Préambule
Le présent contrat encadre le traitement de données à caractère personnel que Vincent Brach, éditeur du service derush.tv (ci-après « le Prestataire »), réalise pour le compte de son client (ci-après « le Client »), en application de l'article 28 du règlement (UE) 2016/679 (« RGPD »).
Il complète les conditions générales d'utilisation, qu'il ne remplace pas. En cas de contradiction entre les deux textes sur une question de protection des données, le présent contrat prévaut.
Article 1 — Définitions
Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée » et « violation de données à caractère personnel » ont le sens que leur donne l'article 4 du RGPD.
- « Service » : la plateforme derush.tv, ses interfaces web, son extension Twitch, son plugin Stream Deck et ses interfaces de programmation.
- « Données Client » : les données à caractère personnel traitées par le Prestataire pour le compte du Client dans le cadre du Service, telles que décrites à l'annexe 1.
- « Chaîne » : la chaîne Twitch rattachée au compte du Client sur le Service.
- « Spectateur » : toute personne s'exprimant dans le chat public de la Chaîne ou utilisant l'extension Twitch du Service, sans être elle-même cliente du Prestataire.
Article 2 — Objet et qualification des parties
Le Service repose sur deux traitements de nature juridique différente, qu'il importe de ne pas confondre.
Pour les données propres au compte du Client — adresse électronique, mot de passe, abonnement, statistiques d'usage du Service — le Prestataire agit en qualité de responsable du traitement. Ces traitements sont décrits dans sa politique de confidentialité et n'entrent pas dans le champ du présent contrat.
Pour les données que le Client fait traiter sur sa communauté — messages du chat de sa Chaîne, markers proposés par ses Spectateurs, contenus qu'il importe dans le Service — le Client est responsable du traitement et le Prestataire est sous-traitant. C'est l'objet du présent contrat.
Le Client reconnaît qu'à ce titre, il lui appartient de disposer d'une base légale pour ces traitements, d'informer les personnes concernées, et de répondre à l'exercice de leurs droits. Le Prestataire l'y assiste dans les conditions prévues à l'article 10.
Article 3 — Description du traitement
L'objet, la durée, la nature et la finalité du traitement, ainsi que les catégories de données et de personnes concernées, sont décrits à l'annexe 1, qui fait partie intégrante du présent contrat.
Toute évolution substantielle de ces éléments fait l'objet d'une information préalable du Client, dans les conditions de l'article 16.
Article 4 — Traitement sur instruction documentée
Le Prestataire ne traite les Données Client que sur instruction documentée du Client, y compris en ce qui concerne les transferts hors de l'Union européenne.
Constituent des instructions documentées au sens du présent article : le présent contrat et ses annexes, les conditions générales d'utilisation, les réglages effectués par le Client dans son espace — notamment l'activation de la capture du chat, le partage public d'une VOD et l'anonymisation des auteurs — ainsi que toute demande écrite adressée à [email protected].
Si le Prestataire estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition du droit de l'Union ou du droit d'un État membre relative à la protection des données, il en informe immédiatement le Client et peut suspendre son exécution.
Le Prestataire s'interdit d'utiliser les Données Client à ses propres fins. En particulier, et sans que cette énumération soit limitative, il s'interdit de les revendre, de les céder, de les utiliser à des fins publicitaires ou de prospection, et de les exploiter pour améliorer le Service au bénéfice d'autres clients au-delà de statistiques agrégées ne permettant l'identification d'aucune personne.
Article 5 — Intelligence artificielle et entraînement de modèles
Le Service met en œuvre des traitements automatisés d'aide à la décision : transcription de la parole, détection des silences et des variations de volume, repérage des emballements du chat. Ces traitements produisent des suggestions ; ils ne prennent aucune décision produisant des effets juridiques à l'égard d'une personne, ni ne l'affectant de manière significative au sens de l'article 22 du RGPD.
À la date du présent contrat, la transcription est réalisée par un modèle exécuté sur l'infrastructure du Prestataire : aucun contenu du Client n'est transmis à un fournisseur d'intelligence artificielle tiers. Si le Prestataire venait à recourir à un tel fournisseur, celui-ci serait ajouté à l'annexe 3 selon la procédure de l'article 8, et l'engagement de non-entraînement énoncé ci-dessus lui serait contractuellement étendu.
Article 6 — Obligations du Prestataire
Confidentialité. Le Prestataire veille à ce que les personnes autorisées à traiter les Données Client s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité. L'accès aux Données Client est limité aux personnes pour lesquelles il est nécessaire à la fourniture du Service.
Sécurité. Le Prestataire met en œuvre les mesures techniques et organisationnelles décrites à l'annexe 2, appropriées au risque au sens de l'article 32 du RGPD. Ces mesures peuvent évoluer, sans que le niveau de protection puisse être abaissé.
Conservation. Le Prestataire applique aux Données Client les durées de conservation figurant à l'annexe 1. Ces durées sont mises en œuvre par des traitements automatiques et non par une intervention manuelle.
Documentation. Le Prestataire tient un registre des catégories d'activités de traitement effectuées pour le compte du Client, conformément à l'article 30.2 du RGPD.
Article 7 — Obligations du Client
Le Client, en sa qualité de responsable du traitement, garantit au Prestataire :
- disposer d'une base légale pour les traitements qu'il fait réaliser, notamment pour l'enregistrement des messages du chat de sa Chaîne ;
- avoir informé les personnes concernées, ou s'être valablement prévalu d'une exception à cette obligation ;
- disposer des droits nécessaires sur les contenus qu'il importe dans le Service, y compris à l'égard des personnes qui y figurent ou dont la voix y est audible ;
- ne pas transmettre au Prestataire de données relevant de l'article 9 du RGPD (opinions, santé, convictions, orientation sexuelle, données biométriques ou génétiques) ni de données relatives à des condamnations pénales, le Service n'étant pas conçu pour de tels traitements ;
- ne pas utiliser le Service pour traiter des données de personnes de moins de quinze ans lorsqu'un consentement parental serait requis et n'aurait pas été recueilli ;
- paramétrer le Service conformément à ses propres obligations, notamment quant à l'activation de la capture du chat, au partage public d'une VOD et à l'anonymisation des auteurs.
Article 8 — Sous-traitants ultérieurs
Le Client autorise le Prestataire à recourir aux sous-traitants ultérieurs listés à l'annexe 3. Cette autorisation est générale au sens de l'article 28.2 du RGPD.
Le Prestataire impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du présent contrat. Il demeure pleinement responsable devant le Client de l'exécution par ces sous-traitants de leurs obligations.
L'annexe 3 distingue deux catégories de sous-traitants ultérieurs, soumises à deux régimes différents : ceux qui interviennent pour l'ensemble du Service, et ceux qui n'interviennent que pour une fonctionnalité optionnelle que le Client active lui-même.
Sous-traitants du socle — ajout ou remplacement. Lorsqu'un sous-traitant ultérieur intervient pour l'ensemble du Service, sans que le Client puisse s'y soustraire autrement qu'en cessant d'utiliser le Service, le Prestataire informe le Client de tout projet d'ajout ou de remplacement par courriel à l'adresse du compte, au moins trente (30) jours avant sa mise en œuvre. Le Client dispose de ce délai pour s'y opposer par écrit, en motivant son opposition par un motif tenant à la protection des données.
En cas d'opposition motivée, les parties recherchent une solution de bonne foi. À défaut d'accord dans un délai de trente jours, le Client peut résilier son abonnement sans pénalité, avec remboursement au prorata de la période payée et non consommée.
Fonctionnalités optionnelles — activation par le Client. Lorsqu'un sous-traitant ultérieur n'intervient que pour une fonctionnalité optionnelle, désactivée par défaut, le préavis de trente jours ne s'applique pas. Le recours à ce sous-traitant procède en effet d'un choix du Client, et non d'une décision du Prestataire qui s'imposerait à lui.
Ce régime est subordonné aux conditions cumulatives suivantes, dont le défaut de l'une quelconque replace la fonctionnalité sous le régime du socle : la fonctionnalité est désactivée par défaut et le demeure tant que le Client ne l'a pas activée ; aucune Donnée Client n'est transmise au sous-traitant avant l'activation ; le sous-traitant figure à l'annexe 3, avec les mêmes mentions que les autres, avant que la fonctionnalité ne soit proposée ; et l'écran d'activation indique, avant toute action du Client, l'identité du sous-traitant, les catégories de Données Client transmises, leur localisation et l'encadrement du transfert le cas échéant.
L'activation vaut instruction documentée du Client au sens de l'article 28.3.a du RGPD. Le Client exerce son droit d'opposition en n'activant pas la fonctionnalité, ou en la désactivant à tout moment depuis son espace ; la désactivation met fin à la transmission pour l'avenir et ouvre droit à la suppression des Données Client détenues par ce sous-traitant, dans les conditions de l'article 12.
Si une fonctionnalité relevant de ce régime devait cesser d'être optionnelle, ou être activée autrement que par un acte explicite du Client, le sous-traitant concerné rejoindrait le socle et le préavis de trente jours s'appliquerait avant ce changement.
Article 9 — Transferts hors de l'Union européenne
Certains sous-traitants ultérieurs sont établis hors de l'Espace économique européen ou y opèrent une partie de leur infrastructure. Ces transferts sont identifiés à l'annexe 3, avec le mécanisme qui les encadre.
Le Prestataire s'engage à ce que tout transfert de Données Client hors de l'Espace économique européen repose sur l'un des mécanismes prévus au chapitre V du RGPD : décision d'adéquation, clauses contractuelles types de la Commission européenne, ou autre garantie appropriée.
Article 10 — Assistance à l'exercice des droits
Le Prestataire assiste le Client, compte tenu de la nature du traitement et par des mesures techniques et organisationnelles appropriées, pour lui permettre de donner suite aux demandes d'exercice des droits des personnes concernées.
Cette assistance prend la forme suivante :
| Droit | Moyen mis à disposition du Client |
|---|---|
| Accès et portabilité | Consultation du chat enregistré d'une VOD dans le panel de dérushage ; export du chat d'une VOD au format fichier, sur demande adressée au Prestataire. |
| Effacement | Suppression d'une VOD, qui efface le chat enregistré et les markers associés ; suppression d'un projet ; suppression de la Chaîne. Les fichiers correspondants sont purgés du stockage. |
| Opposition | Désactivation de la capture du chat, qui interrompt tout nouvel enregistrement ; listes de modération par Chaîne. |
| Rectification | Les données de Spectateurs proviennent de Twitch et n'y sont pas modifiables. Une demande de rectification se traite par effacement. |
Lorsqu'une personne concernée s'adresse directement au Prestataire pour une demande relevant de la responsabilité du Client, le Prestataire en informe le Client sans délai et ne répond pas lui-même à la demande, sauf instruction contraire.
Limite portée à la connaissance du Client. Le Service ne dispose pas d'une fonction de recherche permettant d'isoler, dans le chat enregistré, l'ensemble des messages d'un Spectateur donné. Une demande d'accès ou d'effacement visant une personne précise se traite donc à l'échelle de la VOD concernée : consultation ou export du chat de cette VOD, puis suppression de la VOD si l'effacement est demandé. Le Prestataire assiste le Client dans cette recherche sur demande écrite.
Article 11 — Violations de données
Le Prestataire notifie au Client toute violation de données à caractère personnel affectant les Données Client dans les quarante-huit (48) heures après en avoir pris connaissance, par courriel à l'adresse du compte.
Ce délai est volontairement plus court que les soixante-douze heures dont dispose le Client pour notifier l'autorité de contrôle : il doit lui laisser le temps d'apprécier la situation et de préparer sa propre notification.
La notification décrit, dans la mesure des informations disponibles : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, et les mesures prises ou envisagées. Lorsque toutes ces informations ne peuvent être fournies en une fois, elles le sont de manière échelonnée.
Le Prestataire assiste le Client dans la notification à l'autorité de contrôle et, le cas échéant, dans l'information des personnes concernées. Il ne procède lui-même à aucune de ces notifications pour le compte du Client sans instruction écrite.
Article 12 — Analyse d'impact et consultation préalable
Le Prestataire assiste le Client, compte tenu de la nature du traitement et des informations à sa disposition, pour la réalisation d'une analyse d'impact relative à la protection des données et, le cas échéant, pour la consultation préalable de l'autorité de contrôle.
Cette assistance prend la forme de la mise à disposition de la description technique des traitements, des mesures de sécurité et de la chaîne de sous-traitance. Elle ne comprend pas la rédaction de l'analyse elle-même, qui incombe au Client.
Article 13 — Sort des données en fin de contrat
Au terme de la fourniture du Service, le Prestataire, au choix du Client exprimé par écrit, supprime les Données Client ou les lui restitue, et détruit les copies existantes, sauf obligation légale de conservation.
À défaut de choix exprimé dans les trente jours suivant la fin du contrat, les Données Client sont supprimées.
Le Client peut, à tout moment et sans attendre la fin du contrat, supprimer lui-même une VOD, un projet ou l'intégralité de sa Chaîne depuis son espace. La suppression entraîne l'effacement des données correspondantes en base et la purge des fichiers associés du stockage.
Article 14 — Démonstration de conformité et audit
Le Prestataire met à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations du présent contrat, sur demande écrite adressée à [email protected].
Le Client peut réaliser un audit, une fois par an et à ses frais, moyennant un préavis raisonnable de trente jours. L'audit s'exerce dans des conditions n'entravant pas le fonctionnement du Service et ne portant pas atteinte à la confidentialité des données d'autres clients. Le Prestataire peut y répondre par la fourniture d'un questionnaire renseigné ou d'une documentation technique lorsque celle-ci satisfait l'objet de la demande.
En cas de manquement constaté, les parties conviennent d'un plan de correction et d'un délai raisonnable de mise en conformité.
Article 15 — Responsabilité
Chaque partie répond des dommages causés par un traitement qui violerait le RGPD, dans les conditions de son article 82. Le Prestataire n'est responsable que lorsqu'il n'a pas respecté les obligations du RGPD spécifiquement incombant aux sous-traitants, ou lorsqu'il a agi en dehors des instructions licites du Client ou contrairement à celles-ci.
Le Client garantit le Prestataire contre toute réclamation, action ou sanction résultant du non-respect par lui de ses propres obligations de responsable du traitement, notamment de l'absence de base légale ou d'information des personnes concernées.
Article 16 — Durée, langue et droit applicable
Le présent contrat entre en vigueur à l'acceptation des conditions générales d'utilisation et demeure applicable tant que le Prestataire traite des Données Client. Les obligations de confidentialité et de sécurité lui survivent.
Le Prestataire peut modifier le présent contrat pour tenir compte d'une évolution du droit, d'une décision d'une autorité de contrôle ou d'une évolution du Service. Toute modification substantielle est notifiée au Client au moins trente jours avant son entrée en vigueur ; le Client qui la refuse peut résilier sans pénalité.
Langue. Le présent contrat est rédigé en français, seule version faisant foi. Toute traduction éventuelle est fournie à titre de commodité et ne saurait prévaloir en cas de divergence.
Droit applicable. Le présent contrat est régi par le droit français. Les dispositions impératives protégeant le consommateur dans son pays de résidence habituelle demeurent applicables lorsque le Client a la qualité de consommateur.
Annexe 1 — Description du traitement
Objet. Fourniture d'un outil d'analyse et de montage de contenus de diffusion en direct, permettant à une équipe de repérer et d'exploiter les moments marquants d'un direct.
Nature des opérations. Collecte, enregistrement, organisation, structuration, conservation, consultation, extraction, rapprochement, transcription automatique, effacement.
Durée. Le temps de l'abonnement du Client, augmenté des durées de conservation par catégorie ci-dessous.
| Catégorie de données | Personnes concernées | Finalité | Conservation |
|---|---|---|---|
| Messages du chat Twitch : contenu intégral, pseudonyme et identifiant Twitch de l'auteur, horodatage | Spectateurs de la Chaîne | Détection des moments marquants d'un direct, analyse de l'activité du chat | 90 jours après la fin du direct |
| Verbatim des moments détectés | Spectateurs de la Chaîne | Justification d'une détection (pic de messages, spam d'emote) | 90 jours — le texte est effacé, la détection anonyme est conservée |
| Transcription de la parole d'une VOD : texte des propos, position dans le direct | Le Client, ses invités, toute personne audible dans le direct | Repérage des passages parlés, extraits affichés sous les moments proposés | 90 jours, ou suppression avec la VOD |
| Statistiques agrégées du chat : nombre de messages par tranche de temps | Aucune — données anonymes | Graphiques d'analyse d'une VOD | Durée de la VOD dans le Service |
| Markers : pseudonyme et identifiant Twitch de l'auteur, motif saisi, position dans le direct | Spectateurs ayant utilisé l'extension ou une commande de chat | Signalement d'un moment à l'équipe de dérushage | 12 mois, ou suppression avec la VOD |
| Listes de modération : pseudonymes Twitch bannis ou exemptés de délai | Spectateurs désignés par le Client | Modération de la fonction de signalement | Durée de vie de la Chaîne |
| Contenus importés : vidéos, images, sons, et transcriptions qui en sont tirées | Le Client, ses invités, toute personne visible ou audible dans les contenus | Montage et export de séquences courtes | Durée du contrat. Rendus vidéo : 12 mois. Médias inutilisés : 90 jours |
| Fichiers bruts issus du téléchargement d'une VOD et audio extrait | Le Client et les personnes audibles dans le direct | Transcription et analyse du volume sonore | 7 jours après traitement |
| Activité et présence de l'équipe : notes, segments, messages, heures de connexion | Membres de l'équipe de la Chaîne | Coordination du travail de dérushage | 12 mois |
Annexe 2 — Mesures techniques et organisationnelles
Les mesures suivantes sont effectivement mises en œuvre à la date du présent contrat.
| Domaine | Mesure |
|---|---|
| Chiffrement en transit | HTTPS sur l'ensemble des échanges, avec HSTS et préchargement. |
| Chiffrement au repos | Les jetons d'accès aux services tiers du Client et les secrets de double authentification sont chiffrés en AES-256-GCM, la clé étant conservée hors de la base de données. Rotation de clé prévue. |
| Secrets d'authentification | Mots de passe hachés (bcrypt, coût 12). Codes de secours de double authentification hachés. Jetons de session hachés en HMAC-SHA512, jamais conservés en clair. |
| Cloisonnement entre clients | Contrôle d'accès par rôle et par permission, résolu pour chaque requête à partir de la Chaîne visée. Les données d'une Chaîne ne sont pas accessibles depuis une autre. |
| Contrôle des contenus importés | Dépôt initial en zone de quarantaine, vérification du type réel du fichier, limites de taille, réencodage systématique supprimant les métadonnées (notamment de géolocalisation), avant mise à disposition. |
| Isolation réseau | Base de données, cache et files de traitement non exposés à Internet, accessibles uniquement depuis le réseau interne des services. |
| Limitation de débit | Sur les points d'entrée d'authentification et sur l'extension publique, pour limiter les attaques par force brute et les envois automatisés. |
| Journalisation | Rotation bornée des journaux. Aucun secret, jeton ni mot de passe n'y est écrit. Suivi des erreurs applicatives sans adresse électronique, sans adresse IP et sans cookie. |
| Sauvegardes | Chiffrées en AES-256, conservées trente jours en rotation, hors de toute arborescence publiée. |
| Effacement | Suppression en cascade cohérente entre la base et le stockage de fichiers, avec file de purge dédiée pour les objets stockés. |
| Conservation | Durées appliquées automatiquement, déclarées en un point unique et couvertes par des tests. |
Mesures non mises en œuvre à ce jour, mentionnées pour que le Client ne les suppose pas acquises : chiffrement de l'intégralité de la base de données au repos ; authentification interne de la base de données, dont la protection repose actuellement sur la seule isolation réseau ; journal nominatif des accès aux données permettant de retracer qui a consulté quoi.
Annexe 3 — Sous-traitants ultérieurs
Liste des sous-traitants ultérieurs auxquels le Prestataire recourt pour le traitement des Données Client, à la date du présent contrat.
| Sous-traitant | Rôle | Données concernées | Localisation | Encadrement du transfert |
|---|---|---|---|---|
| Hostinger International Ltd | Hébergement de l'infrastructure : serveurs applicatifs, base de données, sauvegardes | Ensemble des Données Client | Serveurs en France ; siège social à Chypre | Sans objet : aucun transfert hors de l'Union européenne |
| Cloudflare, Inc. | Stockage et diffusion des fichiers média | Contenus importés, rendus, vignettes ; adresse IP des personnes consultant ces fichiers | Réseau mondial | Clauses contractuelles types |
| Amazon Web Services | Calcul du rendu vidéo | Composition vidéo : médias, textes, sous-titres | Allemagne (région eu-central-1) | Sans objet pour le calcul du rendu : la région est située dans l'Union européenne. L'addendum de protection des données et les clauses contractuelles types restent applicables aux accès d'assistance depuis un pays tiers |
| Sentry | Détection et diagnostic des erreurs applicatives | Identifiant technique de compte, trace d'erreur, adresse de la page. Ni adresse électronique, ni adresse IP, ni cookie | États-Unis ou Allemagne selon l'offre | Clauses contractuelles types |
| Discord | Acheminement des notifications vers le serveur Discord que le Client a lui-même rattaché à sa chaîne | Pseudonyme Twitch de l'auteur d'un marker ou d'un clip, et le motif qu'il a saisi en texte libre. Ces personnes sont des spectateurs, non des utilisateurs du Service | États-Unis | Clauses contractuelles types |
Régime applicable. À la date du présent contrat, l'ensemble des sous-traitants listés ci-dessus relève du socle au sens de l'article 8 : ils interviennent pour l'ensemble du Service, et leur remplacement ou l'ajout d'un nouveau sous-traitant de cette catégorie est soumis au préavis de trente jours. Aucun sous-traitant ne relève à ce jour du régime des fonctionnalités optionnelles. Le cas échéant, cette annexe l'indiquera explicitement, et l'écran d'activation de la fonctionnalité concernée portera les mentions exigées à l'article 8.
L'hébergement ne donne lieu à aucun transfert au sens du chapitre V du RGPD : les serveurs sont situés en France et l'hébergeur est établi dans un État membre de l'Union européenne. Cette qualification suppose que l'assistance technique de l'hébergeur n'accède pas aux serveurs depuis un pays tiers ; ce point est régi par l'accord de sous-traitance conclu avec lui, dont le Prestataire tient copie à la disposition du Client.
Ne figurent pas dans cette liste les prestataires qui n'accèdent pas aux Données Client : le prestataire de paiement et les outils de mesure d'audience du site ne traitent que des données dont le Prestataire est lui-même responsable, décrites dans sa politique de confidentialité.
La transcription automatique est réalisée sur l'infrastructure du Prestataire : elle ne fait intervenir aucun sous-traitant ultérieur. L'envoi transactionnel de courriels est assuré par un serveur auto-hébergé.
Contact
Toute question, demande d'assistance, notification ou opposition au titre du présent contrat est adressée à [email protected].
Documents liés
Conditions d'utilisation - Politique de confidentialité - Politique cookies - Mentions légales
Une question sur ce contrat ? [email protected]