Accord de traitement des données (DPA)

Cet accord encadre les données que Yaab traite pour le compte de ses clients, conformément à l'article 28 du Règlement général sur la protection des données (RGPD). Il fait partie des conditions générales de vente : les accepter vaut acceptation de cet accord.

Le Client, qui installe le script Yaab sur ses sites, est le responsable de traitement. Yaab (Nourani Paniz, entrepreneure individuelle, nom commercial Sanyz, 47 rue Vivienne, 75002 Paris, R.C.S. Paris 109 329 383) est le sous-traitant.

1. Objet et durée

Yaab mesure l'audience et les interactions des visiteurs sur les sites du Client et lui en présente les statistiques. L'accord s'applique tant que le Client utilise le service, et jusqu'à la suppression des données prévue à l'article 9.

2. Données et personnes concernées

• Personnes concernées : les visiteurs des sites du Client.
• Données : pages vues et titres, adresses des pages, sources de trafic (référent, paramètres UTM), clics et événements sur les éléments suivis, profondeur de défilement, type d'appareil, système, navigateur, langue, localisation approximative (pays, région, ville) déduite de l'adresse IP, durée de visite, choix de consentement du bandeau Yaab.
• Identifiants : les identifiants de visiteur et de session sont pseudonymisés (empreinte) ; l'adresse IP n'est jamais enregistrée : les serveurs de collecte ne s'en servent qu'en mémoire, au moment de la visite, pour déduire une localisation approximative (pays, région, ville) et bloquer les abus, puis l'oublient. Seuls les journaux d'erreurs techniques de ces serveurs, qui peuvent la contenir, sont conservés 14 jours au plus, uniquement pour la sécurité et le dépannage.
• Pas de données sensibles : le service n'est pas conçu pour collecter des données particulières (santé, opinions…). Le Client s'engage à ne pas en transmettre, par exemple dans les adresses de ses pages.

3. Instructions du Client

Yaab ne traite ces données que pour fournir le service, selon les instructions du Client données par sa configuration (sites, éléments suivis, funnels, bandeau de consentement) et par écrit. Yaab ne les utilise jamais pour son propre compte, ne les vend pas et ne s'en sert pas à des fins publicitaires. Il ne croise pas les données d'un site avec celles d'un autre site ou d'un autre client et ne constitue aucun profil de visiteur. Si une instruction lui paraît contraire au RGPD, Yaab en informe le Client.

4. Confidentialité

Seules les personnes qui en ont besoin pour faire fonctionner le service accèdent aux données, et elles sont tenues à la confidentialité.

5. Sécurité

• Chiffrement des échanges (HTTPS) entre les sites, les serveurs de collecte et le tableau de bord.
• Identifiants de visiteur et de session pseudonymisés.
• Serveurs de collecte dédiés, n'exposant que les ports web et d'administration, avec un jeton d'accès propre à chaque serveur.
• Accès au tableau de bord protégé par mot de passe, avec double authentification disponible ; mots de passe chiffrés et vérifiés contre les fuites connues.
• Séparation logique des données par site.

6. Sous-traitants ultérieurs

Le Client autorise Yaab à faire appel aux sous-traitants suivants :

• IONOS : hébergement des serveurs de collecte, dans l'Union européenne. Ils servent de relais : ils reçoivent les visites et les transmettent à la base de données sans les conserver (quelques secondes en mémoire tampon, jusqu'à une heure pour les compteurs de heatmap, qui ne contiennent aucun identifiant de visiteur) ; leurs journaux d'erreurs techniques sont effacés au bout de 14 jours.
• Supabase : base de données qui stocke les données de mesure, dans sa région de Paris (Union européenne).
• PlanetHoster : hébergement du tableau de bord, qui affiche les statistiques, dans l'Union européenne.

Yaab impose à ses sous-traitants des obligations équivalentes à celles de cet accord. Tout ajout ou remplacement est annoncé sur cette page et par e-mail au moins 30 jours à l'avance ; le Client peut s'y opposer et, à défaut d'accord, résilier son abonnement.

7. Localisation et transferts

Les données de mesure sont hébergées dans l'Union européenne et ne sont pas transférées en dehors de l'Espace économique européen.

8. Assistance au Client

• Droits des visiteurs : Yaab aide le Client à répondre aux demandes d'accès, d'effacement ou d'opposition qu'il reçoit.
• Violation de données : Yaab informe le Client dans les meilleurs délais, et au plus tard 48 heures après en avoir eu connaissance, avec les informations utiles à sa propre notification à la CNIL.
• Analyses d'impact : Yaab fournit les informations dont le Client a besoin sur le traitement.

9. Conservation et fin du traitement

Les données brutes de visite sont conservées 12 mois, puis remplacées par des statistiques agrégées par jour. Les identifiants de visiteur pseudonymisés qui les accompagnent (comptage des visiteurs uniques) sont supprimés au bout de 24 mois ; les statistiques agrégées restantes, qui ne permettent pas d'identifier un visiteur, restent tant que le site existe dans Yaab. Ces suppressions ont lieu automatiquement chaque nuit. La suppression d'un site ou du compte par le Client efface immédiatement toutes ses données de mesure de la base de données. Avant cette suppression, le Client peut demander un export de ses données.

10. Audits et informations

Yaab met à disposition du Client les informations nécessaires pour démontrer le respect de cet accord et répond à ses questions écrites. Un audit, réalisé par le Client ou un auditeur tenu au secret, peut être organisé sur demande écrite avec un préavis raisonnable, à ses frais.

11. Obligations du Client

Le Client informe les visiteurs de ses sites de la mesure d'audience, recueille leur consentement lorsqu'il est requis (le bandeau Yaab peut l'y aider) et répond à leurs demandes d'exercice de droits.

12. Contact

[email protected], mention « Données personnelles / DPO » en objet.

Version du 28 octobre 2026.