Accord de sous-traitance

1. Parties et définitions

Le présent accord (ci-après l'« Accord ») est conclu entre :

le Client, tel qu'identifié au bon de commande, agissant en qualité de Responsable de traitement (ci-après le « Responsable »),

et

RANK-UP s.r.o., société à responsabilité limitée de droit tchèque, Dělnická 776/5, 170 00 Praha 7, République tchèque, IČO 21699780, TVA CZ21699780, représentée par Cyril Vernhes, exerçant sous la marque Equirider Pro, agissant en qualité de Sous-traitant (ci-après le « Sous-traitant »).

Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée » et « violation de données à caractère personnel » ont le sens que leur donne l'article 4 du Règlement (UE) 2016/679 (ci-après le « RGPD »).

Les termes commençant par une majuscule et non définis au présent Accord ont le sens que leur donnent les Conditions Générales de Vente Equirider Pro (ci-après les « CGV »).

2. Objet

Dans le cadre de l'exécution du Contrat, le Sous-traitant est amené à traiter des données à caractère personnel pour le compte du Responsable. Le présent Accord définit les conditions de ces traitements, conformément à l'article 28 du RGPD.

Le Responsable demeure seul responsable de la licéité des traitements qu'il confie au Sous-traitant, notamment de l'existence d'une base légale et de l'information des personnes concernées.

Le présent Accord ne couvre pas les traitements que le Sous-traitant met en œuvre pour son propre compte, en qualité de responsable de traitement, notamment la gestion de sa relation commerciale avec le Responsable, sa facturation et sa prospection. Ces traitements relèvent de sa Politique de confidentialité.

3. Description des traitements

La nature, la finalité, la durée des traitements, les catégories de données et de personnes concernées sont décrites en Annexe 1, qui fait partie intégrante du présent Accord.

Le périmètre effectif des traitements dépend du pack souscrit et des options retenues : les traitements liés à l'Agent IA ne concernent que les Clients dont le pack en comporte un, et les communications aux pensionnaires ne concernent que le Pack Écurie augmentée.

4. Durée

Le présent Accord entre en vigueur à la date de formation du Contrat et demeure applicable pendant toute sa durée, ainsi que pendant la période nécessaire à l'exécution des obligations prévues à l'article 13.

5. Instructions du Responsable

Le Sous-traitant traite les données à caractère personnel uniquement sur instruction documentée du Responsable. Constituent des instructions documentées : le Contrat, le présent Accord, ainsi que toute instruction ultérieure adressée par écrit, y compris par courrier électronique.

Le Sous-traitant informe immédiatement le Responsable s'il estime qu'une instruction constitue une violation du RGPD ou de toute autre disposition du droit de l'Union ou du droit d'un État membre relative à la protection des données. Il peut alors suspendre l'exécution de l'instruction concernée jusqu'à ce que le Responsable la confirme, la modifie ou la retire.

Lorsque le Sous-traitant est tenu de procéder à un transfert ou à un traitement en vertu du droit auquel il est soumis, il en informe le Responsable avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'intérêt public.

6. Confidentialité

Le Sous-traitant veille à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

Il limite l'accès aux données aux seules personnes dont l'intervention est nécessaire à l'exécution du Contrat, et selon le principe du moindre privilège.

7. Sécurité des traitements

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées prévues à l'article 32 du RGPD, décrites en Annexe 2.

Ces mesures peuvent évoluer en fonction de l'état de l'art et des risques, sans que leur niveau global de protection puisse être réduit. Le Sous-traitant informe le Responsable de toute évolution substantielle.

8. Sous-traitants ultérieurs

Le Responsable autorise le Sous-traitant à recourir aux sous-traitants ultérieurs figurant en Annexe 3. Cette autorisation est une autorisation générale écrite au sens de l'article 28.2 du RGPD.

Le Sous-traitant informe le Responsable de tout ajout ou remplacement envisagé de sous-traitant ultérieur, par courrier électronique, au moins quinze jours avant sa mise en œuvre. Le Responsable dispose de ce délai pour formuler des objections motivées tenant à la protection des données.

En cas d'objection motivée que les Parties ne parviennent pas à lever, le Responsable peut résilier le Contrat, sans indemnité de part et d'autre, pour la partie des Prestations concernée par le sous-traitant en cause, par dérogation aux stipulations de durée des CGV.

Le Sous-traitant impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données substantiellement équivalentes à celles du présent Accord. Il demeure pleinement responsable devant le Responsable de l'exécution par le sous-traitant ultérieur de ses obligations.

9. Transferts hors Union européenne

Certains sous-traitants ultérieurs sont établis en dehors de l'Union européenne, ou peuvent traiter les données depuis un pays tiers. L'Annexe 3 indique, pour chacun, la localisation des traitements et le mécanisme de transfert applicable.

Tout transfert vers un pays tiers ne bénéficiant pas d'une décision d'adéquation de la Commission européenne est encadré par les clauses contractuelles types adoptées par la Commission, ou par tout autre mécanisme prévu au chapitre V du RGPD. Le Sous-traitant tient à disposition du Responsable, sur demande, la documentation de ces garanties.

10. Droits des personnes concernées

Le Sous-traitant aide le Responsable, par des mesures techniques et organisationnelles appropriées, à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées : accès, rectification, effacement, limitation, portabilité, opposition.

Lorsqu'une personne concernée adresse directement au Sous-traitant une demande d'exercice de ses droits, celui-ci la transmet au Responsable dans un délai de cinq jours ouvrés, sans y répondre au fond, et en informe la personne concernée.

Le Sous-traitant met en œuvre les demandes d'effacement ou de rectification transmises par le Responsable dans un délai de dix jours ouvrés, y compris auprès de ses sous-traitants ultérieurs.

11. Violations de données

Le Sous-traitant notifie au Responsable toute violation de données à caractère personnel dans les meilleurs délais et au plus tard quarante-huit heures après en avoir pris connaissance, par courrier électronique à l'adresse figurant au bon de commande, doublé d'un appel téléphonique lorsque la violation présente un risque élevé.

La notification comporte, dans la mesure des informations disponibles : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées pour y remédier et en atténuer les effets, ainsi que les coordonnées du point de contact.

Lorsque toutes les informations ne peuvent être fournies en une seule fois, elles le sont de manière échelonnée, sans retard indu.

Le Sous-traitant ne procède à aucune notification à l'autorité de contrôle ni aux personnes concernées au nom du Responsable, sauf instruction écrite expresse de celui-ci.

12. Assistance et analyses d'impact

Le Sous-traitant aide le Responsable à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations dont il dispose : sécurité, notification des violations, analyse d'impact relative à la protection des données et consultation préalable de l'autorité de contrôle.

Le Responsable est informé que le traitement décrit au traitement T2 de l'Annexe 1 met en œuvre un système fondé sur un modèle de langage. Le Sous-traitant fournit sur demande les éléments techniques nécessaires à l'appréciation des risques associés.

13. Sort des données en fin de Contrat

Au terme du Contrat, quelle qu'en soit la cause, le Sous-traitant, au choix du Responsable exprimé par écrit dans les trente jours suivant ce terme :

• restitue au Responsable l'ensemble des données à caractère personnel traitées pour son compte, dans un format structuré et couramment utilisé ; ou
• les détruit, ainsi que les copies existantes.

À défaut de choix exprimé dans ce délai, les données sont détruites. La destruction intervient dans un délai de trente jours et fait l'objet, sur demande, d'une attestation écrite.

Par exception, le Sous-traitant peut conserver les données dont la conservation est imposée par le droit de l'Union ou d'un État membre, pour la seule durée et aux seules fins prévues par ce droit, ainsi que les données strictement nécessaires à l'établissement, l'exercice ou la défense de droits en justice.

14. Documentation et audits

Le Sous-traitant tient un registre des catégories d'activités de traitement effectuées pour le compte du Responsable, conformément à l'article 30.2 du RGPD, et le met à disposition sur demande.

Il met à la disposition du Responsable toutes les informations nécessaires pour démontrer le respect des obligations du présent Accord et permettre la réalisation d'audits, y compris des inspections, par le Responsable ou un auditeur qu'il mandate.

Les audits s'exercent dans les conditions suivantes : préavis écrit de trente jours, une fois par année civile sauf incident de sécurité avéré, pendant les heures ouvrables, sans perturbation disproportionnée de l'activité du Sous-traitant, et sous réserve d'un engagement de confidentialité de l'auditeur, qui ne peut être un concurrent direct du Sous-traitant. Les frais d'audit sont à la charge du Responsable, sauf si l'audit révèle un manquement substantiel du Sous-traitant.

15. Responsabilité

Chaque Partie répond des dommages causés par un traitement qui violerait le RGPD, dans les conditions de l'article 82 de celui-ci.

Le plafond de responsabilité stipulé aux CGV s'applique au présent Accord, à l'exception des dommages résultant d'un manquement délibéré ou d'une faute lourde du Sous-traitant, et sans préjudice du droit des personnes concernées à obtenir réparation directement auprès de l'une ou l'autre des Parties.

16. Droit applicable

Le présent Accord est régi par le droit français et soumis à la clause attributive de juridiction stipulée aux CGV. En cas de contradiction entre le présent Accord et les CGV s'agissant de la protection des données à caractère personnel, le présent Accord prévaut.

A1. Annexe 1 — Description des traitements

T1. Formulaire de contact du Site

Finalité : permettre à un visiteur d'adresser une demande au Client et transmettre cette demande à celui-ci.
Nature : collecte, enregistrement, transmission, conservation.
Personnes concernées : visiteurs du Site du Client, prospects, clients du Client.
Données : identité déclarée, coordonnées de contact, contenu du message, date et heure.
Durée : le temps du traitement de la demande, puis conservation pendant la durée du Contrat, sauf instruction contraire du Responsable.

T2. Conversations avec l'Agent IA

Finalité : répondre aux questions des visiteurs du Site du Client, orienter la demande, et établir les rapports remis au Client.
Nature : collecte, transmission à un modèle de langage aux fins de génération de la réponse, enregistrement, consultation, effacement.
Personnes concernées : visiteurs du Site du Client.

Données effectivement enregistrées :

• un identifiant de session, généré côté navigateur, sans lien avec l'identité du visiteur ;
• la transcription intégrale de l'échange, laquelle peut contenir toute donnée saisie librement par le visiteur, y compris son nom, ses coordonnées, sa situation, ou des informations relatives à son ou ses chevaux ;
• l'agent utilisateur du navigateur et la page d'origine de la visite ;
• les horodatages de création et de mise à jour.

Données non conservées : l'adresse IP du visiteur n'est pas enregistrée. Elle est utilisée en mémoire volatile, pour la seule durée d'exécution de la requête, aux fins de limitation du débit, puis perdue.

Traitement automatisé : les réponses sont générées par un modèle de langage. Ce traitement ne produit aucune décision produisant des effets juridiques à l'égard du visiteur ni ne l'affecte de manière significative au sens de l'article 22 du RGPD : l'Agent IA délivre une information et ne conclut aucun engagement.

Durée : douze mois à compter de la date de l'échange, puis suppression ou anonymisation.

T3. Communications aux pensionnaires (Pack Écurie augmentée)

Finalité : rédiger et adresser, après validation expresse du Client, des communications aux personnes que celui-ci désigne.
Nature : importation de la liste de destinataires, rédaction assistée, envoi, enregistrement des envois et des désinscriptions.
Personnes concernées : pensionnaires, cavaliers et contacts du Client.
Données : identité, adresse de courrier électronique, appartenance à l'établissement, historique d'envoi et statut d'opposition.
Durée : durée du Contrat. Les demandes d'opposition sont conservées au-delà, aux seules fins de ne plus solliciter la personne.

Le Responsable garantit disposer d'une base légale pour ces envois et avoir informé les personnes concernées.

T4. Fiche Google Business Profile

Finalité : créer, renseigner et animer la fiche du Client, et répondre aux avis publiés.
Nature : consultation, publication de réponses.
Personnes concernées : auteurs d'avis publics.
Données : pseudonyme public, contenu de l'avis, note, date. Ces données sont rendues publiques par leurs auteurs sur un service tiers ; le Sous-traitant n'en constitue pas de copie durable hors des rapports remis au Client.
Durée : durée du Contrat.

A2. Annexe 2 — Mesures techniques et organisationnelles

Chiffrement et transport. Tous les échanges entre le navigateur du visiteur, le Site, l'Agent IA et ses services d'appui sont chiffrés en transit par TLS. Le Site est servi exclusivement en HTTPS.

Contrôle d'accès. Les clés d'accès aux services d'appui sont stockées comme secrets chiffrés au niveau de la plateforme d'exécution, jamais dans le code ni dans un dépôt. La base de données applique une politique de sécurité au niveau des lignes n'autorisant l'accès qu'au rôle de service utilisé par l'Agent IA. Les accès d'administration sont nominatifs et limités aux personnes dont l'intervention est nécessaire.

Cloisonnement des origines. L'Agent IA n'accepte les requêtes que depuis une liste blanche de domaines déclarés. Toute requête d'une autre origine est rejetée.

Mesures contre l'usage abusif. Limitation du nombre de requêtes par adresse et par minute, plafonnement du nombre de messages par échange et de la longueur de chaque message.

Disponibilité et restauration. Sauvegardes régulières du Site permettant sa restauration. Le Responsable peut obtenir une copie de la sauvegarde la plus récente une fois par an, sans frais.

Journalisation. Les erreurs d'exécution de l'Agent IA sont journalisées aux fins de diagnostic. Ces journaux ne sont pas conservés de manière durable et ne constituent pas un traitement distinct.

Minimisation. Aucune adresse IP de visiteur n'est conservée. Aucune donnée de visiteur n'est réutilisée à des fins de prospection par le Sous-traitant, ni cédée à un tiers à des fins commerciales.

Gestion des personnes. Les personnes autorisées sont soumises à un engagement de confidentialité. Les accès sont révoqués sans délai à la fin de leur intervention.

A3. Annexe 3 — Sous-traitants ultérieurs autorisés

Liste arrêtée au 18 août 2026. Toute modification est notifiée dans les conditions de l'article 8.

Les prestataires ci-dessus n'interviennent que dans la mesure requise par le pack souscrit. Stripe ne traite que les données du Responsable lui-même, à l'exclusion de celles des visiteurs de son Site.