Conditions

Contrat de sous-traitance

Version 1 · en vigueur à partir du 21 octobre 2026

Parties

Le présent contrat de sous-traitance fait partie du contrat de services (le contrat principal) entre le client, ci-après le responsable du traitement, et :

ci-après le sous-traitant. Il précise comment le sous-traitant traite des données à caractère personnel pour le compte du responsable du traitement, conformément à l’article 28 du Règlement général sur la protection des données (RGPD). Le client accepte ce contrat en même temps que la proposition et le contrat de services.

1. Objet et finalité

1.1 Le sous-traitant traite des données à caractère personnel uniquement pour fournir les services du contrat principal, par exemple : campagnes publicitaires et leur mesure, réseaux sociaux, sites web et boutiques en ligne, e-mail marketing, vidéo, suivi des leads et contact client au nom du responsable du traitement.

1.2 Le sous-traitant n’utilise pas les données à caractère personnel à ses propres fins.

2. Types de données et personnes concernées

2.1 Personnes concernées : clients (potentiels), visiteurs du site, abonnés, demandeurs et contacts professionnels du responsable du traitement.

2.2 Données à caractère personnel, selon le service : nom, adresse e-mail, numéro de téléphone, code postal et localité, nom de l’entreprise, contenu des demandes, messages et conversations, données de commande, ainsi qu’identifiants en ligne et données de mesure des sites web et plateformes publicitaires.

2.3 Le sous-traitant ne traite pas de catégories particulières de données, sauf accord écrit des parties.

3. Instructions

3.1 Le sous-traitant traite les données uniquement sur instruction écrite du responsable du traitement, y compris le présent contrat et le contrat principal, sauf obligation légale contraire. Dans ce cas, il en informe le responsable du traitement au préalable, sauf si la loi l’interdit.

3.2 Le sous-traitant signale immédiatement toute instruction qui, selon lui, est contraire au RGPD.

4. Confidentialité

Seuls les collaborateurs et auxiliaires qui ont besoin des données pour leur tâche y ont accès. Ils sont tenus à la confidentialité.

5. Sécurité

5.1 Le sous-traitant prend des mesures techniques et organisationnelles appropriées (article 32 RGPD), notamment : connexions chiffrées (HTTPS), accès personnel avec droits limités, séparation des données par client, journalisation des modifications, sauvegardes chiffrées quotidiennes et accès aux serveurs réservé aux administrateurs autorisés.

5.2 Les numéros de téléphone et adresses e-mail des personnes concernées ne sont pas partagés dans les canaux de discussion internes.

5.3 Lorsque le sous-traitant utilise des outils d’IA, un membre de l’équipe contrôle le résultat. Les données à caractère personnel ne servent pas à entraîner des modèles d’IA de tiers.

6. Sous-traitants ultérieurs

6.1 Le responsable du traitement donne une autorisation générale pour les sous-traitants ultérieurs de l’annexe 1, dans la mesure où le service fourni en a besoin. Le sous-traitant annonce à l’avance tout sous-traitant ultérieur nouveau ou remplaçant. Le responsable du traitement peut s’y opposer de manière motivée dans les 14 jours.

6.2 Le sous-traitant impose aux sous-traitants ultérieurs au moins les mêmes obligations que celles du présent contrat et reste responsable de leur respect.

7. Transferts hors de l’EEE

Les données à caractère personnel ne sont traitées en dehors de l’Espace économique européen que si des garanties appropriées s’appliquent, comme une décision d’adéquation (y compris le EU-US Data Privacy Framework) ou les clauses contractuelles types de la Commission européenne.

8. Droits des personnes concernées

Le sous-traitant aide le responsable du traitement, dans un délai raisonnable, à répondre aux demandes des personnes concernées (accès, rectification, effacement, limitation, opposition, portabilité). S’il reçoit directement une telle demande, il la transmet.

9. Violations de données

9.1 Le sous-traitant notifie toute violation de données à caractère personnel dans les meilleurs délais et au plus tard 48 heures après l’avoir découverte, avec les informations nécessaires au responsable du traitement pour une éventuelle notification à l’autorité de contrôle et aux personnes concernées.

9.2 Le sous-traitant en limite immédiatement les conséquences et tient le responsable du traitement informé.

10. Assistance et audit

10.1 Le sous-traitant aide pour une analyse d’impact (AIPD) et une consultation préalable, dans la mesure du raisonnable.

10.2 Le sous-traitant fournit toute information nécessaire pour démontrer sa conformité. Le responsable du traitement peut, au maximum une fois par an et après un préavis écrit d’au moins 30 jours, faire réaliser un audit par un expert indépendant tenu au secret. Les coûts sont à charge du responsable du traitement.

11. Conservation et fin

11.1 Le sous-traitant ne conserve pas les données plus longtemps que nécessaire pour les finalités de l’article 1, sauf autre instruction du responsable du traitement.

11.2 Le présent contrat dure aussi longtemps que le contrat principal et que le sous-traitant traite des données pour le responsable du traitement. À la fin, le sous-traitant supprime les données dans les 30 jours ou, sur demande, les restitue dans un format courant (par exemple CSV), sauf obligation légale de conservation. Les sauvegardes sont écrasées dans le cycle de sauvegarde habituel.

11.3 Les comptes, pages et comptes publicitaires restent la propriété du responsable du traitement (voir les conditions générales, article 7). Les données qu’ils contiennent relèvent des conditions entre le responsable du traitement et cette plateforme.

12. Responsabilité

La responsabilité est réglée dans le contrat principal et les conditions générales.

13. Dispositions finales

13.1 En cas de contradiction, le présent contrat prévaut sur le contrat principal pour ce qui concerne le traitement des données à caractère personnel.

13.2 Le droit belge s’applique. Les litiges relèvent des tribunaux de l’arrondissement de Flandre orientale, sauf disposition impérative contraire.

13.3 L’acceptation électronique de la proposition vaut signature. Le sous-traitant conserve la preuve (nom, fonction, date et heure, adresse IP et version exacte du présent texte).

Annexe 1 — Sous-traitants ultérieurs

Les plateformes du client lui-même (comme Meta, Google Ads, TikTok, Shopify ou un CRM) sont utilisées via les comptes du client. Elles relèvent des conditions entre le client et cette plateforme.

Contact

Questions sur ce contrat : .

En cas de divergence entre la version française et la version néerlandaise, la version néerlandaise prévaut.