Accord de sous-traitance

1. Parties

Le présent accord est conclu entre :

• le Client, personne physique ou morale titulaire d’un compte Equateur Analytics, qui ajoute un ou plusieurs sites à son compte et décide de la mesure d’audience de ces sites, ci-après le « Responsable de traitement » ;
• Anthony Smagghe, entrepreneur individuel (EI) exerçant sous le nom commercial Equateur Analytics, SIRET 534 406 053 00049, établi à Lille (Nord), France, qui édite le service Equateur Analytics, ci-après le « Sous-traitant ».

Lorsqu’une agence ajoute le site d’un de ses clients à son compte, l’agence garantit qu’elle agit avec l’accord du responsable de ce site. Elle peut, selon le cas, agir elle-même comme sous-traitant de son client, Equateur Analytics étant alors son sous-traitant ultérieur.

2. Objet

Le présent accord définit les conditions dans lesquelles le Sous-traitant traite, pour le compte du Responsable de traitement, les données à caractère personnel nécessaires à la mesure d’audience des sites ajoutés au compte du Client, conformément à l’article 28 du règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée.

Il complète les conditions d’utilisation d’Equateur Analytics. En cas de contradiction sur la protection des données, le présent accord prévaut.

3. Description du traitement

La nature, la finalité, les catégories de données et de personnes concernées et les durées de conservation sont décrites à l’annexe 1.

Le traitement a pour seule finalité de produire, pour le Responsable de traitement, des statistiques de fréquentation et de performance de ses propres sites. Le Sous-traitant ne traite ces données pour aucune autre finalité.

4. Obligations du Sous-traitant

Le Sous-traitant s’engage à :

1. Instructions. Traiter les données uniquement sur instruction documentée du Responsable de traitement. Les réglages du site dans Equateur Analytics (mode exempté ou mode consentement, mode strict, durée de conservation, adresses IP ignorées, objectifs) et le présent accord constituent ces instructions. Si une instruction lui paraît contraire au RGPD ou au droit français, il en informe immédiatement le Responsable de traitement.
2. Confidentialité. Veiller à ce que les personnes autorisées à traiter les données s’engagent à la confidentialité ou soient soumises à une obligation légale de confidentialité, et n’accèdent aux données que si leur mission l’exige.
3. Sécurité. Mettre en œuvre les mesures techniques et organisationnelles décrites à l’annexe 2, et les maintenir au niveau de l’état de l’art.
4. Aucune réutilisation. Ne jamais utiliser les données pour son propre compte, quelle que soit la finalité : amélioration d’un autre service, publicité, statistiques de marché, lutte contre la fraude au profit de tiers. Ne jamais les vendre, les louer ni les communiquer à des tiers, hors sous-traitants ultérieurs listés à l’annexe 3.
5. Aucune mise en commun. Ne jamais croiser ni mettre en commun les données d’un site avec celles d’un autre site ou d’un autre client.
6. Sous-traitance ultérieure. Ne recourir qu’aux sous-traitants ultérieurs listés à l’annexe 3. Le Responsable de traitement donne une autorisation générale pour ces sous-traitants. Le Sous-traitant informe le Client par email au moins 30 jours avant tout ajout ou remplacement. Le Client peut s’y opposer pour un motif légitime lié à la protection des données ; à défaut d’accord, il peut résilier son abonnement sans frais. Le Sous-traitant impose à chaque sous-traitant ultérieur les mêmes obligations de protection des données et reste responsable de leur exécution.
7. Droits des personnes. Aider le Responsable de traitement à répondre aux demandes des personnes concernées. Les statistiques produites étant anonymes et l’identifiant du jour n’étant plus rattachable à une personne au-delà de 48 heures, la plupart des demandes ne peuvent pas être rattachées à des données ; le Sous-traitant l’explique par écrit au Responsable de traitement qui le demande. Le droit d’opposition est assuré par le mécanisme décrit à l’annexe 1.
8. Violation de données. Notifier au Responsable de traitement toute violation de données à caractère personnel dans un délai maximal de 48 heures après en avoir pris connaissance, avec les informations disponibles (nature, catégories et nombre approximatif de personnes et d’enregistrements concernés, conséquences probables, mesures prises ou proposées), puis compléter cette notification au fur et à mesure.
9. Analyse d’impact et consultation. Fournir au Responsable de traitement les informations utiles à une éventuelle analyse d’impact ou à une consultation préalable de la CNIL, notamment la grille d’auto-évaluation remplie et l’analyse d’anonymat.
10. Sort des données. À la suppression d’un site ou du compte, ou à la fin de l’abonnement, supprimer les données du site concerné, y compris les copies, dans un délai de 30 jours, sauf obligation légale de conservation. Avant cette suppression, le Client peut exporter ses statistiques agrégées depuis l’application. Les sauvegardes sont effacées au fil de leur rotation, au plus tard 15 jours après la suppression.
11. Documentation et audits. Mettre à la disposition du Responsable de traitement les informations nécessaires pour démontrer le respect du présent accord, et permettre des audits, y compris des inspections, menés par le Responsable de traitement ou un auditeur qu’il mandate et qui est tenu au secret. L’audit est annoncé au moins 30 jours à l’avance, porte sur les seuls traitements du Client et ne peut avoir lieu plus d’une fois par an, sauf violation de données ou demande d’une autorité de contrôle. Ses frais sont à la charge du Responsable de traitement.
12. Point de contact. Mettre à disposition un point de contact pour toute question relative à la protection des données : anthony@equateur.org.
13. Registre. Tenir le registre des catégories d’activités de traitement effectuées pour le compte de ses clients (article 30.2 du RGPD).

5. Obligations du Responsable de traitement

Le Responsable de traitement s’engage à :

1. N’ajouter que des sites dont il est responsable, ou pour lesquels il a l’accord du responsable.
2. Informer les visiteurs de ses sites de la mesure d’audience, de leurs droits et du moyen de s’y opposer, par exemple avec le paragraphe type et le lien d’opposition.
3. Recueillir le consentement des visiteurs s’il place un site en mode consentement.
4. Ne transmettre aucune donnée personnelle directement identifiante dans les noms ou les détails des événements, ni dans les liens de campagne.
5. Documenter le traitement dans son registre, par exemple avec la fiche de registre.

6. Transferts hors de l’Union européenne

Les données de mesure d’audience sont hébergées en France et ne font l’objet d’aucun transfert hors de l’Union européenne. Si cela devait changer, le Sous-traitant en informerait le Client dans les conditions de l’article 4.6, et le transfert serait encadré par l’un des instruments du chapitre V du RGPD.

7. Durée

Le présent accord s’applique tant que le Client a au moins un site dans son compte Equateur Analytics. Les obligations de confidentialité et de suppression survivent à sa fin.

8. Responsabilité

Chaque partie répond des manquements qui lui sont imputables, dans les conditions prévues par les conditions d’utilisation et par l’article 82 du RGPD.

9. Droit applicable

Le présent accord est soumis au droit français. Tout litige relève des tribunaux compétents du ressort de la cour d’appel de Douai, sous réserve des règles impératives applicables aux consommateurs.

Annexe 1 · Description du traitement

Annexe 2 · Mesures de sécurité

Minimisation et pseudonymisation

• L’adresse IP n’est jamais écrite, ni en base, ni dans les journaux de l’application.
• Identifiant du jour : sha256(sel du jour + domaine du site + adresse IP + navigateur), tronqué. Sel aléatoire de 256 bits, propre à chaque jour, gardé dans la mémoire du serveur seulement : il n’est jamais écrit dans la base, dans son journal ni dans les sauvegardes, et il est oublié au plus tard 48 heures après (ou au redémarrage du serveur).
• Adresses de pages : paramètres et fragments supprimés, segments qui ressemblent à un email, un identifiant numérique, un UUID ou un jeton remplacés par :email, :id ou :token avant tout stockage.
• Libellés de campagne, et noms d’événements en mode exempté : masqués mot à mot avant tout stockage (:email, :id pour 5 chiffres ou plus, :token).
• Détails d’événements limités à une liste blanche de sept clés, valeurs de 40 caractères au plus, masquées.
• Seuil de 3 visites : vues filtrées, sources et campagnes (voir l’analyse d’anonymat).

Accès

• Mots de passe stockés avec scrypt, jamais en clair. Jetons de session et de réinitialisation stockés sous forme hachée.
• Rôles par site (lecteur, propriétaire). Liens de partage à jeton, en lecture seule, révocables.
• Vérification de l’adresse email, obligatoire pour ajouter un site.
• Vérification de la propriété du domaine : balise <meta name="equateur-verification"> ou enregistrement DNS TXT propres au site, relais de collecte muni du jeton secret du site, ou lecture de la page d’accueil par le serveur après une première visite (le script doit y être installé pour ce domaine ; l’en-tête Origin d’une visite ne suffit jamais). Le vrai propriétaire d’un domaine suivi par un autre compte peut le reprendre en publiant une balise ou un enregistrement TXT propre à son compte ; les anciens membres perdent alors leur accès et sont prévenus par email.
• Lecture des pages d’accueil par le serveur : adresses internes, réservées et partagées refusées, connexion directe à l’adresse vérifiée (pas de seconde résolution DNS).
• Liens de rapport mensuel signés, valables 120 jours.
• Accès de production limité à une seule personne, le fondateur d’Equateur Analytics. Connexion au serveur par clé SSH uniquement : mots de passe désactivés, compte administrateur fermé aux connexions extérieures. Interface d’administration servie en HTTPS.

Application

• Chiffrement des échanges (HTTPS) entre le navigateur, le script et l’application.
• Protection contre la falsification de requêtes, limites de débit par adresse IP et par site, politique de sécurité de contenu stricte, protection contre l’injection dans les exports CSV.
• Aucune dépendance logicielle tierce dans l’application et le script.

Hébergement et continuité

• Hébergement en France chez Contabo GmbH, centre de données de Lauterbourg (Bas-Rhin). Pare-feu ne laissant passer que le web et l’administration, correctifs de sécurité installés automatiquement chaque jour.
• Sauvegardes : copie quotidienne de la base, vérifiée par un contrôle d’intégrité, conservée 14 jours sur le serveur et accessible au seul administrateur. Restauration testée.
• Journalisation des accès d’administration : chaque connexion au serveur est enregistrée dans le journal du système, et les tentatives répétées sont bloquées automatiquement.

Organisation

• Engagement de confidentialité des personnes habilitées.
• Procédure de gestion des violations de données, avec notification au Client sous 48 heures.
• Revue des mesures au moins une fois par an.

Annexe 3 · Sous-traitants ultérieurs

Brevo et PayPal traitent des données du Client en tant que titulaire d’un compte, et non des données des visiteurs de ses sites. Ils sont listés ici par transparence.

Les autres documents

• Grille d’auto-évaluation CNIL remplie
• Fiche de registre
• Paragraphe type pour votre politique de confidentialité
• Analyse d’anonymat