RGPD · ARTICLE 28 · B2B/B2C
La présente annexe complète les conditions contractuelles lorsque, pour un traitement déterminé, le client agit comme responsable de traitement et l’exploitant traite des données personnelles uniquement pour son compte. Elle n’altère pas la qualification propre des traitements pour lesquels l’exploitant agit comme responsable de traitement autonome.
Le présent accord s’applique uniquement aux traitements de données personnelles réalisés par l’exploitant pour le compte du client dans le cadre du service souscrit. Les traitements nécessaires à la sécurité propre de la plateforme, à sa facturation, à ses obligations légales, à la défense de ses droits ou à la gestion de sa relation contractuelle peuvent relever d’une qualification distincte décrite dans la politique de confidentialité.
Le traitement a pour objet de permettre l’hébergement, la transmission, l’organisation, le routage, l’assistance, l’export et les opérations techniques nécessaires aux fonctions utilisées par le client. Sa durée suit celle du service concerné, augmentée des seules périodes de conservation ou d’archivage légalement ou contractuellement justifiées.
Selon les fonctions activées, les opérations peuvent comprendre collecte technique, réception, consultation, organisation, structuration, rapprochement, transmission, mise à disposition, journalisation, sauvegarde, export, limitation, suppression ou anonymisation. Aucune réutilisation pour une finalité propre incompatible n’est autorisée sur la seule base du présent accord.
Peuvent notamment être concernées les données de compte, coordonnées professionnelles, identifiants d’utilisateurs autorisés, métadonnées techniques, paramètres de routage, données d’appels ou CDR, données de support et contenus transmis par le client lorsqu’une fonction les requiert. Le client s’abstient d’importer des catégories particulières ou données sans rapport avec le service en l’absence de nécessité et de base juridique appropriée.
Selon l’usage du client, les personnes concernées peuvent comprendre ses collaborateurs, prestataires, contacts, utilisateurs, appelants ou autres personnes dont les données sont licitement traitées au moyen du service. Le client détermine les catégories pertinentes et fournit les informations nécessaires à la licéité du traitement.
L’exploitant traite les données pour le compte du client sur ses instructions documentées résultant du contrat, des paramètres qu’il configure, des demandes authentifiées et des conditions particulières applicables. Une instruction manifestement illicite, contradictoire ou techniquement impossible peut être suspendue et signalée au client dans la mesure permise par la loi.
Les personnes autorisées à traiter les données sont soumises à une obligation appropriée de confidentialité et n’accèdent qu’aux informations nécessaires à leurs fonctions. Les habilitations sont retirées ou adaptées lorsqu’elles ne sont plus justifiées.
L’exploitant met en œuvre des mesures techniques et organisationnelles adaptées au risque, notamment contrôle d’accès, chiffrement en transit, gestion des secrets, journalisation des opérations sensibles, sauvegardes, limitation des privilèges, protection des sessions, procédures de restauration et traitement des vulnérabilités. Ces mesures évoluent avec l’état de l’art, les risques et l’architecture réellement utilisée.
Le client autorise de manière générale le recours à des sous-traitants ultérieurs nécessaires au service, sous réserve qu’ils présentent des garanties suffisantes et soient contractuellement soumis aux obligations applicables. Les catégories et prestataires structurants effectivement utilisés sont documentés dans les informations de confidentialité ou la documentation contractuelle. Un changement significatif est communiqué selon les modalités prévues par le droit applicable afin de permettre une objection légitime lorsque celle-ci est prévue.
Tout transfert de données vers un pays tiers ou une organisation internationale effectué pour le compte du client est encadré par un mécanisme juridiquement valable, tel qu’une décision d’adéquation, des clauses contractuelles types ou un autre instrument reconnu, avec les mesures complémentaires nécessaires selon le risque.
Compte tenu de la nature du traitement, l’exploitant aide raisonnablement le client à répondre aux demandes d’accès, rectification, effacement, limitation, opposition ou portabilité portant sur les données qu’il traite pour son compte. Lorsque le demandeur s’adresse directement à l’exploitant pour des données relevant du client, la demande peut être transmise au client sauf obligation légale contraire.
L’exploitant informe le client dans les meilleurs délais raisonnablement possibles après avoir pris connaissance d’une violation de données personnelles affectant les traitements réalisés pour son compte et lui communique les informations disponibles nécessaires à son évaluation et, le cas échéant, à ses notifications. Une information initiale peut être complétée au fur et à mesure de l’investigation.
L’exploitant fournit, compte tenu de la nature du traitement et des informations dont il dispose, une assistance raisonnable au client pour ses analyses d’impact et consultations préalables lorsque celles-ci sont requises. Les prestations exceptionnelles dépassant l’assistance standard peuvent faire l’objet de conditions particulières pour un client professionnel si elles sont annoncées avant intervention.
L’exploitant conserve la documentation nécessaire à démontrer le respect de ses obligations de sous-traitant et tient les registres imposés par la réglementation lorsque les conditions de leur tenue sont réunies.
Le client peut obtenir les informations raisonnablement nécessaires à la démonstration de la conformité du traitement et, lorsque la loi l’exige, exercer un droit d’audit directement ou par un auditeur indépendant soumis à confidentialité. Les audits sont organisés de façon proportionnée afin de ne pas compromettre la sécurité, les secrets d’affaires, les données d’autres clients ou la continuité du service. Les modalités peuvent privilégier en premier lieu les rapports, attestations et éléments existants avant une inspection spécifique.
Le client détermine et documente les finalités et bases juridiques relevant de sa responsabilité, informe les personnes concernées, respecte leurs droits, limite les données aux besoins légitimes et configure le service conformément à ses obligations. Il garantit disposer d’une base appropriée pour les données et instructions qu’il transmet à la plateforme.
Le client veille à l’exactitude et à la pertinence des données placées sous son contrôle. L’exploitant ne vérifie pas systématiquement le contenu de chaque donnée et n’est pas tenu de corriger de sa propre initiative une information métier dont il ne peut raisonnablement connaître l’inexactitude.
Les données actives sont conservées selon les besoins du service et les paramètres applicables. À la fin de la relation, elles sont supprimées, anonymisées, restituées ou archivées avec accès restreint lorsque la conservation demeure nécessaire à une obligation légale, à la sécurité, à la preuve ou à un litige. Les données ne sont pas conservées indéfiniment par principe.
Le client utilise les fonctions d’export disponibles avant la fermeture effective de son compte. À l’issue des délais applicables, les données traitées uniquement pour son compte sont supprimées ou anonymisées, sauf obligation légale de conservation. Les copies résiduelles de sauvegarde suivent leur cycle technique normal et restent protégées jusqu’à leur expiration.
Lorsqu’une autorité légalement compétente exige l’accès ou la communication de données, l’exploitant n’y répond que dans le périmètre juridiquement requis. Le client est informé lorsque la loi le permet et lorsque cette information ne compromet pas l’obligation concernée.
Chaque partie répond des obligations qui lui incombent au titre de son rôle réel. Le présent accord ne permet ni au client de transférer à l’exploitant sa responsabilité de responsable de traitement, ni à l’exploitant d’écarter les obligations propres d’un sous-traitant.
Pour les traitements relevant du présent accord, celui-ci prévaut sur une stipulation générale contradictoire concernant les obligations de sous-traitance. Les clauses contractuelles types ou mécanismes de transfert international effectivement conclus prévalent pour leur objet spécifique. Les conditions générales restent applicables pour les autres sujets.
La qualification responsable de traitement, responsable conjoint ou sous-traitant dépend du traitement concret et non du seul intitulé d’un document. Si une nouvelle fonction modifie substantiellement les finalités ou moyens essentiels, les parties réévaluent la qualification et complètent la documentation requise.
Version juridique du 26 septembre 2026 : 2026-09-26-b2b-b2c-v4. Le présent accord prend effet avec la version contractuelle v4 pour les traitements auxquels il s’applique, sans rétroactivité sur une opération définitivement exécutée sous une version antérieure.
Cet accord complète la politique de confidentialité et les conditions générales de vente, d’abonnement et de services. Il ne remplace pas les informations d’identité juridique et de médiation qui doivent être complétées avant l’ouverture commerciale B2C.
DOCUMENTS JURIDIQUES
