Contrat de sous-traitance des données

1. Objet

Ce contrat, annexé aux conditions générales de vente, encadre le traitement par Cheval Blanc Agency (« le Sous-traitant ») des données personnelles contenues dans les données des sites du Client (« le Responsable »), conformément à l'article 28 du RGPD.

2. Description du traitement

• Nature : collecte via les accès que le Client accorde (Search Console, Google Analytics, Microsoft Clarity), stockage, analyse, restitution dans l'application et les exports.
• Finalité : fournir le Service SeoTrendy au Client.
• Données : statistiques agrégées de trafic et de recherche, pages, requêtes de recherche. Ces données sont en principe agrégées par Google et ne contiennent pas d'identifiant direct des visiteurs.
• Personnes concernées : visiteurs des sites du Client.
• Durée : celle de l'abonnement ; suppression à la fin.

3. Engagements du Sous-traitant

• Traiter les données uniquement sur instruction documentée du Client, pour la seule fourniture du Service.
• Garantir la confidentialité des données par les personnes autorisées à les traiter.
• Mettre en œuvre des mesures de sécurité adaptées : cloisonnement des comptes en base, accès en lecture seule aux propriétés Google, chiffrement des connexions, journal des accès.
• Aider le Client à répondre aux demandes d'exercice de droits et à ses obligations de sécurité et d'analyse d'impact.
• Notifier au Client toute violation de données dans les 48 heures après en avoir pris connaissance.
• Supprimer les données à la fin de l'abonnement, après la possibilité d'export, sauf obligation légale de conservation.
• Mettre à disposition les informations nécessaires pour démontrer le respect de ces obligations.

4. Sous-traitants ultérieurs

Le Client autorise le recours aux sous-traitants ultérieurs suivants. Le Sous-traitant informe le Client de tout changement au moins 30 jours à l'avance ; le Client peut s'y opposer en résiliant.

• Vercel Inc. : Hébergement de l'application (fonctions exécutées à Paris). États-Unis, encadré par les clauses contractuelles types de la Commission européenne et le Data Privacy Framework.
• Supabase Inc. : Base de données et authentification. Données stockées à Paris (région eu-west-3).
• Resend (Plus Five Five Inc.) : Envoi des e-mails transactionnels (invitation, alertes, résiliation). États-Unis, clauses contractuelles types.
• DataForSEO : Données de recherche fournies sous le nom SeoTrendyBoost (volumes, tendances, résultats Google, concurrents, liens, réponses d'IA). Reçoit des mots-clés et des noms de domaine, jamais vos coordonnées. Fournisseur hors Union européenne, clauses contractuelles types.
• Google (Search Console et Google Analytics) : Lecture de vos données, avec l'accès en lecture que vous accordez au compte technique de SeoTrendy. Google Ireland Ltd et Google LLC.
• Microsoft Clarity : Mesure d'audience de l'application, seulement si vous l'acceptez dans le bandeau cookies. Microsoft Corporation, États-Unis, Data Privacy Framework.

5. Transferts hors Union européenne

Les transferts vers des pays hors Union européenne sont encadrés par les clauses contractuelles types de la Commission européenne ou par le Data Privacy Framework. Les données des sites sont stockées à Paris.