Accord de sous-traitance — article 28 du RGPD

1. Objet, durée, nature et finalités

SpotTracker traite les données pendant le contrat et la période de réversibilité de trente jours afin de résoudre temporairement une adresse IP vers une organisation, collecter les parcours Radar lorsque le Client l'active conformément aux choix de consentement, restituer les résultats, assurer les intégrations, la sécurité, le support, la réversibilité et la suppression.

2. Personnes et données concernées

Les personnes concernées sont les visiteurs des sites du Client, ses utilisateurs professionnels et les contacts professionnels recherchés sur instruction.

Les données peuvent comprendre : adresse IP traitée temporairement, empreinte mensuelle pseudonymisée, identifiants de session ou d'appareil après consentement, URL, événements, référent, UTM, appareil et pays, organisation déduite, firmographie, identité et coordonnées professionnelles, profil public et journaux techniques. Les données sensibles et les contextes concernant des personnes vulnérables sont interdits.

3. Instructions documentées

SpotTracker agit uniquement sur instruction documentée du Client, résultant du contrat et des réglages du workspace. Le Client choisit les sites, événements, filtres, durées, utilisateurs, intégrations et l'activation de Radar. Il informe les visiteurs, documente sa base légale et recueille le consentement requis. SpotTracker signale toute instruction qui lui paraît illicite.

4. Confidentialité et sécurité

SpotTracker applique notamment TLS, contrôle d'accès par rôles, authentification multifacteur, cloisonnement des workspaces, chiffrement des jetons d'intégration, journal d'audit, limitation de débit, absence de conservation en clair de l'IP de visite après résolution, purge planifiée des visites et sauvegardes avec rotation maximale de trente jours. Les personnes autorisées sont soumises à une obligation de confidentialité.

5. Sous-traitants ultérieurs

Le Client donne une autorisation générale au recours aux sous-traitants listés dans la politique de confidentialité. Tout ajout ou remplacement est notifié au moins trente jours à l'avance afin de permettre une objection motivée. SpotTracker impose des obligations équivalentes à ses sous-traitants ultérieurs.

La marque blanche ne fait pas disparaître Snitcher B.V., qui demeure déclaré dans la chaîne de sous-traitance.

6. Transferts hors EEE

Aucun transfert hors de l'Espace économique européen n'est réalisé sans mécanisme valable : décision d'adéquation ou Data Privacy Framework lorsqu'il s'applique, clauses contractuelles types 2021/914 et mesures complémentaires nécessaires. Le mécanisme retenu pour chaque sous-traitant est indiqué dans la politique de confidentialité.

7. Droits des personnes

SpotTracker aide le Client à répondre aux demandes d'accès, rectification, effacement, opposition, limitation et portabilité. Une demande reçue concernant le Client lui est transmise sous quarante-huit heures ouvrées. Les demandes peuvent être adressées à contact@spottracker.fr.

8. Violations et AIPD

SpotTracker notifie au Client toute violation affectant ses données dans les meilleurs délais après en avoir pris connaissance et lui fournit progressivement les informations disponibles. Le Client décide des notifications à la CNIL et aux personnes. SpotTracker fournit l'assistance raisonnable nécessaire aux analyses d'impact et consultations préalables.

9. Audit

SpotTracker fournit les informations nécessaires et accepte un audit raisonnable annuel ainsi qu'après un incident significatif, sous confidentialité. Les preuves documentaires disponibles sont examinées en priorité. Un audit sur site ne doit pas compromettre la sécurité ou la confidentialité des autres clients.

10. Restitution et suppression

À la fin du service, le Client peut exporter ses données pendant trente jours. À l'issue de cette période, les données actives sont supprimées sauf obligation légale ; les sauvegardes expirent au plus tard trente jours après leur création. Une attestation de suppression est fournie sur demande.

11. Entrée en vigueur et preuve

Cet accord fait partie du contrat. Son acceptation électronique enregistre l'identité professionnelle du signataire, son workspace, la date, la version et l'empreinte SHA-256 du document présenté. Le signataire déclare disposer du pouvoir nécessaire pour engager le Client.