Accord de sous-traitance des données

Dernière mise à jour : 13 octobre 2026

Le présent accord est conclu en application de l'article 28 du règlement (UE) 2016/679 (« RGPD »). Il fait partie intégrante des conditions générales de vente et s'applique dès que le client (« responsable du traitement ») utilise le service avec des données personnelles de ses propres clients, prospects, visiteurs, candidats ou abonnés. Le sous-traitant est :

REALITIM, EURL au capital de 50 000 €, immatriculée au RCS de Nantes sous le numéro 838 763 902, dont le siège social est situé 34 rue Joncours, 44100 Nantes, France. Numéro de TVA intracommunautaire : FR71838763902. Contact : contact@realitim.com.

1. Objet, durée, nature et finalité

Le sous-traitant traite les données uniquement pour fournir les fonctions du service activées par le client : formulaire de contact de son site et options (fiches clients, assistant, rendez-vous, devis, factures et paiements, avis, lettre d'information, offres d'emploi et candidatures, messagerie, fiche Google, réseaux sociaux). Les opérations réalisées sont l'hébergement, le stockage, la consultation, la mise en forme, la transmission (e-mail, SMS, messageries) et, pour les fonctions qui le prévoient, le traitement par un modèle d'intelligence artificielle à la demande du client. L'accord dure autant que l'abonnement, puis jusqu'à la suppression des données prévue à l'article 10.

2. Personnes concernées et données traitées

• Personnes concernées : visiteurs du site du client, ses clients et prospects, les personnes qui prennent rendez-vous, laissent un avis, s'abonnent à sa lettre d'information ou lui écrivent, ses candidats, et les membres de son équipe qu'il invite dans son espace.
• Données : identité et coordonnées ; contenu des messages et des conversations ; rendez-vous ; devis, factures et état des paiements (les données de carte bancaire sont traitées par Stripe et ne sont jamais reçues par le sous-traitant) ; avis ; candidatures et CV ; adresses des abonnés ; données techniques de connexion, dont l'adresse IP, conservée sous forme d'empreinte.

Le service n'est pas conçu pour les catégories particulières de données (article 9 du RGPD) ni pour les données relatives aux infractions : le client s'abstient de les y collecter.

3. Instructions du client

Le sous-traitant traite les données sur instruction documentée du client, constituée des CGV, du présent accord et des réglages et actions du client dans son espace. Il ne les utilise pour aucune autre finalité, ne les vend pas, ne les utilise pas pour entraîner des modèles d'intelligence artificielle et ne les transmet qu'aux sous-traitants ultérieurs de l'article 6, sauf obligation légale, dont il informe alors le client si la loi ne l'interdit pas. Il informe immédiatement le client si une instruction lui paraît contraire au RGPD.

4. Confidentialité

Les personnes autorisées à accéder aux données sont en nombre limité, y accèdent uniquement pour les besoins du service (assistance demandée par le client, sécurité, obligation légale) et sont tenues à la confidentialité.

5. Sécurité

Le sous-traitant met en œuvre les mesures de l'article 32 du RGPD, notamment :

• chiffrement de tous les échanges (HTTPS, imposé aux navigateurs) ;
• accès à l'espace client par lien personnel, dont seule une empreinte est conservée ; données cloisonnées par site ; rôles limitant ce que voient les membres invités ;
• jetons de connexion aux services tiers du client (Google, Microsoft, Meta, plateforme de facturation électronique) chiffrés ;
• adresses IP des visiteurs conservées sous forme d'empreinte ;
• fichiers reçus contrôlés d'après leur contenu réel et limités en taille ;
• rapports d'erreurs techniques expurgés des liens personnels et des données saisies ;
• administration de la plateforme protégée par un secret et une session de courte durée ;
• application web et traitements en arrière-plan exécutés dans l'Union européenne (région de Paris).

6. Sous-traitants ultérieurs

Le client autorise de manière générale le recours aux sous-traitants ultérieurs listés, avec leur fonction et leur localisation, dans la politique de confidentialité. Le sous-traitant informe le client par e-mail de tout ajout ou remplacement au moins 30 jours à l'avance. Le client peut s'y opposer pour un motif légitime lié à la protection des données ; à défaut de solution, il peut résilier son abonnement avant l'entrée en vigueur du changement. Le sous-traitant impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes et demeure responsable envers le client de leur respect.

7. Transferts hors de l'Union européenne

Les données ne sont transférées hors de l'Union européenne que vers les sous-traitants ultérieurs listés, dans le cadre d'une décision d'adéquation (dont le Data Privacy Framework UE–États-Unis) ou des clauses contractuelles types de la Commission européenne.

8. Droits des personnes concernées

L'espace client permet au client de consulter, corriger, exporter et supprimer les données de ses options, pour répondre lui-même aux demandes d'exercice des droits. Le sous-traitant transmet sans délai au client toute demande qu'il reçoit directement et l'aide à y répondre lorsque les outils de l'espace n'y suffisent pas.

9. Violation de données

Le sous-traitant notifie au client toute violation de données personnelles le concernant sans délai injustifié et au plus tard 48 heures après en avoir pris connaissance, avec les informations de l'article 33, paragraphe 3, du RGPD dont il dispose, puis les complète au fur et à mesure. Il aide le client à notifier la CNIL et, le cas échéant, à informer les personnes concernées. Il l'assiste également, par les informations dont il dispose, pour ses analyses d'impact et consultations préalables (articles 35 et 36).

10. Fin du traitement

Avant la fin de son abonnement, le client exporte les données qu'il souhaite garder. À la fin de l'abonnement, toutes les données du site et de ses options sont supprimées dans un délai de 30 jours, copies comprises, sauf obligation légale de conservation ; l'archive des devis et factures est adressée au client dans les conditions de l'article 14 des CGV. Les données d'une option retirée sont supprimées 30 jours après son retrait, à l'exception des pièces comptables numérotées, conservées tant que le site existe.

11. Documentation et audit

Le sous-traitant met à la disposition du client les informations nécessaires pour démontrer le respect du présent accord. Le client peut, une fois par an, ou après une violation de données, faire réaliser un audit à ses frais, moyennant un préavis écrit de 30 jours, par un auditeur tenu à la confidentialité et non concurrent du sous-traitant, sans perturber le service ni accéder aux données des autres clients.

12. Obligations du client

Le client, responsable du traitement, détermine les données qu'il confie au service, dispose d'une base légale pour chaque traitement, informe ses clients, visiteurs et candidats (la page Conformité de son espace l'aide à rédiger sa politique de confidentialité) et répond à leurs demandes d'exercice des droits.

Pour toute question relative au présent accord : contact@realitim.com.