Accord de sous-traitance des données

Dernière mise à jour : 22 octobre 2026.

Le présent accord, prévu par l’article 28 du règlement (UE) 2016/679 (RGPD), fait partie des conditions générales de vente. Il lie le client (« responsable de traitement ») et Nicolazic Tardy EI (« sous-traitant ») pour les données que Herdback traite pour le compte du client.

1. Objet, durée, nature et finalité

Le sous-traitant traite des données personnelles pour fournir le service décrit aux conditions générales : repérer les appelants qui n’ont pas été rappelés, tenir la liste à rappeler, recevoir les demandes de rappel du formulaire du client et prévenir le client par e-mail. Le traitement dure le temps de l’abonnement, gratuit ou payant.

2. Données et personnes concernées

• Appels : numéro de l’appelant, date et heure, sens, résultat (répondu, manqué, messagerie), durée. Ni nom, ni enregistrement, ni contenu des conversations.
• Demandes de rappel : nom, téléphone, e-mail et message s’ils sont renseignés, texte et version du consentement affiché, date, empreinte chiffrée de l’adresse IP, navigateur.
• Personnes concernées : les personnes qui appellent le client ou remplissent son formulaire.

3. Instructions

Le sous-traitant traite les données uniquement sur instruction documentée du client, constituée par les réglages du service et le présent accord. Il informe le client s’il estime qu’une instruction enfreint la réglementation. Il ne vend, ne loue et n’utilise les données pour aucune autre finalité.

4. Confidentialité

Seules les personnes qui ont besoin d’accéder aux données pour fournir ou maintenir le service y ont accès, et elles sont tenues à la confidentialité.

5. Sécurité (article 32 du RGPD)

• Chiffrement des connexions (HTTPS).
• Cloisonnement par entreprise appliqué par la base de données (sécurité au niveau des lignes), vérifié par des tests automatiques.
• Clés d’accès aux standards chiffrées (AES-256-GCM) avec une clé conservée hors de la base.
• Adresse IP jamais stockée en clair (empreinte HMAC).
• Sauvegardes chiffrées.
• Suppression automatique des appels au bout de 90 jours.

6. Sous-traitants ultérieurs

Le client autorise le recours aux sous-traitants ultérieurs suivants : Supabase (base de données, Union européenne), Resend (envoi des e-mails d’alerte), Cloudflare (réseau et protection contre les robots), et l’hébergeur de l’application (Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germany). Le sous-traitant informe le client par e-mail de tout ajout ou remplacement au moins 30 jours à l’avance ; le client peut s’y opposer en résiliant. Le sous-traitant impose à chacun des obligations équivalentes à celles du présent accord et encadre les transferts hors de l’Union européenne par des garanties appropriées (clauses contractuelles types de la Commission européenne ou décision d’adéquation) [à vérifier pour chaque prestataire].

7. Droits des personnes

Le client peut consulter, exporter (CSV) et supprimer les demandes depuis son tableau de bord. Le sous-traitant aide le client à répondre aux demandes d’exercice des droits qu’il ne peut traiter lui-même, et lui transmet sans délai toute demande reçue directement.

8. Violations de données

Le sous-traitant notifie au client toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles pour que le client puisse, le cas échéant, notifier la CNIL et informer les personnes concernées.

9. Assistance et audit

Le sous-traitant aide le client, dans la mesure du possible, pour les analyses d’impact et la consultation de la CNIL. Il met à disposition les informations nécessaires pour démontrer le respect du présent accord et permet des audits raisonnables, sur préavis de 30 jours, aux frais du client.

10. Fin du contrat

À la fermeture du compte, le client peut exporter ses demandes. Le sous-traitant supprime ensuite les données sous 30 jours, sauf obligation légale de conservation ; les sauvegardes sont écrasées selon leur cycle de rotation.

11. Obligations du client

Le client s’assure de disposer d’une base légale pour les traitements, informe les personnes concernées (par exemple sur son site, près du formulaire de rappel) et répond à leurs demandes. Le texte de consentement du formulaire est fourni par le service ; le client reste responsable de son usage.