Contrat de sous-traitance du traitement des données à caractère personnel

§ 1. Parties et objet

1. Le responsable du traitement est le Client. Le sous-traitant est VERTOM AI sp. z o.o., ul. Żurawia 45, 00-680 Warszawa, KRS 0001248500 (ci-après : le « Sous-traitant »).

2. Le présent contrat a pour objet le traitement par le Sous-traitant, pour le compte du Client, des données à caractère personnel des Auteurs dans la mesure nécessaire à la fourniture du Service : lecture des Publications publiques dans les Sources indiquées, leur évaluation, conservation des leads et envoi de notifications.

3. Le présent contrat s'applique pendant la durée du contrat d'utilisation du Service et jusqu'à la suppression des données conformément au § 9.

§ 2. Nature, finalité, type de données et catégories de personnes

1. Nature du traitement : collecte automatisée, enregistrement, organisation, conservation, analyse de contenu, mise à disposition au Client et suppression.

2. Finalité : identification des Publications publiques dans lesquelles l'Auteur exprime un besoin pour un produit ou un service du Client, afin de permettre au Client de prendre contact.

3. Type de données : nom et prénom ou nom de profil de l'Auteur, lien vers le profil s'il est public, contenu de la Publication, date de publication, adresse de la Source, compteurs publics de réactions et de commentaires, résultat de l'évaluation de la Publication avec la justification générée par le Service, statut du lead attribué par le Client.

4. Catégories de personnes : Auteurs de Publications publiques dans les Sources indiquées par le Client.

5. Le Sous-traitant ne traite pas intentionnellement, pour le compte du Client, de données relevant de catégories particulières. Le Client s'engage à ne pas indiquer de Sources dont le thème révèle de telles données (Règlement § 7, paragraphe 3). Si, malgré cela, une Publication contient de telles données, elles sont traitées uniquement en tant qu'élément du contenu de la Publication, sans analyse distincte, et sont soumises à la même période de suppression que les autres données.

§ 3. Instructions du Client

1. Le Sous-traitant traite les données uniquement sur instruction documentée du Client. Constituent des instructions : le présent contrat, le Règlement et les paramètres que le Client définit dans le panneau — liste des Sources, calendrier des analyses, critères d'évaluation, canaux de notification, Formule et période de conservation qui en découle.

2. Si le Sous-traitant estime qu'une instruction viole le RGPD ou d'autres dispositions relatives à la protection des données, il en informe sans délai le Client et peut suspendre son exécution jusqu'à clarification.

3. Le Sous-traitant ne transfère pas les données vers un pays tiers ou à une organisation internationale autrement que selon les modalités du § 7, sauf si une obligation lui est imposée par le droit de l'Union ou d'un État membre ; dans ce cas, il en informe le Client avant le début du traitement, à moins que le droit ne l'interdise.

§ 4. Obligations du Sous-traitant

1. Il veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité et à ce que seules les personnes qui en ont besoin aient accès aux données des Auteurs ; chaque consultation des données des Auteurs par un opérateur du Service en dehors du fonctionnement ordinaire du Service est enregistrée dans le journal d'audit.

2. Il met en œuvre des mesures techniques et organisationnelles appropriées au risque, notamment : chiffrement des connexions, chiffrement au repos des secrets d'intégration, isolation des données de chaque Organisation avec des identifiants imprévisibles, authentification à deux facteurs pour les comptes des opérateurs, limitation du nombre de tentatives de connexion, suppression automatique des données à l'expiration de la période de conservation, sauvegardes dans l'Espace économique européen et suppression des données identifiantes du contenu transmis au modèle de langage avant son envoi.

3. Il aide le Client à s'acquitter de l'obligation de répondre aux demandes des personnes concernées. Une demande de l'Auteur adressée au Sous-traitant est traitée de manière centralisée (§ 8), et le Client en est informé. Une demande adressée au Client est traitée par le Sous-traitant sur son instruction dans un délai de 7 jours.

4. Il aide le Client à s'acquitter des obligations prévues aux articles 32 à 36 du RGPD, notamment en fournissant les informations nécessaires à l'analyse d'impact relative à la protection des données, compte tenu de la nature du traitement et des informations dont il dispose.

5. Il informe le Client de toute violation de données à caractère personnel concernant les données des Auteurs dans les meilleurs délais, au plus tard dans les 48 heures suivant la constatation de la violation, en indiquant les circonstances dont il a connaissance, les catégories et le nombre approximatif de personnes concernées, ainsi que les mesures prises. Il complète ces informations progressivement.

6. Il met à disposition du Client les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD et permet la réalisation d'audits selon les modalités du § 6.

§ 5. Sous-traitance ultérieure

1. Le Client donne une autorisation générale au Sous-traitant de recourir aux sous-traitants ultérieurs figurant sur la liste disponible à l’adresse useleadscanner.com/legal/subprocessors, dans le périmètre qui y est décrit.

2. Le Sous-traitant informe le Client par e-mail de son intention d’ajouter ou de modifier un sous-traitant ultérieur au moins 30 jours à l’avance. Le Client peut, dans ce délai, s’y opposer en indiquant des motifs légitimes liés à la protection des données. Si les parties ne parviennent pas à un accord, le Client peut résilier le contrat d’utilisation du Service avec effet à la date de mise en œuvre de la modification, et les frais afférents à la période non utilisée sont remboursés au prorata.

3. Le Sous-traitant impose contractuellement à chaque sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles qui lui incombent et répond envers le Client de l’exécution de ces obligations par ce sous-traitant.

§ 6. Audit

1. Le Client peut vérifier l’exécution du contrat en demandant des informations et des documents, y compris les résultats d’audits et les certificats des sous-traitants ultérieurs. Le Sous-traitant répond dans un délai de 14 jours.

2. Si les informations visées au paragraphe 1 ne suffisent pas, le Client peut réaliser un audit, lui-même ou par l’intermédiaire d’un auditeur tenu au secret, au maximum une fois par an, sauf en cas de violation de données, moyennant un préavis d’au moins 14 jours, pendant les heures ouvrables et d’une manière qui ne perturbe pas le fonctionnement du Service ni ne porte atteinte à la confidentialité des données d’autres clients. Les frais de l’audit sont à la charge du Client, sauf si l’audit révèle une violation substantielle du contrat.

§ 7. Transfert de données hors EEE

1. Les données des Auteurs sont stockées sur des serveurs situés dans l’Espace économique européen.

2. Un transfert hors EEE est effectué exclusivement vers les sous-traitants ultérieurs indiqués sur la liste visée au § 5, paragraphe 1, sur la base d’une décision de la Commission européenne constatant un niveau de protection adéquat (y compris dans le cadre de l’EU-U.S. Data Privacy Framework) ou, en l’absence d’une telle décision ou en cas d’annulation de celle-ci, sur la base des clauses contractuelles types adoptées par la Commission, complétées par une analyse d’impact du transfert.

3. Le fournisseur du modèle linguistique utilisé en mode IA est OpenAI Ireland Ltd (EEE), sur la base de l’accord de traitement des données d’OpenAI. Les requêtes adressées au modèle sont traitées sur les serveurs d’OpenAI aux États-Unis ; ce transfert repose sur les clauses contractuelles types intégrées à cet accord. Le contenu transmis via l’API n’est pas utilisé pour entraîner les modèles. Le contenu de la Publication transmis au modèle est préalablement expurgé des noms et prénoms, adresses e-mail, numéros de téléphone et liens vers des profils.

§ 8. Opposition de l’Auteur et liste d’exclusion

1. L’Auteur qui s’oppose au traitement ou demande l’effacement de ses données peut s’adresser directement au Sous-traitant à l’adresse [email protected]. Le Sous-traitant supprime alors les données de l’Auteur de toutes les Organisations, y compris de l’Organisation du Client, et enregistre une empreinte irréversible de l’identifiant de l’Auteur sur la liste d’exclusion, grâce à laquelle les analyses ultérieures ignorent ses Publications.

2. Le Client reconnaît que l’opposition de l’Auteur est mise en œuvre sans consentement distinct du Client et qu’en raison du caractère local de l’identifiant, il n’est pas toujours possible d’informer le Client concerné par l’Organisation ; lorsque cela est possible, le Sous-traitant informe le Client de l’effacement.

3. La liste d’exclusion est le seul ensemble de données des Auteurs que le Sous-traitant gère en son propre nom, en qualité de responsable du traitement, sur le fondement de l’art. 6, paragraphe 1, point c) du RGPD (obligation de garantir l’exercice des droits des personnes) et de l’art. 6, paragraphe 1, point f) du RGPD (intérêt légitime à l’exécution effective de l’opposition). La liste contient exclusivement des empreintes ne permettant pas de reconstituer les données de l’Auteur et est conservée sans limite de durée, car sa suppression entraînerait une nouvelle collecte des données d’une personne qui ne le souhaite pas.

§ 9. Fin du traitement

1. Les données des Auteurs sont supprimées automatiquement à l’expiration de la période de conservation résultant de la formule (Conditions générales § 5, paragraphe 6), et les Publications qui n’ont pas été évaluées comme des leads le sont selon les mêmes modalités et au plus tard en même temps que les leads.

2. À la fin du contrat d’utilisation du Service, à l’issue d’un délai de grâce de 30 jours, le Sous-traitant supprime toutes les données des Auteurs traitées pour le compte du Client, ainsi que leurs copies, à l’exception de la liste d’exclusion (§ 8) et des données dont la conservation est requise par le droit de l’Union ou d’un État membre.

3. Avant la fin du contrat, le Client peut télécharger dans le tableau de bord une copie des leads dans un format ouvert ; il s’agit de la modalité de restitution des données visée à l’art. 28, paragraphe 3, point g) du RGPD.

§ 10. Dispositions finales

1. Chaque partie est responsable des dommages causés par le traitement, dans le périmètre résultant de l’art. 82 du RGPD. À l’égard d’un Client qui n’est pas un Client privilégié, la limitation de responsabilité prévue au § 10 des Conditions générales s’applique, sauf si cela est contraire à des dispositions impératives.

2. Les Conditions générales et le RGPD s’appliquent aux questions non régies par le présent contrat. Toute modification du contrat intervient selon la procédure de modification des Conditions générales.

3. Le contrat est établi en langues polonaise et anglaise ; en cas de divergence, la version polonaise fait foi. Il est applicable à compter du 2 septembre 2026.