Accord de sous-traitance

Le présent accord, conclu en application de l'article 28 du règlement (UE) 2016/679 (RGPD), fait partie du contrat qui lie SBCQ SAS (MBN Studio, le « Sous-traitant ») à son client (le « Responsable de traitement »). Il s'applique dès que le Sous-traitant traite des données personnelles pour le compte du client dans le cadre des prestations décrites aux conditions générales de vente. Il est accepté avec le devis.

En cas de contradiction, le présent accord prévaut sur les autres documents contractuels pour ce qui concerne les données personnelles.

Prosper (prospection par courriel)

Finalité

Constituer la base de prospects du client, envoyer ses messages de prospection et ses relances, recevoir et trier les réponses, tenir la liste d'opposition, produire les statistiques de campagne.

Personnes

Professionnels prospectés : dirigeants, responsables et salariés d'entreprises, d'établissements ou d'organismes.

Données

Identité et fonction, coordonnées professionnelles (adresse électronique, téléphone), entreprise (nom, adresse, activité, SIRET, site), source de chaque donnée, messages envoyés et reçus, statut commercial, opposition.

Opérations

Collecte, enrichissement, vérification des adresses, enregistrement, envoi, réception, consultation, export, suppression.

Zénith et Atlas

Finalité

Mesurer l'audience et les conversions du site du client, piloter ses campagnes publicitaires, en rendre compte.

Personnes

Visiteurs du site du client et personnes exposées à ses publicités.

Données

Données de mesure d'audience et de conversion fournies par Google Analytics, Google Search Console, Google Ads et Meta (le plus souvent agrégées), listes d'audience éventuellement fournies par le client.

Site & app (hébergement et maintenance)

Finalité

Héberger, maintenir et faire fonctionner le site ou l'application du client, transmettre les messages de ses formulaires.

Personnes

Utilisateurs et visiteurs du site ou de l'application du client.

Données

Données saisies dans les formulaires, comptes des utilisateurs le cas échéant, journaux techniques.

Durée : celle du contrat, augmentée du délai de restitution et de suppression prévu à l'article 9.

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement : le devis, le présent accord, la configuration validée de chaque campagne (cible, zones, messages, relances) et les validations enregistrées dans les tableaux de bord ou par courriel.

Il informe immédiatement le Responsable de traitement si une instruction lui paraît contraire au RGPD ou au droit applicable, et peut suspendre son exécution jusqu'à confirmation ou modification.

Le Responsable de traitement :

• détermine les finalités du traitement et s'assure de sa licéité, notamment que ses messages de prospection sont adressés à des professionnels et en rapport avec leur activité ;
• publie une politique de confidentialité accessible par le lien inséré dans chaque message et y informe les personnes ;
• ne transmet au Sous-traitant que des données dont il peut justifier l'origine ;
• répond aux demandes d'exercice de droits qui le concernent, avec l'aide du Sous-traitant ;
• informe le Sous-traitant de toute instruction nouvelle par écrit.

Le Sous-traitant s'engage à :

• traiter les données uniquement pour les finalités décrites et selon les instructions reçues ;
• garantir la confidentialité des données et veiller à ce que les personnes autorisées à les traiter soient tenues à la confidentialité et formées à la protection des données ;
• mettre en œuvre les mesures de sécurité décrites à l'article 11 ;
• respecter les règles de l'article 7 sur les sous-traitants ultérieurs ;
• aider le Responsable de traitement à répondre aux demandes d'exercice de droits, à réaliser une analyse d'impact si elle est requise et à consulter la CNIL le cas échéant ;
• tenir le registre des catégories d'activités de traitement effectuées pour le compte de ses clients (article 30.2 du RGPD) ;
• mettre à disposition toute information nécessaire pour démontrer le respect du présent accord.

Pour Prosper, le Sous-traitant insère dans chaque message l'identité de l'expéditeur, la source de l'adresse, la base légale, le lien vers la politique de confidentialité du client et un moyen simple de s'opposer. Il ne place dans les messages ni pixel de suivi des ouvertures, ni lien contenant un identifiant personnel.

Pour Prosper, le Sous-traitant tient une base commune d'établissements professionnels, constituée à partir de sources publiques, dont il est responsable de traitement au sens du RGPD. Les fiches qui en sont tirées pour une campagne entrent dans la base du client, traitée pour son compte selon le présent accord.

Le Sous-traitant tient aussi une liste d'opposition commune : une personne qui s'oppose, se plaint ou dont l'adresse est invalide n'est plus contactée par aucun client. Cette liste, conservée sous forme d'empreintes hachées, survit à la fin du contrat, afin de garantir le respect durable des oppositions.

Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants :

Contabo GmbH

Hébergement des serveurs de Prosper et des tableaux de bord (Allemagne)

Google (Workspace, Cloud)

Boîtes d'envoi et de réception, API Google Places, mesure d'audience (Irlande, États-Unis)

Cloudflare, Inc.

Noms de domaine, DNS, hébergement de sites (États-Unis)

Anthropic, PBC

Assistance à la rédaction des messages et à l'analyse des réponses (États-Unis)

GitHub, Inc.

Hébergement du code et des fichiers de configuration (États-Unis)

Resend, Inc.

Envoi des messages des formulaires de sites (États-Unis)

Le Sous-traitant informe le Responsable de traitement par courriel de tout ajout ou remplacement au moins 15 jours à l'avance. Le Responsable de traitement peut s'y opposer pour un motif légitime dans ce délai ; à défaut d'accord, chaque partie peut résilier la prestation concernée. Le Sous-traitant impose à chaque sous-traitant ultérieur les mêmes obligations de protection et reste responsable de leur exécution.

Un transfert hors de l'Espace économique européen n'a lieu que vers un pays bénéficiant d'une décision d'adéquation, dont les entreprises certifiées au Data Privacy Framework UE–États-Unis, ou sous couvert des clauses contractuelles types de la Commission européenne.

À la fin du contrat, le Sous-traitant met à disposition du Responsable de traitement, sur demande formulée dans les 30 jours, un export de ses données dans un format courant (CSV). Il supprime ensuite les données et leurs copies dans un délai de 90 jours, sauvegardes comprises, sauf obligation légale de conservation et sous réserve de la liste d'opposition de l'article 6. Il confirme la suppression par écrit sur demande.

Le Sous-traitant notifie au Responsable de traitement toute violation de données personnelles dans un délai maximal de 48 heures après en avoir pris connaissance, par courriel, avec les informations disponibles : nature de la violation, catégories et nombre approximatif de personnes et de données concernées, conséquences probables, mesures prises ou envisagées. Il l'aide à notifier la CNIL et, si nécessaire, les personnes concernées.

• chiffrement des échanges (HTTPS, TLS pour l'envoi et la réception des courriels) ;
• comptes nominatifs, mots de passe hachés (scrypt), sessions sécurisées, droits limités aux clients rattachés à chaque compte ;
• base de données séparée pour chaque client, sans accès croisé ;
• secrets (mots de passe des boîtes, clés d'accès) stockés à part, hors du code ;
• serveurs dans l'Union européenne, accès d'administration par clé et réservés à l'équipe ;
• sauvegardes régulières et journalisation des actions sensibles (envois, exports, suppressions) ;
• minimisation : seules les données utiles à la prospection professionnelle sont collectées, chaque donnée garde sa source.

Le Responsable de traitement peut, une fois par an et avec un préavis de 30 jours, faire vérifier le respect du présent accord, par lui-même ou par un auditeur indépendant tenu au secret, sans perturber l'activité du Sous-traitant ni accéder aux données d'autres clients. Les frais de l'audit sont à sa charge.

Chaque partie est responsable des dommages causés par ses propres manquements au RGPD, dans les conditions de l'article 82 du RGPD et des conditions générales de vente.

Le présent accord dure autant que le contrat et, au-delà, tant que le Sous-traitant détient des données du Responsable de traitement. Contact pour toute question relative aux données : [email protected].