(Dernière mise à jour — janvier 2026)

Le présent Avenant relatif au traitement des données (« Avenant ») fait partie intégrante des Conditions Générales d'Utilisation de Grapevyn (« Contrat ») entre CreatorPad, Inc. (opérant sous le nom « Grapevyn ») (« Sous-traitant ») et l'entité commerciale ayant accepté le Contrat (« Responsable de traitement »).

1. Objet et champ d'application

1.1 Le présent Avenant régit le traitement des Données Personnelles effectué par le Sous-traitant pour le compte du Responsable de traitement dans le cadre de la plateforme de parrainage, de fidélité et de marketing via WhatsApp décrite dans le Contrat (« Service »).

1.2 Les parties entendent que le présent Avenant satisfasse aux exigences de l'Article 28 du Règlement Général sur la Protection des Données de l'UE et du Royaume-Uni (« RGPD »).

2. Définitions

« Données Personnelles » a le sens défini à l'Article 4 du RGPD et inclut les numéros de téléphone, les liens de parrainage, les jetons d'échange, la progression de fidélité, le statut des récompenses et les métadonnées associées traitées via le Service.

« Sous-traitant ultérieur » désigne tout tiers engagé par le Sous-traitant pour traiter des Données Personnelles pour le compte du Responsable de traitement.

Les autres termes en majuscules ont le sens qui leur est attribué dans le Contrat ou le RGPD.

3. Rôles des parties

3.1 Le Responsable de traitement détermine les finalités et les moyens du traitement des Données Personnelles.

3.2 Le Sous-traitant traite les Données Personnelles uniquement sur instructions documentées du Responsable de traitement, sauf lorsque le droit de l'UE l'exige.

4. Obligations du Sous-traitant

Le Sous-traitant s'engage à :

4.1 Traiter les Données Personnelles uniquement aux fins de fournir le Service, de prévenir ou résoudre des problèmes techniques, et de se conformer aux instructions licites du Responsable de traitement.

4.2 S'assurer que le personnel autorisé à traiter les Données Personnelles est soumis à une obligation de confidentialité.

4.3 Mettre en œuvre les mesures techniques et organisationnelles appropriées pour protéger les Données Personnelles contre tout traitement non autorisé ou illicite et contre toute perte, destruction, altération ou divulgation accidentelle.

4.4 Assister le Responsable de traitement, dans la mesure du possible, dans le traitement des demandes d'exercice des droits des personnes concernées, les analyses d'impact relatives à la protection des données et les consultations auprès des autorités de contrôle.

4.5 Notifier le Responsable de traitement sans délai excessif après avoir pris connaissance d'une Violation de Données Personnelles et coopérer avec le Responsable de traitement pour satisfaire toute obligation de notification de violation.

4.6 Au choix du Responsable de traitement, supprimer ou restituer l'ensemble des Données Personnelles dans les 30 jours suivant la résiliation du Contrat, sauf si le droit de l'UE, du Royaume-Uni ou des États-Unis exige leur conservation.

4.7 Mettre à disposition toutes les informations nécessaires pour démontrer la conformité au présent Avenant et permettre la réalisation d'audits (au maximum une fois par an) moyennant un préavis écrit de 30 jours, sous réserve de confidentialité.

5. Sous-traitance ultérieure

5.1 Le Responsable de traitement autorise les Sous-traitants ultérieurs suivants :

a) Stripe — paiements et facturation
b) Lovable — hébergement de l'application
c) Supabase — base de données d) Resend — envoi d'e-mails transactionnels
e) OpenAI — traitement par modèle de langage (aucun numéro de téléphone ni donnée personnelle n'est inclus dans les requêtes)

Une liste à jour est disponible sur grapevyn.com/legal/subprocessors.

5.2 Le Sous-traitant conclura un accord écrit avec chaque Sous-traitant ultérieur imposant des obligations de protection des données équivalentes à celles du présent Avenant.

5.3 Le Sous-traitant informera le Responsable de traitement au moins 30 jours avant de recourir à un nouveau Sous-traitant ultérieur et donnera au Responsable de traitement la possibilité de s'y opposer pour des motifs raisonnables liés à la protection des données.

6. Transferts internationaux

6.1 Le Sous-traitant stocke les Données Personnelles principalement dans l'Union européenne.

6.2 Lorsque le Sous-traitant ou un Sous-traitant ultérieur transfère des Données Personnelles vers un pays situé en dehors de l'EEE ou du Royaume-Uni ne bénéficiant pas d'un niveau de protection adéquat reconnu, le Sous-traitant veillera à ce que ce transfert soit encadré par les Clauses Contractuelles Types de l'UE ou tout autre mécanisme de transfert licite.

7. Responsabilité et indemnisation

Les limitations de responsabilité prévues dans le Contrat s'appliquent au présent Avenant. Le Responsable de traitement indemnisera le Sous-traitant contre toute réclamation découlant d'instructions illicites du Responsable de traitement ou d'une utilisation abusive du Service.

8. Durée et résiliation

Le présent Avenant reste en vigueur aussi longtemps que le Sous-traitant traite des Données Personnelles dans le cadre du Contrat. À la résiliation, le Sous-traitant agira conformément à la Section 4.6 en ce qui concerne la suppression ou la restitution des Données Personnelles.

9. Conflit

En cas de conflit entre le présent Avenant et le Contrat, le présent Avenant prévaudra dans la mesure du conflit en ce qui concerne le traitement des Données Personnelles.

10. Contact

CreatorPad, Inc. (opérant sous le nom « Grapevyn ») 2810 N Church St, Wilmington, DE 19802, USA E-mail : hello@grapevyn.com