Accord de traitement des données (DPA)

Traduction fournie à titre indicatif ; seule la version allemande fait foi.

Version 2026-10-16, mise à jour le 16 octobre 2026 ; applicable à chaque Client à compter de sa conclusion conformément à l’article 2

Le présent accord de traitement des données (« DPA ») complète les conditions générales (le « contrat principal ») entre Benjamin Wagner, agissant sous le nom de Customermates, An den Kasernen 25, 68167 Mannheim, Allemagne (le « Prestataire » ou « Sous-traitant »), et le client (le « Client » ou « Responsable du traitement »), et en fait partie intégrante. Il régit le traitement de données à caractère personnel que le Prestataire effectue pour le compte du Client dans le cadre de l’offre de logiciel en tant que service, y compris la fonction optionnelle de comptes connectés (e-mail, messagerie et opérations sur les réseaux sociaux, ainsi qu’agenda) et l’assistant IA hébergé Mate, conformément à l’art. 28 du RGPD.

La présente version n’entre en vigueur pour un Client que si elle est conclue conformément à l’article 2. La seule publication, le seul affichage ou la seule consultabilité du présent document ne conclut ni ne modifie aucun DPA pour un client existant.

1. Objet, rôles et durée

Le présent DPA a pour objet le traitement de données à caractère personnel que le Prestataire effectue pour le compte et sur instruction documentée du Client dans le cadre de l’exécution du contrat principal.

En ce qui concerne les données à caractère personnel couvertes par le présent DPA, en particulier les enregistrements du CRM, les boîtes aux lettres connectées, les messages, les contacts et les agendas du Client ainsi que les contenus et données d’interaction des réseaux sociaux, les profils, les demandes de connexion, les données de recherche et de listes issues de Sales Navigator et les contenus relevant de la responsabilité du Client dans une requête Mate, le Client agit en qualité de responsable du traitement et le Prestataire en qualité de sous-traitant au sens de l’art. 4 du RGPD. Les plateformes de communication sous-jacentes que le Client connecte (par exemple Google, Microsoft, LinkedIn, Meta/WhatsApp, Meta/Instagram et Telegram) agissent en tant que responsables du traitement distincts pour leurs propres services.

Cette répartition n’affecte pas le rôle du Prestataire en tant que responsable du traitement à part entière pour ses propres données de site web, de compte, de facturation, de sécurité et de support, qui sont décrites dans la politique de confidentialité du Prestataire et ne font pas l’objet du présent DPA.

Le présent DPA entre en vigueur en même temps que le contrat principal et reste en vigueur aussi longtemps que le Prestataire traite des données à caractère personnel pour le compte du Client, indépendamment de la fin du contrat principal, jusqu’à ce que toutes ces données aient été supprimées ou restituées conformément à l’article 11.

2. Conclusion et parties contractantes

Les parties contractantes du présent DPA sont le Prestataire mentionné ci-dessus et le Client, déterminé par les données de compte et d’entreprise enregistrées dans le compte du Client.

Le présent DPA est conclu sous forme électronique au sens de l’art. 28, par. 9, du RGPD lorsqu’un administrateur système autorisé accepte, pendant l’onboarding et au nom du client professionnel, le contrat principal et la présente version désignée du DPA. Une version désignée ultérieure ne modifie le présent DPA que si un administrateur système autorisé l’accepte par voie électronique, par le parcours des documents juridiques du service géré, après la notification décrite à l’article 10 du contrat principal. La mise à jour de la liste tenue sous sous-traitants ultérieurs conformément à l’article 9 ne constitue pas une modification du présent DPA et reste soumise à la procédure distincte de notification et d’opposition prévue par le présent article. Sur demande, le Prestataire met à la disposition du Client une copie du présent DPA sous forme textuelle (Textform).

Si le Client ne détermine pas lui-même les finalités et les moyens du traitement, mais met le service à la disposition de ses propres clients sur la base d’un contrat propre, par exemple en tant que revendeur ou partenaire, le Client agit à l’égard de ces clients en qualité de sous-traitant et le Prestataire en qualité de sous-traitant ultérieur. Dans ce cas, toute référence dans le présent DPA au Client en tant que responsable du traitement doit s’entendre comme une référence au Client agissant selon les instructions documentées de son propre client. Le Client garantit qu’il est autorisé à conclure le présent DPA et à donner les instructions données en vertu de celui-ci, et que le responsable du traitement concerné a consenti au recours au Prestataire en tant que sous-traitant ultérieur. Le Client demeure responsable envers le Prestataire de l’ensemble des obligations découlant du présent DPA.

Le présent DPA couvre exclusivement le service géré exploité par le Prestataire. L’exploitation du logiciel sur une infrastructure qu’un exploitant en auto-hébergement contrôle de manière autonome ne fait pas, en soi, du Prestataire un sous-traitant ; les données à caractère personnel des clients ne sont pas transmises au Prestataire du seul fait que le logiciel est installé ou mis à jour. L’exploitant indépendant détermine sa propre infrastructure, ses prestataires de services ainsi que les finalités et les moyens du traitement, et est responsable de ses propres accords de traitement des données et de ses garanties de transfert. Pour le support, une exploitation gérée, des prestations Enterprise ou d’autres activités par lesquelles le Prestataire reçoit effectivement des données à caractère personnel, l’accord applicable séparément est requis.

3. Nature et finalité du traitement

Le Prestataire traite les données à caractère personnel exclusivement aux fins de la fourniture des prestations contractuelles prévues par le contrat principal. Le traitement comprend :

le service CRM de base : la création, le stockage, l’affichage, la recherche, la mise en relation, l’export et la suppression des enregistrements du CRM du Client, en particulier les contacts, organisations, affaires, services, tâches, notes et champs personnalisés ; la gestion des utilisateurs et des autorisations ; la journalisation des activités et des audits ; les notifications du produit ; ainsi que la remise de webhooks aux points de terminaison configurés par le Client ;
lorsqu’elle est activée, la fonction de comptes connectés : la connexion des comptes e-mail, de messagerie, de réseaux sociaux et d’agenda propres au Client ; la consultation, l’envoi, la synchronisation et l’affichage de messages, de contacts et d’évènements d’agenda ; la consultation et l’affichage de publications sur les réseaux sociaux, de commentaires, de réactions ainsi que de profils de personnes et d’entreprises ; la liste, l’envoi, l’acceptation, le retrait ou le refus de demandes de connexion ; la réalisation de recherches Sales Navigator de leads et d’entreprises ; l’affichage de listes de leads ou de comptes existantes et l’ajout d’entrées à celles-ci ; ainsi que le stockage d’une copie des contenus synchronisés, dans la mesure décrite dans la politique de confidentialité ;
lorsqu’un utilisateur appelle Mate de manière interactive, y compris pour la configuration de l’espace de travail guidée par l’IA et pour un import de site web dans la base de connaissances : le stockage de la conversation Mate, la constitution de la saisie demandée et de la conversation récente, la consultation par des outils du contexte autorisé du CRM ou des comptes connectés, la consultation des pages publiques d’un site web indiqué par l’utilisateur et la lecture d’un tableur téléversé par l’utilisateur, l’envoi du contexte de requête nécessaire, par l’intermédiaire de Vercel AI Gateway, au modèle sélectionné ou au fournisseur de recherche web, désignés sous sous-traitants ultérieurs, la réception et le stockage des résultats produits, l’affichage des actions proposées, l’application des autorisations existantes, l’exécution d’opérations autorisées du CRM ou des comptes connectés, l’attente d’une confirmation distincte lorsque la politique du produit l’exige, ainsi que l’enregistrement des exécutions, des tours de modèle, des approbations, des justificatifs et résultats d’outils et des résultats de commandes d’interface ;
la recherche dans la base de connaissances et dans l’application, tant que l’espace de travail dispose de crédits IA utilisables : l’envoi des textes des pages de la base de connaissances nouvelles et modifiées, des noms de listes, de champs et de vues enregistrées et des requêtes de recherche, par l’intermédiaire de Vercel AI Gateway, aux fournisseurs désignés sous sous-traitants ultérieurs, afin de produire des résumés de pages et des vecteurs de recherche et de classer les résultats de recherche, ainsi que le stockage des résumés et des vecteurs avec leur page ; et
lorsque le service géré propose des routines ou d’autres exécutions de Mate enregistrées ou automatisées : le stockage de l’instruction enregistrée, de l’utilisateur affecté, du déclencheur, des limites ainsi que de l’état de protection et d’exécution ; l’analyse optionnelle, par la chaîne de fournisseurs de modèles, d’une instruction enregistrée pilotée par évènements afin de détecter d’éventuelles boucles de déclenchement avant l’exécution ; le lancement d’une conversation Mate ordinaire, manuellement, selon un calendrier ou à la suite d’un évènement interne au produit configuré, y compris un évènement issu d’activités du CRM ou de la synchronisation de comptes connectés ; l’intégration du nom de l’évènement et de l’identifiant de l’enregistrement correspondant dans l’instruction initiale ; la consultation par des outils du contexte autorisé ; l’application des autorisations actuelles de l’utilisateur affecté et des commandes de confirmation applicables ; l’exécution des opérations admises, y compris des actions qui peuvent être effectuées sans confirmation distincte dans le cas particulier ; ainsi que l’enregistrement de la conversation, de l’exécution, des tours de modèle, des activités d’outils, des résultats et des indications d’état qui en découlent.

La fonction de comptes connectés est fournie par le prestataire de transport UNIPILE SAS, qui intervient comme sous-traitant ultérieur sous réserve de l’article 9. L’authentification a lieu dans un parcours hébergé par Unipile, dans lequel l’utilisateur du Client saisit les identifiants d’accès du fournisseur de compte concerné ou parcourt son flux OAuth. Ces identifiants d’accès ou cette autorisation OAuth sont traités dans ce parcours ; le Prestataire ne reçoit ni les mots de passe des fournisseurs de comptes ni les jetons OAuth et ne conserve qu’un identifiant de compte opaque ainsi que des métadonnées de compte non secrètes.

4. Catégories de personnes concernées et de données à caractère personnel

Catégories de personnes concernées. Le traitement concerne les propres utilisateurs du Client, toutes les personnes physiques dont le Client stocke les données à caractère personnel dans le CRM, par exemple les contacts, leads, prospects, clients, fournisseurs, partenaires et leurs employés, les correspondants avec lesquels le Client communique, ainsi que d’autres personnes qui sont renvoyées par des opérations de comptes connectés ou concernées par celles-ci, notamment les auteurs de publications et de commentaires, les personnes ayant réagi, les personnes dont les profils ont été consultés, les parties à des demandes de connexion, les leads Sales Navigator et les représentants d’entreprises.

Catégories de données à caractère personnel. Selon la manière dont le Client configure et utilise le service, le traitement peut comprendre ce qui suit :

données des enregistrements du CRM, y compris les noms, coordonnées, entreprise et fonction, données d’affaires et de tâches, notes en texte libre ainsi que champs personnalisés définis par le Client ;
journaux d’audit et d’activité relatifs aux actions effectuées dans le compte du Client ;
saisies Mate et instructions enregistrées, textes de conversation récents, résultats produits, définitions d’outils, entrées et résultats d’outils, états d’approbation et de confirmation, résultats de commandes d’interface, enregistrements des tours de modèle, utilisateurs affectés et configurations de déclencheurs de la routine, calendriers, noms d’évènements et identifiants d’enregistrements correspondants, limites, états de protection et d’exécution, constatations relatives aux risques de boucle, identifiants de modèles et de fournisseurs, horodatages ainsi que les identifiants d’entreprise et d’utilisateur nécessaires pour rattacher ces enregistrements au Client ;
contenus issus du compte du Client que celui-ci joint à une demande de support ou de retour d’information ou y reproduit ;
métadonnées des comptes connectés (par exemple identifiant, type et état du compte connecté) ;
contenus d’e-mails, y compris l’objet, le texte, les adresses d’expéditeur et de destinataire ainsi que les pièces jointes ;
contenus de conversations et de messages directs via les canaux sociaux et de messagerie connectés ;
données de profil des contacts et des participants, y compris le nom, l’avatar, l’intitulé ou l’activité LinkedIn, l’URL du profil ainsi que l’adresse e-mail, le numéro de téléphone ou le handle utilisé comme identifiant ;
publications sur les réseaux sociaux et données d’interaction, y compris le texte des publications ou des commentaires, les auteurs, les personnes ayant réagi, les horodatages, les types de réactions et les compteurs ;
profils de personnes et d’entreprises ainsi que données de relation, y compris les identifiants des fournisseurs, les noms, les URL et images de profil, les descriptions, l’emploi, la localisation, le secteur, la distance dans le réseau, l’état de la connexion et les textes de demandes ;
saisies, résultats et données de listes issus de Sales Navigator, y compris les URL et filtres de recherche, les profils de leads et d’entreprises, les noms et l’appartenance de listes ainsi que l’état de stockage ;
évènements d’agenda, y compris les adresses e-mail des participants et l’état d’acceptation ou de refus ;
métadonnées de messages et de comptes ; et
les données utiles brutes entrantes (payloads) reçues des fournisseurs sous-jacents.

Les données binaires des pièces jointes sont, en cas de besoin, diffusées en flux ou transmises et ne sont pas stockées par le Prestataire ; seules les métadonnées des pièces jointes sont stockées. Comme les contenus de messages, de contacts, d’agenda, de réseaux sociaux, de relations et de recherche sont déterminés par le Client, ses interlocuteurs et les plateformes sous-jacentes, ils peuvent contenir d’autres catégories de données à caractère personnel, y compris des catégories particulières de données à caractère personnel au sens de l’art. 9 du RGPD, dans la mesure où le Client détermine de tels contenus. En tant que responsable du traitement, le Client est responsable de la licéité des contenus et des opérations qu’il initie par l’intermédiaire du service.

Lorsque le Client donne à Mate l’instruction de traiter des données à caractère personnel, il doit limiter les données et les accès à ce qui est nécessaire à la tâche demandée et garantir une base juridique applicable, la limitation des finalités, la transparence, la minimisation des données et des mesures de protection adaptées au risque. Avant de donner à Mate l’instruction de traiter des catégories particulières de données à caractère personnel au sens de l’art. 9 du RGPD, des données relatives aux condamnations pénales et aux infractions au sens de l’art. 10 du RGPD, des informations sur des comptes financiers ou des éléments d’identification délivrés par des autorités, le Client doit remplir toutes les conditions légales supplémentaires applicables à ces données. Les enregistrements distincts d’autorisation, de suivi de consommation, d’utilisation, de coûts, de crédits, de facturation, de sécurité et de diagnostic que le Prestataire traite en tant que responsable du traitement à part entière sont, en vertu de l’article 1 et de la politique de confidentialité, en dehors du présent DPA. Ces enregistrements distincts contiennent des identifiants, des nombres de modèles et de jetons (tokens), des coûts, des crédits, l’état de la formule et de la facturation, des horodatages ainsi que l’état de sécurité ou de diagnostic, mais ne stockent eux-mêmes aucune saisie, conversation, résultat produit, entrée d’outil ou résultat d’outil.

5. Instructions du responsable du traitement

Le Prestataire traite les données à caractère personnel couvertes par le présent DPA uniquement sur instruction documentée du Client, y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers ou une organisation internationale, à moins qu’il ne soit tenu de procéder à un autre traitement en vertu du droit de l’Union ou du droit d’un État membre auquel le Prestataire est soumis ; dans ce cas, le Prestataire informe le Client de cette exigence juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d’intérêt public.

Les instructions documentées du Client résultent du présent DPA, du contrat principal ainsi que de l’utilisation et de la configuration du service par le Client (y compris des comptes qu’il a connectés et des actions initiées par l’intermédiaire du produit). Lorsque des routines sont proposées, la configuration et l’activation de l’instruction enregistrée, y compris de l’utilisateur affecté, du déclencheur, des limites et des autorisations associées, valent instruction permanente documentée pour chaque exécution qui en résulte, jusqu’à ce que la routine soit désactivée ou modifiée de manière substantielle. Les instructions supplémentaires ou modifiées requièrent la forme textuelle.

Le Prestataire informe sans délai le Client lorsqu’une instruction constitue, selon lui, une violation du RGPD ou d’autres dispositions applicables en matière de protection des données.

6. Obligations et droits du responsable du traitement

Le Client est responsable de la licéité du traitement et des instructions qu’il donne. En particulier, le Client est responsable de l’existence d’une base juridique pour les données à caractère personnel qu’il téléverse, importe ou injecte dans le service, ainsi que de la limitation des finalités, de la transparence, de la minimisation des données, des restrictions d’accès et des mesures de protection adaptées au risque, du respect de ses obligations d’information envers les personnes concernées, du respect des exigences supplémentaires applicables aux catégories particulières de données à caractère personnel au sens de l’art. 9 du RGPD et aux données relatives aux condamnations pénales et aux infractions au sens de l’art. 10 du RGPD, ainsi que de l’exactitude des données à caractère personnel traitées par l’intermédiaire du service. Avant l’activation ou la modification substantielle d’une routine, le Client doit examiner l’instruction, l’utilisateur affecté, le déclencheur, l’étendue des données, les autorisations, les limites, les effets secondaires possibles et les mesures de protection, et surveiller le fonctionnement et les résultats.

Le Client est en droit de donner au Prestataire des instructions relatives au traitement de données à caractère personnel pour son compte, de demander des informations sur ce traitement et d’exercer les droits de contrôle prévus par le présent DPA.

7. Confidentialité

Le Prestataire veille à ce que les personnes autorisées à traiter les données à caractère personnel se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et à ce qu’elles ne traitent les données à caractère personnel que sur instruction du Client.

8. Sécurité du traitement (art. 32 du RGPD)

Compte tenu de l’état des connaissances, des coûts de mise en œuvre ainsi que de la nature, de la portée, du contexte et des finalités du traitement, et du risque pour les droits et libertés des personnes physiques, le Prestataire met en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de protection adapté au risque, conformément à l’art. 32 du RGPD. Ces mesures comprennent notamment : le chiffrement des données à caractère personnel pendant la transmission au moyen de TLS ainsi que le chiffrement de la base de données de production et de ses sauvegardes au repos ; le contrôle d’accès fondé sur les rôles, des comptes utilisateurs nominatifs et l’authentification pour tous les accès administratifs ; la séparation, au niveau des données, des données des clients par compte d’entreprise ; la journalisation et la surveillance des accès et des évènements pertinents pour la sécurité ; des mesures visant à rétablir rapidement la disponibilité des données à caractère personnel et l’accès à celles-ci en cas d’incident physique ou technique ; ainsi qu’une procédure de vérification et d’évaluation régulières de l’efficacité de ces mesures.

9. Sous-traitants ultérieurs

Le Client donne au Prestataire une autorisation écrite générale de recourir à des sous-traitants ultérieurs. Le Prestataire tient à jour, sous sous-traitants ultérieurs, une page de ses sous-traitants, sous-traitants ultérieurs et autres destinataires. Seules les entrées qui y sont expressément désignées comme traitant des données à caractère personnel des clients pour le compte du Client deviennent, avec leur identité, leur finalité et leur localisation, par renvoi, partie intégrante du présent DPA en tant que sous-traitants ultérieurs.

Avant qu’un sous-traitant ultérieur ne traite des données à caractère personnel pour le compte du Client, le Prestataire conclut avec lui un contrat écrit qui lui impose, conformément à l’art. 28, par. 2 et 4, du RGPD, les mêmes obligations en matière de protection des données que celles fixées dans le présent DPA. La divulgation d’une lacune contractuelle ne remplace pas ce contrat écrit et n’autorise pas le traitement. Si un sous-traitant ultérieur ne remplit pas ses obligations en matière de protection des données, le Prestataire demeure pleinement responsable envers le Client de l’exécution de ces obligations.

Pour la fonction de comptes connectés, le Prestataire fait appel à UNIPILE SAS (RCS Roanne 885265595, 168 rue de la Rotonde, 42153 Riorges, France) en qualité de sous-traitant ultérieur pour les données d’e-mail, de messagerie, de réseaux sociaux et d’agenda ainsi que pour les opérations correspondantes. Cela comprend la consultation de publications et d’interactions, l’interrogation de profils de personnes et d’entreprises, la gestion des demandes de connexion ainsi que les recherches Sales Navigator et les opérations de listes initiées par le Client. Le DPA fournisseur signé désigne le Prestataire comme responsable du traitement et Unipile comme sous-traitant ; pour le traitement en aval régi par le présent DPA, le Client est le responsable du traitement, le Prestataire est le sous-traitant et Unipile assume le rôle de fournisseur décrit ici. L’annexe du DPA fournisseur mentionne des données de base à caractère personnel, des coordonnées, des données professionnelles, des informations divulguées ou contenues dans des annuaires publics et des adresses IP ; l’étendue effective comprend en outre les catégories énumérées à l’article 4. D’autres précisions figurent sous sous-traitants ultérieurs.

Pour le stockage des données à caractère personnel traitées pour le compte du Client, le Prestataire fait appel à Databricks, Inc. (Neon) (https://neon.com) en qualité de sous-traitant ultérieur contractuel, qui exploite la base de données PostgreSQL gérée par l’intermédiaire de Neon, LLC. Le Prestataire a configuré sa base de données de production principale dans la région AWS de Francfort (eu-central-1). Il s’agit d’un paramètre de produit choisi et non d’une résidence des données garantie contractuellement ; le Prestataire informe le Client d’un changement de région selon la procédure prévue dans la présente section. Le Neon Platform Services Product Specific Schedule, en date du 5 août 2026, complète la liste complète et actuelle des sous-traitants ultérieurs de Databricks par Grafana Labs aux États-Unis. La liste désigne certains fournisseurs de cloud et d’IA comme choisis par le client ; le Prestataire n’a sélectionné aucun service de Databricks reposant sur l’IA pour sa base de données Neon. Databricks a son siège dans un pays tiers ; le mécanisme de transfert applicable aux transferts restreints vers Databricks est indiqué sous sous-traitants ultérieurs.

Forward Email, LLC héberge et stocke la boîte aux lettres d’exploitation finale du Prestataire et n’est employé ni pour la fonction de comptes connectés ni pour le traitement CRM ordinaire. Lorsque le Client joint à une demande de support ou de retour d’information des données à caractère personnel de clients couvertes par le présent DPA, ou les y reproduit, et que la demande est remise dans cette boîte aux lettres, Forward Email stocke et traite cet extrait en qualité de sous-traitant ultérieur. Pour la correspondance ordinaire de compte et la correspondance commerciale, le service sert de support à un traitement pour lequel le Prestataire est responsable du traitement à part entière et qui n’est pas soumis au présent DPA. L’accord de traitement des données standard de Forward Email est accepté par voie électronique par l’intermédiaire de ses conditions d’utilisation et intègre, pour les transferts concernés, les clauses contractuelles types de l’UE ; les précisions sont indiquées sous sous-traitants ultérieurs.

Pour Mate, le Prestataire utilise Vercel AI Gateway, exploité par Vercel Inc., afin de transmettre les requêtes de modèle, de recherche web et de classification ainsi que les réponses correspondantes aux fournisseurs en aval désignés sous sous-traitants ultérieurs. La passerelle et le fournisseur en aval ne reçoivent que les contenus de requête et métadonnées nécessaires à la production demandée ; cela peut comprendre les catégories relevant de la responsabilité du Client énumérées à l’article 4. L’identité, la finalité, les conditions des fournisseurs, les localisations, les informations sur les transferts, les limites de conservation et les limites d’exploitation actuelles sont indiquées sous sous-traitants ultérieurs. L’utilisation interactive de Mate par le Client, y compris la configuration de l’espace de travail guidée par l’IA et les imports de sites web, son utilisation de la recherche dans la base de connaissances ou, lorsqu’elles sont proposées, sa configuration et son activation d’une routine, constitue pour chaque requête, mise à jour d’index, analyse de sécurité et exécution qui en résulte une instruction d’utiliser cette chaîne de fournisseurs. Cette instruction ne remplace pas l’obligation du Prestataire de s’assurer, avant le traitement concerné, que chaque contrat requis au titre de l’art. 28 du RGPD et chaque garantie de transfert requise au titre du chapitre V est effectif.

Lorsque le Prestataire décide lui-même de recourir à un sous-traitant ultérieur ou de le remplacer, il en informe le Client avant que ce sous-traitant ultérieur ne traite des données à caractère personnel pour le compte du Client, et accorde au Client, avant le début du traitement, une possibilité raisonnable de s’y opposer. Lorsqu’un fournisseur déjà employé annonce, dans sa propre chaîne d’approvisionnement, un recours ou un remplacement envisagé, le Prestataire en informe le Client sans délai après réception de cette notification. Si la notification du fournisseur prévoit un délai d’opposition, le Prestataire indique au Client dans sa notification le délai restant. Le Client peut s’opposer sans délai au changement, sous forme textuelle, pour des motifs légitimes tenant à la protection des données. Si le Client s’y oppose et que les parties ne peuvent lever l’opposition, le Client peut résilier le service concerné conformément au contrat principal. Pour les changements issus de la chaîne d’approvisionnement, le Prestataire ne promet pas de délai préalable fixe que ses contrats avec ses fournisseurs ne garantissent pas.

10. Assistance au responsable du traitement

Compte tenu de la nature du traitement, le Prestataire aide le Client, dans la mesure du possible, par des mesures techniques et organisationnelles appropriées, à s’acquitter de son obligation de donner suite aux demandes des personnes concernées visant à exercer leurs droits au titre des art. 12 à 23 du RGPD. Lorsqu’une personne concernée adresse une telle demande directement au Prestataire, celui-ci la transmet sans délai au Client et n’y répond pas lui-même, à moins que le Client ne lui en donne l’instruction.

Le Prestataire aide en outre le Client à garantir le respect des obligations prévues aux art. 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations dont dispose le Prestataire. En particulier, le Prestataire notifie sans délai au Client toute violation de données à caractère personnel dont il a eu connaissance et qui concerne les données à caractère personnel traitées pour le compte du Client, et fournit les informations dont le Client a raisonnablement besoin pour satisfaire à ses propres obligations de déclaration et de notification au titre des art. 33 et 34 du RGPD.

11. Suppression ou restitution des données

Lorsque le Client déconnecte un compte connecté, le Prestataire supprime de ses propres systèmes les fils de discussion, messages, participants et données d’agenda stockés pour ce compte et demande à Unipile de supprimer le compte correspondant. Le Prestataire ne dispose d’aucun droit contractuel à l’égard d’Unipile à la suppression d’un compte individuel ; il peut uniquement formuler cette demande. Lorsqu’un compte connecté est au contraire supprimé automatiquement, notamment en cas de paiement échoué, d’expiration d’une période d’essai ou après une longue inactivité, les données stockées dans les systèmes du Prestataire sont actuellement seulement désactivées et marquées comme supprimées ; le Client peut en demander la suppression à tout moment. Les données brutes entrantes qui n’ont pu être rattachées à aucun compte connecté ne peuvent actuellement être attribuées à aucun client pour l’export ou la suppression et sont conservées sans délai fixe pour l’analyse d’erreurs.

L’archivage d’une conversation Mate ne la supprime pas. Lorsqu’un utilisateur autorisé supprime définitivement une conversation archivée, le Prestataire supprime de sa base de données active cette conversation ainsi que ses messages, demandes d’exécution, enregistrements des tours de modèle, approbations, justificatifs et résultats d’outils et résultats de commandes d’interface. Les enregistrements distincts d’utilisation et de facturation que le Prestataire traite en tant que responsable du traitement à part entière sont en dehors du présent DPA et peuvent être conservés pour le suivi de consommation, la comptabilité, l’audit et la prévention des abus ; les enregistrements du CRM créés ou modifiés par Mate restent des enregistrements ordinaires du client jusqu’à leur suppression selon les règles applicables à ces enregistrements. Les conversations Mate actives ne font l’objet, pendant la durée du contrat, d’aucune suppression automatique liée à l’ancienneté. Une escalade expresse vers le support peut reproduire des textes de conversation récents dans la correspondance de support du Prestataire.

Lorsque des routines sont proposées, la suppression d’une routine enregistrée ne supprime pas automatiquement les conversations Mate produites par ses exécutions. Ces conversations sont soumises à l’alinéa précédent et doivent être supprimées séparément au moyen des commandes de suppression ordinaires de Mate.

Le Prestataire conserve les données à caractère personnel disponibles dans ses propres systèmes et attribuables au Client pendant 30 jours après la fin des prestations liées au traitement, afin que le Client puisse choisir sous forme textuelle entre la suppression et la restitution. Si le Client choisit la suppression ou ne communique aucun choix dans ce délai, le Prestataire supprime les données de ses propres systèmes sans délai après le choix ou l’expiration du délai. Si le Client choisit la restitution dans ce délai, le Prestataire restitue les données conformément au contrat principal et supprime ensuite les copies restantes dans ses propres systèmes. Une conservation supplémentaire prescrite par le droit de l’Union ou par le droit d’un État membre demeure inchangée. Les limitations applicables aux données chez les sous-traitants ultérieurs et aux données brutes entrantes non attribuées sont indiquées dans le présent article et sous sous-traitants ultérieurs.

Une suppression requise en vertu du présent article est achevée sans délai dans les systèmes actifs du Prestataire et, dans ses sauvegardes, au plus tard dans un délai de 90 jours, selon leur cycle d’expiration. Le Prestataire donne instruction à ses sous-traitants ultérieurs de supprimer les données correspondantes ; la suppression au niveau des sous-traitants ultérieurs est régie par les dispositions du contrat concerné avec ce sous-traitant ultérieur.

12. Contrôles et justificatifs

Le Prestataire met à la disposition du Client toutes les informations raisonnablement nécessaires pour démontrer le respect des obligations fixées à l’art. 28 du RGPD et dans le présent DPA ; il permet la réalisation d’audits, y compris d’inspections, par le Client ou par un autre auditeur mandaté par le Client, et y contribue.

Pour donner suite à de telles demandes, le Prestataire peut en premier lieu fournir les documents pertinents, des résumés de ses mesures techniques et organisationnelles ainsi que les rapports d’audit ou certifications de tiers disponibles (y compris ceux de ses sous-traitants ultérieurs). Les inspections sur place ont lieu moyennant un préavis raisonnable, pendant les heures d’ouverture habituelles, sans perturber l’exploitation du Prestataire et sous réserve d’engagements de confidentialité appropriés.

13. Transferts internationaux de données

Le Prestataire traite les données à caractère personnel pour le compte du Client en priorité au sein de l’Union européenne. Avant qu’un sous-traitant ultérieur ne traite ces données dans un pays tiers, le Prestataire s’assure qu’un mécanisme de transfert applicable au titre du chapitre V du RGPD existe et le désigne sous sous-traitants ultérieurs. Le chiffrement, la minimisation des données et d’autres mesures techniques complémentaires ne remplacent aucun mécanisme de transfert requis au titre du chapitre V du RGPD.

Pour la fonction de comptes connectés, Unipile indique que les données des comptes connectés sont stockées dans l’UE (France). L’accord de traitement des données d’Unipile autorise néanmoins des transferts en dehors de l’Union européenne, pour autant que des garanties au titre du chapitre V du RGPD existent, et la liste des sous-traitants ultérieurs d’Unipile mentionne un prestataire de services de paiement aux États-Unis ainsi que cinq fournisseurs de proxy sans indication de localisation. Le DPA fournisseur ne désigne aucun mécanisme de transfert concret pour ces fournisseurs ; pour chaque transfert concerné, l’exigence de l’alinéa précédent s’applique donc : un mécanisme applicable au titre du chapitre V doit exister au préalable.

Pour Mate, les requêtes de modèle sont transmises, par l’intermédiaire de Vercel AI Gateway, au fournisseur de modèle en aval sélectionné, désigné sous sous-traitants ultérieurs, et peuvent être traitées aux États-Unis ou dans d’autres pays utilisés par la passerelle, par ce fournisseur et par leurs sous-traitants ultérieurs. L’addendum de traitement des données de Vercel intègre, pour les transferts restreints couverts par cet addendum, les clauses contractuelles types de l’UE de 2021. Les Notices and License Information actuelles de Vercel rendent applicables à la route les conditions désignées pour ce fournisseur. Avant que des données à caractère personnel relevant de la responsabilité du Client ne soient traitées par cette route, le Prestataire doit s’assurer que les garanties requises au titre de l’art. 28 et du chapitre V du RGPD s’appliquent. Le destinataire actuel, les conditions du fournisseur, les informations sur les transferts et les commandes de conservation au niveau de la passerelle sont indiqués sous sous-traitants ultérieurs ; ces commandes ne modifient pas le stockage au niveau de l’application décrit à l’article 11 et ne remplacent pas les garanties contractuelles et de transfert requises.

14. Responsabilité

Chaque partie est responsable conformément aux dispositions légales, notamment à l’art. 82 du RGPD relatif à la répartition de la responsabilité entre le responsable du traitement et le sous-traitant. Dans les relations entre les parties, les règles de responsabilité du contrat principal s’appliquent au présent DPA. La responsabilité légale impérative, notamment en cas d’intention délibérée et de négligence grave, en cas d’atteinte à la vie, à l’intégrité corporelle ou à la santé, ainsi que toute autre responsabilité qui ne peut être exclue ou limitée en vertu du droit applicable, demeure inchangée.

15. Ordre de priorité

En cas de contradiction entre le présent DPA et le contrat principal concernant le traitement de données à caractère personnel pour le compte du Client, le présent DPA prévaut. En cas de contradiction entre le présent DPA et le droit impératif de la protection des données, ce droit impératif prévaut.

Si les parties ont conclu individuellement un accord de traitement des données signé, celui-ci prévaut sur le présent DPA pour le Client concerné.

16. Dispositions finales

Le présent DPA est soumis au droit de la République fédérale d’Allemagne, à l’exclusion de la Convention des Nations unies sur les contrats de vente internationale de marchandises (CVIM). Le for est le siège du Prestataire, dans la mesure où la loi le permet. L’acceptation électronique conformément à l’article 2 satisfait, pour la version désignée du DPA, à la forme textuelle (Textform) ; toute autre modification et tout complément du présent DPA requièrent la forme textuelle. Si une disposition du présent DPA est ou devient invalide, la validité des autres dispositions n’en est pas affectée.

Le présent DPA existe en langues allemande et anglaise. La version allemande fait foi ; la version anglaise est une traduction fournie à titre d’information.

Benjamin Wagner
An den Kasernen 25
68167 Mannheim
mail@customermates.com

Dernière mise à jour : 01.09.2026