Scrap.io | Accord de traitement des données

Dernière mise à jour : 2026-10-28

Version 1.0.

Le présent accord de traitement des données (le « DPA ») fait partie des conditions générales de Scrap.io (les « Conditions ») entre GH CONSULTANCY DEV LLP (« Scrap.io », le « Sous-traitant »), dont le représentant dans l'Union européenne au titre de l'article 27 du RGPD est Prighter EU Rep GmbH, Schellinggasse 3/10, 1010 Vienne, Autriche, et le client qui a accepté les Conditions (le « Client », le « Responsable de traitement »). Il s'applique automatiquement dès que le Client utilise une fonctionnalité dans laquelle Scrap.io traite des données personnelles pour son compte. Aucune signature n'est nécessaire. En cas de contradiction entre les Conditions et le DPA sur le traitement des données personnelles, le DPA prévaut.

1. Champ d'application

1.1 Le DPA s'applique aux données personnelles contenues dans les fichiers que le Client importe dans le Service pour les enrichir, dans les identifiants que le Client soumet pour enrichissement par l'API, le serveur MCP ou la recherche inversée, et dans les listes que le Client crée dans le Service (comme les listes d'exclusion) (les « Données personnelles du Client »).

1.2 Il ne s'applique ni aux données d'établissements que Scrap.io collecte à partir de sources publiques et fournit à ses clients, pour lesquelles Scrap.io est responsable de traitement indépendant, ni aux données de compte et de facturation du Client, pour lesquelles Scrap.io est également responsable de traitement. Les deux sont décrites dans la politique de confidentialité de Scrap.io.

1.3 « Législation sur la protection des données » désigne le UK GDPR, le UK Data Protection Act 2018, le règlement général sur la protection des données 2016/679 (le « RGPD ») et toute autre législation sur la protection des données applicable au traitement. Les termes « données personnelles », « traitement », « responsable de traitement », « sous-traitant », « personne concernée » et « violation de données personnelles » ont le sens que leur donne le RGPD.

2. Description du traitement

Objet et finalité : rapprochement des fichiers et listes du Client avec la base d'établissements de Scrap.io, restitution de résultats enrichis au Client, et application des listes d'exclusion du Client à ses exports.
Durée : jusqu'à la suppression des Données personnelles du Client prévue à la section 10. Les identifiants soumis par l'API, le serveur MCP ou la recherche inversée sont conservés dans un cache pendant 30 jours. Lorsque le Client ne détient que des pass, ou détient un pass actif à la résiliation de son abonnement, le traitement prend fin lorsque le Client supprime les données ou demande à Scrap.io de les supprimer.
Nature du traitement : import, stockage, analyse, rapprochement, génération de fichiers de résultat, suppression.
Catégories de données : identifiants et coordonnées contenus dans les fichiers du Client, tels que noms, adresses email professionnelles, numéros de téléphone, sites web, adresses et identifiants d'établissements, et toute autre donnée que le Client choisit d'y inclure.
Catégories de personnes concernées : les contacts, prospects et clients du Client, et toute autre personne dont le Client inclut les données.
Catégories particulières de données : aucune. Le Client ne doit pas importer de catégories particulières de données ni de données relatives à des condamnations pénales.

3. Instructions

3.1 Scrap.io ne traite les Données personnelles du Client que sur instruction documentée du Client. Les Conditions, le DPA et l'utilisation des fonctionnalités du Service par le Client constituent l'intégralité de ses instructions.

3.2 Scrap.io informe immédiatement le Client si, à son avis, une instruction enfreint la Législation sur la protection des données.

3.3 Si une loi à laquelle Scrap.io est soumis l'oblige à traiter des Données personnelles du Client autrement que sur instruction du Client, Scrap.io en informe le Client avant le traitement, sauf si cette loi l'interdit.

3.4 Scrap.io n'utilise pas les Données personnelles du Client pour ses propres finalités. En particulier, il n'ajoute pas de Données personnelles du Client à sa base d'établissements.

3.5 Le Client est responsable de la licéité des Données personnelles du Client et de ses instructions, y compris de disposer d'une base légale pour le traitement et de fournir aux personnes concernées l'information requise. Lorsque le Client traite les Données personnelles du Client en tant que sous-traitant pour le compte d'un autre responsable de traitement, il garantit que ce responsable a autorisé ses instructions et le recours à Scrap.io, qui agit alors comme sous-traitant ultérieur du Client au titre du DPA.

4. Confidentialité

Scrap.io veille à ce que les personnes qu'il autorise à traiter les Données personnelles du Client soient tenues à une obligation de confidentialité et n'y accèdent que dans la mesure nécessaire pour fournir le Service ou le support.

5. Sécurité

Scrap.io met en œuvre les mesures techniques et organisationnelles appropriées pour protéger les Données personnelles du Client, compte tenu de l'état de l'art, des coûts et des risques, comme l'exige l'article 32 du RGPD. Elles comprennent notamment : le chiffrement en transit, le chiffrement au repos des fichiers stockés, un accès limité au personnel autorisé disposant de comptes individuels, la séparation des données de chaque client dans l'application, la journalisation et la surveillance des systèmes, et des sauvegardes. Les mesures en vigueur sont décrites à l'annexe 1. Scrap.io peut les faire évoluer à condition de ne pas réduire le niveau global de protection.

6. Sous-traitants ultérieurs

6.1 Le Client donne à Scrap.io une autorisation générale de recourir à des sous-traitants ultérieurs pour traiter les Données personnelles du Client. La liste à jour est publiée sur la page des sous-traitants, qui signale les sous-traitants ultérieurs des Données personnelles du Client et mentionne aussi des prestataires auxquels Scrap.io recourt pour ses propres traitements en tant que responsable de traitement. Les sections 6.2 et 6.3 ne s'appliquent qu'aux sous-traitants ultérieurs des Données personnelles du Client.

6.2 Scrap.io informe le Client de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur des Données personnelles du Client en mettant à jour cette page et en prévenant le Client par email au moins 30 jours à l'avance. Le Client peut s'y opposer pour des motifs raisonnables liés à la protection des données dans ce délai. Si les parties n'ont pas résolu l'objection dans les 30 jours qui suivent sa formulation, le Client peut résilier l'abonnement concerné dans les 30 jours suivants, et Scrap.io lui rembourse la somme payée d'avance pour la période postérieure à la résiliation.

6.3 Lorsqu'un sous-traitant ultérieur doit être remplacé en urgence, pour une raison de sécurité ou en raison de sa défaillance, Scrap.io peut réduire le préavis, mais informe toujours le Client avant que le nouveau sous-traitant ultérieur ne traite des Données personnelles du Client. Le Client peut alors s'y opposer selon la section 6.2, dans les 30 jours de cette information.

6.4 Scrap.io impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du DPA et reste responsable envers le Client de leur exécution.

7. Transferts internationaux

Lorsque des Données personnelles du Client sont transférées hors du Royaume-Uni ou de l'Espace économique européen, Scrap.io s'assure que le transfert est encadré par une décision d'adéquation ou par des garanties appropriées. Pour l'hébergement sur Amazon Web Services aux États-Unis, il s'agit des clauses contractuelles types de la Commission européenne incluses dans l'avenant de traitement des données d'AWS et, pour les transferts depuis le Royaume-Uni, de l'International Data Transfer Addendum ou de l'International Data Transfer Agreement britanniques. Pour les prestataires certifiés au titre du Data Privacy Framework UE-États-Unis et de son extension britannique, dont Amazon Web Services, le transfert repose aussi sur cette certification.

8. Assistance

8.1 Compte tenu de la nature du traitement, Scrap.io aide le Client, par les fonctionnalités du Service et sur demande, à répondre aux demandes d'exercice de leurs droits par les personnes concernées. Si Scrap.io reçoit directement une telle demande portant sur des Données personnelles du Client, il la transmet au Client sans délai injustifié et n'y répond pas lui-même, sauf pour orienter la personne concernée vers le Client.

8.2 Compte tenu de la nature du traitement et des informations dont il dispose, Scrap.io apporte au Client une assistance raisonnable pour respecter ses obligations au titre des articles 32 à 36 du RGPD : sécurité du traitement, violations de données personnelles, analyses d'impact relatives à la protection des données et consultations préalables des autorités de contrôle. Au-delà de la documentation que Scrap.io met à disposition, cette assistance est fournie aux frais du Client.

9. Violations de données personnelles

Scrap.io notifie le Client sans délai injustifié après avoir pris connaissance d'une violation de données personnelles affectant les Données personnelles du Client. La notification décrit, dans la mesure où ils sont connus, la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés, les conséquences probables, et les mesures prises ou proposées. Scrap.io prend les mesures raisonnables pour contenir la violation et en atténuer les effets.

10. Suppression et restitution

10.1 Tant que le Client a accès au Service, il peut télécharger ses résultats d'enrichissement et supprimer ses fichiers, enrichissements et listes d'exclusion depuis le Service. Il peut aussi en demander la restitution ou la suppression à tout moment selon la section 10.3.

10.2 Lorsque l'abonnement du Client est résilié sans qu'il détienne de pass actif, Scrap.io supprime les Données personnelles du Client, y compris les fichiers importés, les données qui en sont extraites, les résultats d'enrichissement et les listes d'exclusion, sauf si le Client en a demandé la restitution avant cette date selon la section 10.3. Les copies présentes dans les sauvegardes sont supprimées au fil du cycle normal des sauvegardes, sous 3 jours, et ne sont pas restaurées dans le Service entre-temps.

10.3 Tant qu'il a accès au Service, le Client peut demander à Scrap.io la restitution ou la suppression des Données personnelles du Client, en écrivant à [email protected]. La restitution prend la forme d'une copie des fichiers importés, des résultats d'enrichissement et des listes d'exclusion, avant leur suppression.

11. Audit

Scrap.io met à la disposition du Client, sur demande écrite, les informations raisonnablement nécessaires pour démontrer le respect du DPA, sous forme de réponses écrites et de documentation. Si ces informations ne suffisent pas à démontrer la conformité, le Client, ou un auditeur indépendant qu'il désigne, peut réaliser un audit du traitement des Données personnelles du Client, aux frais du Client, sous une obligation de confidentialité, pendant les heures ouvrées et sans perturber le Service. Les demandes d'information et les audits sont limités à un par an, et un audit requiert un préavis d'au moins 30 jours. Ces limites ne s'appliquent pas après une violation de données personnelles affectant les Données personnelles du Client, lorsque le Client a un soupçon sérieux de non-conformité étayé par des éléments, ou lorsqu'une autorité de contrôle l'exige.

12. Responsabilité et durée

La limitation de responsabilité des Conditions s'applique au DPA, sauf lorsque la loi ne le permet pas. Le DPA s'applique tant que Scrap.io traite des Données personnelles du Client. Il est régi par le droit et la juridiction prévus dans les Conditions.

Annexe 1 : mesures de sécurité

Hébergement sur Amazon Web Services, aux États-Unis, avec chiffrement au repos du stockage de fichiers.
Rapprochement des fichiers du Client avec la base d'établissements de Scrap.io, hébergée par les prestataires signalés sur la page des sous-traitants comme traitant des Données personnelles du Client.
Chiffrement en transit du trafic entre le Client et le Service.
Accès aux systèmes de production limité à des membres nommés du personnel, avec des comptes individuels protégés par une authentification forte.
Les fichiers, enrichissements et listes de chaque client ne sont accessibles que depuis le compte de ce client et par le personnel autorisé pour le support.
Surveillance des erreurs et de la disponibilité.
Sauvegardes automatiques régulières de la base de données.
Suppression des fichiers importés et des données d'enrichissement sur demande et lorsque l'abonnement du Client est résilié sans qu'il détienne de pass actif.