My Commerce IA.

Accord de sous-traitance

Article 28 du règlement (UE) 2016/679 — version du 31 août 2026. Imprimer ou enregistrer en PDF →

Entre les parties

Le Responsable de traitement — le commerçant, l'artisan ou la société titulaire du compte My Commerce IA, tel qu'identifié dans son espace client (ci-après « le Client »).

Le Sous-traitant — LeLabMJ, SASU au capital de 1 000 €, 12 rue du Général Leclerc, 91440 Bures-sur-Yvette, France, SIREN 103 701 355, RCS Évry, représentée par son président (ci-après « l'Éditeur »).

1. Objet et rôles

Le Client confie à l'Éditeur le traitement de données à caractère personnel concernant sa propre clientèle, pour les besoins du service My Commerce IA. Le Client est responsable de traitement ; l'Éditeur est sous-traitant. Le présent accord fait partie intégrante du contrat d'abonnement et prévaut, en matière de protection des données, sur toute autre stipulation.

L'Éditeur agit en revanche en qualité de responsable de traitement autonome pour les données propres au Client en tant que client de l'Éditeur (compte, facturation, support) : ce traitement-là relève de la politique de confidentialité, non du présent accord.

2. Description du traitement (art. 28.3)

Nature et finalité

Hébergement et organisation de la base clients ; envoi de messages de service et de fidélisation (WhatsApp, SMS, e-mail) à la demande du Client ; demandes d'avis ; rédaction assistée par intelligence artificielle ; production de statistiques d'usage pour le Client.

Durée

La durée de l'abonnement, augmentée de la période de restitution et d'effacement prévue à l'article 10.

Catégories de personnes concernées

Les clients, prospects et contacts du Client ; le cas échéant, les membres de son équipe disposant d'un accès.

Catégories de données

Identité (nom, prénom), coordonnées (numéro de téléphone, adresse e-mail), historique relationnel (visites, achats, rendez-vous, préférences, notes), contenu des échanges avec le Client, statut de consentement et de désinscription, données techniques de remise des messages.

Données sensibles

Le service n'est pas conçu pour traiter des données visées à l'article 9 du RGPD (santé, opinions, origine, orientation, biométrie). Le Client s'interdit d'en saisir.

3. Instructions documentées

L'Éditeur ne traite les données que sur instruction documentée du Client. Constituent des instructions documentées : le présent accord, les conditions d'utilisation, et les actions effectuées par le Client dans son espace (import d'un fichier, création d'une campagne, activation d'un scénario automatique, validation d'un envoi). L'Éditeur informe le Client s'il estime qu'une instruction constitue une violation du RGPD, et peut refuser de l'exécuter.

L'Éditeur s'interdit d'utiliser les données à ses propres fins, notamment à des fins de prospection, de revente, de constitution d'un fichier commun à plusieurs clients, ou d'entraînement de modèles d'intelligence artificielle.

4. Confidentialité

Les personnes autorisées à traiter les données sont limitées à celles qui en ont besoin, sont soumises à une obligation de confidentialité contractuelle, et sont sensibilisées à la protection des données. Leurs accès sont nominatifs, journalisés, et révoqués immédiatement à la fin de leur mission.

5. Sécurité (art. 32)

L'Éditeur met en œuvre les mesures techniques et organisationnelles décrites en annexe 1 et détaillées sur la page sécurité. Il s'engage à ne pas les dégrader pendant la durée du contrat et à les faire évoluer avec l'état de l'art.

6. Sous-traitants ultérieurs (art. 28.2 et 28.4)

Le Client donne une autorisation générale à l'Éditeur de recourir aux sous-traitants ultérieurs listés sur la page sous-traitants, qui constitue l'annexe 2 du présent accord. Toute addition ou remplacement est publié sur cette page et notifié au Client 30 jours à l'avance ; le Client peut s'y opposer par écrit dans ce délai pour un motif tenant à la protection des données et, si aucune solution n'est trouvée, résilier sans frais ni pénalité.

L'Éditeur impose à chaque sous-traitant ultérieur, par contrat, des obligations équivalentes à celles du présent accord, et demeure pleinement responsable de leur exécution devant le Client.

7. Transferts hors Union européenne

Les données sont hébergées dans l'Union européenne. Certains sous-traitants ultérieurs, identifiés en annexe 2, sont établis hors de l'UE : ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne, complétées le cas échéant par des mesures supplémentaires (chiffrement, minimisation des données transmises, interdiction de conservation).

8. Assistance aux droits des personnes (art. 28.3.e)

L'Éditeur met à disposition, dans l'espace du Client, les fonctions permettant de répondre directement aux demandes d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité : recherche d'une personne, export de sa fiche, suppression définitive, désinscription. Les demandes STOP reçues par message sont appliquées automatiquement et définitivement.

Si une personne concernée s'adresse directement à l'Éditeur, celui-ci ne répond pas à sa place : il transmet la demande au Client sous 3 jours ouvrés et l'assiste si nécessaire.

9. Assistance sur la sécurité et les violations (art. 28.3.f)

En cas de violation de données à caractère personnel, l'Éditeur notifie le Client sans délai injustifié et au plus tard sous 48 heures après en avoir pris connaissance, en précisant la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Il assiste le Client dans sa propre notification à la CNIL et, le cas échéant, aux personnes concernées. L'Éditeur assiste également le Client, sur demande, dans la réalisation d'une analyse d'impact et dans la consultation préalable de l'autorité de contrôle.

10. Sort des données à la fin (art. 28.3.g)

Au choix du Client, exprimé au plus tard à la fin de l'abonnement : restitution des données dans un format structuré et lisible par machine, ou effacement. À défaut de choix exprimé, les données sont conservées 30 jours pour permettre une restitution, puis effacées des systèmes de production ; l'effacement des sauvegardes intervient au terme du cycle de rotation, période pendant laquelle elles restent chiffrées et inaccessibles en exploitation. Sont conservées au-delà, et uniquement à cette fin : les données nécessaires au respect d'une obligation légale (facturation), et la liste des désinscriptions, conservée durablement afin de garantir qu'une personne désinscrite ne soit jamais recontactée.

11. Documentation et audit (art. 28.3.h)

L'Éditeur met à la disposition du Client les informations nécessaires pour démontrer le respect de l'article 28 : le présent accord, la page sécurité, l'annexe des sous-traitants, et les réponses écrites aux questionnaires de conformité. Le Client peut faire réaliser un audit, une fois par an au maximum, moyennant un préavis de 30 jours, pendant les heures ouvrées, par lui-même ou par un auditeur indépendant non concurrent de l'Éditeur, soumis à confidentialité. Les frais sont à la charge du Client, sauf si l'audit révèle un manquement substantiel de l'Éditeur.

12. Obligations du Client

Le Client garantit qu'il dispose d'une base légale pour traiter et faire contacter les personnes dont il importe les données (relation commerciale existante ou consentement), qu'il informe ces personnes conformément aux articles 13 et 14 du RGPD — y compris du recours à My Commerce IA comme sous-traitant — et qu'il n'importe aucun fichier acheté ou collecté sans base légale. Il garantit l'Éditeur contre toute conséquence d'un manquement à ces engagements.

13. Responsabilité et durée

Le présent accord prend effet à la souscription et prend fin avec l'exécution complète des obligations de l'article 10. La responsabilité de l'Éditeur au titre du présent accord s'inscrit dans les limites fixées par les conditions générales de vente, sans que celles-ci puissent faire échec aux droits que les personnes concernées tiennent du RGPD.

14. Droit applicable

Droit français. Autorité de contrôle compétente : la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, 75007 Paris.

Annexe 1 — Mesures techniques et organisationnelles

Annexe 2 — Sous-traitants ultérieurs

La liste à jour, avec le rôle, les données concernées, la localisation et la garantie de transfert de chaque prestataire, est publiée et versionnée sur la page mycommerceia.com/sous-traitants.html.

Acceptation

Le présent accord est accepté par le Client lors de la souscription à l'abonnement. Un exemplaire nominatif, signé par l'Éditeur, est délivré sur simple demande à [email protected], objet « DPA ».