Accord de Traitement des Données (DPA)

Version 1.1 · Dernière mise à jour : 10 novembre 2026 · En vigueur depuis le 10 novembre 2026

Le présent Accord de Traitement des Données (« DPA ») fait partie intégrante des Conditions d'Utilisation entre Jacopo Di Loreto (AFTERTOUCH LABS DI DI LORETO JACOPO), Via Europa 18, 66020 San Giovanni Teatino (CH), Italie, numéro de TVA IT02882890698 (« sous-traitant », « nous ») et un client professionnel (« responsable du traitement », « vous ») qui utilise LIA pour ses propres utilisateurs, par exemple une école, un studio ou un label. Il s'applique lorsque le responsable du traitement est établi dans l'Espace Économique Européen (EEE), au Royaume-Uni ou en Suisse, ou lorsque le RGPD s'applique au traitement effectué par le responsable du traitement. Pour les personnes qui utilisent LIA pour elles-mêmes, nous sommes le responsable du traitement et notre Politique de confidentialité s'applique.

1. Définitions

Les termes utilisés dans le présent DPA ont la signification qui leur est donnée dans le Règlement (UE) 2016/679 (« RGPD »). Les « Données à Caractère Personnel » désignent toute information se rapportant à une personne physique identifiée ou identifiable.

2. Objet et Durée

Le sous-traitant traite les Données à Caractère Personnel pour le compte du responsable du traitement uniquement pour fournir le Service LIA tel que décrit dans les Conditions d'Utilisation. Le présent DPA reste en vigueur pendant la durée du contrat de service et pendant les périodes de conservation qui suivent sa fin (§11).

3. Nature et Finalité du Traitement

Le traitement est limité aux opérations nécessaires à la fourniture du Service LIA :

• gestion du compte : connexion, forfait et paiements ;
• discussions, écrites, dictées ou parlées dans Talk Mode, et leur traitement par le fournisseur d'intelligence artificielle ;
• lecture du set Ableton Live ouvert et de la liste des plugins installés via l'application LIA et le LIA Bridge, et écriture dans Live du travail demandé ;
• mémoire des discussions, journaux des travaux, consommation du forfait, minutes de voix et secondes de dictée ;
• Communauté et Assistance ;
• sécurité, surveillance des erreurs et copies de sauvegarde.

4. Catégories de Données à Caractère Personnel et de Personnes Concernées

Personnes concernées : les utilisateurs que le responsable du traitement autorise à utiliser LIA (par exemple élèves ou étudiants, personnel, musiciens, prestataires).

Données à Caractère Personnel : adresses e-mail et, si un utilisateur se connecte avec un autre compte, l'identifiant, le nom, le nom d'utilisateur et la photo de profil que ce service nous transmet ; mots de passe, enregistrés uniquement sous forme de hachage irréversible par le fournisseur d'authentification ; noms de profil et nom choisi dans les Réglages ; métadonnées du forfait, de l'abonnement, des codes utilisés et des paiements (sans données de carte), les demandes de rétractation et le code de partenaire utilisé, le cas échéant, et nom, adresse e-mail et adresse de facturation figurant dans les notifications du prestataire de paiement ; lorsqu'un utilisateur accepte dans l'application les Conditions d'Utilisation et la Politique de confidentialité ou demande à démarrer un forfait immédiatement, l'enregistrement de cette acceptation ou de cette demande ; messages des discussions, y compris le texte des appels Talk Mode et les messages dictés que l'utilisateur envoie ; données lues dans le set Live (tempo, tonalité, pistes et leurs noms, périphériques et leurs paramètres, mixer et niveaux, clips avec leurs notes MIDI, locators, noms des presets) et liste des plugins ; mémoire des discussions, journaux des travaux et compteurs d'utilisation, y compris les minutes de voix et les secondes de dictée ; posts, commentaires, votes, signalements et sanctions de la Communauté ; messages et captures d'écran de l'Assistance ; préférences de notification et autorisation « Utiliser mes discussions pour améliorer LIA » ; données techniques telles que la version de l'application, le système et la langue, les erreurs et les traces techniques des appels aux modèles ; statistiques du site et des e-mails liées au compte (pages vues ; remise, ouverture et clics des e-mails) ; adresses IP, avec le pays et le navigateur ou la version de l'application, conservées en entier dans les journaux d'accès du serveur pendant environ 30 jours et dans les journaux de connexion et de sécurité pendant 12 mois. Le sous-traitant ne conserve aucun audio : l'audio de Talk Mode va de l'application directement au fournisseur de la voix, et l'audio de la dictée passe par le serveur de LIA uniquement pour être transformé en texte.

Le Service n'est pas conçu pour les catégories particulières de données (art. 9 RGPD). Le responsable du traitement ne doit pas demander à ses utilisateurs de saisir de telles données dans LIA.

5. Obligations du Sous-Traitant

1. Traiter les Données à Caractère Personnel uniquement sur instructions documentées du responsable du traitement, y compris pour les transferts vers des pays tiers (art. 28 §3 a RGPD). Les Conditions d'Utilisation, le présent DPA et les réglages que le responsable du traitement utilise dans l'application constituent les instructions du responsable du traitement.
2. Veiller à ce que les personnes autorisées à traiter les Données à Caractère Personnel soient soumises à une obligation de confidentialité.
3. Mettre en œuvre des mesures techniques et organisationnelles appropriées (art. 32 RGPD), voir §9.
4. Faire appel à des sous-traitants ultérieurs uniquement avec l'autorisation écrite générale du responsable du traitement (voir §8).
5. Aider le responsable du traitement à répondre aux demandes des personnes concernées (art. 15 à 22 RGPD) et à respecter les obligations des articles 32 à 36 du RGPD, compte tenu de la nature du traitement.
6. Notifier au responsable du traitement, sans retard injustifié, toute violation de Données à Caractère Personnel (art. 33 RGPD), voir §10.
7. Au choix du responsable du traitement, supprimer ou retourner toutes les Données à Caractère Personnel à la fin des services (art. 28 §3 g RGPD), voir §11.
8. Mettre à disposition les informations nécessaires pour démontrer le respect de l'article 28 du RGPD et permettre des audits, réalisés avec un préavis raisonnable, pendant les heures ouvrables et sans accès aux données d'autres clients (art. 28 §3 h RGPD).

6. Obligations du Responsable du Traitement

Le responsable du traitement confirme qu'il dispose d'une base juridique (art. 6 RGPD) pour les Données à Caractère Personnel traitées dans le cadre du présent DPA, qu'il a informé les personnes concernées conformément aux articles 13 et 14 du RGPD et, lorsque des utilisateurs ont moins de 16 ans, qu'il a recueilli le consentement des parents avant de leur donner accès à LIA.

7. Lieu du traitement et transferts internationaux

Le serveur de LIA fonctionne sur un serveur virtuel loué en Allemagne (Hostinger), et la base de données et l'authentification se trouvent dans la région Union européenne de Supabase. Certains sous-traitants ultérieurs traitent des données en dehors de l'EEE, en particulier le fournisseur d'intelligence artificielle (OpenAI, États-Unis). Ces transferts sont régis par :

• le cadre EU-US Data Privacy Framework (DPF), lorsque le destinataire est certifié ;
• à défaut, les Clauses Contractuelles Types (CCT) adoptées par la décision d'exécution (UE) 2021/914 de la Commission, module 3 (de sous-traitant à sous-traitant ultérieur).

8. Sous-Traitants Ultérieurs

Le responsable du traitement donne au sous-traitant une autorisation générale de faire appel à des sous-traitants ultérieurs. Les sous-traitants ultérieurs actuels, avec leur pays, sont indiqués aux §4 et §5 de notre Politique de confidentialité. La liste complète, avec la base du transfert et l'accord de traitement des données de chacun, est disponible sur demande à privacy@liaplugin.com : nous l'envoyons dans un délai de 7 jours. Le sous-traitant informera le responsable du traitement de tout changement prévu au moins 30 jours à l'avance ; le responsable du traitement peut s'y opposer pour des motifs raisonnables liés à la protection des données et, si aucune solution n'est trouvée, il peut résilier le service sans pénalité. Le sous-traitant impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent DPA et reste responsable de leur respect.

9. Mesures de Sécurité (Article 32 RGPD)

• Chiffrement en transit (TLS) pour le site, l'application et le serveur.
• Base de données gérée par Supabase avec chiffrement au repos ; copies de sauvegarde nocturnes du serveur et de la base de données, chiffrées sur le serveur avant leur envoi vers l'espace de stockage des sauvegardes (Backblaze, États-Unis).
• Connexion vérifiée à chaque demande adressée au serveur de LIA, avec des limites par compte ; règles de la base de données qui ne permettent à chaque utilisateur de voir que ses propres données.
• Services internes du serveur accessibles uniquement depuis le serveur lui-même ou depuis notre réseau privé ; accès administratif uniquement par clés SSH ou depuis des panneaux protégés par un accès dédié.
• Journaux d'accès sans query strings et sans en-têtes contenant des clés ou des jetons ; suppression automatique des journaux et des traces à la fin de leur durée de conservation.

10. Notification des Violations de Données

Le sous-traitant notifiera au responsable du traitement, sans retard injustifié et en tout état de cause dans les 48 heures suivant la prise de connaissance, toute violation affectant les Données à Caractère Personnel traitées dans le cadre du présent DPA, afin que le responsable du traitement puisse respecter son délai de 72 heures. La notification comprendra, dans la mesure où ces éléments sont connus à ce moment-là :

• la nature et la portée approximative de la violation ;
• les catégories et le nombre approximatif de personnes concernées et d'enregistrements affectés ;
• les conséquences probables et les mesures prises ou proposées ;
• un contact pour obtenir plus d'informations : privacy@liaplugin.com.

11. Fin des services

À la fin du contrat de service, et sur demande écrite du responsable du traitement, le sous-traitant supprime ou retourne toutes les Données à Caractère Personnel, à l'exception de celles qu'il doit conserver en vertu de la loi (par exemple les justificatifs de paiement et les documents fiscaux). Les données supprimées disparaissent des copies de sauvegarde chiffrées dans un délai de 63 jours.

12. Responsabilité

La responsabilité au titre du présent DPA suit les Conditions d'Utilisation, sauf lorsque cela limiterait les droits des personnes concernées prévus à l'article 82 du RGPD.

13. Loi Applicable et Juridiction

Le présent DPA est régi par les lois de la République italienne. Le tribunal compétent est celui du siège social du responsable du traitement, ou lorsque celui-ci se trouve hors de l'EEE, le tribunal de Abruzzo, Italie. Les réclamations concernant le traitement de vos Données à Caractère Personnel peuvent être adressées à l'autorité de contrôle compétente. En France : CNIL (Commission Nationale de l'Informatique et des Libertés), 3 Place de Fontenoy (TSA 80715) 75334 PARIS CEDEX 07.

14. Contact

Pour toute question relative au présent DPA : privacy@liaplugin.com