Accord de sous-traitance RGPD

Version du 31 août 2026

1. Parties et rôles

Le présent accord complète les CGV Mediatrak entre le Client, responsable du traitement pour les données qu’il importe ou renseigne, et BRUNELLE PEROLS INVESTISSEMENT, sous-traitant (le « Prestataire »), conformément à l’article 28 du RGPD.

Le Client garantit qu’il dispose d’une base légale et a fourni les informations requises aux personnes concernées. Il documente ses instructions au Prestataire.

2. Objet, durée et nature du traitement

Le Prestataire traite les données personnelles uniquement afin d’héberger, sécuriser, importer, organiser, restituer et assister l’utilisation de Mediatrak pendant la durée du contrat, puis pendant la période de réversibilité convenue.

Les traitements peuvent inclure la collecte, l’enregistrement, la structuration, l’hébergement, la consultation, l’export, l’effacement et la journalisation technique. Les personnes concernées peuvent être les collaborateurs du Client et, exceptionnellement, toute personne dont des données seraient présentes dans un fichier importé. Les catégories de données sont limitées aux données de compte et aux données nécessaires au fonctionnement du Service.

3. Obligations du Prestataire

Le Prestataire :

1. traite les données uniquement sur instruction documentée du Client, sauf obligation légale ;

2. veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité ;

3. met en œuvre les mesures de sécurité adaptées, notamment les contrôles d’accès par organisation, l’authentification, le chiffrement en transit, la journalisation utile et la séparation logique des données ;

4. aide raisonnablement le Client à répondre aux demandes d’exercice des droits, analyses d’impact, consultations de l’autorité et obligations de sécurité, compte tenu de la nature du traitement ;

5. notifie au Client, sans délai injustifié après en avoir pris connaissance, toute violation de données personnelles pertinente, avec les informations disponibles ;

6. met à disposition les informations nécessaires pour démontrer le respect de ses obligations et répond, dans des limites raisonnables, aux demandes d’audit documentaires du Client ;

7. à la fin du contrat, supprime ou restitue les données selon les instructions du Client et les règles de conservation applicables, sauf obligation légale de conservation.

4. Sous-traitants ultérieurs

Le Client autorise de manière générale le recours aux sous-traitants ultérieurs décrits dans le Registre des sous-traitants et transferts : Supabase, Vercel, Resend, OpenAI pour la seule fonctionnalité de synthèse demandée par l’Utilisateur et PostHog Cloud EU pour la mesure d’usage explicitement consentie. Les données principales de la plateforme sont hébergées par Supabase en Irlande (AWS `eu-west-1`).

Avant la mise en service ou le renouvellement d’un contrat impliquant un sous-traitant, le Prestataire vérifie l’existence de garanties contractuelles de protection des données appropriées et en conserve la trace. Le registre distingue les informations vérifiées des éléments restant à confirmer.

Le Prestataire informe le Client de tout ajout ou remplacement substantiel permettant au Client de formuler une objection motivée dans un délai de [[30 jours à confirmer]]. En cas d’objection non résolue, les parties recherchent une solution raisonnable ; à défaut, le Client peut résilier la fonctionnalité concernée.

5. Transferts internationaux

Lorsque des données sont transférées hors Espace économique européen, le Prestataire met en œuvre le mécanisme requis par la réglementation applicable, notamment une décision d’adéquation ou les clauses contractuelles types, et prend les mesures complémentaires raisonnablement nécessaires.

6. Instructions particulières et données IA

La génération de synthèses d’actualité est déclenchée à l’initiative d’un Utilisateur. Dans l’implémentation actuelle, seuls les noms de groupe annonceur et d’annonceur sélectionnés sont transmis à OpenAI ; les fichiers Kantar, leurs lignes de faits et leurs contenus ne le sont pas. Le Client peut demander la désactivation de cette fonctionnalité pour son organisation à contact@mediatrak.app.

7. Contact et audit

Toute instruction, demande liée aux données ou notification est adressée à contact@mediatrak.app. Les audits sur site ne peuvent intervenir qu’après préavis raisonnable, pendant les heures ouvrées, sans perturber indûment le Service et sous engagement de confidentialité, sauf exigence d’une autorité compétente ou incident de sécurité majeur.