Accord de traitement des données (DPA)
Dernière mise à jour : 5 novembre 2026 · English version
Cet accord, conclu en application de l'article 28 du RGPD, lie le chercheur (« responsable de traitement ») et YXLO DESIGN, SIREN 999 055 031 (« sous-traitant »), pour les données des testeurs traitées dans Okkly. Il est accepté lors de la création du compte.
1. Objet et durée
Le sous-traitant héberge les tests, recueille les réponses des testeurs, calcule les statistiques, génère les analyses à la demande et permet leur partage. L'accord dure tant que le compte existe.
2. Données et personnes concernées
- Personnes : les testeurs volontaires invités par le chercheur.
- Données : réponses aux questions, mesures des tâches (pages visitées, durée, nombre de clics, réussite), type d'appareil, navigateur, taille d'écran arrondie, langue, code de participation. Aucune donnée d'identification directe ni donnée sensible ne doit être demandée.
3. Obligations du sous-traitant
- Traiter les données uniquement sur instruction du chercheur, c'est-à-dire pour faire fonctionner les tests qu'il configure.
- Garantir la confidentialité des données et former les personnes autorisées à y accéder.
- Mettre en œuvre les mesures de sécurité suivantes : hébergement dans l'UE, chiffrement en transit et au repos, cloisonnement par chercheur (Row Level Security testée), jetons hachés, clés serveur jamais exposées, masquage des e-mails et téléphones avant l'analyse IA, en-têtes de sécurité, protection anti-robot.
- Aider le chercheur à répondre aux demandes des testeurs : page « Mes données » (accès et effacement par code de participation).
- Notifier toute violation de données au chercheur dans les 48 heures après en avoir pris connaissance.
- Mettre à disposition les informations nécessaires pour démontrer le respect du présent accord.
4. Sous-traitants ultérieurs
Le chercheur autorise le recours aux sous-traitants listés sur la page Sous-traitants, dont Anthropic (États-Unis) pour l'analyse IA, encadré par les clauses contractuelles types. Tout ajout est annoncé 30 jours à l'avance ; le chercheur peut s'y opposer en supprimant son compte.
5. Durées et fin du traitement
| Données | Durée |
|---|---|
| Réponses complètes et analyses (y compris les réponses citées dans une analyse) | 12 mois après la clôture du test, puis suppression automatique |
| Réponses incomplètes | 30 jours |
| Compte chercheur inactif | Suppression après 24 mois sans connexion |
| Liens de partage | Jusqu'à leur expiration (90 jours au plus) ou leur révocation |
| Journaux de sécurité | 6 mois |
| Sauvegardes | 30 jours glissants |
À la suppression du compte, toutes les données sont effacées immédiatement, et des sauvegardes sous 30 jours. Le chercheur peut exporter ses résultats en CSV avant.
6. Obligations du chercheur
- Disposer d'une base légale et informer les testeurs (Okkly recueille leur consentement avant chaque test).
- Ne pas demander de données sensibles ou d'identification, ne pas cibler les moins de 15 ans.
- N'installer le script que sur des sites qu'il contrôle.
Contact : [e-mail de contact RGPD à compléter].