Contrat de sous-traitance — article 28 du RGPD

Le présent contrat précise les conditions dans lesquelles Azize SAIDI — Valotea (le « sous-traitant ») traite, pour le compte de l'atelier utilisateur du service (le « responsable de traitement »), les données à caractère personnel que celui-ci saisit dans l'application. Il complète, pour ces seules données, la politique de confidentialité et est incorporé par référence aux conditions générales d'utilisation. Il s'applique automatiquement dès la création d'un compte, sans formalité supplémentaire.

Conformément à l'article 28§3 du RGPD, le sous-traitant s'engage à :

• ne traiter les données que sur instruction documentée du responsable de traitement — en pratique, les seules instructions sont celles que l'atelier exprime en saisissant ou en effaçant lui-même les données dans l'application ;
• garantir que les personnes autorisées à traiter les données (à ce jour, l'éditeur seul, entreprise individuelle) sont tenues à une obligation de confidentialité ;
• mettre en œuvre les mesures de sécurité de l'article 32 : cloisonnement de chaque atelier appliqué dans la base de données elle-même — Row Level Security PostgreSQL sur chaque table pour toute requête émise depuis un compte, et, pour les opérations internes qui s'exécutent au-dessus de ce mécanisme, un contrôle de l'atelier écrit dans chacune d'elles et éprouvé par un test automatique —, chiffrement des échanges en transit, mots de passe hachés ; l'atelier sur lequel agit une opération est lu dans la session du compte, jamais cru sur la foi d'un identifiant transmis par le navigateur ;
• respecter les conditions de l'article 4 pour le recours à d'autres sous-traitants ;
• aider le responsable de traitement, par des mesures techniques appropriées, à répondre aux demandes d'exercice des droits des personnes concernées — l'application permet à tout moment de corriger ou de retirer le destinataire d'une vente à venir, et efface automatiquement le contact au terme de trois ans ;
• aider le responsable de traitement à garantir le respect des articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations à sa disposition ;
• au choix du responsable de traitement, supprimer ou restituer toutes les données à caractère personnel au terme de la relation contractuelle, et détruire les copies existantes, sauf obligation légale de conservation contraire — voir l'article 5 ;
• mettre à la disposition du responsable de traitement les informations nécessaires pour démontrer le respect des obligations du présent article, et permettre la réalisation d'audits, y compris des inspections, sur demande écrite adressée à contact@valotea.fr et moyennant un préavis raisonnable.

Le responsable de traitement autorise, de manière générale, le recours aux sous-traitants ultérieurs suivants :

• Supabase — hébergement de la base de données et authentification, Union européenne (région eu-north-1, Stockholm, Suède). Seul sous-traitant ultérieur qui reçoit effectivement les données visées à l'article 2.
• Netlify, Inc. — hébergement des fichiers du site, États-Unis. Ne reçoit aucune donnée relevant du présent contrat : il sert des fichiers statiques et voit l'adresse IP de connexion, encadrée par le Data Privacy Framework UE–États-Unis.
• Cloudflare, Inc. — vérification anti-robot des formulaires d'authentification (Turnstile), États-Unis. Ne reçoit aucune donnée relevant du présent contrat : il voit l'adresse IP et le navigateur de la personne qui ouvre la page de connexion, jamais les données de l'atelier ; transfert encadré par le Data Privacy Framework UE–États-Unis.
• Umami Software, Inc. — mesure d'audience (service Umami Cloud), États-Unis, sans donnée personnelle relevant du présent contrat. Transfert encadré par les clauses contractuelles types. Remplace Plausible Analytics depuis le 12 septembre 2026.
• Stripe Payments Europe, Ltd. — encaissement de l'abonnement et facturation, Irlande (Union européenne), avec des transferts intra-groupe vers Stripe, Inc. aux États-Unis encadrés par le Data Privacy Framework. Ne reçoit aucune donnée relevant du présent contrat : il ne voit ni vos destinataires de vente, ni les contacts de vos acheteurs, ni vos fournisseurs. Ce qu'il reçoit — l'adresse e-mail de la personne qui souscrit et le nom de votre atelier — relève de la relation d'abonnement entre vous et l'éditeur, pour laquelle l'éditeur est responsable de traitement pour son propre compte.
• Sendinblue SAS, sous le nom Brevo — acheminement des e-mails d'authentification, France (Union européenne). Ne reçoit aucune donnée relevant du présent contrat : les seuls messages que l'application envoie sont adressés aux titulaires de compte — réinitialisation de mot de passe et confirmation d'adresse. Aucun e-mail n'est jamais envoyé à un destinataire de vente, à un contact d'acheteur ni à un fournisseur.
• OVH SAS — hébergement de la boîte contact@valotea.fr, France (Union européenne). Ne reçoit aucune donnée relevant du présent contrat : elle ne contient que ce que le responsable de traitement, ou un tiers, écrit lui-même à l'éditeur. L'application n'y écrit jamais.

Tout ajout ou remplacement d'un sous-traitant ultérieur recevant des données visées à l'article 2 sera notifié au moins 30 jours à l'avance par un message dans l'application, et le responsable de traitement pourra s'y opposer pour un motif légitime en écrivant à contact@valotea.fr.

L'ajout de Stripe, le 3 septembre 2026, n'a pas ouvert ce préavis : il ne reçoit aucune des données de l'article 2. Il figure malgré tout dans la liste ci-dessus, comme Netlify et Umami qui n'en reçoivent pas davantage — une liste des tiers auxquels l'éditeur fait appel ne se lit correctement que si elle est complète. L'ajout de Cloudflare, le 6 octobre 2026, ne l'a pas ouvert davantage : la page où il intervient n'affiche aucune donnée de l'article 2.

Le remplacement de Plausible Analytics par Umami Software, Inc., le 12 septembre 2026, ne l'a pas ouvert non plus, et pour la même raison : la mesure d'audience ne reçoit aucune des données de l'article 2. L'éditeur l'a vérifié dans le code de l'application plutôt que par analogie avec le prestataire précédent — les événements transmis ne portent que des compteurs et des valeurs énumérées. Le nouveau prestataire est en revanche établi aux États-Unis là où le précédent était européen : le registre des traitements le déclare, et la politique de confidentialité le dit à l'atelier.

Ceux de Brevo et d'OVH, le 9 septembre 2026, ne l'ont pas ouvert non plus, et pour la même raison. L'éditeur a vérifié, dans le code de l'application, les chemins par lesquels une donnée peut en sortir vers un tiers : les deux seuls envois d'e-mails sont adressés aux titulaires de compte, l'invitation d'un collaborateur se transmet par un lien que le gérant copie lui-même, et la base de données n'émet aucun appel vers l'extérieur. Aucun destinataire de vente, aucun contact d'acheteur et aucun fournisseur ne peut donc atteindre ces deux prestataires.

À la résiliation du compte, et au choix du responsable de traitement, le sous-traitant restitue ou supprime les données. En pratique, l'atelier dispose à tout moment — et notamment avant toute résiliation — d'un export complet et structuré de son registre (Réglages → Mes données, fichiers CSV et PDF lisibles sans Valotea). La résiliation se demande depuis Réglages → Fermer l'atelier : l'atelier reste consultable et exportable, en lecture seule, pendant soixante jours, puis ses données sont supprimées automatiquement. Chaque suppression laisse une trace datée, sans aucune donnée à caractère personnel.

Le sous-traitant notifie au responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, afin de lui permettre de respecter, le cas échéant, ses propres obligations de notification à la CNIL et aux personnes concernées.

La responsabilité du sous-traitant au titre du présent contrat est régie par l'article 8 des conditions générales d'utilisation.