Accord de traitement des données (DPA) de Feedova

Dernière mise à jour : 21 octobre 2026 · version 2026-10-21

Le présent accord (le « DPA ») fait partie du contrat entre le client (le « Client ») et Nabta LLC, société à responsabilité limitée de droit de l'État du Wyoming, numéro d'entité 2026-002022285, 30 N Gould St Ste R, Sheridan, WY 82801, États-Unis, qui fournit Feedova (« Feedova »). Ce contrat comprend les conditions générales de vente, les conditions générales d'utilisation et toute commande (ensemble, le « Contrat »).

Le DPA s'applique automatiquement dès l'acceptation du Contrat, sans signature séparée. Un Client qui souhaite un exemplaire signé peut le demander à privacy@feedova.ai. Il répond à l'article 28 du règlement (UE) 2016/679 (« RGPD »), à son équivalent britannique (« UK GDPR »), à la loi fédérale suisse sur la protection des données (« LPD ») et, pour les données de résidents des États-Unis, aux exigences des lois des États applicables aux prestataires (« lois américaines »).

1. Définitions

Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens du RGPD. « Données du Client » : les données à caractère personnel contenues dans les Contenus du Client ou collectées à sa demande, que Feedova traite pour son compte. « Sous-traitant ultérieur » : tout prestataire auquel Feedova confie tout ou partie du traitement des Données du Client. « Clauses types » : les clauses contractuelles types de la décision d'exécution (UE) 2021/914.

2. Rôles des parties

2.1 Pour les Données du Client, le Client est responsable du traitement et Feedova est sous-traitant.

2.2 Si le Client agit lui-même comme sous-traitant pour le compte d'un tiers (par exemple une agence pour une marque cliente), Feedova est son sous-traitant ultérieur. Le Client garantit que ses instructions sont conformes à celles de son propre responsable de traitement et qu'il a obtenu les autorisations nécessaires, notamment pour les sous-traitants ultérieurs de Feedova et pour l'article 7.5.

2.3 Feedova est responsable de traitement, et non sous-traitant, pour : les données des comptes des Utilisateurs, la facturation, la sécurité et la prévention de la fraude, le support, la prospection, l'amélioration de ses modèles et services dans les conditions de l'article 7.5, et les données publiques qu'il collecte pour son propre compte. Ces traitements sont décrits dans la politique de confidentialité.

3. Description du traitement

L'objet, la durée, la nature et la finalité du traitement, les types de données et les catégories de personnes concernées sont décrits à l'annexe 1.

4. Instructions

4.1 Feedova traite les Données du Client uniquement sur instruction documentée du Client, y compris pour les transferts hors de l'Union européenne, sauf obligation légale ; il en informe alors le Client avant le traitement, sauf si la loi l'interdit.

4.2 Le Contrat, le DPA, les réglages du Service et les actions que le Client ou ses Utilisateurs lancent dans le Service constituent les instructions documentées du Client. En acceptant le Contrat, le Client donne instruction à Feedova de transmettre aux sous-traitants ultérieurs de l'annexe 3 les données nécessaires aux fonctions qu'il utilise, dans les conditions décrites dans cette annexe. Toute instruction supplémentaire doit être écrite et compatible avec le Service ; si elle a un coût, Feedova le signale avant de l'exécuter.

4.3 Feedova informe immédiatement le Client si, selon lui, une instruction constitue une violation du RGPD ou d'une autre disposition applicable.

4.4 Le Client est responsable de la licéité des Données du Client et de ses instructions : base légale, information des personnes concernées (y compris sur l'article 7.5 et sur ce que font les sous-traitants ultérieurs signalés à l'annexe 3), consentements nécessaires (notamment des personnes dont il fournit l'image ou la voix), et respect des conditions des sites et services d'où proviennent les données.

5. Confidentialité

Feedova veille à ce que les personnes autorisées à traiter les Données du Client s'engagent à la confidentialité ou soient soumises à une obligation légale de confidentialité, et n'y accèdent que dans la mesure nécessaire.

6. Sécurité

6.1 Feedova met en œuvre les mesures techniques et organisationnelles de l'annexe 2 pour garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD.

6.2 Feedova peut faire évoluer ces mesures, à condition de ne pas réduire le niveau global de sécurité.

7. Sous-traitants ultérieurs

7.1 Autorisation générale. Le Client autorise Feedova à faire appel aux sous-traitants ultérieurs listés à l'annexe 3, publiée et tenue à jour sur la page Sous-traitants.

7.2 Changements. Feedova informe le Client de tout ajout ou remplacement d'un sous-traitant ultérieur au moins 30 jours à l'avance, par e-mail au Propriétaire de l'Organisation et sur la page des sous-traitants. Le Client peut s'y opposer pour un motif raisonnable lié à la protection des données, par écrit, pendant ce délai. Les parties cherchent alors une solution de bonne foi ; à défaut, le Client peut résilier la partie du Service concernée, et Feedova lui rembourse le prix payé d'avance pour la période restante.

7.3 Obligations transmises. Feedova impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du DPA, notamment de sécurité et de confidentialité, et reste responsable envers le Client de leur exécution.

7.4 Utilisation des données par certains fournisseurs d'intelligence artificielle. Certains sous-traitants ultérieurs indiquent, dans leurs conditions publiques, qu'ils peuvent utiliser les données reçues pour entraîner ou améliorer leurs propres modèles ; ils agissent alors, pour cette utilisation, pour leur propre compte. L'annexe 3 l'indique pour chacun d'eux (« utilisation pour ses propres modèles »). Feedova : (a) ne transmet à ces fournisseurs que les données nécessaires aux fonctions que le Client utilise ; (b) cherche à obtenir de chacun des conditions qui excluent cette utilisation, et met l'annexe 3 à jour ; (c) active les mécanismes d'opposition que ces fournisseurs proposent ; (d) n'active aucun nouveau fournisseur de ce type sans l'annoncer selon l'article 7.2. Le Client qui ne veut pas que des Données du Client (par exemple l'image d'une personne réelle) soient transmises à un tel fournisseur n'utilise pas avec elles les fonctions concernées, ou prend contact avec Feedova avant.

7.5 Amélioration des modèles et services de Feedova. Le Client autorise Feedova à utiliser les Contenus du Client, après en avoir retiré les données personnelles ou les avoir remplacées par des pseudonymes autant que c'est raisonnablement possible, pour améliorer ses modèles, ses règles de génération et ses services (CGU, article 4.3). Pour ce traitement, Feedova agit comme responsable de traitement, sur le fondement de son intérêt légitime, et s'engage à : (a) exclure les visages, les corps et les voix de personnes réelles identifiables, sauf consentement, ainsi que les données sensibles et les données d'enfants ; (b) ne jamais rendre ces données accessibles à un autre client ; (c) respecter le refus du Client pour son Organisation (garanti par contrat pour les comptes Entreprise) et les oppositions des personnes concernées, pour les entraînements à venir ; (d) annoncer dans le Service le premier entraînement avant qu'il commence.

8. Transferts hors de l'Union européenne

8.1 Feedova est établi aux États-Unis. Les Données du Client sont hébergées dans l'Union européenne (Francfort, Allemagne), mais Feedova y accède depuis l'extérieur de l'Union européenne, et certains sous-traitants ultérieurs les traitent hors de l'Union européenne. Le Client autorise ces transferts aux conditions du présent article.

8.2 Entre le Client et Feedova. Quand le Client est soumis au RGPD pour les Données du Client, les parties concluent les Clauses types, intégrées par référence au DPA, avec les choix suivants : module 2 (responsable vers sous-traitant) quand le Client est responsable de traitement, module 3 (sous-traitant vers sous-traitant) quand il est lui-même sous-traitant ; clause 7 (adhésion) applicable ; clause 9, option 2 (autorisation générale), avec le délai de l'article 7.2 ; clause 11, sans l'option de l'organe indépendant ; clause 13 : l'autorité de contrôle désignée par la clause 13, point a), au regard de la situation du Client (celle de l'État membre où il est établi, ou de celui où se trouve son propre représentant au titre de l'article 27 du RGPD, ou à défaut celle de l'État membre où se trouvent les personnes concernées) ; clause 17 : droit français ; clause 18 : juridictions de Paris (France) ; annexes I, II et III : annexes 1, 2 et 3 du DPA. Si Nabta LLC se certifie au Data Privacy Framework, les transferts reposeront en priorité sur la décision d'adéquation (UE) 2023/1795, les Clauses types restant applicables si cette décision cesse de s'appliquer.

8.3 Royaume-Uni. Pour les données soumises au UK GDPR, les Clauses types s'appliquent telles que modifiées par l'avenant international (« International Data Transfer Addendum ») publié par l'Information Commissioner's Office.

8.4 Suisse. Pour les données soumises à la LPD, les Clauses types s'appliquent avec les adaptations reconnues par le Préposé fédéral à la protection des données et à la transparence (renvois à la LPD, autorité compétente : ce Préposé).

8.5 Transferts ultérieurs. Feedova encadre les transferts vers ses sous-traitants ultérieurs situés dans des pays sans décision d'adéquation par le Data Privacy Framework, quand le sous-traitant est certifié, ou par les Clauses types (module 3), et réalise l'analyse d'impact des transferts nécessaire.

9. Assistance au Client

9.1 Droits des personnes. Feedova aide le Client, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes concernées. Si une personne s'adresse directement à Feedova au sujet des Données du Client, Feedova transmet la demande au Client sans délai et n'y répond pas lui-même, sauf instruction du Client ou obligation légale.

9.2 Analyses d'impact. Feedova fournit au Client les informations raisonnablement nécessaires à ses analyses d'impact relatives à la protection des données et à ses consultations préalables de l'autorité de contrôle.

9.3 Cette assistance est gratuite quand elle reste raisonnable ; au-delà, Feedova peut la facturer à un tarif annoncé à l'avance.

10. Violations de données

10.1 Feedova notifie au Client toute violation de données à caractère personnel concernant les Données du Client dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance.

10.2 La notification décrit, dans la mesure où ces informations sont disponibles : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, le point de contact, les conséquences probables, et les mesures prises ou proposées. Les informations qui ne sont pas encore disponibles sont fournies dès que possible.

10.3 La notification ne vaut pas reconnaissance de faute. Il appartient au Client, responsable de traitement, de notifier l'autorité de contrôle et, le cas échéant, les personnes concernées ; Feedova l'y aide.

11. Audits

11.1 Feedova met à la disposition du Client les informations nécessaires pour démontrer le respect du DPA : documentation, réponses à un questionnaire de sécurité raisonnable une fois par an, et rapports d'audit ou certifications de ses sous-traitants ultérieurs quand ils existent.

11.2 Si ces informations ne suffisent pas, ou si une autorité de contrôle l'exige, le Client peut faire réaliser un audit, au plus une fois par an sauf violation de données, par lui-même ou par un auditeur indépendant tenu au secret et non concurrent de Feedova, avec un préavis d'au moins 30 jours, pendant les heures ouvrées, sans perturber le Service ni accéder aux données des autres clients. Les frais de l'audit sont à la charge du Client, sauf s'il révèle un manquement important de Feedova.

12. Fin du traitement

12.1 À la fin du Contrat, le Client peut exporter les Données du Client pendant 30 jours, comme le prévoient les CGV.

12.2 À l'issue de ce délai, Feedova supprime les Données du Client dans les 90 jours, y compris chez ses sous-traitants ultérieurs, sauf si la loi impose de les conserver. Les sauvegardes sont effacées selon leur cycle normal et restent protégées d'ici là. Feedova confirme la suppression par écrit sur demande. Les données déjà utilisées dans les conditions de l'article 7.5 ne sont pas concernées, et les copies détenues par un fournisseur pour son propre compte (article 7.4) suivent ses conditions.

13. Données publiques collectées pour le Client

Quand le Client demande à Feedova de collecter et d'analyser des contenus publiés par des tiers (avis, discussions, publicités) : (a) Feedova les collecte par les interfaces officielles des sites concernés ou par des prestataires sous contrat, et exclut les sources qui refusent clairement la collecte automatisée ; (b) Feedova supprime ou pseudonymise les noms, pseudonymes et identifiants des auteurs dès la collecte, et ne conserve que ce qui sert à l'analyse ; (c) Feedova écarte autant que possible les contenus révélant des données sensibles sur leurs auteurs ; (d) le Client n'utilise les résultats que pour ses propres études et créations marketing, sans chercher à identifier, contacter ou cibler les auteurs ; (e) le Client reste responsable de la base légale et de l'information des personnes, et Feedova lui fournit les éléments nécessaires (sources, volumes, garanties appliquées).

14. Résidents des États-Unis

Pour les données de résidents des États-Unis soumises à une loi d'État sur la vie privée, Feedova agit comme « service provider » ou « processor » et : (a) ne vend pas ces données et ne les partage pas pour de la publicité comportementale entre sites ; (b) ne les conserve, n'utilise ni ne communique en dehors de la relation directe avec le Client et pour d'autres finalités que celles du Contrat, à l'exception de l'amélioration de ses services dans les limites que ces lois permettent (article 7.5) ; (c) ne les combine pas avec des données reçues d'autres sources, sauf ce que la loi permet ; (d) respecte les obligations applicables et informe le Client s'il ne peut plus les respecter ; (e) permet au Client de prendre des mesures raisonnables pour faire cesser un usage non autorisé.

15. Responsabilité

La responsabilité de chaque partie au titre du DPA est soumise aux limitations du Contrat, avec un plafond propre égal à deux fois les sommes payées par le Client au cours des douze mois précédant le fait générateur. Ces limitations ne restreignent pas les droits des personnes concernées prévus par la loi ou par les Clauses types, et ne s'appliquent pas à un Client consommateur dans la mesure où la loi l'interdit.

16. Durée, langue et ordre de priorité

16.1 Le DPA s'applique tant que Feedova traite des Données du Client.

16.2 En cas de contradiction, les Clauses types prévalent sur le DPA, et le DPA prévaut sur le reste du Contrat pour ce qui concerne la protection des données.

16.3 Le DPA existe en français et en anglais. Pour les Clients établis ou résidant en France, la version française fait foi ; pour tous les autres, la version anglaise fait foi.

Annexe 1 : Description du traitement

Annexe 2 : Mesures techniques et organisationnelles

État au 21 octobre 2026.

Annexe 3 : Sous-traitants ultérieurs

La liste à jour, avec le rôle, le lieu, la garantie de transfert, ce que chaque fournisseur fait des données et son statut, est publiée sur la page Sous-traitants. Elle fait partie du DPA.