Avenant relatif au Traitement des Données (DPA) — serp.cheap

Date d’entrée en vigueur : 15 juin 2026

S’applique lorsque l’utilisation du Service par le Client implique le traitement de données personnelles. Structuré au titre de la LGPD (avec référence au GDPR pour les clients de l’UE, y compris les SCCs le cas échéant). Il fait partie intégrante des Conditions Générales d’Utilisation. Le texte anglais constitue la version officielle ; les traductions sont fournies à titre de commodité.

Le présent DPA est conclu entre WILLIAM BITTENCOURT MORAES SOLUÇÕES EM DESENVOLVIMENTO, CNPJ 29.785.688/0001-44 (« serp.cheap » ou « Sous-traitant »), et le Client identifié dans le compte (« Responsable du traitement »). En acceptant les Conditions Générales d’Utilisation et en utilisant le Service d’une manière qui implique des données personnelles, le Client accepte le présent DPA.

1. Rôles

Le Client est le Responsable du traitement et serp.cheap est le Sous-traitant, au sens du droit applicable en matière de protection des données, à l’égard des données personnelles traitées pour le compte du Client dans le cadre de la fourniture du Service. Lorsque serp.cheap traite des données à ses propres fins (p. ex. la gestion de la relation commerciale), il agit en tant que Responsable du traitement, sous réserve de la Politique de Confidentialité.

2. Objet et instructions

Le Sous-traitant ne traitera les données personnelles que conformément aux instructions documentées du Responsable du traitement (les présentes Conditions, le présent DPA et l’utilisation du Service), sauf lorsque la loi l’exige. Le Sous-traitant informera le Responsable du traitement s’il estime qu’une instruction viole le droit de la protection des données.

3. Obligations du Responsable du traitement

Le Responsable du traitement déclare qu’il : dispose et maintient une base légale valide pour le traitement résultant de son utilisation du Service ; a fourni les avis de confidentialité requis aux personnes concernées ; et n’utilisera pas le Service d’une manière qui viole le droit de la protection des données. Le Responsable du traitement reconnaît que, en soumettant des requêtes à l’API, il peut amener l’infrastructure du Sous-traitant à traiter des données personnelles contenues dans le contenu public renvoyé, et est seul responsable de veiller à la licéité de cette activité.

4. Obligations du Sous-traitant

• Confidentialité : veiller à ce que le personnel autorisé soit soumis à une obligation de confidentialité.
• Sécurité : adopter des mesures techniques et organisationnelles appropriées au risque (chiffrement en transit, contrôle d’accès, journalisation des accès, surveillance).
• Sous-traitants ultérieurs : le Responsable du traitement autorise le recours aux sous-traitants ultérieurs nécessaires (p. ex. hébergement, traitement des paiements, surveillance), sous des obligations de protection équivalentes. Nous donnerons un préavis raisonnable des modifications pertinentes, avec un droit d’opposition motivée.
• Droits des personnes concernées : fournir une assistance raisonnable pour que le Responsable du traitement puisse traiter les demandes des personnes concernées (accès, rectification, suppression, etc.), en transmettant au Responsable du traitement toute demande reçue directement.
• Incidents : notifier le Responsable du traitement sans retard injustifié après avoir pris connaissance d’un incident de sécurité affectant les données traitées au titre du présent DPA, avec les informations alors disponibles.
• Suppression : à la résiliation, supprimer ou restituer les données personnelles traitées pour le compte du Responsable du traitement, sauf lorsqu’une conservation légale obligatoire s’applique.
• Coopération : coopérer avec l’ANPD et les autres autorités compétentes tel que requis par la loi.

5. Transfert international

Lorsqu’il existe un transfert international, le Sous-traitant adoptera des garanties appropriées au titre de la LGPD ; pour les données de l’UE, des mécanismes du GDPR (p. ex. SCCs Module 2, Responsable du traitement vers Sous-traitant).

6. Données techniques agrégées

Le Sous-traitant peut collecter et utiliser des données techniques et de performance agrégées et anonymisées (temps de réponse, taux d’erreur, schémas d’utilisation) pour surveiller l’état de santé du service et l’améliorer, sans traiter de données personnelles à des fins autres que la fourniture du Service.

7. Responsabilité

La responsabilité au titre du présent DPA est soumise aux limites énoncées dans les Conditions Générales d’Utilisation applicables. Le Sous-traitant n’est pas responsable des dommages découlant des instructions du Responsable du traitement, du non-respect par le Responsable du traitement du droit de la protection des données, ou de l’utilisation illégale du Service par le Client.

8. Durée

Le présent DPA reste en vigueur pendant toute la durée de la relation contractuelle et prend fin avec celle-ci, sous réserve des obligations de suppression/conservation. En cas de conflit entre le présent DPA et les Conditions concernant le traitement des données personnelles, le présent DPA prévaut.

Contact : [email protected]

Annexe I — Description du traitement

• Objet : fourniture de l’API de résultats de recherche.
• Nature/Finalité : exécution des requêtes soumises par le Client ; journaux, facturation, support, sécurité.
• Types de données : (a) données de compte/API (clé, IP, métadonnées des requêtes, journaux) ; (b) données contenues dans le contenu public renvoyé, définies exclusivement par le Client ; (c) données de support.
• Personnes concernées : les utilisateurs autorisés du Client ; les personnes dont les données peuvent apparaître dans le contenu renvoyé (définies par le Client) ; les contacts du Client.
• Lieu du traitement : Brésil (gestion) et à l’étranger — hébergement en Allemagne (Contabo) et aux États-Unis (AWS Lambda), ainsi que des processeurs de paiement, d’analytique, de marketing et de CRM basés à l’étranger.

Annexe II — Sous-traitants ultérieurs