Accord de sous-traitance des données personnelles
Annexe aux Conditions particulières d'abonnement — article 28 du règlement (UE) 2016/679 (« RGPD »)
Entre le Client, identifié aux Conditions particulières, agissant en qualité de responsable de traitement (le « Responsable de traitement »), et SPEENEO, société par actions simplifiée unipersonnelle au capital de 10 €, dont le siège social est situé 12 bis rue Arphons Bruno, 13140 Miramas, immatriculée au RCS de Salon-de-Provence sous le numéro 109 557 751, représentée par Colin Bastid, Président, agissant en qualité de sous-traitant (« Speeneo » ou le « Sous-traitant »).
Les termes commençant par une majuscule ont le sens que leur donnent les conditions générales de vente et d'abonnement de Speeneo (les « Conditions générales ») ou, à défaut, l'article 4 du RGPD.
Article 1 — Objet
1.1. Le présent accord fixe les conditions dans lesquelles Speeneo traite, pour le compte du Client, les données personnelles des Clients finaux et du personnel du Client, dans le cadre de l'Abonnement à la Plateforme (article 19.1 des Conditions générales).
1.2. Il ne s'applique pas aux traitements dont Speeneo est elle-même responsable : gestion de la relation commerciale avec le Client et ses représentants, facturation, preuve de la signature des contrats, mesure d'audience du site speeneo.com. Ces traitements sont décrits dans la politique de confidentialité de Speeneo (article 19.2 des Conditions générales).
Article 2 — Description du traitement
2.1. Nature des opérations : collecte, enregistrement, organisation, conservation, consultation, utilisation, communication par transmission aux sous-traitants ultérieurs listés à l'article 8, rapprochement, effacement.
2.2. Finalités — exclusivement celles des fonctionnalités que le Client utilise :
| Fonctionnalité | Finalité |
|---|---|
| Roue à cadeaux | Permettre aux Clients finaux de participer, leur attribuer et leur adresser un lot, éviter les participations multiples |
| Carte de fidélité | Créer et tenir la carte du Client final (tampons, récompenses), l'émettre dans Google Wallet, l'adresser par e-mail, la retrouver |
| Fichier clients | Permettre au Client de consulter et d'exporter les contacts recueillis par la roue et la carte de fidélité |
| Campagnes e-mail et SMS | Adresser les messages définis par le Client aux destinataires qu'il choisit, mesurer l'ouverture des e-mails, gérer les désinscriptions |
| Avis Google | Afficher les avis publiés sur la fiche d'établissement du Client, proposer des projets de réponse générés par intelligence artificielle, publier la réponse validée par le Client |
| Opérations événementielles | Mêmes finalités que la roue, pour les opérations ponctuelles organisées par le Client |
2.3. Durée : la durée du contrat, augmentée de la période de restitution prévue à l'article 10.
Article 3 — Personnes concernées et catégories de données
| Personnes concernées | Données |
|---|---|
| Participants à la roue à cadeaux | Prénom ; adresse e-mail ; numéro de téléphone (facultatif) ; lot gagné, code du lot et statut de remise ; date de participation ; consentement (case cochée, date et heure, version du texte) ; identifiant aléatoire de l'appareil, conservé dans le navigateur du participant pour limiter les participations multiples |
| Participants aux opérations événementielles | Les mêmes données, ainsi que le nom et l'entreprise lorsque l'opération les demande |
| Porteurs de carte de fidélité | Prénom ; adresse e-mail ; nombre de tampons, récompenses obtenues et historique des passages ; code-barres et jeton d'accès personnel à la carte ; identifiant de la carte dans Google Wallet ; consentement à recevoir des offres par e-mail (facultatif, date, heure, version) |
| Destinataires des campagnes | Adresse e-mail ou numéro de téléphone, prénom ; date d'ouverture des e-mails ; demande de désinscription |
| Auteurs d'avis Google | Nom affiché sur Google, texte de l'avis, note, dates, réponse publiée |
| Personnel du Client | Adresse e-mail du membre du personnel qui enregistre un tampon de fidélité |
3.1. Aucune catégorie particulière de données au sens de l'article 9 du RGPD n'est collectée par la Plateforme. Le Client s'interdit d'en saisir dans les champs libres (campagnes, lots, réponses aux avis).
3.2. L'adresse IP des Clients finaux n'est pas enregistrée : elle n'est conservée que sous forme d'empreinte cryptographique, pendant vingt-quatre heures, pour limiter les abus.
Article 4 — Obligations et droits du Client
4.1. Le Client, responsable de traitement :
- détermine les finalités et les moyens essentiels du traitement en choisissant les fonctionnalités qu'il utilise et en les paramétrant ;
- garantit disposer d'une base légale pour chaque traitement, recueillir les consentements requis — en particulier avant toute prospection par e-mail ou par SMS (article L34-5 du code des postes et des communications électroniques) — et informer les Clients finaux conformément aux articles 13 et 14 du RGPD (article 19.3 des Conditions générales) ;
- répond aux demandes d'exercice de droits des Clients finaux ;
- tient son registre des activités de traitement.
4.2. Le Client peut à tout moment donner des instructions écrites complémentaires à Speeneo, obtenir les informations prévues à l'article 11, et s'opposer à un nouveau sous-traitant ultérieur dans les conditions de l'article 8.
Article 5 — Traitement sur instruction documentée
5.1. Speeneo ne traite les données que sur instruction documentée du Client. Constituent ces instructions : les Conditions générales, les Conditions particulières, le présent accord, et les paramétrages et actions réalisés par le Client dans la Plateforme (création d'une roue, d'une campagne, choix des destinataires, validation d'une réponse à un avis, suppression d'une donnée).
5.2. Si une instruction lui paraît constituer une violation du RGPD ou d'une autre disposition du droit de l'Union ou des États membres relative à la protection des données, Speeneo en informe immédiatement le Client.
5.3. Lorsque le droit de l'Union ou d'un État membre impose à Speeneo un traitement non prévu par les instructions, Speeneo en informe le Client avant le traitement, sauf si ce droit l'interdit.
5.4. Speeneo n'utilise pas les données des Clients finaux pour ses propres besoins. Elle ne les vend pas, ne les loue pas et ne les communique pas à des tiers autres que les sous-traitants ultérieurs de l'article 8.
Article 6 — Confidentialité des personnes autorisées
6.1. Seules les personnes que Speeneo autorise et qui en ont besoin pour exécuter le contrat ont accès aux données : à la date des présentes, le Président de Speeneo et les membres de l'équipe titulaires d'un compte administrateur, pour l'assistance, la maintenance et la sécurité.
6.2. Ces personnes sont soumises à une obligation de confidentialité, contractuelle ou légale, qui survit à la fin de leur mission.
6.3. Les agents commerciaux de Speeneo n'ont pas accès aux données des Clients finaux.
Article 7 — Sécurité (article 32 du RGPD)
7.1. Speeneo met en œuvre les mesures suivantes, adaptées au risque.
Contrôle d'accès : cloisonnement par Client, chaque compte n'accédant qu'aux données de ses propres établissements par des règles de sécurité appliquées par la base de données elle-même ; tables techniques et journaux accessibles uniquement par le serveur ; droits d'administration réservés aux comptes administrateurs ; mot de passe d'au moins huit caractères et vérification de l'adresse e-mail à l'inscription.
Chiffrement et intégrité : chiffrement des communications (HTTPS, en-tête HSTS) ; chiffrement AES-256-GCM des jetons d'accès aux services Google du Client ; liens de désinscription et jetons de complément signés ; jetons d'accès stockés sous forme d'empreinte lorsqu'ils servent d'authentifiant ; documents contractuels conservés dans un espace privé, servis par liens temporaires.
Disponibilité et prévention des abus : limitation du nombre de requêtes par adresse ou par compte sur les parcours publics, l'adresse n'étant conservée que sous forme d'empreinte ; sauvegarde quotidienne de la base de données, conservée huit jours.
Minimisation et traçabilité : aucune adresse IP de Client final enregistrée en clair ; journaux applicatifs limités à des compteurs, sans donnée nominative ; journal des suppressions de comptes Client.
7.2. Speeneo réévalue ces mesures en fonction de l'évolution des risques et de l'état de l'art, sans pouvoir en réduire le niveau global pendant la durée du contrat.
Article 8 — Sous-traitants ultérieurs
8.1. Autorisation générale. Le Client autorise Speeneo à recourir aux sous-traitants ultérieurs listés ci-dessous. Speeneo leur impose, par contrat, des obligations de protection des données équivalentes à celles du présent accord, et reste responsable envers le Client de leur exécution.
| Sous-traitant ultérieur | Service | Données des Clients finaux traitées | Lieu de traitement | Encadrement d'un transfert hors de l'Union européenne |
|---|---|---|---|---|
| Supabase Inc. | Base de données, authentification, stockage | Toutes les données de l'article 3 | Suisse (Zurich) | Décision d'adéquation de la Commission européenne relative à la Suisse |
| Vercel Inc. | Hébergement et exécution de l'application | Données en transit lors du traitement des requêtes ; journaux techniques | Allemagne (Francfort) ; société établie aux États-Unis | Clauses contractuelles types de la Commission européenne (décision 2021/914) |
| Resend (Plus Five Five, Inc.) | Envoi des e-mails | Adresse e-mail et prénom des destinataires, contenu des e-mails (lot, carte de fidélité, campagne) | États-Unis | Certification EU-U.S. Data Privacy Framework et clauses contractuelles types de la Commission européenne (décision 2021/914) |
| Brevo (Sendinblue SAS) | Envoi des SMS | Numéro de téléphone et prénom des destinataires, contenu du SMS | France | Aucun transfert |
| Google Ireland Ltd / Google LLC | Google Wallet (cartes de fidélité) ; API Google Business Profile (avis) | Wallet : prénom, code-barres, tampons, messages de la carte. Avis : nom affiché, texte, note et réponse | Union européenne et États-Unis | Clauses contractuelles types de la Commission européenne, dans la variante correspondant au rôle de Google ; aucun transfert restreint lorsque les données restent dans un pays bénéficiant d'une décision d'adéquation |
| OpenAI Ireland Ltd | Projets de réponse aux avis | Texte de l'avis, note, prénom de l'auteur, nom de l'établissement | Irlande ; traitement possible aux États-Unis | Clauses contractuelles types de la Commission européenne (décision 2021/914) ou décision d'adéquation, pour les transferts hors de l'Espace économique européen |
Stripe Payments Europe Ltd, prestataire de paiement de l'Abonnement, ne reçoit aucune donnée de Client final : il traite les seules données de facturation du Client, pour lesquelles Speeneo est responsable de traitement.
8.2. Changement. Speeneo informe le Client par e-mail, au moins trente jours à l'avance, de tout ajout ou remplacement d'un sous-traitant ultérieur. Le Client peut s'y opposer par écrit, de manière motivée, pendant ce délai. Si aucune solution n'est trouvée, le Client peut résilier le contrat, sans indemnité, pour les seules fonctionnalités concernées ou, si elles sont indissociables de l'Abonnement, pour l'ensemble du contrat.
Article 9 — Assistance au Client
9.1. Droits des personnes. Speeneo transmet au Client, dans un délai de cinq jours ouvrés, toute demande d'exercice de droits qu'elle reçoit directement d'un Client final, sans y répondre elle-même sauf instruction du Client. La Plateforme permet au Client de consulter, d'exporter et de supprimer les données de ses Clients finaux ; pour les opérations qu'il ne peut pas réaliser lui-même, Speeneo les exécute sur instruction écrite à contact@speeneo.com.
9.2. Désinscription. Chaque e-mail de campagne contient un lien de désinscription ; la demande est enregistrée automatiquement et le destinataire est exclu des campagnes e-mail suivantes du Client.
9.3. Violation de données. Speeneo notifie au Client toute violation de données personnelles dans les meilleurs délais et au plus tard quarante-huit heures après en avoir pris connaissance, par e-mail à l'adresse figurant aux Conditions particulières. La notification décrit, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou envisagées. Il appartient au Client de notifier la violation à la CNIL et, le cas échéant, aux personnes concernées.
9.4. Analyse d'impact. Speeneo fournit au Client les informations dont elle dispose pour la réalisation d'une analyse d'impact ou la consultation préalable de l'autorité de contrôle.
Article 10 — Sort des données en fin de contrat
10.1. Pendant toute la durée du contrat et pendant trente jours après sa fin, le Client peut exporter les données de ses Clients finaux depuis l'Espace client, au format tableur (article 25.1 des Conditions générales).
10.2. Au-delà de ce délai, Speeneo supprime les données des Clients finaux du Client, ainsi que leurs copies, à l'exception de celles dont la conservation est imposée par le droit de l'Union ou d'un État membre. Les copies de sauvegarde sont effacées au terme de leur cycle de rotation de huit jours. Sur demande, Speeneo confirme la suppression par écrit.
10.3. Pendant le contrat, la Plateforme applique automatiquement les durées de conservation suivantes :
- participations aux opérations événementielles : douze mois à compter de la participation ;
- cartes de fidélité : vingt-quatre mois sans aucun passage enregistré (la carte est alors désactivée dans Google Wallet puis supprimée, avec son historique) ;
- empreintes d'adresse utilisées contre les abus : vingt-quatre heures ;
- participations à la roue à cadeaux : trois ans à compter de la dernière participation du Client final auprès du Client ;
- ouvertures des e-mails de campagne : douze mois à compter de l'ouverture ;
- avis Google conservés pour l'affichage : trente jours sans actualisation ; notifications de nouvel avis : douze mois.
Les autres données sont conservées tant que le Client ne les supprime pas, et au plus tard jusqu'à la suppression prévue à l'article 10.2.
Article 11 — Information et audit
11.1. Speeneo met à la disposition du Client, sur demande à contact@speeneo.com, les informations nécessaires pour démontrer le respect du présent accord : description des mesures de sécurité, liste à jour des sous-traitants ultérieurs et de leurs garanties.
11.2. Le Client peut faire réaliser, à ses frais et au plus une fois par an sauf violation de données, un audit par un auditeur indépendant tenu au secret, moyennant un préavis de trente jours. L'audit se déroule sans perturber le service ni donner accès aux données des autres clients de Speeneo.
Article 12 — Dispositions finales
12.1. Le présent accord fait partie intégrante du contrat (article 19.1 des Conditions générales) et suit sa durée. Les obligations de confidentialité et de suppression survivent à sa fin.
12.2. En cas de contradiction entre le présent accord et les Conditions générales sur la protection des données personnelles, le présent accord prévaut.