Contrat de sous-traitance des données

Article 28 du règlement (UE) 2016/679 — RGPD. Ce document fait partie intégrante des conditions générales et est accepté à la création du compte.

1. Rôle de chacun

L'entreprise artisanale cliente est responsable de traitement : c'est elle qui décide de recueillir les demandes de devis de ses prospects et d'en faire usage commercial.

L'éditeur est sous-traitant : il héberge et traite ces données pour le compte du client, sur ses seules instructions, sans jamais les utiliser à ses propres fins ni les revendre.

2. Objet et durée

Le traitement porte sur la collecte, l'analyse automatique, le stockage, l'envoi de notifications et de relances relatifs aux demandes de devis reçues par le client. Il dure aussi longtemps que le contrat d'abonnement.

3. Données traitées

Catégorie	Données	Personnes concernées
Identification	Nom, prénom	Prospects du client
Coordonnées	Téléphone, email, commune, code postal	Prospects
Projet	Description, type de travaux, échéance, budget, statut d'occupant	Prospects
Documents	Photos et fichiers transmis volontairement	Prospects
Analyse	Résumé et note de qualification produits automatiquement	Prospects
Technique	Empreinte de l'adresse IP (jamais l'adresse en clair), horodatages	Prospects
Compte	Nom de l'entreprise, email, empreinte du mot de passe	Utilisateurs du client

Aucune donnée sensible au sens de l'article 9 du RGPD n'est collectée. Le client s'engage à ne pas en saisir dans les champs libres.

4. Engagements du sous-traitant

Ne traiter les données que sur instruction documentée du client, matérialisée par les présentes et par les réglages de son compte.
Garantir la confidentialité : seules les personnes ayant besoin d'y accéder pour l'exploitation du service y ont accès, sous engagement de confidentialité.
Mettre en œuvre les mesures techniques décrites à l'article 6.
Assister le client dans le respect de ses obligations : réponse aux demandes d'exercice de droits, notification de violation, analyse d'impact si nécessaire.
Notifier le client dans les 48 heures après avoir eu connaissance d'une violation de données, avec les éléments permettant au client de remplir son obligation de notification à la CNIL sous 72 heures.
Restituer ou supprimer les données à la fin du contrat, au choix du client.
Mettre à disposition les informations nécessaires pour démontrer le respect de ces obligations.

5. Sous-traitants ultérieurs

Le client autorise le recours aux prestataires suivants. Toute modification de cette liste est notifiée au moins trente jours à l'avance ; le client peut s'y opposer et, le cas échéant, résilier sans frais.

Prestataire	Rôle	Localisation
Hetzner Online GmbH	Hébergement des serveurs et des fichiers	Allemagne (Union européenne)
Resend, Inc.	Acheminement des emails de notification et de relance	États-Unis — clauses contractuelles types de la Commission européenne

6. Mesures de sécurité

Chiffrement de tous les échanges (HTTPS, certificat renouvelé automatiquement).
Mots de passe stockés sous forme d'empreinte scrypt salée, jamais en clair.
Cloisonnement strict entre clients : chaque requête est filtrée sur l'identifiant du compte, ce qui est vérifié par des tests automatisés exécutés à chaque modification du logiciel.
Photos ré-encodées à la réception, avec suppression des métadonnées (dont la géolocalisation), et servies uniquement derrière authentification ou lien signé à durée limitée.
Adresses IP conservées uniquement sous forme d'empreinte.
Sauvegardes quotidiennes chiffrées, conservées trente jours, avec copie hors du serveur principal.
Journalisation des accès et des envois.

7. Durée de conservation

Les demandes de devis sont conservées 36 mois à compter du dernier contact, puis supprimées automatiquement — durée conforme à la recommandation de la CNIL pour des prospects non clients. Le client peut réduire cette durée ou supprimer une fiche à tout moment.

8. Droits des personnes

Les prospects exercent leurs droits (accès, rectification, effacement, limitation, opposition, portabilité) auprès du client, responsable de traitement. L'éditeur met à disposition les fonctions nécessaires : suppression définitive d'une fiche avec ses photos, export des données, lien de désinscription dans chaque message automatique.

Si une demande est adressée directement à l'éditeur, elle est transmise au client sans délai.

9. Signature

Ce contrat est accepté par voie électronique à la création du compte. Une version signée peut être établie sur demande à l'adresse de contact de l'éditeur.

Mentions légales · Conditions générales · Protection des données