur informe le Client des ajouts ou remplacements significatifs de sous-traitants ultérieurs en mettant à jour la liste et, le cas échéant, par une information complémentaire.
- Le Client peut s’opposer à un nouveau sous-traitant ultérieur pour des motifs raisonnables liés à la protection des données dans un délai de 30 jours à compter de l’information.
- Le Fournisseur impose aux sous-traitants ultérieurs des obligations en matière de protection des données qui ne soient pas moins protectrices que celles prévues dans le présent DPA, dans la mesure applicable aux services fournis.
12.1 Liste actuelle des sous-traitants ultérieurs
IONOS Cloud GmbH
- Rôle : sous-traitant ultérieur
- Finalité : hébergement de l’infrastructure proxy/cloud, traitement technique, journaux et stockage persistant des données pertinentes pour le traitement
- Localisation : Union européenne
- Base de transfert : Selon la configuration actuelle, l’hébergement régulier de l’infrastructure proxy/cloud a lieu au sein de l’Union européenne ; il n’existe actuellement aucun transfert vers un pays tiers via IONOS pour cet hébergement.
- Référence : https://cloud.ionos.com/protection ; https://www.ionos.de/hilfe/datenschutz/allgemeine-informationen-zur-datenschutz-grundverordnung-dsgvo/vereinbarung-zur-auftragsverarbeitung-avv-mit-ionos-abschliessen/
OpenAI Ireland Ltd.
- Rôle : sous-traitant ultérieur
- Finalité : textes alternatifs IA, explications / solutions IA, AI Insights, examen IA de l’accessibilité des images
- Localisation : Irlande / traitement ultérieur régi, le cas échéant, par le cadre contractuel d’OpenAI
- Base de transfert : Dans la mesure où des Données à caractère personnel sont transférées en dehors de l’EEE, ce transfert a lieu sur la base du Data Processing Addendum d’OpenAI et des mécanismes de transfert qui y sont prévus, y compris les clauses contractuelles types lorsque cela est requis.
- Référence : https://openai.com/policies/data-processing-addendum/
Remarque : l’API Google PageSpeed Insights n’est pas listée ici comme sous-traitant ultérieur principal classique. Elle est divulguée séparément comme service externe utilisé pour les tests d’accessibilité. En particulier, l’URL soumise par le Client pour le test est transmise à l’API Google PageSpeed Insights.
13. Transferts internationaux de données
- Le Fournisseur peut transférer des Données à caractère personnel en dehors de la juridiction du Client, notamment en dehors de l’EEE, du Royaume-Uni ou de la Suisse, ou faire traiter ces données dans ces territoires uniquement lorsque ce transfert ou ce traitement est autorisé par le Droit applicable en matière de protection des données.
- Au regard de la configuration actuelle du service, les points suivants s’appliquent en particulier aux principaux services externes utilisés :
- IONOS Cloud GmbH (hébergement / serveur situé dans l’Union européenne) : selon la configuration actuelle, l’infrastructure proxy/cloud est hébergée au sein de l’Union européenne ; il n’existe actuellement aucun transfert vers un pays tiers via IONOS pour cet hébergement.
- OpenAI Ireland Ltd. : dans la mesure où des Données à caractère personnel sont transférées en dehors de l’EEE, ce transfert a lieu sur la base du Data Processing Addendum d’OpenAI et des mécanismes de transfert qui y sont prévus, y compris les clauses contractuelles types lorsque cela est requis.
- Lorsqu’une décision d’adéquation, des clauses contractuelles types, le UK International Data Transfer Addendum ou tout autre mécanisme de transfert licite s’appliquent à une activité de traitement spécifique, le transfert a lieu sur cette base.
- Des informations sur les mécanismes de transfert applicables sont fournies sur demande, sous réserve de contraintes de confidentialité et de sécurité.
14. Suppression et restitution des données
- À la résiliation ou à l’expiration des Services, le Fournisseur, au choix du Client, supprime ou restitue les Données à caractère personnel traitées dans le cadre du présent DPA, sauf si une conservation est requise par la loi applicable.
- Le Fournisseur peut conserver des Données à caractère personnel pendant une période limitée lorsque cela est nécessaire pour la conformité légale, la journalisation de sécurité, la prévention de la fraude, la rotation des sauvegardes ou la gestion de réclamations juridiques.
- Sur demande, le Fournisseur confirme l’achèvement de la suppression, sauf interdiction légale ou impossibilité technique concernant des supports de sauvegarde résiduels, auquel cas le Fournisseur continue de protéger les données et de les isoler de tout Traitement actif ultérieur.
15. Audits et droits d’information
- Le Fournisseur met à disposition les informations raisonnablement nécessaires pour démontrer le respect du présent DPA.
- Lorsque cela est raisonnablement nécessaire, le Client peut procéder lui-même à un audit ou le faire réaliser par un auditeur indépendant soumis à une obligation de confidentialité, à condition que :
- un préavis raisonnable soit donné ;
- l’audit soit limité aux questions pertinentes au regard du présent DPA ;
- l’audit ne perturbe pas déraisonnablement les activités du Fournisseur ;
- le Client supporte ses propres frais d’audit sauf si l’audit révèle une violation substantielle du Fournisseur.
- Le Fournisseur peut satisfaire en partie à ses obligations d’audit en fournissant, le cas échéant, des certifications à jour, des rapports d’audit, des résumés de tests d’intrusion, des questionnaires ou des attestations de sécurité.
16. Responsabilité
- Dans la mesure où les parties ont conclu un accord principal distinct contenant des dispositions de responsabilité, ces dispositions s’appliquent également au présent DPA dans la mesure et aussi longtemps qu’une telle application est autorisée par le Droit applicable en matière de protection des données.
- Dans la mesure où il n’existe pas d’accord principal distinct prévoyant des dispositions de responsabilité divergentes, la responsabilité des parties est régie par les dispositions légales applicables.
17. Droit applicable
Le présent DPA est régi par le droit de la République fédérale d’Allemagne, à l’exclusion des règles de conflit de lois, sous réserve que les règles impératives de protection des données protégeant les Personnes concernées demeurent inchangées.
Annexe 1 – Description du Traitement
Produit : EZZE WCAG Pro
Services couverts : tests d’accessibilité basés sur le cloud, textes alternatifs générés par IA, explications et recommandations de correction basées sur l’IA, AI Insights, traitement lié au support et opérations de service associées.
Finalité : fourniture, maintenance, support, sécurité et prévention des abus pour les Services demandés.
Personnes concernées : visiteurs du site web, utilisateurs et administrateurs du Client, contacts support et personnes dont les données apparaissent dans des contenus du Client soumis aux Services.
Catégories de Données à caractère personnel : URL, fragments de contenu, données d’image ou URL d’images, données de diagnostic, identifiants de site / licence, données de configuration, contenus de support, données d’entrée / sortie d’IA et données d’utilisation, de journalisation et de sécurité (par exemple horodatages, type d’événement, adresse IP, métadonnées relatives au fournisseur / modèle et estimations de jetons / de coûts) dans la mesure où elles sont traitées en lien avec les Services.
Remarques complémentaires sur le traitement : des données d’utilisation et de quota peuvent être consignées côté serveur dans le cadre des Services. Sur la base de la configuration technique actuelle, les fichiers image ne sont pas stockés de manière persistante sur le proxy en tant que fonctionnalité produit. La journalisation étendue de débogage / d’erreur n’est activée qu’en cas de besoin, par exemple pour le dépannage ou le support. Pour les tests d’accessibilité, l’API Google PageSpeed Insights peut en outre être utilisée comme service externe pour analyser l’URL soumise par le Client.
Catégories particulières : non prévues sauf prise en charge explicite et mesures de protection séparées.
Annexe 2 – Mesures techniques et organisationnelles (TOM)
Sur la base de la mise en œuvre actuelle, le Fournisseur applique notamment les mesures suivantes :
- hébergement de l’infrastructure proxy/cloud auprès d’IONOS Cloud GmbH, avec un serveur situé dans l’Union européenne ;
- transmission chiffrée de tous les points d’accès proxy pertinents via HTTPS/TLS ;
- chiffrement au repos selon la configuration d’hébergement actuelle ;
- protection des accès administratifs par authentification multifacteur ;
- restriction de l’accès administratif à un seul compte administrateur ;
- journalisation des événements d’utilisation, de sécurité et d’erreur ; la journalisation étendue de débogage / d’erreur n’est activée qu’en cas de besoin, par exemple pour le dépannage ou le support ;
- sauvegardes externes chiffrées de l’infrastructure proxy/cloud auprès d’un prestataire de sauvegarde exploité en Allemagne ;
- gestion des changements et correctifs selon les besoins ;
- gestion et escalade des incidents au moyen de procédures organisationnelles internes ;
- gestion et intégration contractuelle des sous-traitants ultérieurs.
Disponibilité, restauration et mesures organisationnelles de sécurité
Sauvegardes / restauration
Le Fournisseur exploite des sauvegardes techniques externes et chiffrées de l’infrastructure proxy/cloud. Les sauvegardes sont stockées auprès d’un prestataire de sauvegarde en Allemagne. L’accès est limité aux finalités administratives autorisées de restauration, de sécurité et d’urgence et est protégé par des contrôles techniques d’accès. La conservation des sauvegardes est limitée et rotative ; les points de restauration plus anciens sont supprimés conformément au concept de sauvegarde. Les données contenues dans les sauvegardes ne sont pas traitées activement ; après une restauration, les règles ordinaires de suppression et de conservation sont de nouveau appliquées.
Tests de restauration
Un test initial de restauration depuis le dépôt externe de production a été réalisé avec succès. Les tests de restauration doivent être répétés et documentés à intervalles appropriés.
Environnements de test et de production
Le Fournisseur n’exploite actuellement pas d’environnement de test séparé. Les modifications apportées au proxy et à l’infrastructure de service sont donc effectuées de manière contrôlée et avec une prudence particulière dans l’environnement de production. Aucun modèle de rôles à plusieurs niveaux n’est actuellement mis en place ; l’accès aux fonctions administratives est limité à un seul compte administrateur protégé par authentification multifacteur.
Réponse aux incidents / incidents de sécurité
Le Fournisseur ne dispose actuellement pas d’un plan formalisé et écrit de réponse aux incidents. Les incidents de sécurité, interruptions et événements pertinents du point de vue de la protection des données sont néanmoins traités en interne au cas par cas, y compris la détection, le confinement, la correction, l’analyse des causes profondes et, lorsque cela est requis, la notification des clients concernés. Une documentation formelle supplémentaire de ce processus est prévue.
Annexe 3 – Référence à la liste des sous-traitants ultérieurs
Liste actuelle disponible à l’adresse : https://ezze-wcag-pro.com/de/subprozessoren/
La liste contient, selon le cas :
- le nom du sous-traitant ultérieur ;
- la description du service ;
- la localisation ;
- le mécanisme applicable de transfert international ;
- l’URL de référence pertinente en matière de confidentialité / sécurité.