Cette annexe fait partie du contrat. Elle est l'accord de traitement exigé par l'article 28 du règlement (UE) 2016/679 entre le Client, responsable de traitement, et l'Éditeur, sous-traitant.
Elle existe pour une raison simple : dès que le Client confie à l'Éditeur les données personnelles de quelqu'un d'autre que lui-même, l'article 28 exige un contrat écrit — et son absence est un manquement du Client autant que de l'Éditeur. Un acheteur professionnel qui demande cet accord ne fait pas du zèle : il ne peut pas signer sans.
1. La ligne de partage, et pourquoi elle passe ici
Deux traitements cohabitent, et les confondre serait la première erreur.
Ce que l'Éditeur traite pour son propre compte — le compte, l'identité de facturation, les courriels de service, les identifiants Stripe, le journal technique — relève de la politique de confidentialité, où l'Éditeur est responsable de traitement. La présente annexe ne s'y applique pas, et le Client n'a rien à y instruire : il ne décide pas des finalités d'un traitement qui est celui de son fournisseur.
Ce que le Client confie à l'Éditeur au sujet d'autres personnes que lui-même relève de la présente annexe. Le Client en est responsable ; l'Éditeur n'est que sous-traitant, et n'agit que sur instruction.
En pratique : un artisan qui souscrit pour lui-même ne confie rien, et cette annexe reste sans objet pour lui. Une entreprise qui équipe trente salariés confie trente adresses, une par siège, et c'est de celles-là qu'il s'agit.
Ce que ni l'un ni l'autre ne traite : les plans et les métrés. Ils ne quittent pas la machine où ils sont ouverts — l'article 3 des conditions générales de vente l'oppose déjà. Le périmètre de ce sous-traitement est donc étroit par construction, et non par promesse : il n'y a pas de contenu métier à protéger sur le serveur, parce qu'il n'y en a pas.
2. Objet, nature, finalité et durée
| Ce que l'article 28 exige de préciser | Ce qu'il en est ici |
|---|---|
| Objet | Ouvrir, suivre et fermer les sièges d'un abonnement d'entreprise, et acheminer aux personnes désignées par le Client les courriels que ces opérations produisent |
| Nature des opérations | Collecte par saisie du Client, enregistrement, conservation, consultation par le Client dans son espace, envoi de courriels, effacement |
| Finalité | L'exécution du contrat d'abonnement, à l'exclusion de toute autre |
| Durée | Celle du contrat, puis les durées de l'article 8 |
L'Éditeur ne poursuit aucune finalité propre sur ces données. Il ne les utilise ni pour la prospection, ni pour la mesure d'audience, ni pour construire un profil, ni pour entraîner un modèle, ni pour les céder à quiconque.
3. Les données confiées, et les personnes concernées
Personnes concernées : les salariés, collaborateurs ou associés du Client que celui-ci désigne comme titulaires d'un siège, ainsi que les contacts de pilotage et de secours qu'il déclare.
| Donnée | D'où elle vient | Ce qui l'exige |
|---|---|---|
| Adresse électronique professionnelle | Saisie par le Client | Acheminer l'invitation, puis le droit d'usage |
| État du siège et ses dates | Produit par le service | Compter les sièges payés et occupés |
| Retour d'un courriel non délivré | Rendu par le prestataire d'envoi | Distinguer une adresse fautive d'un salarié qui n'a rien installé |
| Code de poste et empreinte de la machine | Rendus par le poste à l'activation | Rattacher un droit d'usage à une machine |
| Nom d'équipe, tel que le Client l'écrit | Saisi par le Client | Répartir les sièges entre agences ou chantiers |
Aucun nom de personne n'est demandé. Le service n'a pas de champ pour cela : un siège est identifié par une adresse, et rien d'autre. C'est une réduction de périmètre que le Client peut vérifier plutôt que croire.
Le seul champ libre est le nom d'équipe. Le Client s'abstient d'y écrire autre chose qu'un nom d'agence, de chantier ou de service — et notamment aucune donnée de l'article 9 du règlement. L'Éditeur ne traite aucune catégorie particulière de données, ne les demande nulle part, et n'a aucun moyen de les protéger comme leur régime l'exige s'il en recevait par ce chemin.
4. Les instructions du Client
L'instruction documentée du Client est faite de deux choses, et de rien d'autre : le présent contrat, et les gestes que le Client accomplit lui-même dans son espace — ajouter un siège, en retirer un, créer une équipe, déclarer un contact.
L'Éditeur ne traite les données confiées que sur cette instruction. Il ne les transfère hors de l'Union européenne que dans les conditions de l'article 6.
Si une instruction du Client paraît à l'Éditeur contraire au règlement, il l'en informe et peut en suspendre l'exécution jusqu'à ce que le Client la confirme ou la retire.
L'Éditeur peut agir sans instruction dans un seul cas : lorsqu'une obligation légale l'y contraint. Il en informe alors le Client avant de traiter, sauf si la loi le lui interdit.
5. Confidentialité et personnes autorisées
L'accès aux données confiées est limité à ce qu'exige leur traitement. L'Éditeur ne compte à ce jour aucun salarié : les seules personnes qui y accèdent sont son dirigeant et, le cas échéant, un prestataire tenu par un engagement de confidentialité au moins équivalent au présent article. Cet engagement survit à la fin de sa mission.
Le Client est informé avant qu'un nouveau prestataire humain accède aux données confiées ; l'article 6 règle le cas des sous-traitants ultérieurs.
6. Les sous-traitants ultérieurs
Le Client autorise par le présent contrat les trois sous-traitants ci-dessous, et eux seuls. C'est une autorisation écrite générale au sens de l'article 28.2 du règlement.
| Sous-traitant ultérieur | Ce qu'il fait | Ce qu'il reçoit des données confiées | Où |
|---|---|---|---|
| OVHcloud (OVH SAS, Roubaix) | Héberge le service, la base, le coffre de clés et les sauvegardes chiffrées | L'ensemble | France, Gravelines |
| Brevo (Sendinblue SAS) | Achemine les courriels de service | L'adresse du destinataire et le contenu du message | Union européenne |
| Stripe (Stripe Payments Europe Ltd) | Encaisse et facture l'abonnement | Rien des données confiées : Stripe ne connaît que le Client contractant, jamais les titulaires de sièges | Irlande, et États-Unis |
Stripe figure dans ce tableau pour dire ce qu'il ne reçoit pas. L'omettre laisserait croire à un acheteur attentif que la question n'a pas été posée ; le transfert vers les États-Unis, encadré par les clauses contractuelles types de la Commission européenne, ne porte donc sur aucune donnée relevant de la présente annexe.
L'Éditeur impose à chacun d'eux, par contrat, des obligations de protection équivalentes à celles du présent document, et répond de leurs manquements comme des siens.
Tout changement se signale avant d'avoir lieu. L'Éditeur informe le Client de l'ajout ou du remplacement d'un sous-traitant ultérieur trente jours au moins avant qu'il ne reçoive des données. Le Client qui s'y oppose dans ce délai, pour un motif tenant à la protection des données, peut résilier l'abonnement sans frais ni pénalité ; le trop-perçu lui est remboursé au prorata.
Trente jours et non quinze : un délai qui ne laisse pas le temps de changer de fournisseur n'est pas un droit d'opposition, c'est une formalité.
7. Sécurité
Les mesures ci-dessous sont celles qui sont en place, non celles qu'on projette. Elles sont décrites au présent, et le Client peut en demander la justification au titre de l'article 9.
- Les échanges avec le service sont chiffrés de bout en bout du transport ; le service refuse le trafic en clair.
- Les mots de passe sont conservés sous forme d'empreinte irréversible.
- Les sauvegardes sont chiffrées avant de quitter la machine, et la clé qui les déchiffre n'est présente sur aucun serveur.
- La clé qui signe les droits d'usage est détenue dans un coffre matériel, et non dans un fichier posé sur le serveur.
- Le journal technique est borné à trente jours, en durée comme en volume.
- Les adresses réseau ne sont conservées que sous forme d'empreinte non réversible.
- Ce qui sort de la machine pour la supervision est caviardé : adresses, identifiants et jetons n'y figurent pas.
- La restauration des sauvegardes est éprouvée, et non supposée.
L'Éditeur tient ces mesures à jour au regard de l'état de l'art. Il ne s'engage pas à les conserver identiques : il s'engage à ne pas les affaiblir.
8. Sort des données à la fin
À la fin du contrat, quelle qu'en soit la cause :
- Pendant trois mois, le Client peut demander la remise des données confiées. L'Éditeur les lui remet sous quinze jours, sans frais, au format décrit à l'article 7 de l'annexe support et réversibilité.
- Ce délai passé, ou la remise faite, l'Éditeur efface les données confiées et fait de même chez ses sous-traitants ultérieurs.
- Les sauvegardes chiffrées conservent une trace jusqu'à leur propre péremption — quatorze sauvegardes quotidiennes et douze mensuelles. Elles ne sont ni consultées ni exploitées, et cèdent leur place par rotation. Le dire plutôt que promettre un effacement instantané qu'aucune sauvegarde ne permet.
- Ce que la loi impose de conserver l'est : une facture reste dix ans, et son destinataire avec elle. Aucune demande d'effacement ne prévaut sur le droit comptable, et l'Éditeur ne prétendra pas le contraire.
9. Assistance, documentation et audit
Les droits des personnes. Une demande d'accès, de rectification, d'effacement, de limitation, d'opposition ou de portabilité portant sur les données confiées est transmise au Client sous cinq jours ouvrés, et l'Éditeur n'y répond pas lui-même : elle relève du responsable de traitement. L'Éditeur l'assiste ensuite par les moyens du service.
Les violations de données. L'Éditeur notifie au Client toute violation affectant les données confiées sans retard injustifié, et au plus tard quarante-huit heures après en avoir eu connaissance. La notification décrit ce qui s'est passé, les données et les personnes touchées, les conséquences probables et les mesures prises. Elle part même incomplète : un délai tenu avec une information partielle vaut mieux qu'un rapport parfait le sixième jour, quand le Client a lui-même soixante-douze heures pour saisir la CNIL.
Les analyses d'impact. L'Éditeur assiste le Client dans une analyse d'impact ou une consultation préalable, dans la mesure de ce qu'il sait du traitement.
La documentation. L'Éditeur met à disposition du Client, sur demande, les informations nécessaires pour démontrer le respect de l'article 28 — notamment les accords de traitement qu'il a conclus avec OVHcloud, Brevo et Stripe. Ces accords ne sont pas publiés : ce sont des contrats entre l'Éditeur et ses prestataires, et ils se produisent, ils ne s'affichent pas.
L'audit. Le Client peut faire auditer ces traitements une fois par an, et à tout moment après une violation le concernant. Il en informe l'Éditeur trente jours à l'avance, en supporte le coût, et l'auditeur est tenu à la confidentialité. L'Éditeur peut opposer à un auditeur qui est aussi son concurrent un refus motivé, et propose alors un tiers indépendant.
10. Ce que cette annexe ne fait pas
Elle ne déplace pas la responsabilité. Le Client reste responsable de la licéité de ce qu'il confie : avoir informé ses salariés, disposer d'une base légale, ne pas inscrire dans un champ libre ce qui n'y a rien à faire.
Elle ne crée pas d'obligation de conseil. L'Éditeur n'est pas le délégué à la protection des données du Client, et n'en tient pas lieu.
Elle ne survit pas à son objet. Un Client qui n'a jamais ouvert de siège au nom d'un tiers n'a jamais rien confié : l'annexe s'applique à lui sans jamais produire d'effet, et c'est la situation ordinaire d'un abonnement individuel.
11. Modification
Toute nouvelle version est publiée et, s'agissant d'un document du corpus contractuel, présentée aux clients avant de produire effet.
En cas de contradiction entre la présente annexe et un autre document du corpus sur le traitement des données confiées par le Client, la présente annexe l'emporte. Elle ne dit rien du reste, et ne prétend pas y départager quoi que ce soit.