En vigueur : 20 juin 2026 — Sparkle5, LLC — Version 1.0

Accord de traitement des données (ATD)

Le présent Accord de traitement des données (« ATD ») fait partie intégrante des Conditions d’utilisation entre Sparkle5, LLC (« Luvu » ou « nous ») et vous (« Client » ou « vous »), et s’applique chaque fois que Sparkle5, LLC traite des Données Personnelles pour votre compte dans le cadre du service Luvu. Il est conçu pour respecter l’article 28 du RGPD, le Data Protection Act 2018 du Royaume-Uni et les législations équivalentes.

1. Définitions

Données Personnelles, Traitement, Responsable, Sous-traitant, Personne Concernée — au sens du RGPD.
Sous-traitant ultérieur — tout tiers engagé par Luvu pour traiter des Données Personnelles pour notre compte dans le cadre du service.
Clauses Contractuelles Types (CCT) — Modules 2 (Responsable → Sous-traitant) et 3 (Sous-traitant → Sous-traitant ultérieur) de la Commission européenne (Décision (UE) 2021/914).

2. Rôles et périmètre

S’agissant des Données Personnelles relatives aux utilisateurs finaux de Luvu (le produit application de rencontres), Sparkle5, LLC est le Responsable. Pour toutes Données Personnelles que vous (le Client) nous demandez de traiter pour votre compte en dehors de notre produit standard (par ex. contrats d’intégration en entreprise, déploiements en marque blanche), Sparkle5, LLC agit comme Sous-traitant et le présent ATD régit ce Traitement.

3. Objet, durée, nature et finalité

Objet : fourniture du service Luvu — mise en relation, messagerie, vérification d’identité, facturation et infrastructure sous-jacente.
Durée : le Traitement se poursuit pendant la durée des Conditions d’utilisation et conformément au calendrier de conservation décrit au § 7 de la Politique de confidentialité après résiliation.
Nature et finalité : stockage, structuration, consultation, transmission et suppression de Données Personnelles, dans la mesure nécessaire pour fournir, opérer, sécuriser et améliorer le service.
Types de Données Personnelles : données d’identification, de contact, de profil, données de catégorie particulière au sens de l’article 9 (orientation sexuelle et préférences, avec consentement explicite déclaré au § 1 de la Politique de confidentialité), données de localisation, identifiants d’appareil, métadonnées de paiement, contenu (messages, photos, audio vocal), données d’usage et journaux.
Catégories de Personnes Concernées : utilisateurs Luvu enregistrés.

4. Obligations du sous-traitant

Lorsque nous agissons en tant que Sous-traitant, nous nous engageons à :

Traiter les Données Personnelles uniquement sur instructions documentées du Responsable, sauf obligation légale contraire prévue par le droit de l’Union ou d’un État membre.
Veiller à ce que les personnes habilitées à traiter les Données Personnelles soient soumises à une obligation de confidentialité.
Mettre en œuvre les mesures techniques et organisationnelles décrites à l’Annexe II.
N’engager des Sous-traitants ultérieurs qu’avec une autorisation écrite générale préalable et sous des obligations contractuelles équivalentes à celles du présent ATD — voir § 5 et Annexe I.
Compte tenu de la nature du Traitement, assister le Responsable, dans la mesure du possible, par des mesures techniques et organisationnelles appropriées pour répondre aux demandes des Personnes Concernées (Chapitre III RGPD).
Aider à satisfaire aux obligations de sécurité, de notification de violation, d’AIPD et de consultation préalable au titre des articles 32–36 RGPD.
À la résiliation, supprimer ou restituer toutes les Données Personnelles — vous pouvez également exporter vous-même vos données à tout moment depuis Paramètres → Confidentialité → Exporter les données.
Mettre à disposition toutes les informations nécessaires pour démontrer la conformité et permettre des audits, y compris des inspections, menés par le Responsable ou un autre auditeur mandaté. Les audits sont limités à une fois par période de 12 mois sauf après un incident de sécurité.

5. Sous-traitants ultérieurs

Vous accordez ci-présent une autorisation écrite générale à Luvu pour engager les Sous-traitants ultérieurs énumérés à l’Annexe I. Nous vous notifierons tout ajout ou remplacement de Sous-traitant ultérieur via une bannière in-app et un e-mail à l’adresse enregistrée, vous laissant un délai raisonnable (au moins 30 jours) pour vous y opposer pour des motifs raisonnables avant que le nouveau Sous-traitant ultérieur ne commence le Traitement. La liste de l’Annexe I reflète en permanence le tableau des sous-traitants du § 5 de la Politique de confidentialité.

6. Transferts internationaux de données

Lorsqu’un Sous-traitant ultérieur est situé hors UE/EEE, le transfert est couvert soit (i) par une décision d’adéquation de la Commission européenne, soit (ii) par les Clauses Contractuelles Types — Module 3, complétées le cas échéant par des garanties supplémentaires (évaluation d’impact des transferts, chiffrement technique, restrictions contractuelles concernant la divulgation aux autorités gouvernementales). La liste actuelle des transferts transfrontaliers et la garantie appliquée à chacun figure à l’Annexe I.

7. Sécurité — résumé de l’Annexe II

Nous mettons en œuvre les mesures techniques et organisationnelles (MTO) suivantes :

Chiffrement en transit : TLS 1.3 avec chiffres robustes ; HSTS preload.
Chiffrement au repos : AES-256 pour les bases de données, le stockage d’objets et les sauvegardes.
Contrôle d’accès : rôles fondés sur le principe du moindre privilège, sessions administrateur à durée limitée, MFA obligatoire pour tous les rôles avec accès production.
Isolation réseau : les hôtes de production sont derrière un VPN WireGuard ; seuls les terminaux TLS sont exposés publiquement.
Journalisation & supervision : journaux structurés centralisés, suivi des erreurs, alertes d’anomalie ; les adresses IP brutes sont hachées en SHA-256 avant stockage lorsqu’elles servent à l’analytique ou au plafonnement du débit.
Sauvegardes : sauvegardes nocturnes chiffrées de la base de données, conservées 30 jours hors site (UE).
Gestion des vulnérabilités : les dépendances sont scannées à chaque build CI ; le scan de secrets bloque les commits contenant des identifiants.
Contenu photo/voix : ACL S3 privées avec URL signées à durée limitée (TTL de 2 h) ; aucune URL publique brute.
Garanties de suppression de compte : soft-delete avec 30 jours de grâce, puis hard-delete irréversible ; les pièces financières sont conservées lorsque la loi l’exige (10 ans).

8. Notification de violation

À la suite d’une violation réelle ou raisonnablement suspectée de Données Personnelles affectant vos données, nous vous informerons sans retard injustifié et en tout état de cause dans un délai de 48 heures, en fournissant les informations requises par l’article 33(3) du RGPD dans la mesure de leur disponibilité, et nous coopérerons de bonne foi avec vous pour la réponse à l’incident et les notifications en aval.

9. Responsabilité et durée

La responsabilité de chaque partie au titre du présent ATD est soumise aux limitations et exclusions des Conditions d’utilisation sous-jacentes. Le présent ATD entre en vigueur à la date d’effet ci-dessus et prend fin avec les Conditions d’utilisation sous-jacentes.

Annexe I — Sous-traitants ultérieurs autorisés

Cette liste est identique au tableau des sous-traitants du § 5 de la Politique de confidentialité et est mise à jour à chaque ajout, retrait ou modification d’un Sous-traitant ultérieur. La capture actuelle à la date d’effet ci-dessus est reproduite ci-dessous. La liste vivante faisant foi est toujours la version visible à /pages/privacy.

Les transferts transfrontaliers vers les États-Unis et Israël sont couverts par les CCT Module 3 sauf application d’une décision d’adéquation ; les sous-traitants situés dans l’UE ne nécessitent pas de CCT.

Google LLC — Sign-In & Identity (SSO) — USA — CCT.
Google LLC — Firebase Cloud Messaging (notifications push) — USA — CCT.
Google LLC — Google Play Billing & Developer API (validation des achats Android) — USA — CCT.
Google LLC — Maps Static API & Geocoder (messages de localisation) — USA — CCT.
Apple Inc. — SSO, achat in-app, APNs — USA — CCT.
Stripe, Inc. — traitement des paiements web — USA — CCT.
Singular Labs, Inc. — attribution des installations et événements in-app — USA / Israël — CCT.
Hetzner Online GmbH — stockage d’objets (photos, audio, images de chat) — Allemagne (UE) — pas de CCT requise.
Mailgun Technologies (Sinch) — e-mails transactionnels — serveurs UE — pas de CCT requise.
SMTP2GO Pty Ltd — e-mails transactionnels (secondaire) — serveurs UE — pas de CCT requise.
Giphy Inc. — recherche GIF dans les messages — USA — CCT.

Annexe II — Mesures techniques et organisationnelles

Voir § 7 ci-dessus pour le résumé. La documentation MTO complète est disponible pour les clients entreprise sur demande sous NDA à privacy@luvu.plus.

Contact

Sparkle5, LLC — Contact protection des données : privacy@luvu.plus.