Accord de sous-traitance des données personnelles
Article 28 du RGPD. Cet accord fait partie des conditions générales de vente (article 11.2).
Entre :
- Le Client, tel qu'identifié sur son compte et sa commande (« le Responsable de traitement ») ;
- PROMOMÉDIA, SAS au capital de 1 €, RCS Nanterre 948 206 438, 99 avenue Achille Peretti, 92200 Neuilly-sur-Seine (« le Sous-traitant »).
Il s'applique tant que PROMOMÉDIA traite des données personnelles pour le compte du Client.
Article 1 - Objet
Le Sous-traitant traite, pour le compte du Responsable de traitement, les données personnelles des auditeurs des applications, sites et services fournis (Streaming, applications mobiles, sites web de radio, skills Alexa), uniquement pour fournir ces services.
Article 2 - Description du traitement
- Finalité : fonctionnement des services (notifications, dédicaces, statistiques d'écoute, affichage des contenus).
- Nature : collecte, hébergement, transmission, consultation, suppression.
- Personnes concernées : auditeurs et utilisateurs des applications et sites du Client.
- Types de données : jetons de notification (identifiant d'appareil), pseudos et messages de dédicace, adresse IP, données techniques de connexion, statistiques d'écoute.
- Durée : celle du contrat, puis suppression selon l'article 9.
Article 3 - Instructions
Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable de traitement (les CGV, l'usage normal du service et ses paramétrages valent instruction). Il informe le Responsable si une instruction lui paraît contraire au RGPD.
Article 4 - Confidentialité
Le Sous-traitant veille à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité et formées à la protection des données.
Article 5 - Sécurité
Le Sous-traitant met en œuvre des mesures techniques et organisationnelles adaptées au risque, notamment : chiffrement des échanges, contrôle des accès, authentification renforcée pour l'équipe, sauvegardes, journalisation, mises à jour de sécurité.
Article 6 - Sous-traitants ultérieurs
6.1. Le Responsable de traitement autorise de façon générale le recours à des sous-traitants ultérieurs, dont la liste figure en annexe.
6.2. Le Sous-traitant informe le Responsable de tout ajout ou remplacement avec un préavis de 30 jours ; le Responsable peut s'y opposer pour un motif raisonnable et, à défaut d'accord, résilier le service concerné.
6.3. Le Sous-traitant impose à ses propres sous-traitants les mêmes obligations de protection et reste responsable envers le Responsable de leur exécution.
Article 7 - Droits des personnes
Le Sous-traitant aide le Responsable, par des mesures appropriées, à répondre aux demandes d'exercice des droits (accès, rectification, effacement, opposition, limitation, portabilité). S'il reçoit directement une demande, il la transmet au Responsable dans les 5 jours ouvrés sans y répondre lui-même.
Article 8 - Violation de données
Le Sous-traitant notifie au Responsable toute violation de données dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, en indiquant la nature de la violation, les données concernées, ses conséquences probables et les mesures prises. Le Responsable reste chargé de notifier la CNIL et les personnes concernées si nécessaire.
Article 9 - Sort des données à la fin du contrat
À la fin du service, le Sous-traitant supprime les données ou les restitue au Responsable selon son choix. Les données sont conservées 30 jours après résiliation (article 12.3 des CGV), puis supprimées, sauf obligation légale de conservation.
Article 10 - Transferts hors Union européenne
Les données sont hébergées en France. Seuls les services de notification des plateformes (voir annexe) peuvent impliquer un transfert hors Union européenne ; il n'a lieu qu'avec des garanties appropriées (décision d'adéquation ou clauses contractuelles types).
Article 11 - Aide et audit
11.1. Le Sous-traitant aide le Responsable à respecter ses obligations de sécurité, d'analyse d'impact et de consultation préalable de la CNIL, dans la mesure de ses informations.
11.2. Il met à disposition les informations nécessaires pour démontrer le respect du présent accord et permet les audits, une fois par an sauf incident, sur demande écrite avec un préavis raisonnable, aux frais du Responsable et sans compromettre la sécurité des autres clients.
Article 12 - Responsabilité
Chaque partie répond de ses manquements au RGPD dans les conditions du droit commun, dans les limites fixées à l'article 9 des CGV, sans préjudice des droits des personnes concernées.
Article 13 - Registre et documentation
Le Sous-traitant tient le registre de ses activités de traitement pour le compte de clients (article 30.2 du RGPD).
Annexe - Sous-traitants ultérieurs
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| o2switch | Hébergement de la plateforme | France |
| o2switch | Envoi des e-mails | France |
| Google (Firebase Cloud Messaging) | Notifications Android | UE / États-Unis (clauses contractuelles types) |
| Apple (APNs) | Notifications iOS | États-Unis (clauses contractuelles types) |
| Stripe | Paiement (données de paiement du Client, hors auditeurs) | UE / États-Unis |
Version du 4 novembre 2026.