Annexe au contrat Telltab, conclue en application de l'article 28 du RGPD · Date : 23 septembre 2026
Le présent Accord de Traitement des Données (« DPA ») complète les Conditions Générales d'Utilisation de Telltab conclues entre le client opérateur du site intégrant le widget Telltab (ci-après le « Responsable du traitement ») et Reverdin Studio, exploitant du service Telltab (ci-après le « Sous-traitant »). Il précise les obligations respectives des parties concernant le traitement de données à caractère personnel effectué par le Sous-traitant pour le compte du Responsable du traitement dans le cadre de la fourniture du service Telltab, conformément à l'article 28 du Règlement (UE) 2016/679 (« RGPD »).
Le Sous-traitant traite des données à caractère personnel pour le compte du Responsable du traitement aux seules fins de fournir le service Telltab : collecte, stockage, analyse et restitution des retours utilisateurs (feedbacks) soumis via le widget intégré sur le site du Responsable du traitement.
Le traitement est effectué pendant toute la durée du contrat liant les parties. À l'issue de celui-ci, les dispositions de l'article 9 (« Sort des données à la fin du contrat ») s'appliquent.
Les utilisateurs finaux du site du Responsable du traitement ayant soumis un feedback via le widget Telltab.
Le Sous-traitant ne traite les données que sur instruction documentée du Responsable du traitement, telle que formalisée par les CGU, la présente DPA et la configuration du service effectuée par le Responsable du traitement depuis son tableau de bord. Le Sous-traitant informe immédiatement le Responsable du traitement si une instruction lui paraît contraire au RGPD ou à toute autre disposition relative à la protection des données.
Le Sous-traitant veille à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou soient soumises à une obligation légale de confidentialité appropriée.
Le Responsable du traitement autorise le Sous-traitant à recourir aux sous-traitants ultérieurs suivants, nécessaires à la fourniture du service :
Le Sous-traitant informe le Responsable du traitement de tout changement prévu concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, lui donnant ainsi la possibilité d'émettre des objections. Le Sous-traitant impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles prévues par la présente DPA.
Le Sous-traitant met en œuvre les mesures techniques et organisationnelles suivantes :
En cas de violation de données à caractère personnel affectant les données traitées pour le compte du Responsable du traitement, le Sous-traitant notifie le Responsable du traitement dans un délai maximum de 72 heures après en avoir pris connaissance. Cette notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables ainsi que les mesures prises ou proposées pour y remédier.
Le Sous-traitant assiste le Responsable du traitement, dans la mesure du possible, pour l'exécution de ses obligations au titre du RGPD, notamment en matière de réponse aux demandes d'exercice des droits des personnes concernées, d'analyse d'impact relative à la protection des données (AIPD) et de consultation préalable de l'autorité de contrôle compétente.
Au terme du contrat, et au choix du Responsable du traitement, le Sous-traitant supprime ou restitue l'ensemble des données à caractère personnel traitées pour son compte, et détruit les copies existantes, sauf obligation légale de conservation contraire. Le Responsable du traitement dispose de 30 jours après la résiliation pour exporter ses données depuis le tableau de bord avant leur suppression définitive.
Le Sous-traitant met à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues par la présente DPA et par l'article 28 du RGPD, et permet la réalisation d'audits, y compris des inspections, diligentés par le Responsable du traitement ou un auditeur qu'il a mandaté, moyennant un préavis raisonnable et selon des modalités convenues entre les parties de manière à ne pas perturber l'exploitation du service.
Le Sous-traitant tient à jour un registre des catégories d'activités de traitement effectuées pour le compte du Responsable du traitement, conformément à l'article 30(2) du RGPD.
Les données sont hébergées au sein de l'Union européenne. Le recours à Anthropic PBC (États-Unis) en tant que sous-traitant ultérieur implique un transfert de données hors UE, encadré par des clauses contractuelles types adoptées par la Commission européenne. Le Responsable du traitement peut demander une copie des garanties applicables en écrivant à hello@telltab.com.
La présente DPA est soumise au droit français. Tout litige relatif à son interprétation ou à son exécution sera soumis aux tribunaux compétents de Paris.
Contact DPA : hello@telltab.com