Accord de Sous-Traitance RGPD

1. Champ d'application et objet de l'accord

Le présent Accord de Sous-Traitance RGPD (Addendum de Traitement des Données) fait partie intégrante du contrat entre Anatole et l'Utilisateur. Il s'applique aux opérations de traitement de données à caractère personnel effectuées par Anatole pour le compte de l'Utilisateur dans le cadre de l'utilisation des Services Anatole.

Ce document constitue l'Accord de sous-traitance RGPD intégré aux [CGU d'Anatole](/fr/terms/), conformément à l'article 7.3 des CGU. Il formalise les obligations respectives de l'Utilisateur (Responsable de Traitement) et d'Anatole (Sous-Traitant) pour la protection des données personnelles des Invités, en application de l'article 28 du RGPD.

Les Parties reconnaissent que, pour ces traitements, l'Utilisateur est Responsable de Traitement et Anatole agit en qualité de Sous-Traitant au sens de la Réglementation Applicable en matière de protection des données (RGPD et lois nationales).

Cet Accord a pour objet de définir les conditions dans lesquelles Anatole s'engage à traiter les données personnelles pour le compte de l'Utilisateur, ainsi que les droits et obligations de chaque partie. Il est conclu sans signature séparée, son acceptation étant acquise par l'acceptation des CGU en ligne.

Sauf mention contraire dans le présent Accord, les termes utilisés ont la définition qui leur est donnée dans le RGPD. En particulier, « données à caractère personnel », « personne concernée », « traitement », « Responsable du traitement », « Sous-traitant », « violation de données personnelles » ont le sens qui leur est attribué par l'article 4 du RGPD.

2. Description des traitements effectués par Anatole

Anatole est autorisé à traiter pour le compte de l'Utilisateur les données personnelles nécessaires à la fourniture des Services tels que définis dans les CGU. Les caractéristiques de ces traitements sont résumées dans le tableau ci-dessous, conformément aux exigences de l'article 28 du RGPD :

Remarques : Les catégories de personnes concernées par ces traitements sont principalement les Invités désignés par l'Utilisateur (famille, amis, proches invités au mariage). L'Utilisateur peut également être amené à saisir des données concernant ses co-organisateurs (ex. coordonnées d'un témoin ou membre de la famille aidant à l'organisation) dans la plateforme – ces données d'utilisateurs de l'Utilisateur relèvent généralement du compte Utilisateur lui-même et sont traitées dans le cadre du fonctionnement du service (ex. gestion des accès). Enfin, les données propres à l'Utilisateur (comme ses informations personnelles, ses identifiants) sont traitées par Anatole en tant que Responsable de traitement dans le cadre de la gestion de la relation contractuelle (cf. Politique de confidentialité Anatole), et ne sont pas détaillées ici car hors du champ du présent Accord.

Il est convenu que si l'Utilisateur utilise les Services pour traiter des Données ou des catégories de Données ou dans le cadre de finalités autres que celles décrites ci-dessus, il le fait à ses risques et périls. Anatole ne pourra être tenu pour responsable en cas de manquement à la réglementation découlant de traitements non prévus par les Parties. L'Utilisateur s'engage à n'utiliser la plateforme que pour les finalités pour lesquelles elle est prévue, conformément aux CGU et au présent tableau.

3. Obligations de l'utilisateur (responsable de traitement)

En tant que Responsable de Traitement, l'Utilisateur s'engage à :

• Conformité et instructions documentées : Respecter en tous points la réglementation applicable aux données personnelles (RGPD, lois nationales) pour les traitements qu'il effectue via Anatole. L'Utilisateur détermine les finalités et moyens des traitements confiés à Anatole et garantit que les instructions qu'il donne à Anatole sont documentées, conformes au contrat et à la réglementation. Toute instruction de l'Utilisateur excédant le périmètre du Service ou contraire à la réglementation ne sera pas exécutée par Anatole. L'Utilisateur utilisera la plateforme de manière conforme aux documents contractuels et n'instruira pas Anatole de traiter des données en violation des lois.

• Licéité des données traitées : Assurer que les données personnelles confiées à Anatole ont été collectées et sont traitées par l'Utilisateur en conformité avec le RGPD. Cela inclut, sans s'y limiter : l'information préalable des personnes concernées dès la collecte de leurs données, en leur communiquant toutes les mentions obligatoires (identité du responsable de traitement, finalité de l'invitation au mariage, base légale – consentement ou intérêt légitime, droits des personnes, etc.). L'Utilisateur doit fournir aux Invités une information claire, par exemple via sa propre politique de confidentialité ou un texte remis lors de la collecte des emails. Lorsque la base légale du traitement est le consentement (notamment pour l'envoi d'emails/SMS à des particuliers), obtenir un consentement valide et démontrable de chaque personne concernée préalablement à l'envoi d'invitations. L'Utilisateur doit être en mesure de prouver que l'Invité a consenti à recevoir les invitations, ou à défaut, que l'envoi repose sur une autre base légale valable (par exemple, intérêt légitime avec droit d'opposition respecté). Tenir compte des droits d'opposition des personnes (ex: si un Invité s'est opposé à recevoir des sollicitations, s'assurer de ne plus l'importer ou l'inviter). De manière générale, ne traiter via Anatole que des données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies (principe de minimisation).

• Exactitude et mise à jour : Veiller à l'exactitude des données des Invités et les mettre à jour si nécessaire. Anatole fournit des outils permettant à l'Utilisateur de rectifier ou supprimer des données ; il appartient à l'Utilisateur de faire droit aux demandes éventuelles de rectification des personnes concernées. Anatole peut, dans la mesure du possible, aider l'Utilisateur à maintenir des données exactes selon ses instructions.

• Mesures de sécurité de l'Utilisateur : Mettre en œuvre des mesures de sécurité appropriées côté Utilisateur pour assurer la protection des données lors de son utilisation de la plateforme. Par exemple, l'Utilisateur doit sécuriser l'accès à son compte (mots de passe forts, double authentification si disponible), et veiller à la confidentialité des données lorsqu'il exporte ou télécharge des informations depuis Anatole.

• Utilisation conforme de la plateforme : Ne pas détourner les fonctionnalités d'Anatole pour collecter ou traiter des données sensibles ou hautement personnelles sans accord préalable d'Anatole. La plateforme peut contenir des champs libres (par exemple, possibilité pour l'Utilisateur de saisir un message personnalisé) qui ne sont pas destinés à contenir des données sensibles (telles que des données de santé, origine raciale, opinions religieuses, etc.). L'Utilisateur s'engage à ne pas y introduire de telles données spéciales. Anatole décline toute responsabilité en cas d'utilisation non conforme de ces champs par l'Utilisateur.

• Coopération : Plus généralement, collaborer de bonne foi avec Anatole pour permettre la conformité du traitement. Par exemple, en cas de demande d'audit ou d'information (voir section 4.5), l'Utilisateur participera dans la limite du raisonnable.

L'Utilisateur reconnaît qu'il conserve l'entière responsabilité des Données à caractère personnel traitées pour son compte. L'Utilisateur reste responsable de la conformité globale du traitement vis-à-vis des personnes concernées et des autorités, dans le cadre de ses obligations en tant que Responsable de Traitement. Anatole assume sa responsabilité de Sous-Traitant conformément à l'article 28 du RGPD, notamment en matière de sécurité, de confidentialité et de coopération. En cas de violation par l'Utilisateur de ses obligations de Responsable de Traitement, les conséquences financières et juridiques qui en découlent relèvent de sa responsabilité, sous réserve de la responsabilité propre d'Anatole en tant que Sous-Traitant.

4. Obligations d'Anatole (sous-traitant)

En tant que Sous-Traitant, Anatole s'engage à respecter les obligations suivantes, conformément à l'article 28 du RGPD :

4.1. Traitement conforme aux instructions

Anatole ne traitera les données personnelles des Invités que sur instruction documentée de l'Utilisateur et dans le but exclusif de fournir les Services tels que définis dans le Contrat. Cela inclut les opérations techniques nécessaires comme l'hébergement, le stockage, l'envoi des emails/SMS, la mise en forme des invitations, le suivi des réponses, la gestion de la cagnotte, la maintenance et le support.

Anatole ne décidera pas des finalités ou des moyens du traitement en dehors des instructions de l'Utilisateur. Anatole s'abstiendra notamment de toute utilisation des données à d'autres fins (marketing propre, profilage, etc.), de toute vente ou location des données, et de toute fusion des données des Invités avec d'autres bases, sauf obligation légale contraire.

Si Anatole considère qu'une instruction de l'Utilisateur constitue une violation du RGPD ou d'autres dispositions applicables, il en informera promptement l'Utilisateur. De même, si Anatole est tenu par le droit de l'Union ou le droit national de procéder à un traitement allant au-delà des instructions (par ex. une divulgation sur injonction judiciaire), il en informera l'Utilisateur avant le traitement (sauf si la loi l'interdit pour des motifs importants d'intérêt public).

4.2. Confidentialité des données

Anatole garantit que les données personnelles traitées pour le compte de l'Utilisateur seront gardées strictement confidentielles. A ce titre, Anatole s'engage à :

• Ne divulguer les données des Invités qu'aux membres de son personnel, sous-traitants ou prestataires qui ont besoin d'y accéder pour les besoins de l'exécution des Services, et uniquement dans la mesure strictement nécessaire à leur intervention.
• S'assurer que ces personnes autorisées sont soumises à une obligation légale ou contractuelle de confidentialité. Anatole intègre dans les contrats de travail ou prestations des clauses de confidentialité conformes aux exigences du présent Accord.
• Ne pas copier, reproduire ou utiliser les données des Invités à des fins autres que celles prévues par le Contrat, et ne pas conserver de copies des données au-delà de ce qui est nécessaire pour le service ou pour se conformer à la loi.
• Veiller à ce que son personnel traitant les données soit formé aux exigences de protection des données et sensibilisé à l'importance de la confidentialité.

Cette obligation de confidentialité perdure même après la fin du contrat.

4.3. Sécurité des traitements

Anatole mettra en œuvre toutes les mesures de sécurité techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD. Anatole s'engage à maintenir un niveau de sécurité conforme à l'état de l'art. Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature des données, Anatole prend notamment les mesures suivantes :

• Sécurité logique des données : Protection des serveurs et bases de données contre les intrusions (pare-feu, systèmes de détection d'intrusion), chiffrement des communications (ex: TLS pour les interfaces web, SMTP sécurisé pour les emails sortants), politiques de contrôle d'accès strictes (accès aux données réservé aux personnes autorisées mentionnées plus haut, avec authentification forte). Les données des Invités stockées sur les serveurs sont hébergées dans un environnement sécurisé respectant les normes de l'industrie (centres de données sécurisés, surveillance 24/7, etc.).
• Sécurité physique : Les données sont hébergées via des services d'hébergement cloud reconnus pour leur sécurité (voir Sous-traitance ultérieure ci-dessous).
• Résilience et intégrité : Sauvegardes régulières des données (backups) pour prévenir la perte de données, tests d'intégrité, plan de reprise d'activité en cas d'incident majeur, afin d'assurer la disponibilité des données de l'Utilisateur dans la mesure du possible.
• Tests et audits de sécurité : Anatole réalise périodiquement des évaluations de sécurité de sa plateforme (tests internes, audits externes si nécessaires) pour identifier et corriger les vulnérabilités. Ces tests sont conduits de manière confidentielle et les résultats peuvent être communiqués à l'Utilisateur sur demande légitime, sous réserve de confidentialité.

Anatole s'engage à notifier à l'Utilisateur toute violation de données personnelles (incident de sécurité entraînant accidentellement ou illicitement la destruction, perte, altération, divulgation non autorisée ou l'accès non autorisé à des données personnelles) dont il aurait connaissance et concernant les données de l'Utilisateur. Cette notification sera effectuée dans les 24 heures après la découverte de l'incident. Anatole fournira à l'Utilisateur toutes les informations pertinentes sur la nature de la violation, les données potentiellement affectées, les conséquences probables et les mesures correctives prises, afin de permettre à l'Utilisateur, si nécessaire, de notifier cet incident à l'autorité de protection des données compétente (CNIL) et/ou aux personnes concernées, conformément aux articles 33 et 34 du RGPD. Les Parties coopéreront de bonne foi en cas d'incident pour en atténuer les effets.

4.4. Sous-traitance ultérieure (sous-processeurs)

L'Utilisateur consent expressément à ce qu'Anatole puisse faire appel à des sous-traitants ultérieurs (également appelés sous-traitants subordonnés ou prestataires tiers) pour mener des activités de traitement spécifiques pour le compte de l'Utilisateur, dans le cadre de la fourniture du Service. Il peut s'agir notamment des catégories suivantes : hébergement cloud, services d'envoi d'e-mails et de SMS, outils d'analyses techniques, correction de données par IA, etc.

Les sous-traitants actuels auxquels Anatole fait appel incluent (liste non exhaustive) :

• Supabase – Base de données & Hébergement de fichiers : Supabase est notre fournisseur d'infrastructure applicative. Rôle : hébergement de la base de données PostgreSQL contenant les données d'Anatole (comptes, mariages, invitations, réponses, cagnotte, etc.), et stockage des fichiers associés (par ex. photos de votre mariage) dans un espace dédié. Localisation : Union Européenne. Nous utilisons les serveurs européens de Supabase (région UE) afin que toutes les données et fichiers soient hébergés exclusivement en Europe. Les données stockées sont chiffrées au repos et ne sont accessibles qu'aux applications Anatole et à nos administrateurs habilités.

• Vercel – Hébergement front-end : Vercel est la plateforme d'hébergement du front-end de notre application (site web et interface utilisateur d'Anatole). Rôle : diffusion de l'application web et des contenus statiques aux utilisateurs finaux, via un réseau mondial de diffusion (CDN) pour des performances optimales. Localisation : principal aux États-Unis (Vercel Inc.), avec un CDN à travers le monde (y compris des serveurs en Europe). Garanties de transfert : Vercel est certifié au EU-US Data Privacy Framework et propose un Data Processing Addendum standard conforme au RGPD.

• Postmark – Envoi d'emails transactionnels : service d'emailing utilisé pour acheminer les courriels générés par Anatole. Rôle : envoi fiable des e-mails transactionnels liés au mariage (ex. invitations, confirmations de présence, rappels, informations sur la cagnotte) au nom des mariés. Localisation : principal aux États-Unis, avec des infrastructures redondantes. Garanties de transfert : Postmark propose un Data Processing Addendum standard conforme aux exigences RGPD et des garanties contractuelles pour les transferts internationaux.

• Twilio – Envoi de SMS transactionnels : plateforme utilisée pour l'envoi des SMS (par exemple les invitations ou rappels par SMS, ou les messages de vérification) aux invités qui ont fourni un numéro de téléphone. Rôle : acheminer les SMS vers les opérateurs téléphoniques de vos contacts. Localisation : Twilio Inc. est une société américaine, mais dispose de points de présence dans l'UE. Garanties de transfert : Twilio dispose de Binding Corporate Rules (BCR) approuvées par les autorités européennes de protection des données et propose un Data Processing Addendum conforme au RGPD.

• CookieYes – Consent Management Platform : outil de gestion des consentements cookies. CookieYes déploie sur notre site le bandeau de cookies et enregistre les choix de chaque utilisateur en matière de cookies. Rôle : garantir que les traceurs non essentiels ne sont activés qu'avec consentement, et conserver la preuve du consentement ou refus de l'utilisateur. Localisation : CookieYes Limited est une société enregistrée au Royaume-Uni.

• OpenAI – Intelligence artificielle : service d'IA avancée que nous utilisons via API pour des fonctionnalités spécifiques (ex: correction de données mal formatées, génération d'images à la demande). Rôle : traitement algorithmique du contenu que nous lui soumettons afin de produire un résultat (fichier corrigé ou image générée) renvoyé à Anatole. Localisation : États-Unis (OpenAI, Inc.). Garanties : Conformément aux conditions d'utilisation de l'API OpenAI, les données que nous transmettons ne sont pas utilisées par OpenAI pour entraîner leurs modèles d'IA et sont automatiquement supprimées de leurs systèmes dans un délai maximum de 30 jours après traitement.

• OVH – Gestion du nom de domaine & DNS : OVHcloud est notre registraire et hébergeur DNS pour le domaine anatole.wedding. Rôle : gestion technique du nom de domaine, des enregistrements DNS et hébergement de certaines fonctions annexes. Localisation : France (OVH, société française). Données personnelles : très peu de données en réalité – OVH traite essentiellement des données techniques (requêtes DNS des visiteurs).

Anatole s'assure que tous ses sous-traitants ultérieurs disposent de mécanismes de transfert validés pour les pays tiers (BCR, Clauses Contractuelles Types, décision d'adéquation) et que leurs DPA standards respectent les exigences de l'article 28 du RGPD. Anatole s'engage à ce que chaque sous-traitant ultérieur offre des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, de manière à ce que le traitement réponde aux exigences du RGPD et garantisse la protection des droits des personnes concernées. Anatole conclut avec chacun de ces sous-traitants un contrat écrit imposant des obligations de protection des données équivalentes à celles du présent Accord, notamment en termes de confidentialité, de sécurité et de notification des violations.

Anatole demeure pleinement responsable vis-à-vis de l'Utilisateur de l'exécution par ses sous-traitants ultérieurs de leurs obligations de protection des données. Anatole supervisera ces sous-traitants et restera l'interlocuteur unique de l'Utilisateur.

Information et droit d'opposition : Anatole tiendra l'Utilisateur informé de tout changement prévu concernant l'ajout ou le remplacement de sous-traitants ultérieurs importants impliquant un traitement de données personnelles de l'Utilisateur. Cette information sera fournie via une notification (par exemple, dans l'interface administrateur de l'Utilisateur ou par email) au moins 15 jours avant le changement. L'Utilisateur dispose de la faculté d'émettre des objections raisonnables et légitimes à l'encontre de ces changements dans ce délai de 15 jours. Une objection devra être motivée de bonne foi, par exemple si l'Utilisateur estime qu'un nouveau sous-traitant présente des garanties insuffisantes de conformité.

En cas d'objection non résolue concernant un nouveau sous-traitant, Anatole pourra, à son choix, soit renoncer à engager ce sous-traitant, soit proposer une solution alternative à l'Utilisateur. Si aucune solution acceptable n'est trouvée, l'Utilisateur pourra résilier le contrat sans pénalité du fait de cette objection. Cette résiliation sera considérée comme légitime et non fautive du côté d'Anatole.

5. Sort des données à l'issue du contrat

Au terme de la relation contractuelle, c'est-à-dire en cas de résiliation ou d'expiration des CGU, l'Utilisateur dispose de la faculté de récupérer l'ensemble des données personnelles traitées pour son compte via Anatole. Anatole fournit, sur demande de l'Utilisateur, les données dans un format standard lisible (par exemple, export CSV des listes d'invités et réponses).

L'Utilisateur devra exercer cette option de restitution avant la date de fin du contrat ou au plus tard dans les 15 jours suivant. Au-delà, Anatole procédera à la suppression complète des données personnelles de l'Utilisateur encore en sa possession, selon le calendrier suivant :

• Suppression active immédiate : Immédiatement après la fin du contrat, Anatole rendra inaccessibles les données de l'Utilisateur sur la plateforme (compte désactivé). Les données pourront être conservées temporairement dans les sauvegardes systèmes.
• Effacement définitif : En l'absence d'instruction contraire de l'Utilisateur, Anatole effacera toutes les données personnelles de l'Utilisateur dans un délai maximal de 90 jours après la date du mariage ou la résiliation du contrat, selon la première de ces échéances. Ceci inclut la suppression des bases de données actives et l'écrasement ou chiffrement des sauvegardes contenant encore ces données. Sur demande écrite de l'Utilisateur, Anatole pourra attester par écrit de la destruction effective des données une fois celle-ci réalisée.

Si l'Utilisateur souhaite une restitution de données avant suppression, Anatole pourra l'assister (ce service peut être facturé si cela génère un coût important). En tout état de cause, Anatole ne conservera aucune donnée personnelle de l'Utilisateur au-delà de la période mentionnée, sauf obligation légale de conservation plus longue. Par exemple, Anatole pourra conserver des journaux de connexion ou transactions contenant accessoirement des données personnelles si la loi l'impose, mais dans ce cas ces données resteront protégées et archivées séparément.

Les obligations d'Anatole en matière de confidentialité et de sécurité continuent de s'appliquer tant qu'Anatole conserve les données.

En cas de résiliation d'urgence (suspension immédiate pour manquement grave), l'Utilisateur dispose d'un délai de 7 jours pour récupérer ses données via export automatisé depuis son interface. Passé ce délai, la procédure normale de suppression s'applique (délai de 90 jours maximum selon les modalités définies ci-dessus).

6. Contact et délégué à la protection des données

Pour toute question ou instruction relative à la protection des données personnelles dans le cadre du présent Accord, l'Utilisateur peut contacter le référent protection des données d'Anatole. Ce référent ne dispose pas du statut de DPO au sens de l'article 37 RGPD. Les coordonnées de contact sont indiquées dans la Politique de Confidentialité et/ou sur le site Anatole (ex. une adresse email dédiée telle que privacy@anatole.wedding).

Anatole s'engage à traiter toute demande de l'Utilisateur relative au présent Accord dans les meilleurs délais.

7. Dispositions finales

7.1. Hiérarchie des documents

Le présent Accord fait partie des CGU. En cas de contradiction entre une disposition des CGU et une disposition du présent Accord concernant le traitement des données personnelles, l'Accord prévaudra. En cas de conflit entre documents contractuels et obligations légales impératives, ces dernières prévalent automatiquement. Les autres stipulations des CGU demeurent pleinement applicables pour tout ce qui n'est pas traité dans l'Accord.

7.2. Durée

Les obligations d'Anatole en tant que Sous-Traitant en vertu du présent Accord s'appliquent pendant toute la durée de la prestation de Services impliquant un traitement de données personnelles pour le compte de l'Utilisateur, et jusqu'à suppression des données. Les obligations qui par nature perdurent (confidentialité, assistance, etc.) survivront autant que de besoin après la fin du contrat.

7.3. Loi applicable et juridiction

Le présent Accord est soumis à la même loi que les CGU (voir article 9 des CGU). Tout différend relatif à son exécution ou son interprétation sera réglé selon les modalités de règlement des litiges prévues aux CGU. Néanmoins, en cas de litige spécifique à la protection des données, les Parties coopéreront de bonne foi pour trouver une solution conforme à la réglementation et, si nécessaire, consulteront l'autorité de contrôle compétente (ex. la CNIL) pour avis.

7.4. Intégralité et modification

Cet Accord constitue l'entier accord des Parties quant à la protection des données pour les Services Anatole. Il peut être complété ou modifié par un écrit signé des deux Parties (y compris par consentement électronique explicite). Anatole se réserve le droit de proposer des mises à jour de cet Accord en cas d'évolution de la réglementation ou des Services, suivant les mêmes modalités que la modification des CGU. L'Utilisateur sera informé de toute modification substantielle et pourra la refuser en résiliant le Service avant son entrée en vigueur si elle lui est préjudiciable.

En cas de déclaration de nullité d'une clause par un tribunal, les parties s'engagent à négocier de bonne foi son remplacement par une clause équivalente et licite.

En signant ou en acceptant électroniquement les CGU, l'Utilisateur et Anatole reconnaissent avoir lu et compris le présent Accord et s'engagent à en respecter toutes les dispositions.

KAWLET EURL Capital social : 1 000 € 15 Square Rameau 59000 Lille, France RCS Lille : 993 159 250 SIRET : 99315925000014 Email : privacy@anatole.wedding