Accord de sous-traitance des données
Annexe aux conditions générales · version du 4 novembre 2026
Le présent accord, conclu en application de l’article 28 du règlement (UE) 2016/679 (« RGPD »), fait partie intégrante des conditions générales. Il s’applique entre le Client, responsable de traitement, et Maxime Heim, entrepreneur individuel (EI, micro-entreprise) exerçant sous le nom commercial Proenligne, domicilié 1 rue des Charmilles, 35170 Bruz, France, immatriculé au Registre national des entreprises sous le numéro SIREN 103 993 028 (SIRET 103 993 028 00010), éditeur de Proenligne, sous-traitant (le « Sous-traitant »).
1. Objet
Le Sous-traitant traite, pour le compte du Client et sur ses instructions, les données personnelles décrites ci-dessous, dans le seul but de fournir le Service.
- Nature des opérations : collecte depuis la fiche Google du Client, stockage, transmission à un fournisseur de génération de texte, publication sur la fiche Google, inscription des horaires exceptionnels des jours fériés et des horaires d’ouverture habituels enregistrés par le Client, journalisation des opérations, suppression.
- Finalités : répondre aux avis, publier des photos et des publications, tenir à jour les horaires des jours fériés et les horaires d’ouverture, afficher le tableau de bord de la fiche.
- Personnes concernées : auteurs d’avis (clients et prospects du Client), personnes visibles sur les photos (dont les salariés du Client), gérant du Client lorsque son nom signe les réponses aux avis.
- Catégories de données : nom affiché de l’auteur d’un avis, note, texte et date de l’avis, réponses, photos, nom du gérant dans la signature des réponses. Aucune donnée sensible au sens de l’article 9 du RGPD n’est attendue ; le Client s’abstient d’en déposer. Les données que le Client saisit pour gérer son compte et la relation avec l’Éditeur relèvent de l’Éditeur, responsable de traitement, selon la politique de confidentialité.
- Durée : celle du contrat, puis jusqu’à la suppression prévue à l’article 9.
2. Instructions du Client
Les instructions documentées du Client sont les conditions générales, le présent accord et les réglages qu’il effectue dans le Service (établissements connectés, notes auxquelles répondre automatiquement, rythme de publication…). Le Sous-traitant informe immédiatement le Client s’il estime qu’une instruction enfreint la réglementation, et ne traite pas les données à d’autres fins, sauf obligation légale dont il informe le Client lorsque la loi le permet.
Par exception, le Client autorise le Sous-traitant à conserver dans son journal des actions, pour son propre compte et pendant 12 mois, le texte des réponses et publications rédigées par l’intelligence artificielle, afin d’en analyser et d’en améliorer la qualité. Le nom de l’auteur de l’avis y est remplacé par « [nom] » avant l’inscription. Pour ce traitement, le Sous-traitant agit en qualité de responsable de traitement, dans les conditions décrites dans sa politique de confidentialité.
3. Confidentialité
Seules les personnes habilitées du Sous-traitant, soumises à une obligation de confidentialité, accèdent aux données, et uniquement lorsque c’est nécessaire (support demandé par le Client, incident, obligation légale).
4. Sécurité
Le Sous-traitant met en œuvre les mesures prévues à l’article 32 du RGPD, notamment :
- hébergement des serveurs et de la base de données en France ;
- chiffrement des échanges (HTTPS, HSTS) et des jetons d’accès Google (AES-256-GCM) ;
- cloisonnement des données : chaque lecture et écriture est filtrée sur le compte du Client ;
- mots de passe hachés (Argon2), sessions stockées sous forme d’empreinte, limitation des tentatives de connexion ;
- suppression des métadonnées des photos (dont la géolocalisation) dès leur dépôt, et de la photo d’origine après sa publication ;
- accès limité, auprès de Google, aux périmètres
openid,emailetprofile(connexion) etbusiness.manage(fiche d’établissement) ; - sauvegardes : chaque nuit, une sauvegarde chiffrée de la base de données et une copie des photos, chez OVH en France, un autre hébergeur que Clever Cloud, conservées 40 jours sans pouvoir être modifiées ni effacées avant ce terme ; une sauvegarde quotidienne de la base de données, réalisée par l’hébergeur Clever Cloud en France et conservée 7 jours ; une sauvegarde quotidienne du journal des actions, sur le serveur d’OVH en France, conservée 30 jours.
5. Sous-traitants ultérieurs
Le Client autorise de manière générale le Sous-traitant à faire appel aux sous-traitants ultérieurs suivants, les seuls à recevoir les données décrites à l’article 1 (liste au 4 novembre 2026) :
| Sous-traitant ultérieur | Traitement | Localisation | Encadrement des transferts |
|---|---|---|---|
| Clever Cloud SAS | Hébergement du Service et de la base de données ; stockage des photos (Cellar) | France (région de Paris) | Aucun transfert |
| OVH SAS | Hébergement et sauvegarde du journal des actions ; sauvegarde chiffrée de la base de données et copie des photos | France | Aucun transfert |
| GitHub, Inc. | Exécution des sauvegardes nocturnes et de leurs tests de restauration, sur des machines effacées à la fin de chaque opération | États-Unis | Décision d’adéquation de la Commission européenne du 10 juillet 2023 (EU-U.S. Data Privacy Framework) |
| OpenAI Ireland Ltd. | Rédaction des réponses aux avis et des publications | Irlande (transferts vers les États-Unis) | Clauses contractuelles types de la Commission européenne |
Le Sous-traitant informe le Client de tout ajout ou remplacement d’un sous-traitant ultérieur au moins 30 jours à l’avance, par e-mail à l’adresse de son compte. Le Client peut s’y opposer pour un motif légitime en répondant à cet e-mail ou en écrivant à contact@proenligne.fr dans les 15 jours ; si aucune solution n’est trouvée, il peut résilier son abonnement sans frais avant la prise d’effet du changement. Le Sous-traitant impose à chaque sous-traitant ultérieur les mêmes obligations de protection des données et reste responsable de leur respect.
Google n’est pas un sous-traitant ultérieur : la publication sur la fiche Google est la finalité même demandée par le Client, et Google traite ces données selon ses propres conditions acceptées par le Client.
6. Transferts hors de l’Union européenne
Les seuls transferts hors de l’Union européenne des données décrites à l’article 1 sont celui vers OpenAI, aux États-Unis, encadré par les clauses contractuelles types de la Commission européenne, et celui vers GitHub, aux États-Unis, le temps des sauvegardes et de leurs tests de restauration, encadré par la décision d’adéquation du 10 juillet 2023 (article 5). Tout autre transfert serait encadré par une décision d’adéquation ou par ces clauses, et annoncé selon l’article 5.
7. Droits des personnes
Le Sous-traitant aide le Client à répondre aux demandes d’exercice de droits. S’il reçoit une demande directement, il la transmet au Client dans un délai de 5 jours ouvrés, sans y répondre lui-même, sauf instruction du Client.
8. Violation de données
Le Sous-traitant notifie au Client toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par e-mail à l’adresse du compte, avec les informations prévues à l’article 33 du RGPD dont il dispose, afin de permettre au Client de notifier la CNIL et, le cas échéant, les personnes concernées.
Il assiste également le Client, sur demande, pour les analyses d’impact et la consultation préalable de l’autorité de contrôle.
9. Sort des données en fin de contrat
Le Client peut télécharger ses données à tout moment depuis « Mon compte ». La suppression d’un établissement, la déconnexion de Google ou la suppression du compte effacent immédiatement les données correspondantes de la base et du stockage des photos, et révoquent l’accès à Google ; les copies de sauvegarde sont effacées au terme de leur durée de conservation (40 jours), sans pouvoir l’être avant ; si une sauvegarde est restaurée avant ce terme, les suppressions intervenues depuis sont appliquées de nouveau avant la réouverture du Service. Seul le journal des actions conserve, 12 mois puis 30 jours dans ses sauvegardes, la trace des opérations réalisées, pour établir leur preuve et pour la sécurité du Service, ainsi que le texte des réponses et publications rédigées par l’IA, le nom de l’auteur de l’avis remplacé par « [nom] », dans les conditions de l’article 2. Le Sous-traitant ne conserve aucune autre copie, sauf obligation légale.
10. Audit
Le Sous-traitant met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord. Le Client peut faire réaliser un audit, à ses frais, par un auditeur indépendant tenu au secret, une fois par an au plus, moyennant un préavis de 30 jours et sans perturber le Service ni accéder aux données des autres clients.
11. Obligations du Client
Le Client garantit disposer d’une base légale pour les traitements confiés, informer les personnes concernées (par exemple via sa propre politique de confidentialité), et ne confier que des données adéquates et pertinentes.
12. Contact
Pour toute question relative au présent accord : contact@proenligne.fr.