Entre :
Le Client, tel qu'identifié lors de la souscription au Service Ancrimo (ci-après le « Responsable de traitement »),
Et :
MG App StudioTrack, entreprise individuelle (micro-entrepreneur) immatriculée sous le numéro SIRET 104 811 807 00015, dont le siège est situé 64 rue Waldeck Rousseau, 69006 Lyon, éditrice du Service Ancrimo (ci-après le « Sous-traitant »),
Ci-après désignées ensemble les « Parties ».
1. Objet
Le présent accord a pour objet de définir les conditions dans lesquelles le Sous-traitant s'engage à effectuer pour le compte du Responsable de traitement les opérations de traitement de données à caractère personnel décrites ci-après, dans le cadre de l'exécution du Service Ancrimo. Il complète les Conditions Générales de Vente et d'Utilisation et en fait partie intégrante.
Ce traitement porte exclusivement sur les données des clients finaux du Responsable de traitement inscrits à son programme de fidélité (les « Membres »). Il ne porte pas sur les données propres au compte du Responsable de traitement en tant que Client d'Ancrimo, dont le traitement est décrit dans la Politique de confidentialité d'Ancrimo, Ancrimo agissant alors en tant que responsable de traitement pour ses propres finalités de gestion commerciale.
2. Description du traitement confié
2.1 Nature des opérations
Collecte, hébergement, consultation, envoi de communications (email et/ou SMS), et suppression des données des Membres, via la plateforme Ancrimo (Dashboard et fonctions techniques associées).
2.2 Finalité
Gestion d'un programme de fidélité digital (suivi des passages et paliers) et, sur déclenchement du Responsable de traitement, envoi de campagnes marketing (email et/ou SMS) aux Membres ayant consenti à en recevoir.
2.3 Catégories de données concernées
Nom, adresse email, numéro de téléphone, historique de passages et de paliers de fidélité, statut de consentement aux communications marketing. Aucune donnée sensible au sens de l'article 9 du RGPD n'a vocation à être traitée dans le cadre du Service.
2.4 Catégories de personnes concernées
Les Membres du programme de fidélité du Responsable de traitement, personnes physiques consommatrices.
2.5 Durée du traitement
Pendant toute la durée de l'Abonnement du Responsable de traitement au Service, et jusqu'à restitution ou suppression des données conformément à l'article 7 ci-après.
3. Obligations du Sous-traitant
Le Sous-traitant s'engage à :
- traiter les données uniquement sur instruction documentée du Responsable de traitement, y compris en ce qui concerne les transferts vers un pays tiers, sauf obligation légale contraire, auquel cas il en informe le Responsable de traitement avant le traitement, sauf interdiction légale ;
- garantir que les personnes autorisées à traiter les données (ses collaborateurs) sont soumises à une obligation de confidentialité ;
- mettre en œuvre les mesures techniques et organisationnelles appropriées prévues à l'article 32 du RGPD pour garantir un niveau de sécurité adapté au risque (chiffrement des mots de passe, connexions HTTPS, cloisonnement des accès par compte Client) ;
- ne recourir à un autre sous-traitant (« sous-traitant ultérieur ») qu'avec l'autorisation générale préalable du Responsable de traitement, celui-ci étant informé de tout changement envisagé concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, avec la possibilité d'émettre des objections ;
- aider le Responsable de traitement, dans la mesure du possible, à répondre aux demandes d'exercice des droits des Membres et à respecter ses obligations en matière de sécurité, de notification des violations de données et d'analyse d'impact ;
- notifier au Responsable de traitement toute violation de données à caractère personnel dans un délai maximal de 48 heures après en avoir pris connaissance ;
- mettre à la disposition du Responsable de traitement les informations nécessaires pour démontrer le respect de ses obligations et permettre la réalisation d'un audit, sous réserve d'un préavis raisonnable et du respect de la confidentialité des données d'autres Clients ;
- supprimer ou restituer, au choix du Responsable de traitement, l'ensemble des données à caractère personnel à l'issue de la prestation de services, sauf obligation légale de conservation.
4. Sous-traitants ultérieurs autorisés
Le Responsable de traitement autorise expressément le Sous-traitant à recourir aux sous-traitants ultérieurs suivants, nécessaires à la fourniture du Service :
- Supabase — hébergement de la base de données et exécution des fonctions techniques.
- Brevo (Sendinblue SAS) — routage des emails et SMS de campagne.
- Vercel — hébergement du site et du Dashboard.
Stripe, utilisé pour le paiement de l'Abonnement et des Packs de Crédits par le Responsable de traitement lui-même, ne traite pas les données des Membres et n'est donc pas listé comme sous-traitant ultérieur au titre du présent accord.
Toute modification de cette liste (ajout ou remplacement d'un sous-traitant ultérieur) sera notifiée au Responsable de traitement par email ou notification dans le Dashboard, avec un délai de 15 jours pour formuler une objection motivée.
5. Obligations du Responsable de traitement
Le Responsable de traitement s'engage à :
- fournir au Sous-traitant les données nécessaires à la fourniture du Service et s'assurer de leur exactitude ;
- documenter par écrit (y compris via les paramètres du Dashboard) ses instructions de traitement ;
- s'assurer, préalablement à toute collecte, que les Membres ont été valablement informés et, le cas échéant, ont consenti à l'inscription au programme de fidélité et à recevoir des communications marketing, conformément à la réglementation applicable (RGPD et Code des postes et des communications électroniques) ;
- respecter les obligations qui lui incombent en matière de protection des données, notamment en cas d'exercice de droits par un Membre.
6. Violation de données
En cas de violation de données à caractère personnel affectant les données des Membres, le Sous-traitant en informe le Responsable de traitement dans les meilleurs délais et lui communique toute information utile lui permettant, le cas échéant, de notifier cette violation à la CNIL dans le délai de 72 heures prévu par le RGPD et, si nécessaire, aux Membres concernés.
7. Sort des données à l'issue du contrat
À l'issue de la relation contractuelle entre les Parties, pour quelque cause que ce soit, le Sous-traitant, au choix du Responsable de traitement formulé par écrit dans un délai de 30 jours suivant la fin du contrat, restitue les données des Membres dans un format exploitable ou procède à leur suppression, sauf disposition légale imposant leur conservation pendant une durée déterminée. À défaut de choix exprimé par le Responsable de traitement dans ce délai, le Sous-traitant procède à leur suppression.
8. Responsabilité
Chaque Partie est responsable des dommages causés par un manquement à ses propres obligations au titre du RGPD et du présent accord. Le Sous-traitant ne saurait être tenu responsable d'un traitement effectué conformément à une instruction du Responsable de traitement qui se révélerait elle-même non conforme à la réglementation, ni de l'absence ou de l'invalidité du consentement initialement recueilli par le Responsable de traitement auprès de ses Membres.
9. Durée
Le présent accord entre en vigueur à la date de souscription du Client au Service et demeure applicable pendant toute la durée de la relation contractuelle, ainsi que, pour les seules obligations qui le justifient (confidentialité, sort des données), après son terme.