Contrat de sous-traitance des données personnelles
Version du 16 octobre 2026. Article 28 du règlement (UE) 2016/679 (RGPD).
1. Parties et acceptation
Ce contrat lie le commerçant client (le « Responsable ») et Girlden LTD, société immatriculée en Angleterre et au pays de Galles sous le numéro 14837617, siège : 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Royaume-Uni, qui exploite le service BoostImpact (le « Sous-traitant »). Il fait partie du contrat de service et prévaut sur les conditions générales de vente pour tout ce qui touche aux données personnelles. Le Responsable l'accepte, par écrit sous forme électronique, en cochant la case prévue avant d'envoyer sa fiche de mise en route.
2. Objet, durée, nature et finalité
Objet. Le Sous-traitant traite, pour le compte du Responsable, les données personnelles nécessaires au service décrit dans les conditions générales de vente.
Durée. La durée du contrat de service, puis le temps de la restitution ou de l'effacement prévu à l'article 10.
Nature des opérations. Collecte par import de fichier et par la page d'avis, enregistrement, conservation, consultation, rédaction de propositions de réponse, envoi d'emails, publication après validation ou selon les réglages du Responsable, effacement.
Finalités.
- envoyer aux clients du Responsable une demande d'avis et au plus un rappel, et respecter leur désinscription ;
- recevoir et transmettre au Responsable les messages laissés sur sa page d'avis ;
- lire les avis Google et les commentaires des réseaux sociaux du Responsable, proposer et publier les réponses ;
- produire des vidéos à partir d'avis choisis par le Responsable ;
- produire des publications à partir des photos du Responsable.
3. Données et personnes concernées
| Personnes concernées | Données | Conservation |
|---|---|---|
| Clients du Responsable sollicités pour un avis | Prénom, email, date de passage, attestation de leur accord ; envoi, ouverture de la page, clic vers Google | Effacés 120 jours après le passage ou la demande |
| Personnes désinscrites | Email, motif | Durée du contrat, pour respecter la désinscription |
| Auteurs d'avis Google | Texte, note, prénom et initiale, identifiant de l'avis | Texte, note et auteur effacés à 30 jours ; identifiant gardé |
| Auteurs de commentaires sur les réseaux du Responsable | Texte, nom affiché, identifiant | Texte et auteur effacés à 30 jours |
| Personnes qui écrivent au Responsable par sa page d'avis | Note, message et prénom facultatifs | Durée à fixer par le Responsable ; à défaut : A_DECIDER |
| Personnes visibles sur les photos du Responsable | Image | Durée du contrat |
Aucune donnée sensible au sens de l'article 9 du RGPD n'est demandée.
4. Obligations et droits du Responsable
- Il détermine les finalités et s'assure d'une base légale pour chaque traitement ; pour les demandes d'avis, il recueille l'accord préalable de ses clients, en garde la preuve et l'atteste à chaque import.
- Il informe ses clients du traitement (modèle à l'article 13).
- Il fournit des données exactes et limitées à ce qui est nécessaire.
- Il peut à tout moment donner des instructions, demander une information ou un audit dans les conditions de l'article 9.
5. Instructions
Le Sous-traitant ne traite les données que sur instruction documentée du Responsable. Valent instructions : les conditions générales de vente, le présent contrat, les réglages de l'espace et les validations du Responsable, et ses demandes écrites. Il en va de même pour tout transfert vers un pays hors de l'Union européenne, sauf obligation imposée par le droit applicable au Sous-traitant ; il en informe alors le Responsable avant le traitement, sauf si ce droit l'interdit.
Le Sous-traitant informe immédiatement le Responsable si, selon lui, une instruction constitue une violation du RGPD ou d'une autre règle de protection des données.
6. Confidentialité
Les personnes autorisées à traiter les données sont tenues à la confidentialité, par engagement écrit ou par une obligation légale appropriée.
7. Sécurité
Le Sous-traitant prend les mesures requises par l'article 32 du RGPD, notamment :
- chaque commerce ne voit que ses propres données, règle appliquée par la base de données elle-même ;
- connexion à l'espace par lien envoyé par email, sans mot de passe ; liens de validation aléatoires, à usage unique, valables 7 jours ;
- clés d'accès aux services gardées sur les serveurs, jamais dans les pages ;
- échanges chiffrés (https) ; données de l'espace hébergées dans une région européenne ;
- effacements automatiques aux durées de l'article 3 ;
- journal des opérations par commerce.
8. Sous-traitants ultérieurs
Le Responsable autorise le recours aux sous-traitants ultérieurs listés dans la politique de confidentialité, rubrique « Destinataires et sous-traitants ». Le Sous-traitant informe le Responsable par email de tout ajout ou remplacement au moins 30 jours avant ; le Responsable peut s'y opposer en résiliant sans frais avant cette date.
Le Sous-traitant impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent contrat et reste pleinement responsable envers le Responsable de leur exécution.
9. Assistance, information et audit
- Droits des personnes. Le Sous-traitant transmet au Responsable, dans les 5 jours ouvrés, toute demande qu'il reçoit d'une personne concernée, et l'aide à y répondre. La désinscription d'une demande d'avis est traitée directement et immédiatement.
- Violation de données. Le Sous-traitant notifie au Responsable toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance, avec les informations dont il dispose, pour permettre au Responsable de remplir ses propres obligations.
- Autres obligations. Il aide le Responsable à garantir le respect des obligations des articles 32 à 36 du RGPD (sécurité, violations, analyse d'impact, consultation préalable), compte tenu de la nature du traitement et des informations à sa disposition.
- Preuve et audit. Il met à la disposition du Responsable les informations nécessaires pour démontrer le respect du présent contrat, et permet un audit, mené par le Responsable ou par un auditeur tenu au secret, au plus une fois par an, avec un préavis de 30 jours, aux frais du Responsable.
10. Fin du contrat
À la fin du service, au choix du Responsable exprimé dans les 30 jours, le Sous-traitant lui renvoie les données dans un format courant, puis les supprime, ou les supprime directement. Sans réponse dans ce délai, il les supprime. Les copies de sauvegarde des prestataires sont effacées selon leur propre cycle : A_VERIFIER. Le Sous-traitant ne garde que ce que la loi lui impose de garder.
11. Transferts hors de l'Union européenne
Le Sous-traitant est établi au Royaume-Uni. Certains sous-traitants ultérieurs sont établis hors de l'Union européenne ; les garanties applicables sont indiquées pour chacun dans la politique de confidentialité. Garantie applicable au transfert des données de l'Union vers le Sous-traitant au Royaume-Uni : A_VERIFIER.
12. Responsabilité et durée
La responsabilité des parties suit les conditions générales de vente. Le présent contrat dure autant que le contrat de service et, pour l'article 10, jusqu'à la suppression complète des données.
13. Modèle d'information pour vos clients
Texte que le Responsable peut afficher en caisse ou sur son formulaire, à adapter :
« En nous laissant votre email, vous acceptez de recevoir de notre part une seule demande d'avis sur votre visite, et au plus un rappel. Cet email est envoyé pour notre compte par notre prestataire. Vous pouvez vous désinscrire par le lien présent dans l'email. Votre prénom et votre email sont effacés 120 jours après votre visite. Pour exercer vos droits, adressez-vous à [nom et contact du commerce]. »