Accord de traitement des données (DPA)

Dans le cadre de la loi turque n° 6698 sur la protection des données personnelles et de sa législation secondaire · Version 1.0 · Dernière mise à jour : 12 juin 2026

Article 1 — Parties

Le présent Accord de traitement des données (l’« Accord » ou le « DPA ») est conclu entre les parties suivantes :

Le Responsable du traitement et le Sous-traitant sont désignés ensemble les « Parties » et individuellement une « Partie ».

Article 2 — Définitions

Les termes commençant par une majuscule sont utilisés, sauf indication contraire, au sens de la loi n° 6698 (art. 3) et de sa législation secondaire. Les principaux : Loi/KVKK (loi n° 6698) ; Autorité/Conseil (Autorité/Conseil turcs de protection des données personnelles) ; Donnée personnelle, Catégories particulières de données, Traitement, Responsable du traitement, Sous-traitant, Sous-traitant ultérieur (Annexe 2) ; Personne concernée (les représentants personnes physiques des entreprises contactées via la plateforme et les commerçants/artisans personnes physiques propriétaires de ces entreprises) ; Contrat type (les textes types adoptés par la résolution du Conseil du 04.06.2024) ; Message électronique commercial/İYS (loi n° 6563) ; Instruction de traitement (les actions de campagne, de ciblage, de listage et d’envoi créées par le Client sur la plateforme valent instructions documentées).

Article 3 — Objet et champ d’application

L’objet du présent Accord est de régir les droits et obligations relatifs à la conduite, conformément au KVKK, des activités de traitement de données personnelles réalisées pour le compte du Client via la plateforme LeaderMix, dans le cadre de la relation Conditions d’utilisation / Abonnement entre les Parties (le « Contrat principal »). Le présent Accord est une annexe indissociable du Contrat principal ; en cas de contradiction concernant la protection des données personnelles, le présent Accord prévaut. L’Accord couvre les activités de traitement, les catégories de données et les groupes de personnes concernées définis à l’Annexe 1.

Article 4 — Rôles des Parties et justification

4.1. Par la nature essentielle de l’activité de traitement, le Client est le « Responsable du traitement » et LeaderMix le « Sous-traitant ». Le Client détermine la finalité et les moyens essentiels du traitement (ciblage, listage, avec quel texte/à quel moment communiquer, lancement/arrêt des campagnes) (KVKK art. 3/1-ı) ; LeaderMix exécute ces décisions pour le compte du Client conformément à ses instructions sur la plateforme (art. 3/1-ğ) et n’utilise pas les données à des fins indépendantes qui lui seraient propres. Les messages envoyés faisant la promotion des biens/services du Client, la qualité de « prestataire de services » au sens de la loi n° 6563 appartient également au Client.

4.2. LeaderMix n’est responsable du traitement indépendant que pour les activités suivantes (hors champ du présent Accord) : mise en place/exploitation/sécurisation de la plateforme ; gestion des comptes, facturation, conservation légale ; développement produit et statistiques avec des données exclusivement anonymisées/agrégées.

4.3. Isolation des données et interdiction de mutualisation (vérifiée au niveau de l’architecture). Les enregistrements de leads de chaque Client sont conservés isolés et liés à l’identité de l’utilisateur ; le contrôle des doublons n’est effectué que dans le jeu de données du Client concerné ; lorsqu’une même entreprise est scannée par des Clients différents, des enregistrements distincts sont créés ; le lead d’un Client n’est ni rendu visible ni réutilisé par d’autres ; l’accès est filtré par identité d’utilisateur. LeaderMix s’engage à ne pas mutualiser dans une base commune, pour plusieurs Clients, les données personnelles qu’il collecte, et à ne pas les réutiliser. Si cette architecture évolue et que des données sont utilisées à des fins communes entre Clients, LeaderMix devient responsable conjoint/indépendant pour l’activité concernée et en informe préalablement le Client.

Article 5 — Nature, finalité et durée du traitement ; catégories de données

En résumé, l’activité de traitement consiste à collecter, à partir de sources publiquement accessibles (Google Maps/Places, sites web d’entreprises, annuaires en ligne, LinkedIn), des données de contact d’entreprises/de représentants, à les vérifier, à effectuer une analyse d’entreprise et une génération de textes de messages par IA, à envoyer des e-mails promotionnels et à suivre les réponses ; le détail figure à l’Annexe 1. LeaderMix s’engage à ne pas traiter au-delà de l’Annexe 1 ; à ne pas collecter/traiter les catégories particulières de données de l’art. 6 du KVKK et, si de telles données sont détectées incidemment, à les détruire sans délai et à en informer le Client.

Article 6 — Bases légales du traitement (KVKK art. 5–6 et loi 6563/İYS)

6.1. Le Client garantit l’existence d’au moins une des conditions de l’art. 5 du KVKK pour les données traitées. La base légale principale est l’intérêt légitime du Client (art. 5/2-f), sous réserve de ne pas porter atteinte aux droits et libertés fondamentaux des personnes concernées ; le Client documente le test de mise en balance. Le caractère public de la donnée ne suffit pas à lui seul (limite de l’art. 5/2-d). Le consentement explicite n’est pas utilisé comme base de collecte.

6.2. Le traitement ne comprend pas de catégories particulières de données (art. 6) ; les Parties sont conjointement responsables du maintien de cette situation.

6.3. Le devoir d’information (art. 10) incombe au Client. À cet effet, chaque e-mail sortant contient (i) pour le compte de qui l’envoi est effectué, (ii) la source/finalité/base légale de la donnée, (iii) le canal de demande de l’art. 11 du KVKK et (iv) un lien de désinscription (opt-out) ; LeaderMix insère techniquement ces éléments, le Client demeurant responsable de la licéité du contenu.

6.4. Messages électroniques commerciaux (loi 6563/İYS) : si le destinataire est commerçant/artisan, le consentement préalable n’est pas obligatoire, mais le droit d’opposition est garanti et les notifications de refus sont appliquées ; l’enregistrement des destinataires à l’İYS, le contrôle des refus et la preuve de la qualité de commerçant/artisan incombent au Client en sa qualité de prestataire de services. Si le destinataire n’est pas commerçant/artisan, le consentement préalable (opt-in) est la règle. L’enregistrement İYS, la gestion des consentements/refus et l’inscription du refus à l’İYS sous trois jours ouvrés incombent au Client ; LeaderMix fournit l’infrastructure d’opt-out.

Article 7 — Obligations du Sous-traitant

• Traitement uniquement sur instruction ; il signale sans délai au Client toute instruction qu’il estime illicite.
• Confidentialité ; il soumet toute personne ayant accès aux données à un engagement écrit de confidentialité (sans limite de durée, même après la fin du contrat).
• Sécurité des données (art. 12) — il met en œuvre et maintient à jour les mesures techniques et organisationnelles de l’Annexe 3.
• Pour les sous-traitants ultérieurs, il respecte l’article 10 ; il leur impose des obligations au moins équivalentes.
• Assistance aux demandes des personnes concernées (article 12) ; il transmet sans délai au Client toute demande qui lui parvient directement.
• Notification des violations de données — il informe le Client au plus tard 24 heures après en avoir eu connaissance (article 13).
• Destruction/restitution en fin de relation — selon le régime de l’article 14 ; aucune promesse générale de destruction contraire à l’article 14 n’est formulée.
• Il tient des registres à des fins de redevabilité ; il notifie préalablement au Client les changements substantiels de serveurs/localisations (Annexe 2/Annexe 3).

Article 8 — Obligations du Responsable du traitement

• Garantit l’existence d’une des conditions des art. 5/6 du KVKK pour chaque donnée (article 6).
• S’acquitte du devoir d’information de l’art. 10 envers les personnes concernées ; il est responsable du contenu de la notice.
• S’acquitte des obligations de la loi 6563/İYS (enregistrement de prestataire, consentement/refus, preuve de la qualité de commerçant/artisan, transfert İYS).
• Garantit la licéité des instructions données à LeaderMix.
• S’acquitte, s’il y est soumis, de son obligation VERBİS ; il traite en principe sous 30 jours les demandes de l’art. 11 qui lui parviennent.

Article 9 — Mesures de sécurité techniques et organisationnelles

LeaderMix prend des mesures proportionnées à la nature et au risque des données, conformément à l’art. 12 du KVKK et aux lignes directrices de l’Autorité (liste minimale à l’Annexe 3). Les mesures sont réexaminées périodiquement au regard de l’évolution technologique et de l’analyse des risques. Le Client est responsable de la sécurité de ses propres comptes d’accès et des listes qu’il crée.

Article 10 — Sous-traitants ultérieurs

Le Client consent de manière générale à l’utilisation des sous-traitants ultérieurs figurant à l’Annexe 2. LeaderMix notifie tout sous-traitant nouveau/modifié au moins 15 jours à l’avance ; le Client peut s’y opposer pour des motifs raisonnables liés à la protection des données et, à défaut de solution, résilier pour le service concerné. LeaderMix impose à chaque sous-traitant ultérieur des obligations au moins équivalentes et demeure responsable de leurs actes envers le Client. L’article 11 s’applique aux sous-traitants situés à l’étranger.

Article 11 — Transferts internationaux (KVKK art. 9)

11.1. Les transferts sont soumis à l’art. 9 du KVKK, modifié par la loi n° 7499 et en vigueur depuis le 01.06.2024, ainsi qu’au règlement du 10.07.2024 (JO 32598).

11.2. Régime à plusieurs niveaux : (a) décision d’adéquation ; (b) garanties appropriées (contrat type, BCR, engagement + autorisation du Conseil) ; (c) cas occasionnels — uniquement pour les transferts non récurrents, inapplicables aux transferts systématiques de LeaderMix.

11.3. Tous les sous-traitants ultérieurs de l’Annexe 2 étant situés à l’étranger et les transferts étant continus, le mécanisme principal est le Contrat type. LeaderMix établit le mécanisme de l’art. 9 applicable avec chaque sous-traitant étranger, notifie le Contrat type à l’Autorité dans les 5 jours ouvrés suivant sa signature et fournit la preuve de notification sur demande.

11.4. À la date du présent Accord, le Conseil n’a rendu de décision d’adéquation pour aucun pays ; les transferts reposent sur des garanties appropriées. LeaderMix tient un inventaire des transferts ; le Client l’utilise pour ses propres obligations de documentation. Tout transfert pour lequel une garantie valable ne peut être établie est suspendu.

Article 12 — Droits des personnes concernées (KVKK art. 11) et assistance

Les personnes concernées disposent des droits de l’art. 11 (savoir, information, finalité, tiers, rectification, effacement/destruction de l’art. 7, notification, opposition à l’analyse automatisée, indemnisation). La conclusion des demandes incombe au Client ; LeaderMix apporte son assistance en réalisant les opérations techniques nécessaires (accès/rectification/effacement/suspension) dans un délai raisonnable et au plus tard sous 7 jours ; il ne répond pas sur le fond aux demandes qui lui parviennent directement et les transmet sans délai au Client. Il appartient au Client de veiller à ce que l’analyse par IA ne produise pas, à l’encontre de la personne concernée, de décision fondée exclusivement sur un traitement automatisé.

Article 13 — Notification des violations de données (KVKK art. 12)

LeaderMix informe le Client au plus tard 24 heures après avoir eu connaissance d’une violation, en précisant la nature de la violation, les catégories de personnes/données affectées, les conséquences probables et les mesures prises. Ce délai vise à permettre au Client d’effectuer sa propre notification au Conseil (dans le délai raisonnable de 72 heures prévu par la résolution n° 2019/10). LeaderMix limite les effets et apporte un soutien complet à l’enquête ; il n’informe le public/les tiers que sur instruction écrite du Client.

Article 14 — Conservation et destruction

14.1. Les données sont soumises aux principes de l’art. 4 du KVKK (conservation limitée à la finalité/proportionnée) et de l’art. 7 (effacement/destruction/anonymisation lorsque la finalité disparaît).

14.3. Registre d’opposition (opt-out) : en cas de demande d’opposition, la donnée concernée est retirée du traitement actif ; les données minimales strictement nécessaires à la preuve du refus ne peuvent être conservées qu’à cette fin et pour la durée légale.

14.4. Règle en fin de relation / clôture du compte — destruction : en cas de fin du Contrat principal ou de clôture/suppression du compte, (a) LeaderMix anonymise le compte et l’enregistrement utilisateur et ferme l’accès ; (b) les enregistrements de leads du Client et les données de tiers liées sont, la finalité du traitement ayant disparu, détruits ou anonymisés de manière irréversible (restitués si le Client le demande expressément) ; aucune conservation indéfinie au motif qu’elle « pourrait éventuellement être nécessaire » ; (c) même si la même personne est ultérieurement traitée par un autre Client, les leads antérieurs du compte clos ne sont ni liés ni restaurés au nouveau compte ; les enregistrements orphelins relèvent de la destruction/anonymisation ; (d) un procès-verbal de traitement est fourni sur demande.

14.5. Unique exception de conservation — registres de messages loi 6563 : la seule exception à la règle de destruction concerne les registres de consentement/refus et d’envoi relatifs aux messages électroniques commerciaux au sens de la loi n° 6563 et du règlement applicable. Seuls les registres dont la conservation est imposée par la législation sont conservés (la base brute de leads dans son ensemble n’en fait pas partie — elle est détruite) ; la durée de conservation est limitée à la durée légale (3 ans à compter de la date de l’enregistrement) et la destruction est automatique à son terme ; l’accès est restreint et ces registres ne peuvent servir au traitement actif/marketing ; l’obligation incombe au Client en sa qualité de prestataire de services, LeaderMix ne faisant que conserver pour son compte.

14.6. Interdiction de réutilisation : aucune donnée conservée au titre du 14.5 ne peut être proposée à un autre Client, utilisée dans une nouvelle campagne, traitée à des fins de développement produit/finalités indépendantes, ni restaurée comme leads antérieurs lors d’un réabonnement. À défaut, LeaderMix devient responsable du traitement indépendant pour l’activité concernée et doit établir une base valable au titre de l’art. 5 + assurer l’information.

14.7. Lorsque l’anonymisation est retenue, son caractère irréversible est garanti, de sorte que l’identification demeure impossible même par recoupement avec d’autres données.

Article 15 — Responsabilité et indemnisation

Chaque Partie répond des dommages résultant de la violation de ses obligations à proportion de sa faute. S’il est prouvé qu’une amende administrative/indemnité résulte exclusivement de la violation de l’autre Partie, la Partie qui a payé dispose d’un recours contre l’autre. LeaderMix ne répond que des manquements aux obligations pesant sur le sous-traitant ou du dépassement des instructions licites ; le Client répond des instructions illicites et des défauts de base légale/information/İYS. Le plafond de responsabilité est soumis aux limites du Contrat principal ; le dol, la faute lourde et les dispositions impératives du KVKK en sont exclus.

Article 16 — Droit d’audit

Le Client a le droit de réaliser ou faire réaliser un audit de conformité au plus une fois par an, moyennant un préavis écrit d’au moins 15 jours (hors audits supplémentaires raisonnables après une violation de données). LeaderMix peut satisfaire à cette obligation par des rapports de mesures à jour et, le cas échéant, des certificats/rapports d’audit indépendants. Les audits sont menés à des heures raisonnables, sans perturber les activités de LeaderMix ni violer la confidentialité des autres clients ; les informations obtenues sont confidentielles.

Article 17 — Durée, résiliation, droit applicable et tribunal compétent

Le présent Accord demeure en vigueur pendant la durée du Contrat principal et prend fin avec lui ; les stipulations devant par nature survivre (confidentialité, destruction/restitution, responsabilité) restent applicables. Si une violation substantielle n’est pas corrigée sous 30 jours malgré une mise en demeure écrite, l’autre Partie peut résilier pour juste motif. L’Accord est soumis au droit turc ; les tribunaux et bureaux d’exécution d’Istanbul (Anatolie) sont compétents. Les adresses de l’article 1/du compte valent adresses de notification ; sauf notification du changement sous 7 jours, la notification à l’ancienne adresse est valable. L’Accord et ses annexes constituent l’intégralité de l’accord des Parties ; la nullité d’une stipulation n’affecte pas les autres.

Annexe 1 — Tableau détaillé du traitement

Annexe 2 — Liste des sous-traitants ultérieurs et régime des transferts internationaux

Pour tous les transferts internationaux, le type de Contrat type approprié à la direction du transfert est établi et notifié à l’Autorité dans les 5 jours ouvrés suivant la signature.

Annexe 3 — Mesures de sécurité techniques et organisationnelles

Organisationnelles : inventaire des données personnelles/registre des traitements ; accords de confidentialité et formation des employés ; matrice d’habilitation d’accès (moindre privilège) ; accords de protection des données avec les sous-traitants ; plan de réponse aux violations de données ; politique de conservation et de destruction, destruction périodique ; analyse des risques.

Techniques : chiffrement en transit et au repos (TLS/HTTPS ; chiffrement des champs sensibles) ; authentification multifacteur et politique de mots de passe robustes ; WAF (Cloudflare), limitation de débit, protection bots/vulnérabilités ; journaux d’accès/session, surveillance/alertes ; sauvegardes régulières, chiffrées et à accès restreint ; gestion des correctifs, tests de sécurité ; blocage d’accès aux fichiers/répertoires sensibles ; stockage sécurisé et rotation des clés API ; masquage des PII dans les outils d’erreur/surveillance (Sentry) (before_send + send_default_pii=False).

Acceptation électronique

En cochant la case d’acceptation correspondante lors de son inscription à LeaderMix, le Client déclare avoir lu, compris et accepté le présent Accord de traitement des données dans son intégralité. La date d’acceptation, la version de l’accord et l’adresse IP sont enregistrées par LeaderMix à des fins de preuve. Une copie signable peut être fournie aux Clients professionnels demandant un exemplaire signé séparément (manuscrit/électronique).