Version avv-2026-10-24-entwurf · Mise à jour du 24 octobre 2026 · Deutsche Fassung (maßgeblich)

Cette traduction est fournie à titre d’information. Seule la version allemande fait foi : Auftragsverarbeitungsvereinbarung

Accord de sous-traitance des données

Annexe 1 aux conditions générales de ProntoWeb, conformément à l’art. 28 du RGPD. Le client l’accepte avec les conditions générales.

§ 1 Parties et objet

1. Le présent accord s’applique entre le client en qualité de responsable du traitement (« client ») et la société tiro UG (haftungsbeschränkt), Solinger Straße 3, 10555 Berlin, prontoweb@tiro-agent.com, en qualité de sous-traitant (« nous »).
2. Son objet est l’exploitation du site web du client conformément au § 3 des conditions générales. Dans ce cadre, nous traitons des données à caractère personnel des visiteurs de ce site web pour le compte du client.
3. Ne relèvent pas du présent accord les données concernant le client lui-même que nous traitons, par exemple dans la conversation WhatsApp et lors de la facturation. Nous en sommes nous-mêmes responsables du traitement ; elles sont décrites dans notre politique de confidentialité.

§ 2 Durée

L’accord s’applique tant que le contrat relatif au site web est en cours. Les obligations prévues au § 10 (suppression) continuent de s’appliquer au-delà, jusqu’à ce qu’elles soient remplies.

§ 3 Nature, finalité et étendue du traitement

1. Finalité : fournir le site web et le protéger contre les abus et les attaques.
2. Nature du traitement : réception, conservation de courte durée et suppression des données produites techniquement lors de chaque consultation (journaux du serveur).
3. Catégories de données : adresse IP, heure de la consultation, adresse consultée, code d’état et volume de données transférées, identifiant du navigateur et du système d’exploitation (user agent), le cas échéant la page de provenance.
4. Personnes concernées : visiteurs du site web du client.
5. Un site web en ligne ne dépose aucun cookie, ne comporte aucun formulaire, n’intègre aucun contenu de tiers et ne crée aucun profil de visiteur. Il fournit lui-même ses polices de caractères. Nous n’exploitons pas les journaux du serveur pour établir des statistiques sur les visiteurs.

§ 4 Instructions

1. Nous ne traitons les données que sur instruction documentée du client. Les conditions générales et le présent accord constituent cette instruction. Le client donne toute autre instruction sous forme textuelle, par exemple par e-mail ou par message WhatsApp dans la conversation.
2. Si, à notre avis, une instruction enfreint le droit de la protection des données, nous en informons immédiatement le client. Nous pouvons en suspendre l’exécution jusqu’à ce qu’il la confirme ou la modifie.
3. Si le droit de l’Union ou le droit d’un État membre nous oblige à effectuer un traitement, nous en informons le client au préalable, sauf si ce droit l’interdit.

§ 5 Confidentialité

Seules ont accès aux données les personnes que nous avons engagées à la confidentialité ou qui sont soumises à une obligation légale de secret, et uniquement dans la mesure nécessaire à l’exploitation du site web.

§ 6 Mesures techniques et organisationnelles

Nous prenons les mesures prévues à l’art. 32 du RGPD. Elles comprennent :

• Minimisation des données : pas de cookies, pas de formulaires, pas de services d’analyse ou de publicité, pas de contenus de tiers intégrés, polices de caractères servies depuis notre propre serveur.
• Chiffrement : Chaque site web n’est accessible que de manière chiffrée (HTTPS).
• Contrôle d’accès : Seules les personnes autorisées ont accès aux comptes chez l’hébergeur. Les clés et les identifiants d’accès ne figurent pas dans le code, mais uniquement dans les paramètres protégés des services.
• Séparation : Chaque site web est fourni séparément ; les données des visiteurs de différents clients ne sont pas regroupées.
• Disponibilité : Le site web fonctionne sur l’infrastructure de l’hébergeur, avec la redondance de celui-ci. Nos systèmes signalent eux-mêmes les perturbations.
• Sécurité chez le sous-traitant ultérieur : Pour les centres de données, l’accès physique et le réseau, ce sont les mesures de l’hébergeur qui s’appliquent, telles qu’il les décrit dans son contrat de sous-traitance des données.

Nous pouvons adapter les mesures au progrès technique, à condition que le niveau de protection ne diminue pas.

§ 7 Sous-traitants ultérieurs

1. Le client accepte que nous fassions appel aux sous-traitants ultérieurs suivants :

   Entreprise	Prestation	Lieu
   Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA	Fourniture (hébergement) du site web ; les journaux du serveur visés au § 3 sont produits à cette occasion	États-Unis, avec des serveurs dans l’UE
   Railway Corp., USA	Uniquement les pages de maquette avant la mise en ligne : elles chargent depuis notre serveur une image de comptage invisible, afin que nous puissions voir si la maquette a été ouverte. L’adresse IP, l’heure et l’identifiant du navigateur sont alors traités. Le site web en ligne ne charge pas cette image.	États-Unis, avec des serveurs aux Pays-Bas (UE)

2. Nous avons conclu avec chaque sous-traitant ultérieur un contrat qui lui impose les mêmes obligations en matière de protection des données que celles que le présent accord nous impose. Les transferts vers les États-Unis sont soumis aux clauses contractuelles types de l’UE ; Vercel est en outre certifiée au titre du cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework).
3. Nous informons le client sous forme textuelle, au moins quatre semaines à l’avance, de tout sous-traitant ultérieur nouveau ou différent. Le client peut s’y opposer pendant ce délai. Si nous procédons néanmoins au changement, il peut résilier le contrat avec effet à la date de prise d’effet du changement.

§ 8 Assistance au client

1. Si un visiteur s’adresse à nous avec une demande au titre des art. 15 à 22 du RGPD, nous la transmettons sans délai au client. Nous aidons le client à répondre à la demande dans la mesure où nous disposons des données.
2. Nous aidons le client à respecter ses obligations au titre des art. 32 à 36 du RGPD (sécurité, notification des violations, analyse d’impact relative à la protection des données, consultation préalable) au moyen des informations dont nous disposons.

§ 9 Violations de données à caractère personnel

Si nous prenons connaissance d’une violation des données couvertes par le présent accord, nous la notifions au client dans les meilleurs délais, en indiquant ce que nous savons de sa nature, de son ampleur, de ses conséquences et des contre-mesures. Nous communiquons ultérieurement ce que nous n’apprenons que plus tard.

§ 10 Suppression après la fin du contrat

À la fin du contrat, nous mettons le site web hors ligne (§ 6 al. 5 des conditions générales). Aucune nouvelle donnée de visiteur n’est ensuite produite. Les journaux du serveur encore présents chez l’hébergeur sont supprimés par celui-ci selon ses propres délais ; nous n’en conservons aucune copie. La remise des journaux du serveur au client n’est pas prévue, car nous ne les conservons pas nous-mêmes.

§ 11 Justificatifs et contrôles

1. Sur demande, nous mettons à la disposition du client les informations dont il a besoin pour vérifier le respect du présent accord. À cet effet, nous pouvons renvoyer aux certifications et aux rapports de nos sous-traitants ultérieurs.
2. Le client, ou un auditeur mandaté par lui et tenu au secret, peut effectuer des contrôles après les avoir annoncés en temps utile et pendant les heures ouvrables habituelles, sans perturber l’exploitation de manière disproportionnée.

§ 12 Responsabilité et dispositions finales

1. La responsabilité est régie par l’art. 82 du RGPD. Pour le reste, le § 11 des conditions générales s’applique.
2. Si une règle des conditions générales contredit le présent accord, le présent accord prévaut en ce qui concerne la protection des données à caractère personnel.
3. Si une disposition est invalide, les autres dispositions restent valables.