> **Mode d'emploi** : ce document se signe tel quel, en deux exemplaires ou par signature électronique. Les seules zones à renseigner sont les coordonnées du client et, le cas échéant, la case « Module ». Il est écrit pour être lu par le DPO d'une agence sans qu'il ait à demander de retouche. --- ## ACCORD DE TRAITEMENT DES DONNÉES À CARACTÈRE PERSONNEL **Entre** **GAM Communication LLC**, Limited Liability Company de droit de l'État du Wyoming (États-Unis), Filing ID 2026-001871449, dont le siège est 1309 Coffeen Avenue, STE 1200, Sheridan, WY 82801, États-Unis, éditrice du service « Subtraq », représentée par Andrea Guddelmoni en qualité de *Member*, représentée dans l'Union européenne, au titre de l'article 27 du RGPD, par ☐ _(nom et adresse du représentant, complétés à la signature)_, ci-après **« le Prestataire »**, agissant en qualité de **sous-traitant**, **Et** ________________________________________ [dénomination sociale], ________________ [forme sociale], immatriculée sous le n° ______________, dont le siège est ______________________________________, représentée par ______________________ en qualité de ______________________, ci-après **« le Client »**, agissant en qualité de **responsable de traitement** ☐ / de **sous-traitant pour le compte de ses propres clients** ☐ (cocher), Ci-après ensemble **« les Parties »**. ### Article 1 — Objet et documents contractuels 1.1 Le présent accord (ci-après « l'Accord ») encadre le traitement de données à caractère personnel effectué par le Prestataire pour le compte du Client dans le cadre de l'utilisation du service Subtraq, conformément à l'**article 28 du règlement (UE) 2016/679** (ci-après « RGPD »). 1.2 Il complète les Conditions générales d'utilisation du service, disponibles à l'adresse https://subtraq.co/fr/legal/terms. **En cas de contradiction, l'ordre de priorité est le suivant** : (1) les clauses contractuelles types figurant à l'annexe 4, (2) le présent Accord, (3) les Conditions générales d'utilisation. 1.3 Les annexes 1 à 4 font partie intégrante de l'Accord. ### Article 2 — Description du traitement Les caractéristiques du traitement — objet, durée, nature, finalité, catégories de données et de personnes concernées — sont décrites à l'**annexe 1**. ### Article 3 — Rôle des Parties 3.1 Le Client détermine les finalités et les moyens du traitement des données collectées au moyen des liens suivis et du SDK `subtraq.js`. Il en est le **responsable de traitement** ; lorsqu'il agit lui-même pour le compte de ses propres clients, il en est le **sous-traitant**, et il garantit au Prestataire disposer des instructions et des autorisations nécessaires de son propre responsable de traitement. 3.2 Le Prestataire agit en **sous-traitant** pour ces données. 3.3 Le présent Accord **ne couvre pas** les données du compte du Client (adresse email d'authentification, préférences, facturation, empreintes de clés API) : pour celles-ci, le Prestataire agit en **responsable de traitement** pour son propre compte, et le traitement est décrit dans sa politique de confidentialité. ### Article 4 — Obligations du Prestataire Le Prestataire s'engage à : **4.1 Instructions documentées.** Ne traiter les données que sur instruction documentée du Client, y compris en matière de transfert hors de l'Union européenne. L'utilisation du service et le paramétrage effectué par le Client dans son interface valent instructions. Si le Prestataire est tenu, par le droit auquel il est soumis, de procéder à un traitement au-delà de ces instructions, il en informe le Client avant le traitement, sauf interdiction légale pour des motifs importants d'intérêt public. **4.2 Alerte sur une instruction illicite.** Informer immédiatement le Client si, à son avis, une instruction constitue une violation du RGPD ou d'une autre disposition du droit de l'Union ou d'un État membre relative à la protection des données. **4.3 Confidentialité.** Veiller à ce que les personnes autorisées à traiter les données s'engagent à la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité. À la date de signature, **une seule personne physique** dispose d'un accès aux données de production. **4.4 Sécurité.** Mettre en œuvre les mesures techniques et organisationnelles décrites à l'**annexe 2**, conformément à l'article 32 du RGPD. **4.5 Sous-traitance ultérieure.** N'engager de sous-traitant ultérieur que dans les conditions de l'article 5. **4.6 Assistance aux droits des personnes.** Aider le Client, par des mesures techniques et organisationnelles appropriées, à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits (articles 12 à 23 du RGPD). L'interface du service permet au Client d'accéder aux données, de les exporter et de les supprimer par lui-même. Si une personne concernée s'adresse directement au Prestataire, celui-ci ne répond pas sur le fond et transmet la demande au Client dans les **cinq (5) jours ouvrés**. **4.7 Assistance au Client.** Aider le Client à respecter les obligations des articles 32 à 36 du RGPD (sécurité, notification de violation, analyse d'impact, consultation préalable), compte tenu de la nature du traitement et des informations dont il dispose. **4.8 Notification des violations.** Notifier au Client toute violation de données à caractère personnel **dans les quarante-huit (48) heures** après en avoir pris connaissance, par email à l'adresse de contact du compte, en décrivant la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises. **4.9 Sort des données en fin de contrat.** Au choix du Client exprimé au plus tard à la résiliation : supprimer toutes les données ou les restituer dans un format structuré et lisible par machine, puis détruire les copies existantes. À défaut de choix exprès, les données sont **supprimées dans les trente (30) jours** suivant la fin du contrat, sauf obligation de conservation imposée par le droit applicable. Les sauvegardes chiffrées sont purgées selon leur cycle normal, qui n'excède pas **trente-cinq (35) jours**. **4.10 Mise à disposition des informations et audit.** Mettre à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD, et permettre la réalisation d'audits. En pratique : le Prestataire répond à un questionnaire de sécurité écrit **une fois par an** et dans les trente (30) jours ; un audit sur pièces complémentaire peut être demandé en cas de violation avérée ou d'exigence documentée d'une autorité de contrôle, moyennant un préavis de trente (30) jours, dans la limite d'une fois par an, aux frais du Client et sous réserve de confidentialité. **4.11 Registre.** Tenir le registre des catégories d'activités de traitement effectuées pour le compte du Client (article 30.2 du RGPD). ### Article 5 — Sous-traitants ultérieurs 5.1 Le Client donne au Prestataire une **autorisation générale écrite** de recourir aux sous-traitants ultérieurs listés à l'**annexe 3**. 5.2 Le Prestataire informe le Client de tout ajout ou remplacement de sous-traitant ultérieur **au moins trente (30) jours à l'avance**, par email et par publication sur la page https://subtraq.co/fr/legal/privacy. Le Client peut s'y opposer pour un motif raisonnable et documenté tenant à la protection des données, dans ce délai. En cas d'opposition maintenue, le Client peut résilier la partie du service concernée sans indemnité ni pénalité, et obtenir le remboursement au prorata de la période payée non utilisée. 5.3 Le Prestataire impose à chaque sous-traitant ultérieur, par contrat, les mêmes obligations de protection des données que celles du présent Accord. Il demeure **pleinement responsable** devant le Client de l'exécution de leurs obligations. ### Article 6 — Transferts hors de l'Union européenne 6.1 Les données confiées par le Client sont **stockées exclusivement dans l'Union européenne** (Allemagne). Aucune copie n'est constituée en dehors de l'Union. 6.2 Le Prestataire étant établi aux États-Unis, **son accès aux données depuis les États-Unis constitue un transfert** au sens du chapitre V du RGPD. Ce transfert est encadré par les **clauses contractuelles types** de la décision d'exécution (UE) 2021/914 de la Commission du 4 juin 2021, reproduites par renvoi à l'**annexe 4**, dont les modalités sont les suivantes : - **Module Deux** (responsable de traitement vers sous-traitant) lorsque le Client agit en responsable de traitement ; **Module Trois** (sous-traitant vers sous-traitant) lorsque le Client agit lui-même en sous-traitant ; - **Clause 7** (amarrage) : applicable ; - **Clause 9** : option 2, autorisation générale écrite, préavis de trente (30) jours ; - **Clause 11** : l'option relative à l'organisme indépendant de règlement des litiges **n'est pas retenue** ; - **Clause 17** : option 2 — le droit applicable est celui de l'État membre dans lequel le Client est établi ; - **Clause 18 (b)** : les juridictions compétentes sont celles de ce même État membre ; - Les annexes I, II et III des clauses contractuelles types correspondent respectivement aux **annexes 1, 2 et 3** du présent Accord. 6.3 **Clause de mise à jour.** Les Parties reconnaissent que la Commission européenne a annoncé un jeu de clauses contractuelles types propre aux importateurs dont le traitement est directement soumis au RGPD au titre de son article 3.2, et que ce jeu n'était pas adopté à la date de signature. Dès son adoption, les Parties s'engagent à y substituer les clauses de l'annexe 4, par simple avenant, **dans les six (6) mois**. Dans l'intervalle, les clauses de l'annexe 4 s'appliquent en tant qu'elles renforcent la protection des personnes concernées. 6.4 **Demandes des autorités publiques.** Si le Prestataire reçoit une demande contraignante d'une autorité publique, y compris judiciaire, d'un pays tiers portant sur les données du Client, il : (a) en informe le Client dans les meilleurs délais, sauf interdiction légale ; (b) conteste la demande s'il existe des motifs raisonnables de la juger illicite ; (c) ne communique que le **minimum** d'informations exigible ; (d) documente la demande et la réponse apportée et les tient à disposition du Client et de l'autorité de contrôle compétente. À la date de signature, le Prestataire **n'a reçu aucune demande de cette nature**. ### Article 7 — Responsabilité Chaque Partie répond des dommages causés par un traitement effectué en violation du RGPD, dans les conditions de l'article 82 du RGPD. Les limitations de responsabilité convenues aux Conditions générales d'utilisation s'appliquent au présent Accord, **sauf** en ce qui concerne les droits des personnes concernées en tant que tiers bénéficiaires au titre des clauses contractuelles types, qui ne peuvent être limités. ### Article 8 — Durée L'Accord prend effet à sa signature et demeure en vigueur pendant toute la durée du contrat de service, puis jusqu'à l'exécution complète de l'article 4.9. ### Article 9 — Droit applicable et juridiction L'Accord est régi par le droit de l'**État membre dans lequel le Client est établi**. Les juridictions de cet État membre sont seules compétentes. Cette stipulation est retenue pour assurer la cohérence avec la clause 17 des clauses contractuelles types et ne prive le Client d'aucun droit d'agir devant les juridictions de son domicile. **Fait le** ______________, en deux exemplaires ou par signature électronique. | Pour le Prestataire | Pour le Client | |---|---| | GAM Communication LLC | ____________________ | | Andrea Guddelmoni, *Member* | Nom : ______________ | | | Qualité : ______________ | --- ## Annexe 1 — Description du traitement (= annexe I des clauses contractuelles types) ### A. Liste des Parties **Exportateur de données** : le Client, identifié en tête de l'Accord. Activités pertinentes : mesure de la performance de campagnes marketing au moyen de liens suivis. Rôle : responsable de traitement (ou sous-traitant, selon la case cochée). **Importateur de données** : GAM Communication LLC, 1309 Coffeen Avenue, STE 1200, Sheridan, WY 82801, États-Unis — contact@subtraq.co — représentant dans l'Union au titre de l'article 27 : ☐ _(complété à la signature)_. Activités pertinentes : fourniture du service de liens suivis et d'analyse Subtraq. Rôle : sous-traitant. ### B. Description du traitement | | | |---|---| | **Objet** | Fourniture d'un service de raccourcissement, de redirection et de mesure de liens | | **Nature du traitement** | Collecte, enregistrement, organisation, structuration, conservation, consultation, agrégation statistique, mise à disposition par interface et par API, effacement | | **Finalité** | Permettre au Client de mesurer l'audience et la performance de ses campagnes et d'attribuer les conversions | | **Durée** | Durée du contrat de service, puis effacement selon l'article 4.9 | | **Catégories de personnes concernées** | Visiteurs cliquant sur un lien créé par le Client ; le cas échéant, prospects et clients du Client identifiés par lui via les fonctions `lead()` et `identify()` | | **Catégories de données** | Identifiant du lien ; horodatage ; **pays** (déduit de l'adresse IP en mémoire vive, l'IP n'étant **jamais écrite**) ; type d'appareil (déduit de l'User-Agent) ; **nom d'hôte** du référent, à l'exclusion du chemin ; paramètres UTM ; drapeau robot ; identifiant de clic stocké dans le `localStorage` du domaine du Client ; et, si et seulement si le Client les transmet volontairement par le SDK ou l'API : adresse email d'un prospect, identifiant utilisateur interne, montant et devise d'une vente | | **Données sensibles** | **Aucune.** Le service n'est pas conçu pour traiter de données relevant de l'article 9 ou 10 du RGPD, et le Client s'engage à ne pas lui en transmettre | | **Fréquence** | Continue, en temps réel | | **Conservation** | Données de clic unitaires : **13 mois**. Agrégats statistiques ne permettant pas de réidentifier une personne : sans limite de durée. Données transmises via `lead()` / `identify()` : durée du compte, effaçables à tout moment par le Client | | **Sous-traitants ultérieurs** | Voir annexe 3 | ### C. Autorité de contrôle compétente L'autorité de contrôle de l'État membre dans lequel le Client est établi. Lorsque le Client n'est pas établi dans l'Union, l'autorité de l'État membre dans lequel son représentant au titre de l'article 27 est établi. --- ## Annexe 2 — Mesures techniques et organisationnelles (= annexe II des clauses contractuelles types) **Chiffrement et transport** - Toutes les communications sont chiffrées en transit (HTTPS/TLS). - Les jetons de session sont stockés dans des cookies `httpOnly`, inaccessibles au JavaScript. - Les clés API ne sont jamais conservées en clair : seule leur empreinte SHA-256 est stockée. **Hébergement et accès** - Serveur et base de données situés en **Allemagne** (Hetzner Online GmbH). - Base de données dédiée, **non exposée publiquement** sur internet. - Accès administrateur au serveur par **SSH avec clé dédiée** ; à la date de signature, **une seule personne physique** y a accès. - Cloisonnement logique des données entre comptes clients : aucune donnée d'un compte n'est accessible depuis un autre compte. **Sauvegardes et continuité** - Sauvegardes **quotidiennes et chiffrées**, purgées selon un cycle n'excédant pas 35 jours. **Minimisation dès la conception** — mesures structurelles, pas simples engagements : - L'**adresse IP n'est jamais écrite en base** : elle est lue en mémoire vive pour déduire le pays et détecter les robots, puis jetée. - **Aucune empreinte d'appareil** (*fingerprinting*) n'est calculée. - **Aucun cookie tiers** : le SDK utilise le `localStorage` de première partie du domaine du Client. - Du référent, seul le **nom d'hôte** est conservé ; le chemin complet, qui peut contenir des données personnelles, est écarté. - Aucun suivi entre appareils au-delà de ce que le Client identifie explicitement. **Organisation** - Notification d'une violation de données au Client sous 48 heures (article 4.8). - Journalisation des accès administrateur. - Registre des catégories de traitement effectuées pour le compte du Client (article 30.2). **Mesures applicables aux sous-traitants ultérieurs** : engagement contractuel aux mêmes obligations, et vérification de la localisation de l'hébergement dans l'Union pour le stockage. --- ## Annexe 3 — Sous-traitants ultérieurs autorisés (= annexe III des clauses contractuelles types) | Sous-traitant | Rôle | Lieu de traitement | Périmètre | |---|---|---|---| | **Hetzner Online GmbH** (Allemagne) | Hébergement du serveur applicatif et de la base de données | Allemagne (UE) | **Toutes** les données confiées par le Client | | **Cloudflare, Inc.** (États-Unis) | Réseau de redirection en périphérie, protection contre le déni de service, cache clé-valeur | Réseau mondial, y compris hors UE | Données présentes dans la **requête HTTP standard** (en-têtes, URL du lien). Le carnet de liens répliqué ne contient **aucune donnée identifiante** (ni email, ni IP) | | **Amazon Web Services EMEA SARL** (Amazon SES) | Remise technique des emails transactionnels | Irlande (UE) | Adresses email **du compte du Client** — hors données confiées au titre du présent Accord | | **Stripe** | Paiement et facturation de l'abonnement | UE / États-Unis, sous clauses contractuelles types | Données de facturation **du Client lui-même** — hors données confiées au titre du présent Accord | > Le service « Plumail » mentionné dans la politique de confidentialité est un **service interne de GAM Communication LLC**, opéré depuis les mêmes serveurs allemands ; il ne constitue pas un sous-traitant tiers. Son seul sous-traitant technique, Amazon SES, figure ci-dessus. --- ## Annexe 4 — Clauses contractuelles types Les Parties adoptent intégralement, par renvoi, les clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers, figurant en annexe de la **décision d'exécution (UE) 2021/914 de la Commission du 4 juin 2021**, publiée au *Journal officiel de l'Union européenne* L 199 du 7 juin 2021, p. 31, dont le texte authentique est disponible à l'adresse : **https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj** Les modalités d'application (module, options retenues, droit applicable, juridictions, correspondance des annexes) figurent à l'**article 6.2** de l'Accord. En signant l'Accord, les Parties sont réputées avoir signé les clauses contractuelles types ainsi complétées. ---