Accord de sous-traitance (DPA)

Préambule

Le présent accord de sous-traitance (ci-après le « DPA ») constitue une annexe indissociable des conditions générales d’utilisation et de vente de StratClara. Il est réputé accepté par le Client au même titre et au même moment que les conditions générales, et prévaut sur celles-ci pour toute stipulation relative au traitement des données à caractère personnel.

Il est conclu entre :

• Le Client — l’entreprise titulaire de l’espace StratClara, agissant en qualité de Responsable de traitement au sens de l’article 4.7 du RGPD (ci-après le « Responsable ») ;
• MVH Innovation SAS, société éditrice du service StratClara, dont le siège social est situé 31 rue des Laitières, 94300 Vincennes, France — SIREN 103 448 866, TVA FR57103448866, capital social de 100 €, RCS Créteil 103 448 866 — agissant en qualité de Sous-traitant au sens de l’article 4.8 du RGPD (ci-après « StratClara » ou le « Sous-traitant »).

Ensemble désignés les « Parties ». Le Responsable détermine les finalités et les moyens du traitement ; StratClara traite les données personnelles uniquement pour le compte et sur instruction du Responsable, dans le cadre de la fourniture du Service.

Les traitements dont MVH Innovation SAS est elle-même responsable (comptes d’accès et leur sécurité, relation commerciale, facturation, demandes de prospects) ne relèvent pas du présent DPA : ils sont décrits dans la politique de confidentialité.

Article 1 — Objet

Le présent DPA a pour objet de définir les conditions dans lesquelles StratClara s’engage à effectuer, pour le compte du Responsable, les opérations de traitement de données à caractère personnel nécessaires à la fourniture du Service, conformément à l’article 28.3 du RGPD.

Les caractéristiques du traitement (finalités, catégories de données et de personnes concernées, durée) sont décrites à l’Annexe 1. Les mesures de sécurité figurent à l’Annexe 2. La liste des sous-traitants ultérieurs figure à l’Annexe 3.

Article 2 — Définitions

Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée » et « violation de données » ont le sens que leur donne l’article 4 du RGPD. Le « Service » désigne la solution StratClara telle que définie dans les conditions générales.

Article 3 — Instructions documentées

StratClara ne traite les données personnelles que sur instruction documentée du Responsable, y compris en matière de transfert hors de l’Union européenne. Les conditions générales, la configuration de l’espace réalisée par le Responsable (Utilisateurs invités, questions déléguées, liens de partage) et le présent DPA constituent les instructions initiales.

Si StratClara considère qu’une instruction constitue une violation du RGPD ou de toute autre disposition applicable en matière de protection des données, il en informe le Responsable sans délai. StratClara n’utilise les données à aucune fin propre, notamment commerciale, publicitaire, ni pour entraîner des modèles d’intelligence artificielle.

Article 4 — Obligations de StratClara (art. 28.3 RGPD)

StratClara s’engage à :

1. ne traiter les données que sur instruction documentée du Responsable (article 3) ;
2. garantir que les personnes autorisées à traiter les données s’engagent à la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité ;
3. mettre en œuvre les mesures techniques et organisationnelles requises par l’article 32 du RGPD (Annexe 2) ;
4. respecter les conditions relatives au recrutement d’un autre sous-traitant (article 6) ;
5. aider le Responsable, par des mesures appropriées, à s’acquitter de son obligation de donner suite aux demandes d’exercice des droits des personnes concernées (articles 12 à 23 : accès, rectification, effacement, limitation, portabilité, opposition) ;
6. aider le Responsable à garantir le respect des obligations prévues aux articles 32 à 36 (sécurité, notification de violation, analyses d’impact, consultation préalable), compte tenu de la nature du traitement et des informations à sa disposition ;
7. selon le choix du Responsable, supprimer ou renvoyer toutes les données à la fin de la prestation, et détruire les copies existantes (article 10) ;
8. mettre à la disposition du Responsable toutes les informations nécessaires pour démontrer le respect des obligations du présent article et permettre la réalisation d’audits (article 11).

Article 5 — Sécurité (art. 32 RGPD)

StratClara met en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, détaillées à l’Annexe 2. Ces mesures incluent notamment le chiffrement des données en transit et des sauvegardes, l’isolation stricte des données par entreprise cliente, le contrôle et la journalisation des accès, ainsi que des procédures de sauvegarde et de restauration.

Article 6 — Sous-traitants ultérieurs

Le Responsable autorise StratClara à recourir aux sous-traitants ultérieurs listés à l’Annexe 3 pour l’exécution d’activités de traitement spécifiques. StratClara impose à chacun d’eux, par contrat, des obligations de protection des données équivalentes à celles du présent DPA, et demeure pleinement responsable envers le Responsable de l’exécution par ces sous-traitants de leurs obligations.

En cas de changement (ajout ou remplacement) de sous-traitant ultérieur, StratClara en informe le Responsable préalablement, lui laissant la possibilité d’émettre des objections légitimes dans un délai raisonnable.

Article 7 — Transferts hors Union européenne

Les données sont hébergées et traitées en France (voir Annexe 2). Certains sous-traitants ultérieurs de réseau, d’envoi d’e-mails et de recherche web sont des sociétés établies hors de l’Union européenne (voir Annexe 3). Tout transfert hors UE est encadré par les clauses contractuelles types adoptées par la Commission européenne (décision 2021/914) et, le cas échéant, par des mesures supplémentaires appropriées.

Article 8 — Assistance et coopération

StratClara assiste le Responsable pour répondre aux demandes d’exercice des droits des personnes concernées (export et suppression des données, sur demande à [email protected]). StratClara assiste le Responsable, dans la mesure du possible et compte tenu des informations dont il dispose, pour la réalisation des analyses d’impact relatives à la protection des données (AIPD) et les consultations préalables auprès de l’autorité de contrôle.

Article 9 — Notification des violations de données

StratClara notifie au Responsable toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, et au plus tard 48 heures, en lui fournissant les informations nécessaires (nature de la violation, catégories et nombre approximatif de personnes et d’enregistrements concernés, conséquences probables, mesures prises). Il appartient au Responsable, en tant que responsable de traitement, de notifier le cas échéant l’autorité de contrôle (CNIL) dans le délai de 72 heures prévu à l’article 33 du RGPD, et les personnes concernées lorsque l’article 34 l’exige.

Article 10 — Sort des données en fin de contrat

À la cessation du Service, quelle qu’en soit la cause, StratClara procède, selon le choix du Responsable, à la restitution des données dans un format structuré et couramment utilisé, ou à leur suppression, ainsi qu’à celle des copies existantes, dans un délai maximum de douze (12) mois (article 12 des conditions générales), les sauvegardes chiffrées étant effacées au plus tard trente (30) jours plus tard, sauf obligation légale de conservation. Les durées de conservation en cours de contrat figurent à l’Annexe 1.

Article 11 — Audit

StratClara met à la disposition du Responsable les informations nécessaires pour démontrer le respect de ses obligations. Le Responsable peut réaliser, à ses frais et après un préavis raisonnable, un audit (y compris par un tiers indépendant mandaté et soumis à confidentialité), au maximum une fois par an sauf incident de sécurité avéré, dans des conditions qui ne perturbent pas le fonctionnement du Service ni la sécurité des autres clients.

Article 12 — Durée, responsabilité et droit applicable

Le présent DPA prend effet à l’acceptation des conditions générales et demeure en vigueur pendant toute la durée du traitement des données pour le compte du Responsable. Il est soumis au droit français ; tout litige relève des tribunaux compétents de Paris, conformément aux conditions générales.

Annexe 1 — Description du traitement

Finalités : diagnostic stratégique de l’entreprise, calcul du score de maturité et du manque à gagner estimé, recommandations et ateliers, plan d’actions, canevas et arbres stratégiques, analyse de marché, rapports PDF et liens de partage, délégation de questions à des collaborateurs, et restitution de ces informations au Responsable et à ses Utilisateurs.

Nature du traitement : collecte, enregistrement, organisation, conservation, consultation, analyse (y compris par un modèle de langage pour l’analyse de marché), transmission, effacement.

Catégories de personnes concernées :

• les Utilisateurs du Responsable (dirigeants, collaborateurs invités) ;
• les personnes éventuellement mentionnées dans les contenus saisis par le Responsable (salariés, clients, partenaires).

Catégories de données : identité et coordonnées professionnelles des Utilisateurs (nom, e-mail, rôle), réponses au diagnostic, informations sur l’entreprise (dont données financières déclarées), contenus créés dans le Service, et données d’activité liées à l’utilisation du Service. Aucune donnée relevant de l’article 9 (catégories particulières) n’est traitée dans le cadre du Service.

Durées de conservation : données de l’espace — durée du contrat, puis suppression douze (12) mois après sa fin ; sauvegardes — 30 jours ; journaux d’audit — durée du contrat, puis douze (12) mois après sa fin.

Annexe 2 — Mesures techniques et organisationnelles de sécurité

• Hébergement en France : application, base de données et cache hébergés chez OVH (datacenters en France).
• Chiffrement : en transit (TLS imposé) ; sauvegardes chiffrées (GPG, AES-256) avant leur envoi hors du serveur. La base de données n’est pas chiffrée au repos au niveau du disque ; l’accès au serveur est restreint (authentification par clé uniquement, pare-feu, base non exposée sur le réseau).
• Isolation multi-clients : cloisonnement strict des données par entreprise cliente, vérifié à chaque couche d’accès.
• Contrôle d’accès : pas d’inscription libre ; connexion sans mot de passe par lien à usage unique valable 24 heures ; limitation du nombre de demandes de lien ; droits par rôle ; accès des consultants en lecture seule, limité à une heure et journalisé.
• Journalisation : registre d’audit des actions significatives (connexions, invitations, accès des consultants, partages).
• Partage maîtrisé : liens de partage révocables, chiffres financiers masquables.
• Sauvegarde et continuité : sauvegardes chiffrées toutes les 6 heures, conservées 30 jours sur Cloudflare R2 (juridiction Union européenne) et 7 jours sur le serveur ; procédure de restauration.
• Confidentialité du personnel : engagement de confidentialité du personnel de StratClara autorisé à accéder aux données.

Annexe 3 — Sous-traitants ultérieurs autorisés

La liste à jour est publiée dans la politique de confidentialité et disponible sur demande à [email protected]. À la date de mise à jour du présent DPA :

• OVH SAS (France) — Hébergement des serveurs : application, base de données, cache. Union européenne. Contrat de sous-traitance (art. 28 RGPD).
• Cloudflare, Inc. (États-Unis (société) ; sauvegardes R2 en juridiction Union européenne) — Réseau, DNS, chiffrement TLS et protection contre les attaques ; stockage des sauvegardes chiffrées (Cloudflare R2). Accord de traitement des données ; clauses contractuelles types (décision 2021/914).
• Resend (Union européenne (région d'envoi) ; société aux États-Unis) — Envoi des e-mails transactionnels (liens de connexion, invitations, notifications, demandes). Envoi depuis la région Union européenne ; accord de traitement des données ; clauses contractuelles types.
• Mistral AI (France) — Modèle de langage pour la rédaction de l'analyse de marché et le pré-remplissage. Union européenne. Conditions de traitement des données de Mistral AI.
• Brave Software, Inc. (Brave Search) (États-Unis) — Recherches web de l'analyse de marché. Aucune donnée personnelle transmise.

Contact

Pour toute question relative au présent DPA ou à l’exercice des droits : [email protected].

Le présent document constitue un modèle contractuel. Il est recommandé au Responsable de le faire valider par son conseil juridique au regard de sa situation propre.