Accord de sous-traitance

Le présent accord est conclu entre [[ENTITE]], [[ADRESSE]], immatriculée sous le numéro [[SIRET_OU_EQUIVALENT]], ci-après « Guimauve » ou « le Sous-traitant  », et l'organisation qui souscrit au service, identifiée par le compte propriétaire qui l'a créée, ci-après « le Client » ou « le Responsable de traitement ».

Il encadre, au sens de l'article 28 du règlement (UE) 2016/679 (RGPD), les traitements de données personnelles que Guimauve réalise pour le compte du Client dans le cadre du service décrit à l'annexe 1. Il complète les conditions du service ; en cas de contradiction sur la protection des données, il prévaut.

L'accord s'applique dès la création de l'organisation dans Guimauve, pendant l'essai puis l'abonnement, et jusqu'à la suppression de l'organisation ou la fin des opérations décrites à l'article 9, la dernière des deux dates l'emportant.

Guimauve ne traite les données que sur instruction documentée du Client. Les instructions sont : les présentes, les conditions du service, et les gestes que le Client et son équipe font dans l'application (créer un lien, poser le pixel, rapprocher un paiement, effacer un dossier, régler la durée d'inactivité).

Si Guimauve estime qu'une instruction contrevient au RGPD, il en informe le Client sans délai. Guimauve ne traite pas les données pour son propre compte, sauf obligation légale, auquel cas il en informe le Client avant le traitement, à moins que la loi ne l'interdise.

Les personnes autorisées par Guimauve à accéder aux données sont tenues à la confidentialité par contrat. L'accès à la base de production est nominatif et limité à ce qui est nécessaire pour exploiter le service ; il n'y a pas de lecture de données de prospects à des fins d'analyse ou de démonstration.

Guimauve met en œuvre les mesures de l'annexe 2. Elles sont écrites dans le code et vérifiées par des tests automatiques à chaque modification ; l'annexe est mise à jour quand elles changent, et la documentation publique du projet décrit aussi ce qui reste à faire.

Le Client autorise Guimauve à recourir aux sous-traitants ultérieurs de l'annexe 3. Guimauve informe le Client par écrit de tout ajout ou remplacement au moins trente jours avant qu'il ne prenne effet. Le Client peut s'y opposer dans ce délai pour un motif légitime lié à la protection des données ; à défaut d'accord, il peut résilier le service et obtenir la restitution de ses données selon l'article 9.

Guimauve impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes aux présentes et reste responsable envers le Client de leur exécution.

Guimauve aide le Client à répondre aux demandes des personnes concernées par les moyens intégrés au service : sur chaque dossier de prospect, le propriétaire de l'organisation dispose d'un export complet en JSON lisible (export_lead) et d'un effacement (erase_lead) qui retire le contenu personnel de chaque événement, l'identifiant de la conversation et l'identité du dossier, en conservant les montants des paiements. Les deux gestes sont inscrits au journal d'audit.

Une demande reçue directement par Guimauve est transmise au Client sans délai, sans y répondre à sa place, sauf instruction contraire. Guimauve fournit au Client les informations dont il dispose pour ses analyses d'impact et ses échanges avec l'autorité de contrôle.

Guimauve notifie au Client toute violation de données personnelles le concernant sans délai injustifié après en avoir eu connaissance, avec ce qu'il sait : la nature de la violation, les catégories et le nombre approximatif de personnes et de dossiers concernés, les conséquences probables, les mesures prises ou proposées. Les informations qui ne sont pas disponibles immédiatement sont communiquées au fur et à mesure.

Le Client peut, à tout moment et jusqu'à la fin du service, exporter ses données : les leads en tableur, chaque dossier en JSON, les revenus en tableur. À la fin du service, le Client supprime son organisation depuis les réglages, ou le demande à Guimauve par écrit. La suppression (delete_organization) emporte, dans la base, tout ce que contient l'organisation : membres, réglages, étapes, dossiers, conversations, événements, liens, invitations, paiements, commissions, clés d'API. Le journal d'audit garde une ligne datée disant qu'une organisation a été supprimée, sans son contenu, pendant douze mois au plus.

Les sauvegardes de la base sont écrasées selon leur cycle normal de rotation ; les données supprimées n'en sont jamais restaurées, sauf pour rétablir le service après un incident, auquel cas la suppression est rejouée.

Guimauve met à la disposition du Client les informations nécessaires pour démontrer le respect des présentes : la documentation publique du projet (registre des traitements, mesures de sécurité, résultats des vérifications automatiques), et des réponses écrites à ses questions. Si cela ne suffit pas, le Client peut faire réaliser un audit, au plus une fois par an sauf incident ou demande d'une autorité, par un auditeur tenu à la confidentialité, avec un préavis de trente jours, à ses frais, sans perturber le service ni accéder aux données des autres organisations.

Les données sont hébergées et traitées dans l'Union européenne (annexe 3). Guimauve ne transfère pas de données hors de l'Union, sauf pour le fournisseur de modèle de langage désigné à l'annexe 3, uniquement si le Client active cette option, et uniquement après que les garanties de transfert ont été écrites dans cette annexe.

La responsabilité de chaque partie au titre des présentes est régie par les conditions du service. Le droit applicable et la juridiction compétente sont ceux des conditions du service. Si une clause des présentes est jugée nulle, les autres restent en vigueur.

Le détail type par type est dans la politique de confidentialité.

• Isolation de chaque organisation par sécurité au niveau des lignes sur toutes les tables de la base ; fonctions d'appartenance sans récursion ; clés étrangères composites incluant l'organisation. Vérifiée par des tests sur la base réelle avec des sessions émises par le fournisseur d'authentification.
• Authentification par lien à usage unique ; second facteur (TOTP) obligatoire pour les propriétaires, exigé par la base pour tout droit de propriétaire.
• Chiffrement en transit (HTTPS, HSTS deux ans avec sous-domaines) ; chiffrement au repos assuré par l'hébergeur de la base.
• Politique de sécurité du contenu avec nonce par requête ; en-têtes de sécurité (nosniff, frame-ancestors none, referrer-policy, permissions-policy).
• Journal d'audit des actions sensibles, avec adresse IP tronquée et agent utilisateur coupé, purgé à douze mois.
• Événements en ajout seul, idempotents ; un message ne peut être enregistré comme envoyé sans acteur humain ; un brouillon de modèle de langage ne peut jamais devenir un message envoyé sans passer par l'interface.
• Effacement et export par dossier réservés au propriétaire en session avec second facteur, journalisés ; purge planifiée refusée à toute session utilisateur.
• Droits d'exécution des fonctions de la base décidés une par une et vérifiés par un test qui échoue si une fonction est exposée sans décision.
• Limitation de débit sur les liens courts, le pixel, le point d'entrée Stripe et le serveur MCP, appliquée dans la base.
• Aucun secret dans le code source ; dépendances auditées à chaque modification ; scripts d'installation des dépendances bloqués sauf liste explicite.
• Détection des erreurs sans données personnelles (pas d'adresse IP, pas de cookie, pas de contenu de formulaire).
• Sauvegardes quotidiennes de la base par l'hébergeur.

Fait en deux exemplaires, chaque partie conservant le sien.