Accord de sous-traitance

Le présent contrat fait partie intégrante des conditions générales d'utilisation et précise les obligations des parties en matière de traitement des données à caractère personnel.

Responsable du traitement (donneur d'ordre) : le client.

Sous-traitant (preneur d'ordre) :

Zakomo FZCO
IFZA, Dubai Silicon Oasis
Dubaï, Émirats arabes unis

1. Objet et durée

1.1 L'objet est le traitement des données à caractère personnel que le responsable du traitement apporte dans le cadre de l'utilisation de la plateforme Growmindr ou fait collecter par son intermédiaire.

1.2 La durée correspond à celle du contrat principal. Le contrat prend fin automatiquement avec la cessation de celui-ci ; les obligations de l'article 10 subsistent au-delà.

2. Nature, finalité et étendue du traitement

2.1 Finalités : gestion et enrichissement des coordonnées, création et validation de contenus, planification et envoi de messages d'outreach y compris le traitement des réponses et des désabonnements, recherche et surveillance de liens, gestion de l'équipe et du compte ainsi qu'analyse des opérations précitées pour le responsable du traitement.

2.2 Nature du traitement : collecte, enregistrement, organisation, stockage, adaptation, lecture, consultation, utilisation, transmission, limitation, suppression et destruction.

2.3 Catégories de personnes concernées : destinataires de messages d'outreach, interlocuteurs au sein des entreprises cibles ainsi que salariés et mandataires du responsable du traitement qui utilisent la Plateforme.

2.4 Catégories de données à caractère personnel : coordonnées (nom, adresse e-mail professionnelle, numéro de téléphone, fonction, employeur, profils accessibles au public), contenus de communication, données de distribution et d'interaction (distribution, ouvertures, clics, réponses, désabonnements), informations d'évaluation et de statut ainsi que données de compte et de rôle des utilisateurs.

2.5 Les catégories particulières de données à caractère personnel au sens de l'art. 9 du RGPD ne font pas l'objet du contrat. Le responsable du traitement n'apportera pas de telles données dans la Plateforme.

3. Droit d'instruction

3.1 Le sous-traitant traite les données à caractère personnel exclusivement sur instruction documentée du responsable du traitement. L'utilisation des fonctions de la Plateforme par le responsable du traitement vaut instruction ; les instructions individuelles allant au-delà sont données par écrit à [email protected].

3.2 Si le sous-traitant estime qu'une instruction est illicite, il en informe sans délai et peut suspendre son exécution jusqu'à clarification.

3.3 Un traitement en dehors de l'instruction n'a lieu que dans la mesure où le sous-traitant y est tenu en vertu du droit de l'Union ou du droit d'un État membre ; dans ce cas, il en informe au préalable le responsable du traitement, sauf si le droit l'interdit.

4. Confidentialité

Le sous-traitant astreint par écrit à la confidentialité les personnes chargées du traitement, dans la mesure où elles ne sont pas déjà soumises à une obligation légale de confidentialité. L'obligation subsiste également après la fin de l'activité.

5. Mesures techniques et organisationnelles

Le sous-traitant prend les mesures décrites à l'annexe 1 conformément à l'art. 32 du RGPD. Il peut les faire évoluer, tant que le niveau de protection n'est pas abaissé.

6. Sous-traitants ultérieurs

6.1 Le responsable du traitement accorde une autorisation générale de recourir aux sous-traitants ultérieurs suivants :

• Cloudflare — diffusion et sécurisation du site web. Siège aux États-Unis ;

transfert sur la base de clauses contractuelles types.

6.2 Paddle agit pour le traitement des paiements en qualité de Merchant of Record et est à cet égard responsable du traitement distinct, et non sous-traitant ultérieur.

6.3 La base de données, le stockage d'objets, la mesure d'audience et les fonctions d'IA de création de texte sont exploités par le sous-traitant sur sa propre infrastructure à Dubaï, Émirats arabes unis. Il n'y a à cet égard aucun recours à des tiers ; pour le transfert vers les Émirats arabes unis, s'applique l'article 12.

6.4 Les services que le responsable du traitement connecte lui-même en déposant sa propre clé d'accès — notamment Hunter.io et Apollo.io pour l'enrichissement de contacts ainsi qu'un serveur de messagerie propre pour l'envoi — agissent pour le compte et sous la responsabilité du responsable du traitement. Le responsable du traitement conclut lui-même les accords nécessaires avec ces prestataires.

6.5 Si le sous-traitant a l'intention de recourir à un sous-traitant ultérieur supplémentaire ou de remplacer un sous-traitant existant, il en informe le responsable du traitement par écrit au moins 30 jours à l'avance. Le responsable du traitement peut s'y opposer dans un délai de 14 jours pour un motif important relevant du droit de la protection des données. Si l'objection ne peut être écartée, chaque partie peut résilier le contrat principal à la date prévue du changement.

7. Obligations d'assistance

7.1 Le sous-traitant assiste le responsable du traitement, par des mesures appropriées, dans la réponse aux demandes des personnes concernées. La Plateforme met à disposition à cet effet des fonctions d'export et de suppression ainsi qu'une liste de blocage permanente des adresses désinscrites.

7.2 Si une personne concernée s'adresse directement au sous-traitant, celui-ci transmet la demande sans délai au responsable du traitement et n'y répond pas de manière autonome.

7.3 Le sous-traitant assiste le responsable du traitement dans le respect des art. 32 à 36 du RGPD, notamment lors d'une analyse d'impact relative à la protection des données, dans la mesure où les informations nécessaires ne sont disponibles qu'auprès de lui.

8. Notification des violations de données à caractère personnel

Le sous-traitant notifie au responsable du traitement une violation de données à caractère personnel sans délai, au plus tard dans un délai de 48 heures à compter de sa connaissance, par écrit. La notification contient, dans la mesure du connu, la nature de l'incident, les catégories de données concernées, le nombre approximatif de personnes concernées, les conséquences probables et les mesures correctives prises. Le sous-traitant n'effectue pas de notification à l'autorité de contrôle ; cette obligation incombe au responsable du traitement.

9. Preuves et contrôles

9.1 Le sous-traitant justifie sur demande, de manière appropriée, du respect du présent contrat, notamment par des renseignements et la présentation de la documentation relative aux mesures de l'annexe 1.

9.2 Le responsable du traitement est en droit de s'assurer du respect, après annonce préalable assortie d'un délai raisonnable, pendant les heures d'ouverture habituelles. Les contrôles s'effectuent sans perturbation évitable du déroulement de l'exploitation et au maximum une fois par année civile, à moins qu'un motif particulier ne justifie un contrôle supplémentaire. Le sous-traitant peut facturer de manière appropriée les dépenses qui vont au-delà d'un simple renseignement.

10. Suppression et restitution

10.1 Après la cessation du contrat principal, le sous-traitant met les données à la disposition du responsable du traitement pour export pendant 30 jours puis les supprime.

10.2 Les copies de sauvegarde sont écrasées à rotation et définitivement supprimées au plus tard 14 jours après la suppression dans le système de production.

10.3 Sont exclues de la suppression les données pour lesquelles il existe une obligation légale de conservation, ainsi que la liste de blocage des adresses désinscrites, dont la conservation est nécessaire à l'exécution de l'obligation découlant de l'art. 21, par. 3, du RGPD ; le traitement de ces données est restreint en conséquence.

11. Responsabilité et dispositions finales

11.1 Pour la responsabilité, s'applique par analogie l'article 10 des conditions générales d'utilisation ; l'art. 82 du RGPD demeure réservé.

11.2 En cas de contradictions entre le présent contrat et le contrat principal, le présent contrat prévaut pour les questions relevant du droit de la protection des données.

11.3 S'applique le droit de la République fédérale d'Allemagne.

12. Transfert vers un pays tiers

12.1 Le sous-traitant a son siège et exploite ses systèmes aux Émirats arabes unis. Pour ce pays, il n'existe pas de décision d'adéquation de la Commission européenne au titre de l'art. 45 du RGPD.

12.2 Pour les transferts de données à caractère personnel depuis l'Espace économique européen vers le sous-traitant s'appliquent donc les clauses contractuelles types de la Commission européenne conformément à la décision d'exécution (UE) 2021/914 du 4 juin 2021, à savoir le module 2 (responsable du traitement vers sous-traitant). Elles sont par les présentes intégralement incluses dans le présent contrat et prévalent sur celui-ci en cas de contradictions.

12.3 Pour le remplissage des annexes des clauses contractuelles types s'applique :

• Annexe I.A (Parties) : l'exportateur de données est le responsable du

traitement, l'importateur de données est le sous-traitant ; les indications résultent du préambule du présent contrat et des données de base du compte du responsable du traitement.

• Annexe I.B (Description du transfert) : article 2 du présent contrat.
• Annexe I.C (Autorité de contrôle compétente) : l'autorité de contrôle de

l'État membre dans lequel le responsable du traitement est établi ; s'il n'est pas établi dans l'Union, l'autorité de l'État membre dans lequel se trouvent les personnes concernées.

• Annexe II (Mesures techniques et organisationnelles) : annexe 1 du présent

contrat.

• Annexe III (Liste des sous-traitants ultérieurs) : article 6 du présent

contrat.

12.4 Pour les options des clauses s'applique : la clause 7 (clause d'adhésion) s'applique. Pour la clause 9 s'applique l'option 2 (autorisation écrite générale) avec le délai convenu à l'article 6.5. La clause facultative 11, point a) (organe indépendant de règlement des litiges) ne s'applique pas. Pour la clause 17 s'applique le droit irlandais, pour la clause 18, point b), les tribunaux irlandais sont compétents. L'article 11.3 du présent contrat et le choix du droit des conditions générales d'utilisation demeurent inchangés et s'appliquent à toutes les autres questions.

12.5 Le sous-traitant confirme qu'il n'a connaissance d'aucune disposition juridique qui l'empêcherait d'exécuter les clauses contractuelles types. S'il reçoit une injonction d'une autorité de communiquer des données transmises, il en informe le responsable du traitement, dans la mesure où cela est juridiquement admissible, et conteste l'injonction, dans la mesure où il existe des perspectives de succès suffisantes. S'appliquent à titre complémentaire les mesures de l'annexe 1.

12.6 Sur demande, le sous-traitant met à la disposition du responsable du traitement un exemplaire signé des clauses contractuelles types.

13. Droit applicable des Émirats arabes unis

Indépendamment du RGPD, le sous-traitant est soumis à la loi fédérale n° 45 de 2021 des Émirats arabes unis relative à la protection des données à caractère personnel (PDPL). Dans la mesure où des obligations en découlant se recoupent avec celles du présent contrat, le sous-traitant exécute dans chaque cas l'obligation la plus étendue.

Annexe 1 — Mesures techniques et organisationnelles au titre de l'art. 32 RGPD

Confidentialité — Contrôle d'accès physique. Les systèmes sont exploités dans un centre de données à Dubaï, Émirats arabes unis. L'accès physique est limité aux personnes autorisées et est journalisé.

Confidentialité — Contrôle d'accès logique. Connexion via des comptes individuels avec des mots de passe hachés selon l'état de la technique. Les sessions expirent après 15 minutes d'inactivité. Les cookies de session sont httpOnly, SameSite=Strict et sont transmis exclusivement via HTTPS. L'accès administratif aux systèmes de production s'effectue exclusivement via SSH avec authentification par clé.

Confidentialité — Contrôle des accès. Autorisations fondées sur les rôles (Propriétaire, Administrateur, Rédacteur, Validateur, Lecteur). La séparation des mandants est en outre appliquée au niveau de la base de données par la Row-Level Security, qui, en cas d'erreur, refuse l'accès au lieu de l'autoriser. Les accès automatisés entre services ne s'effectuent que via des jetons de service à courte durée de vie et signés.

Confidentialité — Contrôle de séparation. Chaque client travaille dans un mandant propre ; chaque service utilise une base de données propre sans accès externe. Les enregistrements sans référence valide à un mandant ne sont pas consultables.

Intégrité — Contrôle de transmission. Chiffrement du transport avec TLS pour toutes les connexions depuis et vers la Plateforme. Les services internes ne sont accessibles que via l'interface locale et ne sont pas exposés publiquement.

Intégrité — Contrôle de saisie. Les opérations pertinentes pour la sécurité sont enregistrées avec l'horodatage et le compte agissant dans un journal d'activité.

Disponibilité et résilience. Sauvegarde automatique quotidienne de la base de données avec une durée de rétention de 14 jours. Surveillance des services avec redémarrage automatique en cas de panne. Protection contre la surcharge par limitation de débit.

Procédure de vérification et d'évaluation. Les dépendances sont régulièrement vérifiées quant aux vulnérabilités connues et mises à jour. Les données d'accès se trouvent en dehors de la gestion de versions. Les modifications de l'environnement de production s'effectuent via un processus de déploiement traçable.

Contrôle de la sous-traitance. Les sous-traitants ultérieurs ne sont employés que conformément à l'article 6 du présent contrat et sont contractuellement astreints à un niveau de protection correspondant.