La présente annexe fait partie intégrante des Conditions Générales de Vente et d'Utilisation du service Rappel-OK. Elle constitue l'acte juridique liant le responsable de traitement au sous-traitant au sens de l'article 28.3 du Règlement (UE) 2016/679 (ci-après « RGPD »).
Conformément à l'article 28.9 du RGPD, cet accord est établi par écrit sous forme électronique. Son acceptation intervient lors de la souscription à l'abonnement, par une action positive explicite, horodatée et conservée à titre de preuve.
En cas de contradiction entre la présente annexe et les Conditions Générales, la présente annexe prévaut pour tout ce qui concerne le traitement de données à caractère personnel.
Adrien Genard, entrepreneur individuel
SIREN : 951 975 044
SIRET : 95197504400029
Code APE : 58.29C — Édition de logiciels applicatifs
11 bis rue de Roise, 77580 Crécy-la-Chapelle, France
Téléphone : 06.22.51.63.93
contact@rappel-ok.fr
L'Éditeur traite, pour le compte et sur instruction du Client, les données à caractère personnel nécessaires à la fourniture du service Rappel-OK.
Le Client demeure seul responsable de la licéité des traitements qu'il met en œuvre, notamment :
| Élément | Description |
|---|---|
| Nature des opérations | Collecte, enregistrement, structuration, conservation, consultation, communication par transmission, effacement |
| Finalité | Recueil, traçabilité et conservation de la preuve du consentement préalable au démarchage téléphonique |
| Durée | Durée de l'abonnement, prolongée des durées de conservation prévues à l'article 9 |
| Catégorie | Données |
|---|---|
| Identification | Nom, prénom |
| Coordonnées | Numéro de téléphone |
| Consentement | Statut (en attente, accepté, refusé), horodatages d'envoi, d'acceptation ou de refus |
| Suivi commercial | Statut de suivi renseigné par le Client |
L'Éditeur ne traite les données que sur instruction documentée du Client. Constituent des instructions documentées :
Si l'Éditeur estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition relative à la protection des données, il en informe immédiatement le Client et peut suspendre son exécution.
L'Éditeur informe le Client s'il est tenu de procéder à un transfert en vertu du droit de l'Union ou d'un État membre, sauf interdiction légale de cette information pour des motifs d'intérêt public.
L'Éditeur garantit que toute personne agissant sous son autorité et ayant accès aux données :
Cette obligation subsiste après la fin de la relation contractuelle.
Conformément à l'article 32 du RGPD, l'Éditeur met en œuvre les mesures techniques et organisationnelles suivantes :
| Mesure | Mise en œuvre |
|---|---|
| Chiffrement en transit | HTTPS/TLS sur l'ensemble des communications |
| Chiffrement au repos | Données chiffrées sur les serveurs de l'hébergeur |
| Cloisonnement des données | Règles de sécurité au niveau des lignes (Row Level Security) appliquées au niveau de la base de données, garantissant qu'un Client ne peut accéder qu'à ses propres données |
| Authentification | Mots de passe hachés, jamais stockés ni accessibles en clair |
| Contrôle des écritures | Opérations d'enregistrement du consentement restreintes à des procédures serveur contrôlées |
| Suppression automatisée | Purge quotidienne des données ayant dépassé la durée de conservation paramétrée |
| Sauvegardes | Sauvegardes chiffrées, conservées 30 jours maximum |
L'Éditeur peut faire évoluer ces mesures, sous réserve de maintenir un niveau de sécurité au moins équivalent.
Le Client autorise l'Éditeur à recourir aux sous-traitants ultérieurs suivants :
| Sous-traitant | Prestation | Localisation |
|---|---|---|
| Supabase Inc. | Base de données, authentification, stockage | AWS Europe (Londres, eu-west-2) |
| Vercel Inc. | Hébergement de l'application web | Société américaine — application servie depuis la région européenne. Traitement encadré par le Data Processing Addendum de Vercel, incluant les clauses contractuelles types de l'Union européenne. |
| Make (Celonis SE / Celonis Inc.) | Automatisation des notifications par courriel | Traitement opéré depuis un centre de données européen (zone UE). Maison-mère américaine certifiée au titre du Data Privacy Framework ; transferts éventuels hors Union européenne encadrés par le Data Privacy Framework et les clauses contractuelles types. |
| La Poste (laposte.net) | Acheminement des courriels de notification | France |
| Stripe Payments Europe Ltd. | Traitement des paiements | Union européenne / États-Unis |
| OVH SAS | Nom de domaine, service de messagerie | France |
L'Éditeur informe le Client de tout ajout ou remplacement de sous-traitant ultérieur au moins quinze jours avant sa mise en œuvre.
Le Client dispose d'un délai de quinze jours pour formuler une objection motivée. En cas d'objection maintenue après discussion, le Client peut résilier son abonnement sans frais ni pénalité, avec remboursement au prorata de la période non consommée.
L'Éditeur impose contractuellement à chaque sous-traitant ultérieur les mêmes obligations de protection des données que celles prévues par la présente annexe. Il demeure pleinement responsable devant le Client de l'exécution par ses sous-traitants de leurs obligations.
Les données sont hébergées au sein de l'Espace économique européen ou au Royaume-Uni, ce dernier bénéficiant d'une décision d'adéquation de la Commission européenne.
Certains sous-traitants ultérieurs, notamment Stripe, Vercel et Make, sont susceptibles d'opérer des transferts vers les États-Unis. Ces transferts sont encadrés par :
L'accord de traitement des données (Data Processing Addendum) de Vercel, incluant les clauses contractuelles types, est souscrit par l'Éditeur au titre de l'offre professionnelle et encadre les éventuels transferts hors Union européenne.
Les données des recommandants et prospects sont conservées pendant la durée paramétrée par le Client, comprise entre 1 et 5 ans à compter de leur création. En l'absence de paramétrage, la durée par défaut est de 1 an.
Une purge automatisée quotidienne supprime définitivement les données ayant dépassé cette durée.
Le Client conserve un accès en lecture seule lui permettant d'exporter ses données, conformément à l'article 8 des Conditions Générales.
À l'expiration d'un délai de trois ans suivant la résiliation, l'Éditeur supprime définitivement l'ensemble des données du Client, après information préalable trente jours à l'avance.
Le Client peut à tout moment demander la suppression anticipée de ses données. L'Éditeur y procède dans un délai de trente jours, sous réserve des obligations légales de conservation.
Il appartient au Client de s'assurer, avant toute demande de suppression, qu'il conserve les éléments probatoires nécessaires au respect de ses propres obligations légales, notamment en matière de preuve du consentement au démarchage.
Les demandes d'exercice de droits reçues directement par l'Éditeur sont transmises au Client dans les meilleurs délais, l'Éditeur n'étant pas habilité à y répondre seul.
L'Éditeur met à disposition du Client les fonctionnalités lui permettant de répondre aux demandes d'accès, de rectification, d'effacement et de portabilité, notamment par l'export des données au format CSV.
L'Éditeur assiste le Client, dans la limite des informations dont il dispose, pour la réalisation d'une analyse d'impact relative à la protection des données et, le cas échéant, pour la consultation préalable de l'autorité de contrôle.
L'Éditeur notifie au Client toute violation de données à caractère personnel dans les meilleurs délais et au plus tard dans les 48 heures après en avoir pris connaissance.
La notification comprend, dans la mesure des informations disponibles :
Il appartient au Client, en sa qualité de responsable de traitement, de procéder le cas échéant à la notification auprès de la CNIL dans les 72 heures et à l'information des personnes concernées.
L'Éditeur met à disposition du Client, sur demande écrite, les informations nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD.
Le Client peut demander la réalisation d'un audit, dans les conditions suivantes :
L'Éditeur peut satisfaire à cette obligation par la production de rapports d'audit ou de certifications de ses propres sous-traitants.
L'Éditeur tient un registre des catégories d'activités de traitement effectuées pour le compte du Client, conformément à l'article 30.2 du RGPD.
Le Client tient son propre registre en qualité de responsable de traitement. L'Éditeur lui communique sur demande les éléments nécessaires à son établissement.
Chaque partie assume les conséquences de ses propres manquements au RGPD.
Conformément à l'article 82 du RGPD, l'Éditeur n'est responsable du dommage causé par le traitement que s'il n'a pas respecté les obligations spécifiquement incombant aux sous-traitants, ou s'il a agi en dehors des instructions licites du Client ou contrairement à celles-ci.
La limitation de responsabilité prévue à l'article 13 des Conditions Générales s'applique, sauf en cas de faute lourde, de dol, ou lorsque la loi l'écarte.
La présente annexe entre en vigueur à la souscription de l'abonnement et demeure applicable tant que l'Éditeur traite des données pour le compte du Client, y compris pendant la période de conservation postérieure à la résiliation.
L'acceptation de la présente annexe intervient :