Mentions légales

Accord de sous-traitance des données personnelles

Dernière mise à jour : 14 novembre 2026

Article 28 du RGPD, entre le client de Klozeo et LB FRAME

v1.2, publiée le 2026-11-14, en vigueur le 2026-12-15

Partie A. Cadre

A.1 Parties et champ d’application. Le présent accord (l’« accord ») est conclu entre LB FRAME, société par actions simplifiée unipersonnelle (SASU) immatriculée à Salon-de-Provence, France, qui exploite Klozeo (le « sous-traitant »), et l’organisation titulaire de l’espace de travail Klozeo, identifiée à l’annexe I (le « responsable du traitement »). Il s’applique aux données à caractère personnel contenues dans les fiches de prospects que le responsable du traitement, les membres de son équipe et les applications et assistants IA qu’il connecte enregistrent dans Klozeo ou y lisent (les « données de prospects »). Il ne s’applique pas aux données de compte, de facturation et d’usage dont LB FRAME est elle-même responsable du traitement ; la Politique de confidentialité les décrit.

A.2 Les clauses. La partie B reproduit les clauses contractuelles types de l’annexe de la décision d’exécution (UE) 2021/915 de la Commission du 4 juin 2021 (les « clauses »). Elles sont reproduites telles que publiées, aux options près que les parties ont choisies : a) les clauses renvoient uniquement au règlement (UE) 2016/679 ; b) la clause d’amarrage facultative (clause 5) est incluse, et A.10 précise comment elle s’applique ; c) pour la clause 7.7, point a), les parties ont choisi l’option 2, autorisation écrite générale, avec un préavis de trente (30) jours. Les sous-traitants ultérieurs de l’annexe IV constituent la liste convenue pour cette clause.

A.3 Instructions. Les instructions documentées du responsable du traitement (clause 7.1) sont : le présent accord ; les Conditions générales d’utilisation ; l’usage que le responsable du traitement fait du tableau de bord, de l’API, du serveur MCP et des webhooks de Klozeo, y compris lorsqu’il demande à une application ou à un assistant IA connecté de lire, d’enregistrer ou de modifier des données de prospects ; et toute autre instruction écrite envoyée à [email protected].

A.4 Transferts hors de l’Espace économique européen. Le responsable du traitement donne instruction au sous-traitant d’effectuer les transferts vers les sous-traitants ultérieurs de l’annexe IV situés aux États-Unis sur la base décrite à la section 12 de la Politique de confidentialité (clause 7.8).

A.5 Entrée en vigueur. Le présent accord est intégré aux Conditions générales d’utilisation et s’applique à compter de la date de création du compte du responsable du traitement. Aucune signature n’est nécessaire.

A.6 Conditions, langue et droit applicable. Le présent accord complète les Conditions générales d’utilisation. En cas de contradiction, les clauses prévalent (clause 4). Il existe en français et en anglais ; en cas d’écart, la version française fait foi, comme pour les Conditions générales d’utilisation. Le droit applicable et les juridictions compétentes sont ceux de la section 15 des Conditions générales d’utilisation.

A.7 Changements de sous-traitants ultérieurs (clause 7.7, point a)). Le sous-traitant informe le responsable du traitement de tout ajout ou remplacement envisagé d’un sous-traitant ultérieur au moins trente (30) jours à l’avance, par email à l’adresse du propriétaire de l’espace de travail, avec les informations dont le responsable du traitement a besoin pour s’y opposer. Si le responsable du traitement s’y oppose et que l’opposition n’est pas résolue, il peut résilier l’abonnement concerné. Le sous-traitant lui rembourse alors, au prorata, les sommes payées d’avance pour la période postérieure à la prise d’effet de la résiliation, par exception à la section 4.4 des Conditions générales d’utilisation.

A.8 Audits (clause 7.6). a) La documentation d’abord : le sous-traitant met à disposition les informations visées à la clause 7.6, point c), et le responsable du traitement ne procède à un audit que si ces informations ne lui permettent pas de vérifier la conformité. b) Les « intervalles raisonnables » de la clause 7.6, point c), s’entendent d’un audit au plus tous les douze (12) mois, avec un préavis de trente (30) jours (clause 7.6, point d)), réalisé par le responsable du traitement ou par un auditeur indépendant tenu à la confidentialité, aux frais du responsable du traitement. c) Le responsable du traitement peut procéder à un audit supplémentaire après une violation de données à caractère personnel, dans les mêmes conditions. d) Cela ne limite pas un audit en présence d’indices de non-conformité (clause 7.6, point c)), ni les informations que le sous-traitant doit à l’autorité de contrôle (clause 7.6, point e)).

A.9 Consultants intervenant pour un client. Lorsqu’un consultant est titulaire de l’espace de travail qu’il utilise pour un client, le client est le responsable du traitement, le consultant est le sous-traitant du client et LB FRAME, sous-traitant au titre du présent accord, est le sous-traitant ultérieur du consultant. Un « consultant » est un consultant ou une agence qui utilise Klozeo pour son client. Le consultant garantit qu’il détient l’autorisation de son client d’utiliser Klozeo et de faire traiter les données de prospects du client par LB FRAME en qualité de sous-traitant ultérieur, et qu’il informe son client de cet usage. Le consultant exerce à l’égard de LB FRAME les droits et obligations du responsable du traitement du client (instructions, audits, notifications de violation) et les répercute auprès de son client. Chaque partie répond de ses propres obligations et de ses propres fautes, et aucune n’est exonérée de responsabilité de manière générale. Cela ne limite ni la clause 7.7, point d), ni la responsabilité qu’une partie encourt en vertu du règlement (UE) 2016/679.

A.10 Adhésion (clause 5). Le présent accord est intégré aux Conditions générales d’utilisation et n’est pas signé. Pour la clause 5, une entité qui n’est pas partie au présent accord, par exemple le client d’un consultant, y adhère ainsi : elle envoie à [email protected] une notification écrite donnant, pour elle-même, les informations de l’annexe I, avec l’accord du propriétaire de l’espace de travail, et LB FRAME confirme par écrit. À compter de cette confirmation, l’entité est une partie, comme le prévoit la clause 5, point b). La notification et la confirmation tiennent lieu de l’achèvement des annexes et de la signature de l’annexe I que mentionnent la clause 5, points a) et b).

Partie B. Clauses contractuelles types

Section I

Clause 1

Objet et champ d’application

a) Les présentes clauses contractuelles types (ci-après les «clauses») ont pour objet de garantir la conformité avec l’article 28, paragraphes 3 et 4, du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données.

b) Les responsables du traitement et les sous-traitants énumérés à l’annexe I ont accepté ces clauses afin de garantir le respect des dispositions de l’article 28, paragraphes 3 et 4, du règlement (UE) 2016/679.

c) Les présentes clauses s’appliquent au traitement des données à caractère personnel tel que décrit à l’annexe II.

d) Les annexes I à IV font partie intégrante des clauses.

e) Les présentes clauses sont sans préjudice des obligations auxquelles le responsable du traitement est soumis en vertu du règlement (UE) 2016/679.

f) Les clauses ne suffisent pas à elles seules pour assurer le respect des obligations relatives aux transferts internationaux conformément au chapitre V du règlement (UE) 2016/679.

Clause 2

Invariabilité des clauses

a) Les parties s’engagent à ne pas modifier les clauses, sauf en ce qui concerne l’ajout d’informations aux annexes ou la mise à jour des informations qui y figurent.

b) Les parties ne sont pour autant pas empêchées d’inclure les clauses contractuelles types définies dans les présentes clauses dans un contrat plus large, ni d’ajouter d’autres clauses ou des garanties supplémentaires, à condition que celles-ci ne contredisent pas, directement ou indirectement, les clauses ou qu’elles ne portent pas atteinte aux libertés et droits fondamentaux des personnes concernées.

Clause 3

Interprétation

a) Lorsque des termes définis dans le règlement (UE) 2016/679 figurent dans les clauses, ils s’entendent comme dans le règlement en question.

b) Les présentes clauses doivent être lues et interprétées à la lumière des dispositions du règlement (UE) 2016/679.

c) Les présentes clauses ne doivent pas être interprétées d’une manière contraire aux droits et obligations prévus par le règlement (UE) 2016/679 ou d’une manière qui porte atteinte aux libertés ou droits fondamentaux des personnes concernées.

Clause 4

Hiérarchie

En cas de contradiction entre les présentes clauses et les dispositions des accords connexes qui existent entre les parties au moment où les présentes clauses sont convenues ou qui sont conclus ultérieurement, les présentes clauses prévaudront.

Clause 5 - Facultative

Clause d’amarrage

a) Toute entité qui n’est pas partie aux présentes clauses peut, avec l’accord de toutes les parties, y adhérer à tout moment, en qualité soit de responsable du traitement soit de sous-traitant, en complétant les annexes et en signant l’annexe I.

b) Une fois que les annexes mentionnées au point a) sont complétées et signées, l’entité adhérente est considérée comme une partie aux présentes clauses et jouit des droits et est soumise aux obligations d’un responsable du traitement ou d’un sous-traitant, conformément à sa désignation à l’annexe I.

c) Les présentes clauses ne créent pour la partie adhérente aucun droit ni aucune obligation pour la période précédant l’adhésion.

Section II. Obligations des parties

Clause 6

Description du ou des traitements

Les détails des opérations de traitement, et notamment les catégories de données à caractère personnel et les finalités du traitement pour lesquelles les données à caractère personnel sont traitées pour le compte du responsable du traitement, sont précisés à l’annexe II.

Clause 7

Obligations des parties

7.1. Instructions

a) Le sous-traitant ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement, à moins qu’il ne soit tenu d’y procéder en vertu du droit de l’Union ou du droit de l’État membre auquel il est soumis. Dans ce cas, le sous-traitant informe le responsable du traitement de cette obligation juridique avant le traitement, sauf si la loi le lui interdit pour des motifs importants d’intérêt public. Des instructions peuvent également être données ultérieurement par le responsable du traitement pendant toute la durée du traitement des données à caractère personnel. Ces instructions doivent toujours être documentées.

b) Le sous-traitant informe immédiatement le responsable du traitement si, selon lui, une instruction donnée par le responsable du traitement constitue une violation du règlement (UE) 2016/679 ou d'autres dispositions du droit de l'Union ou du droit des États membres relatives à la protection des données.

7.2. Limitation de la finalité

Le sous-traitant traite les données à caractère personnel uniquement pour la ou les finalités spécifiques du traitement, telles que définies à l’annexe II, sauf instruction complémentaire du responsable du traitement.

7.3. Durée du traitement des données à caractère personnel

Le traitement par le sous-traitant n’a lieu que pendant la durée précisée à l’annexe II.

7.4. Sécurité du traitement

a) Le sous-traitant met au moins en œuvre les mesures techniques et organisationnelles précisées à l’annexe III pour assurer la sécurité des données à caractère personnel. Figure parmi ces mesures la protection des données contre toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel ou l'accès non autorisé à de telles données (violation de données à caractère personnel). Lors de l’évaluation du niveau de sécurité approprié, les parties tiennent dûment compte de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les personnes concernées.

b) Le sous-traitant n’accorde aux membres de son personnel l’accès aux données à caractère personnel faisant l’objet du traitement que dans la mesure strictement nécessaire à l’exécution, à la gestion et au suivi du contrat. Le sous-traitant veille à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

7.5. Données sensibles

Si le traitement porte sur des données à caractère personnel révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que des données génétiques ou des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique, ou des données relatives aux condamnations pénales et aux infractions («données sensibles»), le sous-traitant applique des limitations spécifiques et/ou des garanties supplémentaires.

7.6. Documentation et conformité

a) Les parties doivent pouvoir démontrer la conformité avec les présentes clauses.

b) Le sous-traitant traite de manière rapide et adéquate les demandes du responsable du traitement concernant le traitement des données conformément aux présentes clauses.

c) Le sous-traitant met à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations énoncées dans les présentes clauses et découlant directement du règlement (UE) 2016/679. À la demande du responsable du traitement, le sous-traitant permet également la réalisation d’audits des activités de traitement couvertes par les présentes clauses et y contribue, à intervalles raisonnables ou en présence d’indices de non-conformité. Lorsqu’il décide d’un examen ou d’un audit, le responsable du traitement peut tenir compte des certifications pertinentes en possession du sous-traitant.

d) Le responsable du traitement peut décider de procéder lui-même à l’audit ou de mandater un auditeur indépendant. Les audits peuvent également comprendre des inspections dans les locaux ou les installations physiques du sous-traitant et sont, le cas échéant, effectués moyennant un préavis raisonnable.

e) Les parties mettent à la disposition de l’autorité de contrôle compétente/des autorités de contrôle compétentes, dès que celles-ci en font la demande, les informations énoncées dans la présente clause, y compris les résultats de tout audit.

7.7. Recours à des sous-traitants ultérieurs

a) Le sous-traitant dispose de l’autorisation générale du responsable du traitement pour ce qui est du recrutement de sous-traitants ultérieurs sur la base d’une liste convenue. Le sous-traitant informe spécifiquement par écrit le responsable du traitement de tout projet de modification de cette liste par l’ajout ou le remplacement de sous-traitants ultérieurs au moins trente (30) jours à l’avance, donnant ainsi au responsable du traitement suffisamment de temps pour pouvoir s’opposer à ces changements avant le recrutement du ou des sous-traitants ultérieurs concernés. Le sous-traitant fournit au responsable du traitement les informations nécessaires pour lui permettre d’exercer son droit d’opposition.

b) Lorsque le sous-traitant recrute un sous-traitant ultérieur pour mener des activités de traitement spécifiques (pour le compte du responsable du traitement), il le fait au moyen d’un contrat qui impose au sous-traitant ultérieur, en substance, les mêmes obligations en matière de protection des données que celles imposées au sous-traitant en vertu des présentes clauses. Le sous-traitant veille à ce que le sous-traitant ultérieur respecte les obligations auxquelles il est lui-même soumis en vertu des présentes clauses et du règlement (UE) 2016/679.

c) À la demande du responsable du traitement, le sous-traitant lui fournit une copie de ce contrat conclu avec le sous-traitant ultérieur et de toute modification qui y est apportée ultérieurement. Dans la mesure nécessaire à la protection des secrets d’affaires ou d’autres informations confidentielles, y compris les données à caractère personnel, le sous-traitant peut expurger le texte du contrat avant d’en diffuser une copie.

d) Le sous-traitant demeure pleinement responsable, à l’égard du responsable du traitement, de l’exécution des obligations du sous-traitant ultérieur conformément au contrat conclu avec le sous-traitant ultérieur. Le sous-traitant informe le responsable du traitement de tout manquement du sous-traitant ultérieur à ses obligations contractuelles.

e) Le sous-traitant convient avec le sous-traitant ultérieur d’une clause du tiers bénéficiaire selon laquelle (dans le cas où le sous-traitant a matériellement disparu, a cessé d’exister en droit ou est devenu insolvable) le responsable du traitement a le droit de résilier le contrat conclu avec le sous-traitant ultérieur et de donner instruction au sous-traitant ultérieur d’effacer ou de renvoyer les données à caractère personnel.

7.8. Transferts internationaux

a) Tout transfert de données vers un pays tiers ou une organisation internationale par le sous-traitant n’est effectué que sur la base d’instructions documentées du responsable du traitement ou afin de satisfaire à une exigence spécifique du droit de l’Union ou du droit de l’État membre à laquelle le sous-traitant est soumis et s’effectue conformément au chapitre V du règlement (UE) 2016/679.

b) Le responsable du traitement convient que lorsque le sous-traitant recrute un sous-traitant ultérieur conformément à la clause 7.7 pour mener des activités de traitement spécifiques (pour le compte du responsable du traitement) et que ces activités de traitement impliquent un transfert de données à caractère personnel au sens du chapitre V du règlement (UE) 2016/679, le sous-traitant et le sous-traitant ultérieur peuvent garantir le respect du chapitre V du règlement (UE) 2016/679 en utilisant les clauses contractuelles types adoptées par la Commission sur la base de l’article 46, paragraphe 2, du règlement (UE) 2016/679, pour autant que les conditions d’utilisation de ces clauses contractuelles types soient remplies.

Clause 8

Assistance au responsable du traitement

a) Le sous-traitant informe sans délai le responsable du traitement de toute demande qu’il a reçue de la part de la personne concernée. Il ne donne pas lui-même suite à cette demande, à moins que le responsable du traitement des données ne l’y ait autorisé.

b) Le sous-traitant prête assistance au responsable du traitement pour ce qui est de remplir l’obligation qui lui incombe de répondre aux demandes des personnes concernées d’exercer leurs droits, en tenant compte de la nature du traitement. Dans l’exécution de ses obligations conformément aux points a) et b), le sous-traitant se conforme aux instructions du responsable du traitement.

c) Outre l’obligation incombant au sous-traitant d’assister le responsable du traitement en vertu de la clause 8, point b), le sous-traitant aide en outre le responsable du traitement à garantir le respect des obligations suivantes, compte tenu de la nature du traitement et des informations dont dispose le sous-traitant: - 1) l’obligation de procéder à une évaluation de l’incidence des opérations de traitement envisagées sur la protection des données à caractère personnel («analyse d’impact relative à la protection des données») lorsqu’un type de traitement est susceptible de présenter un risque élevé pour les droits et libertés des personnes physiques; - 2) l’obligation de consulter l'autorité de contrôle compétente/les autorités de contrôle compétentes préalablement au traitement lorsqu'une analyse d'impact relative à la protection des données indique que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque; - 3) l’obligation de veiller à ce que les données à caractère personnel soient exactes et à jour, en informant sans délai le responsable du traitement si le sous-traitant apprend que les données à caractère personnel qu’il traite sont inexactes ou sont devenues obsolètes; - 4) les obligations prévues à l’article 32 du règlement (UE) 2016/679.

d) Les parties définissent à l’annexe III les mesures techniques et organisationnelles appropriées par lesquelles le sous-traitant est tenu de prêter assistance au responsable du traitement dans l’application de la présente clause, ainsi que la portée et l’étendue de l’assistance requise.

Clause 9

Notification de violations de données à caractère personnel

En cas de violation de données à caractère personnel, le sous-traitant coopère avec le responsable du traitement et lui prête assistance aux fins de la mise en conformité avec les obligations qui lui incombent en vertu des articles 33 et 34 du règlement (UE) 2016/679, en tenant compte de la nature du traitement et des informations dont dispose le sous-traitant.

9.1. Violation de données en rapport avec des données traitées par le responsable du traitement

En cas de violation de données à caractère personnel en rapport avec des données traitées par le responsable du traitement, le sous-traitant prête assistance au responsable du traitement:

a) aux fins de la notification de la violation de données à caractère personnel à l’autorité de contrôle compétente/aux autorités de contrôle compétentes, dans les meilleurs délais après que le responsable du traitement en a eu connaissance, le cas échéant (sauf si la violation de données à caractère personnel est peu susceptible d'engendrer un risque pour les droits et libertés des personnes physiques);

b) aux fins de l’obtention des informations suivantes qui, conformément à l’article 33, paragraphe 3, du règlement (UE) 2016/679, doivent figurer dans la notification du responsable du traitement, et inclure, au moins: - 1) la nature des données à caractère personnel, y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d’enregistrements de données à caractère personnel concernés; - 2) les conséquences probables de la violation de données à caractère personnel; - 3) les mesures prises ou les mesures que le responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.

Lorsque, et dans la mesure où, il n’est pas possible de fournir toutes les informations en même temps, la notification initiale contient les informations disponibles à ce moment-là et, à mesure qu’elles deviennent disponibles, des informations supplémentaires sont communiquées par la suite dans les meilleurs délais;

c) aux fins de la satisfaction, conformément à l’article 34 du règlement (UE) 2016/679, de l’obligation de communiquer dans les meilleurs délais la violation de données à caractère personnel à la personne concernée, lorsque la violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques.

9.2. Violation de données en rapport avec des données traitées par le sous-traitant

En cas de violation de données à caractère personnel en rapport avec des données traitées par le sous-traitant, celui-ci en informe le responsable du traitement dans les meilleurs délais après en avoir pris connaissance. Cette notification contient au moins:

a) une description de la nature de la violation constatée (y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et d'enregistrements de données à caractère personnel concernés);

b) les coordonnées d’un point de contact auprès duquel des informations supplémentaires peuvent être obtenues au sujet de la violation de données à caractère personnel;

c) ses conséquences probables et les mesures prises ou les mesures qu’il est proposé de prendre pour remédier à la violation, y compris pour en atténuer les éventuelles conséquences négatives.

Les parties définissent à l’annexe III tous les autres éléments que le sous-traitant doit communiquer lorsqu’il prête assistance au responsable du traitement aux fins de la satisfaction des obligations incombant à ce dernier en vertu des articles 33 et 34 du règlement (UE) 2016/679.

Section III. Dispositions finales

Clause 10

Non-respect des clauses et résiliation

a) Sans préjudice des dispositions du règlement (UE) 2016/679, en cas de manquement du sous-traitant aux obligations qui lui incombent en vertu des présentes clauses, le responsable du traitement peut donner instruction au sous-traitant de suspendre le traitement des données à caractère personnel jusqu’à ce que ce dernier se soit conformé aux présentes clauses ou jusqu’à ce que le contrat soit résilié. Le sous-traitant informe rapidement le responsable du traitement s’il n’est pas en mesure de se conformer aux présentes clauses, pour quelque raison que ce soit.

b) Le responsable du traitement est en droit de résilier le contrat dans la mesure où il concerne le traitement de données à caractère personnel conformément aux présentes clauses si: - 1) le traitement de données à caractère personnel par le sous-traitant a été suspendu par le responsable du traitement conformément au point a) et le respect des présentes clauses n’est pas rétabli dans un délai raisonnable et, en tout état de cause, dans un délai d’un mois à compter de la suspension; - 2) le sous-traitant est en violation grave ou persistante des présentes clauses ou des obligations qui lui incombent en vertu du règlement (UE) 2016/679; - 3) le sous-traitant ne se conforme pas à une décision contraignante d’une juridiction compétente ou de l’autorité de contrôle compétente/des autorités de contrôle compétentes concernant les obligations qui lui incombent en vertu des présentes clauses ou du règlement (UE) 2016/679.

c) Le sous-traitant est en droit de résilier le contrat dans la mesure où il concerne le traitement de données à caractère personnel en vertu des présentes clauses lorsque, après avoir informé le responsable du traitement que ses instructions enfreignent les exigences juridiques applicables conformément à la clause 7.1, point b), le responsable du traitement insiste pour que ses instructions soient suivies.

d) À la suite de la résiliation du contrat, le sous-traitant supprime, selon le choix du responsable du traitement, toutes les données à caractère personnel traitées pour le compte du responsable du traitement et certifie auprès de celui-ci qu’il a procédé à cette suppression, ou renvoie toutes les données à caractère personnel au responsable du traitement et détruit les copies existantes, à moins que le droit de l’Union ou le droit national n’impose de les conserver plus longtemps. Le sous-traitant continue de veiller à la conformité aux présentes clauses jusqu’à la suppression ou à la restitution des données.

Annexe I. Liste des parties

Responsable du traitement

Nom : l’organisation titulaire de l’espace de travail Klozeo, telle qu’enregistrée dans l’espace de travail (nom et informations de facturation) Adresse : celle des informations de facturation de l’espace de travail Nom, fonction et coordonnées de la personne de contact : le propriétaire de l’espace de travail, à l’adresse email de son compte Date d’adhésion : la date de création du compte

Sous-traitant

Nom : LB FRAME, SASU, RCS Salon-de-Provence 103 671 350 Adresse : 765 Boulevard des Ventadouiro, 13300 Salon-de-Provence, France Contact pour la protection des données : [email protected] Délégué à la protection des données : aucun désigné

Annexe II. Description du traitement

Catégories de personnes concernées dont les données à caractère personnel sont traitées

Les personnes dont le responsable du traitement enregistre les coordonnées dans des fiches de prospects : prospects et leurs contacts, le plus souvent des personnes agissant pour une entreprise, et entrepreneurs individuels.
Les personnes citées dans les champs libres et les notes que le responsable du traitement rédige.
Les membres de l’espace de travail du responsable du traitement, comme auteurs d’une modification inscrite dans l’historique des fiches, comme auteurs d’une note, comme personnes à qui une fiche est attribuée, et par leur adresse email, que voient le propriétaire et les membres actifs de l’espace de travail.

Catégories de données à caractère personnel traitées

Ce que le responsable du traitement choisit d’enregistrer dans une fiche de prospect, en général :

noms de l’entreprise et du contact ;
adresses email et numéros de téléphone ;
adresses et données de localisation ;
adresses de sites web et liens de réseaux sociaux ;
catégories, étiquettes et attributs personnalisés ;
notes et données de scoring ;
le SIREN à 9 chiffres, qui, pour un entrepreneur individuel, peut identifier une personne physique ;
l’adresse email d’un membre de l’espace de travail, lorsqu’elle désigne la personne à qui une fiche est attribuée, l’auteur d’une note ou le membre qui a agi dans l’historique ;
l’historique de la fiche : action (création, modification, fusion, suppression), date, auteur, et valeurs avant et après la modification.

Données sensibles traitées, et limitations ou garanties appliquées

Le responsable du traitement n’a pas l’intention de traiter de données sensibles (clause 7.5) dans Klozeo. Le Service n’applique à ces données aucune limitation ni garantie spécifique au-delà de celles de l’annexe III. Le responsable du traitement décide de ce qu’il écrit dans les champs libres, les notes et les attributs personnalisés.

Nature du traitement

Enregistrement, lecture, recherche, filtrage et export des fiches de prospects. Scoring et dédoublonnage automatiques des fiches. Tenue de l’historique des fiches. Envoi des événements de fiche aux destinations de webhook que le responsable du traitement configure. Transmission des données de prospects aux applications et assistants IA que le responsable du traitement connecte, lorsqu’ils les lisent pour son compte. Sauvegarde et suppression des données. Lorsque le responsable du traitement demande explicitement un enrichissement (l’option enrich sur une création, une fusion ou un élément de lot, le point d’accès d’enrichissement ou l’outil MCP d’enrichissement), le sous-traitant envoie le seul SIREN au service public Recherche d’entreprises (api.gouv.fr) et n’inscrit les données d’entreprise renvoyées que dans les champs vides et non verrouillés. Les applications, assistants IA et destinations de webhook que le responsable du traitement choisit, ainsi que ce service public lorsqu’il demande un enrichissement, sont des destinataires agissant sur instruction du responsable du traitement, et non des sous-traitants ultérieurs du sous-traitant.

Finalité du traitement

Fournir le service Klozeo au responsable du traitement, tel que décrit dans les Conditions générales d’utilisation. Le sous-traitant n’utilise pas les données de prospects à d’autres fins : il ne les vend pas, ne les partage pas avec des tiers à des fins de marketing ou de publicité, ne les utilise pas pour entraîner des modèles d’IA ou d’apprentissage automatique, et n’y accède que si c’est strictement nécessaire à l’assistance technique que le responsable du traitement demande.

Durée du traitement et conservation

Le traitement dure aussi longtemps que le compte du responsable du traitement est actif. Après la clôture du compte ou la demande de suppression, les accès sont révoqués et les données de prospects sont supprimées définitivement sous 30 jours. Les sauvegardes chiffrées peuvent conserver des données supprimées jusqu’à 90 jours. Certaines données peuvent être conservées plus longtemps lorsque la loi l’impose.

Données	Conservation
Données de prospects	Tant que le compte est actif ; supprimées sous 30 jours après la clôture du compte
Historique des fiches	Aussi longtemps que le compte du propriétaire existe, puis supprimé avec le compte. Les valeurs avant et après la modification (y compris le texte des notes, les valeurs des attributs et la personne assignée) dans l’historique d’une fiche supprimée depuis plus de 30 jours sont effacées par une tâche quotidienne, si bien qu’elles ont disparu sous 31 jours après la suppression. L’action, la date, le membre ou la clé API, le canal, le motif et les noms des champs modifiés demeurent. Les sauvegardes conservent ces valeurs jusqu’à 90 jours après l’effacement. L’historique d’une fiche qui n’est pas supprimée n’est pas purgé. Si un membre supprime son propre compte, son identifiant est retiré de l’historique des autres propriétaires
Relevés d’enregistrement des assistants (sans coordonnées ni texte de conversation)	30 jours
Relevés de nouvelle tentative de l’API (espace de travail, clé API ou identifiant du membre, clé de nouvelle tentative du client, opération, empreinte de la requête, et statut de la première réponse, identifiants de fiches ou de notes et indicateurs de résultat ; aucune coordonnée ni texte de note)	30 jours. Les lignes propres à un membre sont supprimées avec son compte
Contenu des événements de webhook	Effacé dès que le endpoint du responsable du traitement l’accepte. Si la livraison échoue définitivement, ou si le webhook est en pause, il est conservé 72 heures après l’événement pour que le responsable du traitement puisse le renvoyer, puis effacé. Supprimer une fiche ne la retire pas d’un événement conservé pendant ces 72 heures
Reçus de livraison des webhooks (événement, état, dates, statut HTTP ; aucune donnée de prospect)	Jusqu’à la suppression du webhook ou du compte
Sauvegardes	Chiffrées, stockées dans Cloudflare R2 (juridiction UE), 90 jours au maximum

Fin du contrat (clause 10, point d)

Au choix du responsable du traitement, restitution ou suppression. Restitution : avant de demander la suppression, le responsable du traitement peut exporter ses données de prospects (CSV, JSON, XLSX) et, en tant que propriétaire du compte, l’ensemble de son compte (JSON). Suppression : sous 30 jours comme ci-dessus. Le sous-traitant confirme la suppression par écrit, par email, à la demande du responsable du traitement.

Sous-traitants ultérieurs

L’objet, la nature et la durée du traitement par chaque sous-traitant ultérieur figurent à l’annexe IV.

Annexe III. Mesures techniques et organisationnelles

Le sous-traitant met en œuvre au moins les mesures suivantes. Chacune s’applique aux données de prospects.

Chiffrement et protection des données

III.1 Les données en transit entre les utilisateurs, les applications et Klozeo (site, API, serveur MCP) sont protégées par HTTPS/TLS.
III.2 La sauvegarde de la base de données est chiffrée avant d’être envoyée vers Cloudflare R2 (juridiction UE), où elle est stockée.
III.3 Les clés API ne sont conservées que sous forme d’empreinte SHA-256. Un déclencheur de la base remplace toute clé en clair écrite ultérieurement par un marqueur inutilisable.

Identification et autorisation des utilisateurs

III.4 Les appels sont authentifiés de trois façons : par clé API (REST et MCP classique), qui porte les droits du propriétaire ; par jeton OAuth (assistants IA) ; ou, pour le tableau de bord, par une session web dont l’application web transmet les requêtes à l’API sous forme de requêtes internes signées, qui désignent l’espace, le membre et le rôle. Les membres d’un espace de travail ont le rôle propriétaire, admin, éditeur ou lecteur. Un admin gère les clés API, les webhooks et les connexions d’assistants de l’espace de travail. L’accès aux fiches d’un admin est accordé par le propriétaire pour 24 heures, 7 jours ou sans limite, et prend fin à l’issue de cette période ou lorsque le propriétaire y met fin. Tant qu’un admin n’a pas d’accès aux fiches, l’admin en tant que personne (session web et connexions d’assistants) ne voit aucune fiche ; les clés API et les webhooks que cet admin a créés appartiennent à l’espace de travail et conservent leur portée complète. Pour les sessions du tableau de bord, le rôle signé n’est qu’un plafond : l’API vérifie l’appartenance active à chaque appel, si bien qu’un droit retiré s’applique dès l’appel suivant. L’API refuse les en-têtes de rôle envoyés par les appelants.
III.5 Le responsable du traitement peut déconnecter à tout moment une application ou un assistant IA.
III.6 Les appels entre l’application web, le serveur MCP et l’API sont signés (HMAC-SHA256, nonce, horodatage) et refusés au-delà d’une fenêtre de 60 secondes.
III.7 Le sous-traitant n’accède aux données de prospects que si c’est strictement nécessaire à l’assistance technique que le responsable du traitement demande.

Réseau et plateforme

III.8 Les serveurs n’acceptent le trafic web que de Cloudflare (ports 80 et 443), qui assure le proxy inverse et le pare-feu applicatif.
III.9 L’application web, l’API et le serveur MCP utilisent des comptes de base de données distincts, avec des droits nommés. L’API refuse de démarrer avec un compte qui détient plus de droits que son rôle ne le permet.
III.10 Les requêtes sont limitées en débit par clé, par compte et par réseau avant de coûter du travail à la base, et les limites de l’offre s’appliquent. Si les compteurs échouent, les requêtes sont refusées.

Journalisation

III.11 Chaque création, modification, fusion et suppression d’une fiche est inscrite dans l’historique avec sa date, son auteur et les valeurs avant et après la modification, et nomme le membre qui a agi. Les valeurs avant et après dans l’historique d’une fiche supprimée depuis plus de 30 jours sont effacées sous 31 jours après la suppression ; l’action, la date, le membre ou la clé API, le canal, le motif et les noms des champs modifiés demeurent (annexe II).
III.12 Les journaux de requêtes de l’API conservent des métadonnées (point d’accès, horodatage, statut HTTP, compteurs de limite), pas le contenu des requêtes. Les rapports d’erreur vont au serveur de suivi des erreurs du sous-traitant. Dans l’API Go, chaque rapport est reconstruit à partir d’un ensemble fixe de champs techniques, sans contenu de requête, sans données de prospects et sans identifiants. Dans l’application web, le rapport garde son contenu technique, mais les corps de requête, les cookies, les chaînes de requête et les adresses IP sont retirés, seule une courte liste d’en-têtes est conservée, et les adresses email, paramètres de requêtes en échec et clés API présents dans le texte sont masqués.

Disponibilité, restauration et résilience

III.13 Une sauvegarde complète de la base est réalisée chaque jour. Chaque jour, la dernière sauvegarde est téléchargée, déchiffrée et restaurée dans une base jetable, et ses comptages de tables sont vérifiés par rapport à ceux relevés lors de la sauvegarde. Un contrôle quotidien alerte le sous-traitant si la sauvegarde ou le test de restauration manque. Les sauvegardes sont conservées 90 jours au maximum et protégées contre la suppression pendant les 30 premiers jours.

Minimisation, conservation et effacement des données

III.14 Les durées de conservation sont celles de l’annexe II. Une purge automatique s’exécute chaque jour à 03:30 UTC. La suppression d’un compte est achevée sous 30 jours. Les purges sont idempotentes et leurs journaux ne contiennent que des compteurs et des noms d’étapes.
III.15 Le contenu d’un événement de webhook est effacé dès que le endpoint du responsable du traitement l’accepte, et au plus tard 72 heures après l’événement.
III.16 Les webhooks envoyés vers une destination personnalisée dotée d’un secret sont signés en HMAC-SHA256, avec un en-tête horodaté. Le responsable du traitement peut renouveler le secret avec 24 heures de chevauchement. Le tableau de bord impose un secret sur chaque nouveau webhook personnalisé ; l’API le laisse facultatif.

Logiciel et gestion des changements

III.17 Les mises en production passent par une chaîne contrôlée : les tests complets, les tests d’acceptation et les analyses de vulnérabilités (dépendances Go et JavaScript, secrets dans le code source, images de conteneurs) doivent réussir au préalable. Les secrets ne sont jamais écrits dans des documents versionnés.

Portabilité et assistance au responsable du traitement (clause 8)

III.18 Le responsable du traitement peut lire, corriger et supprimer des fiches dans le tableau de bord et par l’API, dans la limite de son rôle, et les exporter (CSV, JSON, XLSX). Le propriétaire du compte peut exporter l’ensemble du compte (JSON) et supprimer le compte.
III.19 Le sous-traitant assiste le responsable du traitement pour les demandes des personnes concernées, les analyses d’impact et les notifications de violation, comme l’exigent les clauses 8 et 9. Point de contact pour les demandes et pour les informations requises par la clause 9.2, point b) : [email protected].

Violation de données à caractère personnel (clause 9)

III.20 Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, et en tout état de cause au plus tard 72 heures après en avoir pris connaissance. La notification est faite par écrit, par email, à l’adresse du propriétaire de l’espace de travail, et contient au moins les informations visées à la clause 9.2, points a) à c). S’il n’est pas possible de fournir toutes les informations en même temps, la notification initiale contient les informations disponibles à ce moment-là et les autres suivent dans les meilleurs délais, comme le prévoit la clause 9.2.

Annexe IV. Liste des sous-traitants ultérieurs

Le responsable du traitement autorise les sous-traitants ultérieurs suivants (clause 7.7, point a), option 2). Le sous-traitant informe le responsable du traitement par écrit de tout ajout ou remplacement envisagé au moins trente (30) jours à l’avance, par email à l’adresse du propriétaire de l’espace de travail, et lui fournit les informations nécessaires pour s’y opposer.

Sous-traitant ultérieur	Pays	Traitement	Objet, nature et durée du traitement
Cloudflare, Inc.	États-Unis ; sauvegardes Cloudflare R2 en juridiction UE	DNS, TLS, proxy inverse et pare-feu applicatif du site, de l’API et du serveur MCP ; hébergement des sauvegardes chiffrées (Cloudflare R2).	Les requêtes et leurs informations techniques, dont l’adresse IP, y transitent ; les données de prospects contenues dans ces requêtes y sont traitées en transit. Sauvegardes chiffrées : 90 jours au maximum. Pendant la durée du contrat.
Hetzner Online GmbH	Allemagne	Serveurs de la base de données et des outils de suivi du sous-traitant.	Stockage des données de prospects et des données de compte. Pendant la durée du contrat.
Contabo GmbH	Allemagne	Serveurs du site, de l’API et du serveur MCP.	Traitement des requêtes, y compris les données de prospects qu’elles contiennent. Pendant la durée du contrat.
Stripe Payments Europe, Limited	Irlande (traitement en partie aux États-Unis par les sociétés de son groupe)	Paiement et facturation. Une fiche client (adresse email, nom, identifiant de compte) est créée à l’inscription.	Aucune donnée de prospects. Pendant la durée du contrat.
Plus Five Five, Inc. (Resend)	États-Unis	Emails transactionnels : l’adresse email et le contenu de l’email.	Aucune donnée de prospects. Pendant la durée du contrat.