Accord de sous-traitance des données personnelles (article 28 du RGPD)

Entre le Commerçant, responsable de traitement (le « Responsable »), et Adam Ait Ouaret EI, entrepreneur individuel, immatriculé au RCS de Carcassonne sous le n° 104 747 738, domicilié 10 chemin de Vendémiaire, 11000 Carcassonne (« admcorp »), sous-traitant.

1. Objet

admcorp traite, pour le compte du Responsable, les données personnelles de ses clients et de son équipe nécessaires au fonctionnement du programme de fidélité fourni par le Service admcorp. Le présent accord fixe les conditions de ce traitement.

2. Description du traitement

3. Obligations d'admcorp

admcorp s'engage à :

1. Traiter les données uniquement sur instruction documentée du Responsable. Les instructions sont constituées par les CGV, le présent accord et les réglages et actions effectués par le Responsable dans le Service. Si une instruction lui paraît contraire au RGPD ou au droit français, admcorp en informe immédiatement le Responsable.
2. Garantir la confidentialité : seules les personnes autorisées d'admcorp, soumises à une obligation de confidentialité, accèdent aux données, et uniquement pour fournir le Service, le support ou la sécurité. L'espace d'administration de la plateforme n'affiche pas les données personnelles des clients du Responsable.
3. Mettre en œuvre les mesures de sécurité de l'article 32 du RGPD décrites en annexe A.
4. Ne pas utiliser les données pour son propre compte : ni revente, ni prospection, ni partage avec d'autres commerces, ni entraînement de modèles d'intelligence artificielle.
5. Aider le Responsable à répondre aux demandes d'exercice de droits de ses clients. Les outils suivants sont fournis dans le Service : fiche client (accès, rectification), retrait de consentement, export des données d'un client, effacement ; espace « Mes informations » du client (rectification, consentements, export, suppression de sa carte). admcorp transmet sans délai au Responsable toute demande qu'il recevrait directement.
6. Aider le Responsable à garantir le respect des articles 32 à 36 du RGPD (sécurité, notification des violations, analyse d'impact le cas échéant), en lui fournissant les informations dont il dispose.
7. Notifier toute violation de données au Responsable dans un délai maximal de 48 heures après en avoir pris connaissance, avec les informations disponibles (nature, catégories et nombre approximatif de personnes et d'enregistrements, conséquences probables, mesures prises), afin de lui permettre de notifier la CNIL dans les 72 heures si nécessaire.
8. Tenir un registre des catégories de traitements effectués pour le compte des responsables (article 30.2 du RGPD).
9. Mettre à disposition les informations nécessaires pour démontrer le respect du présent accord et permettre des audits, réalisés par le Responsable ou un auditeur indépendant tenu au secret, sur demande écrite avec un préavis de 30 jours, au plus une fois par an sauf violation avérée, aux frais du Responsable et sans accès aux données des autres clients d'admcorp.

4. Sous-traitants ultérieurs

4.1. Le Responsable donne une autorisation générale à admcorp de recourir aux sous-traitants ultérieurs suivants :

L'assistant IA (Anthropic PBC, États-Unis) ne reçoit aucune donnée personnelle des clients : seulement des chiffres agrégés et les réglages du programme. Le prestataire de paiement (Stripe) ne traite que les données de facturation du Commerçant, en dehors du présent accord.

4.2. admcorp informe le Responsable de tout ajout ou remplacement de sous-traitant ultérieur au moins 30 jours à l'avance. Le Responsable peut s'y opposer pour un motif légitime lié à la protection des données ; à défaut d'accord, il peut résilier le Service sans frais.

4.3. admcorp impose à ses sous-traitants ultérieurs les mêmes obligations de protection des données et reste responsable de leur exécution.

5. Transferts hors de l'Union européenne

Les données des clients sont hébergées en France. Aucun transfert hors de l'Espace économique européen n'est effectué sans garanties appropriées (décision d'adéquation, clauses contractuelles types de la Commission européenne) et sans information préalable du Responsable.

6. Obligations du Responsable

Le Responsable s'engage à : disposer d'une base légale pour chaque traitement et informer ses clients (modèle fourni) ; recueillir le consentement avant toute prospection par e-mail ou SMS ; ne saisir que des données pertinentes ; documenter ses instructions ; répondre aux demandes de ses clients ; veiller au respect du RGPD par son équipe.

7. Fin du traitement

À la fin du contrat, le Responsable dispose de 30 jours pour exporter ses données (export CSV et exports individuels). Passé ce délai, admcorp supprime les données personnelles traitées pour son compte, et les copies de sauvegarde sont écrasées selon leur rotation automatique, sauf obligation légale de conservation.

8. Durée

Le présent accord s'applique pendant toute la durée du contrat et jusqu'à la suppression complète des données.

Annexe A — Mesures techniques et organisationnelles de sécurité (en place)