Accord de sous-traitance des données

Version en vigueur au 25 octobre 2026.

1. Parties et objet

Le présent accord, conclu en application de l’article 28 du Règlement (UE) 2016/679 (RGPD), lie Eliot Bracq (EI), entrepreneur individuel, sous le régime de la micro-entreprise, exerçant sous le nom commercial Pagilion, immatriculé au Registre national des entreprises (RNE), SIREN 131 765 000, dont le siège est situé 47 rue Vivienne, 75002 Paris, France (le « Sous-traitant ») et le commerçant dont le site est publié sur Pagilion et qui utilise ses modules (le « Responsable de traitement »). Le commerçant est le responsable de traitement des données que ses clients confient à son site : il en décide les finalités, et Pagilion ne les traite que pour son compte.

Le commerçant accepte l’accord, avec les conditions de l’espace commerçant, à sa première connexion à son espace d’administration ; l’acceptation est enregistrée. Jusque-là, l’utilisateur de Pagilion (agence, indépendant) qui publie le site et en règle les modules déclare agir au nom et pour le compte du commerçant, lui transmet le présent accord (conditions générales, article 3). S’il décide lui-même des finalités d’un traitement, il en est responsable à la place du commerçant. Une maquette publiée comme proposition, avant l’accord du commerce, relève de la seule responsabilité de l’utilisateur qui la publie.

L’accord s’applique dès qu’un module du site recueille des données et pour toute la durée de l’hébergement. Il ne couvre pas les données que Pagilion traite pour son propre compte (comptes des utilisateurs, connexions à l’espace commerçant, preuves des acceptations), décrites dans la politique de confidentialité.

2. Description du traitement

• Nature et finalité : hébergement du site, réception, stockage et affichage dans l’espace d’administration des demandes de contact et de devis, candidatures, réservations (table, séjour, rendez-vous), commandes, inscriptions et billets ; envoi des emails de confirmation par le compte d’envoi du commerce ; rappels ; statistiques de visite sans cookie ; paiements en ligne par le compte Stripe ou SumUp du commerce.
• Personnes concernées : les clients, prospects, candidats et visiteurs du site du commerce, ainsi que les membres de son équipe.
• Données : identité (nom, prénom), coordonnées (email, téléphone, adresse de livraison), contenu des demandes, dates et détails des réservations et commandes, pour un garage ou une concession l’immatriculation et la description du véhicule, CV et lettres de candidature, montants et statut des paiements (jamais les données de la carte, traitées par Stripe ou SumUp), empreinte non réversible de l’adresse IP pour la lutte contre les abus (effacée au bout de 30 jours). Le commerçant s’interdit de recueillir par les formulaires des données sensibles (article 9 du RGPD : santé, opinions, religion, orientation sexuelle…), des données d’infractions, des données de mineurs de moins de quinze ans ou des données bancaires en dehors des formulaires de Stripe ou de SumUp.
• Durée : les demandes sont conservées 24 mois au plus, puis effacées automatiquement avec leurs fichiers, sauf un abonnement en cours d’une salle de sport ; les statistiques agrégées 13 mois ; le journal des emails envoyés aux visiteurs et au commerce (destinataire, objet de l’envoi) 90 jours. Le commerce peut supprimer une demande à tout moment depuis son espace.

3. Obligations du Responsable de traitement

Le Responsable de traitement détermine les finalités des traitements, choisit les modules et champs des formulaires, informe ses clients (mentions de son site, politique de confidentialité, conditions de vente), répond de la licéité des traitements et de la base légale retenue, et traite les demandes d’exercice de droits de ses clients. Il veille à ne pas utiliser ces données pour de la prospection sans le consentement ou la base légale requis.

4. Obligations du Sous-traitant

Le Sous-traitant s’engage à :

1. ne traiter les données que sur instruction documentée du Responsable de traitement, ces instructions étant constituées par le paramétrage du site et des modules et par les actions faites depuis l’espace d’administration ; l’informer immédiatement si une instruction lui paraît contraire au RGPD ;
2. ne pas utiliser ces données pour ses propres fins, ne pas les vendre, ne pas les utiliser pour entraîner des modèles d’intelligence artificielle ni pour la prospection de ses utilisateurs ;
3. garantir la confidentialité des données et veiller à ce que les personnes autorisées à les traiter soient tenues à la confidentialité ;
4. mettre en œuvre les mesures de sécurité de l’article 32 du RGPD : chiffrement des échanges (HTTPS), secrets et identifiants de paiement chiffrés, adresses IP conservées sous forme d’empreinte à clé secrète, liens d’accès à usage unique et limités dans le temps, cloisonnement des données par site, sauvegardes chiffrées conservées 30 jours, accès d’administration restreints ;
5. aider le Responsable de traitement, dans la mesure du possible, à répondre aux demandes d’exercice des droits (l’espace d’administration permet de consulter, exporter et supprimer les demandes), à réaliser une analyse d’impact et à respecter ses obligations de sécurité ;
6. notifier au Responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles à sa propre notification à la CNIL ;
7. mettre à sa disposition les informations nécessaires pour démontrer le respect du présent accord et permettre des audits, à ses frais, avec un préavis raisonnable et dans le respect de la confidentialité des autres clients ;
8. tenir le registre des catégories d’activités de traitement effectuées pour le compte de ses clients (article 30.2 du RGPD).

5. Sous-traitants ultérieurs

Le Responsable de traitement autorise de manière générale le recours aux sous-traitants ultérieurs suivants, tenus par contrat aux mêmes obligations de protection :

Les emails aux clients partent du compte Brevo du commerce, choisi et contracté par le commerce lui-même. Les paiements en ligne sont encaissés sur son propre compte Stripe ou SumUp ; Pagilion y intervient comme plateforme (Stripe Connect, application SumUp reliée) pour créer ces paiements et en recevoir le statut, d’où leur présence dans la liste ci-dessus. Tout ajout ou remplacement d’un sous-traitant ultérieur est annoncé sur cette page et par email au moins trente jours à l’avance ; le Responsable de traitement peut s’y opposer pour un motif légitime, et, faute de solution, résilier sans frais.

6. Transferts hors de l’Union européenne

Lorsqu’un sous-traitant ultérieur traite des données hors de l’Union européenne, le transfert est encadré par une décision d’adéquation ou par les clauses contractuelles types de la Commission européenne.

7. Fin du traitement

Le site cesse d’être publié 30 jours après la fin de l’abonnement de l’utilisateur ; ses données restent alors dans l’espace de l’utilisateur, sans nouvelle collecte, jusqu’à la reprise d’un abonnement ou la fin de leur durée de conservation. À la suppression du site ou du compte, le Sous-traitant supprime les données du site et leurs fichiers ; les copies de sauvegarde s’effacent dans les 30 jours. Avant cette date, le Responsable de traitement peut exporter ses demandes depuis son espace d’administration. Les données dont la loi impose la conservation au Sous-traitant sont conservées pour la seule durée légale.

8. Contact

Pour toute question relative au présent accord ou pour notifier une instruction : contact@pagilion.com.