Déclaration de résidence des données

Projet, non en vigueur. Version 0.1 du 6 octobre 2026.

Entre en vigueur le {{EFFECTIVE_DATE}}.

Cette déclaration constitue l'annexe V de l'accord sur le traitement des données à caractère personnel et est publiée sur app.socializza.com. Dans cette déclaration, "Socializza" désigne ITALDRONI S.r.l., qui fournit le service Socializza.

Le principe

Le règlement (UE) 2016/679 (RGPD) n'impose pas de conserver les données dans l'Union européenne. Il impose que tout transfert vers un pays tiers respecte les conditions du chapitre V. La résidence dans l'Union est donc un engagement que Socializza prend de sa propre initiative. C'est pourquoi chaque exception est énumérée ici avant la signature du contrat.

Socializza conserve toutes les données des clients dans l'Union européenne, avec pour seules exceptions celles énumérées ci-dessous pour les paiements et pour les canaux que le client active.

Socializza choisit en outre des fournisseurs à capitaux européens. C'est pourquoi le tableau des exceptions indique aussi les fournisseurs à capitaux non européens qui traitent des données dans l'Union.

Données conservées dans l'Union européenne

Données	Lieu	Fournisseur
Base de données PostgreSQL contenant les données du workspace décrites à l'annexe II de l'accord sur le traitement, les comptes des membres et les données de facturation. Les jetons des plateformes sont chiffrés avec une clé propre à chaque workspace.	Serveur virtuel Amazon Lightsail, région eu-central-1, Francfort, Allemagne.	Amazon Web Services EMEA SARL, Luxembourg, exception 6
Médias des posts, supprimés au plus tard 7 jours après la publication ou l'annulation.	Le serveur Amazon Lightsail de la première ligne, région eu-central-1, Francfort, Allemagne.	Amazon Web Services EMEA SARL, Luxembourg, exception 6
Sauvegardes de la base de données et des instantanés du dépôt de clés, chiffrées avant l'envoi. Socializza conserve 30 jours en rotation et une copie mensuelle pendant 12 mois.	AWS S3, région eu-central-1, Francfort, Allemagne.	Amazon Web Services EMEA SARL, exception 2
Journaux de sécurité des connexions et de la prévention des abus, qui conservent l'adresse IP pendant 30 jours. Journaux d'exploitation et métriques des serveurs, dont les données à caractère personnel sont retirées à l'entrée, conservés 30 jours.	Journaux de sécurité, journaux d'exploitation et métriques sur le serveur de la première ligne.	Amazon Web Services EMEA SARL, Luxembourg, exception 6
Dépôt de clés OpenBao, qui conserve la clé avec laquelle sont chiffrées les clés de chaque workspace. Les parts de déverrouillage sont conservées en dehors des serveurs.	Sur le serveur Amazon Lightsail de la première ligne, région eu-central-1, Francfort, Allemagne.	Amazon Web Services EMEA SARL, Luxembourg, exception 6. Socializza n'utilise pas de services de gestion des clés de fournisseurs américains.

Exceptions

Chaque ligne décrit un flux qui sort de l'Union ou qu'une entité à capitaux non européens traite.

Flux	Données qui sortent ou qu'une entité non européenne traite	Destinataire	Motif	Mécanisme du chapitre V	Désactivable par le client
1. Courrier transactionnel avec Amazon SES	Adresse e-mail du destinataire, nom d'utilisateur du compte, nom de l'agent et un lien vers l'application. Les messages ne contiennent jamais le texte des posts, les médias ou les commentaires.	Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxembourg, société d'un groupe américain. Région eu-central-1, Francfort, Allemagne. Sous-traitant ultérieur.	Envoi des demandes d'approbation, des notifications, des liens de connexion et des messages de la liste d'attente. Socializza n'utilise pas d'autres canaux de messagerie.	Les données restent dans la région eu-central-1. Les clauses contractuelles types de la décision d'exécution (UE) 2021/914 de la Commission s'appliquent, que l'AWS GDPR Data Processing Addendum, qui fait partie des AWS Service Terms, applique à tout transfert hors de l'Espace économique européen.	Non
2. Sauvegardes chiffrées avec Amazon S3	Copie de la base de données et des instantanés du dépôt de clés, uniquement sous forme chiffrée. AWS ne reçoit jamais la clé.	Amazon Web Services EMEA SARL, comme à la ligne 1. Région eu-central-1, Francfort, Allemagne. Sous-traitant ultérieur.	Stockage des sauvegardes avec verrouillage de la suppression (Object Lock).	Comme à la ligne 1.	Non
3. Paiements des abonnements sur le web avec Stripe	Données de facturation et de paiement du client, comme la raison sociale, le pays, le numéro de TVA, le plan et la référence client. Socializza n'insère jamais de contenus du workspace dans les champs de description ou les métadonnées de Stripe.	Stripe Payments Europe, Limited, Dublin, Irlande, et Stripe, LLC, États-Unis. Stripe agit en tant que responsable du traitement indépendant et en tant que sous-traitant.	Encaissement des abonnements, prélèvement SEPA, calcul des taxes et factures. Stripe ne propose pas la conservation des données de paiement uniquement dans l'Union.	Accord sur le traitement des données de Stripe, qui fait partie du Stripe Services Agreement. Le Data Transfer Addendum de Stripe applique en premier lieu la décision d'adéquation relative au cadre de protection des données UE-États-Unis (Data Privacy Framework), dans lequel Stripe, LLC est certifiée, et à titre subsidiaire les clauses contractuelles types.	Non, pour les paiements sur le web. L'achat dans l'application remplace ce flux par l'exception 4, qui sort aussi de l'Union. Le plan Agenzia s'achète uniquement sur le web. Le plan Gratis ne requiert aucun paiement.
4. Achats dans l'application avec Apple et Google	Données de l'acheteur et du paiement, collectées par la boutique. Socializza reçoit de la boutique les données de l'abonnement au plan acheté.	Apple Distribution International Ltd, Hollyhill Industrial Estate, Hollyhill, Cork, Irlande, pour l'App Store. Google, pour Google Play. Tous deux agissent en qualité de vendeurs (merchant of record).	Vente des abonnements dans les applications iOS et Android, aux mêmes prix que sur le web.	Aucun accord sur le traitement des données n'est disponible. Apple et Google traitent les données d'achat en tant que responsables du traitement indépendants selon leurs propres conditions. Apple Inc., États-Unis, n'est pas certifiée au titre du cadre de protection des données UE-États-Unis (Data Privacy Framework) ; la politique de confidentialité d'Apple indique comme mécanisme les clauses contractuelles types. Google LLC, États-Unis, est certifiée au titre du Data Privacy Framework ; le transfert repose donc sur la décision d'adéquation, la décision d'exécution (UE) 2023/1795 de la Commission du 10 juillet 2023.	Non, pour les achats dans l'application. Le paiement sur le web remplace ce flux par l'exception 3, qui sort aussi de l'Union.
5. Notifications push avec APNs et FCM	Un identifiant opaque et le jeton de l'appareil. L'application télécharge le contenu depuis le serveur dans l'Union lorsque l'utilisateur ouvre la notification.	Apple Inc., One Apple Park Way, Cupertino, Californie, pour Apple Push Notification service (APNs), et Google LLC, 1600 Amphitheatre Parkway, Mountain View, Californie, pour Firebase Cloud Messaging (FCM), toutes deux aux États-Unis. Destinataires indiqués dans la politique de confidentialité, non sous-traitants ultérieurs.	Remise des notifications aux applications iOS et Android.	Aucun contenu du client ne quitte l'Union. Pour APNs, Apple Inc. n'est pas certifiée au titre du cadre de protection des données UE-États-Unis (Data Privacy Framework), et la politique de confidentialité d'Apple indique comme mécanisme les clauses contractuelles types. Pour FCM, Google LLC agit en tant que sous-traitant de Socializza conformément aux Firebase Data Processing and Security Terms. Google LLC est certifiée au titre du Data Privacy Framework ; le transfert repose donc sur la décision d'adéquation, la décision d'exécution (UE) 2023/1795 de la Commission du 10 juillet 2023, et à titre subsidiaire sur les clauses contractuelles types de ces conditions.	Oui, en désactivant les notifications push.
6. Hébergement avec Amazon Lightsail	Les catégories de l'annexe II de l'accord sur le traitement et les médias téléversés par le client. Les jetons des plateformes sont conservés uniquement sous forme chiffrée.	Amazon Web Services EMEA SARL, comme à la ligne 1. Région eu-central-1, Francfort, Allemagne. Sous-traitant ultérieur.	Serveur virtuel qui héberge la base de données, l'application, le dépôt de clés et les médias.	Comme à la ligne 1.	Non

Les lignes 3 et 4 concernent des données de facturation et la ligne 5 des données de notifications push, que Socializza traite en tant que responsable du traitement selon la politique de confidentialité. Ces données restent en dehors de l'accord sur le traitement. Elles relèvent toutefois de l'engagement de résidence, et c'est pourquoi elles figurent ici. AWS, pour les lignes 1, 2 et 6, figure aussi dans la liste des sous-traitants ultérieurs, annexe IV de l'accord sur le traitement.

Plateformes sociales

Sur instruction du client, Socializza publie sur les plateformes sociales et en lit les données. Au lancement, les plateformes sont X et, via Meta, les Pages Facebook, Instagram et Threads. Les plateformes sont des destinataires que le client choisit, indiqués à l'annexe II de l'accord sur le traitement. Chacune traite les données en tant que responsable du traitement indépendant, dans sa propre relation avec le client et selon ses propres conditions. Ces flux restent donc en dehors de l'engagement de résidence de cette déclaration.

Services qui ne traitent pas de données des clients

Ces services ne sont pas des sous-traitants ultérieurs et ne figurent pas dans la liste des sous-traitants ultérieurs.

Service	Ce qu'il traite	Pourquoi il ne traite pas de données des clients
Cloudflare	Uniquement les enregistrements DNS de socializza.com, sans proxy et sans pare-feu applicatif.	Le trafic des clients ne passe pas par Cloudflare.
Tailscale	Le plan de contrôle du réseau privé entre les serveurs de Socializza, avec les clés et les métadonnées des serveurs, comme les noms et les adresses des nœuds.	Le plan de contrôle échange uniquement des clés et des métadonnées, et aucun contenu des clients n'y transite. ITALDRONI a évalué le service au regard de l'engagement en faveur de fournisseurs à capitaux européens et l'a accepté. L'étape prévue est Headscale, hébergé dans l'Union.
GitHub	Code source, intégration continue et images des conteneurs.	Les processus de compilation n'accèdent pas aux données des clients.
Codemagic	Compilation des applications iOS et Android.	Codemagic compile le code et ne reçoit pas de données des clients.

Canaux exclus au lancement

Les approbations par Telegram et WhatsApp ne sont pas proposées au lancement et ne figurent pas dans cette déclaration. Tout canal ajouté ultérieurement entre avec le préavis de 30 jours de l'article 5.5 de l'accord sur le traitement et ajoute une nouvelle ligne au tableau des exceptions.