Projet de texte, en cours de relecture juridique : il n’engage pas encore l’éditeur.
Accord de sous-traitance des données personnelles
Dernière mise à jour : 2026-09-21
Le présent accord s’applique entre le Client (responsable de traitement) et WAP SARL (sous-traitant) pour les données personnelles que le Client enregistre dans son espace Fabulous CRM. Il fait partie des conditions générales. Un exemplaire signé peut être demandé à privacy@fabulous-crm.com.
1. Description du traitement
| Objet | Hébergement et exploitation du CRM du Client |
|---|---|
| Durée | Celle du contrat, augmentée des délais de l’article 8 |
| Nature et finalité | Stockage, consultation, envoi de messages pour le compte du Client, sauvegarde, assistance |
| Personnes concernées | Les contacts, prospects et clients du Client ; ses utilisateurs |
| Catégories de données | Identité, coordonnées, données professionnelles, historique des échanges et des envois, consentements ; toute donnée que le Client choisit d’ajouter dans des propriétés personnalisées ou des pièces jointes |
| Données sensibles | Le Service n’est pas conçu pour elles ; le Client s’abstient d’enregistrer des données de santé ou d’autres catégories particulières |
2. Instructions
Le sous-traitant ne traite les données que sur instruction documentée du Client, que constituent le contrat, le présent accord et l’usage que le Client fait du Service. Il informe le Client si une instruction lui paraît contraire au droit applicable.
3. Confidentialité
Les personnes autorisées à accéder aux données sont soumises à une obligation de confidentialité. L’accès aux données d’un espace par le personnel du sous-traitant est limité à l’assistance demandée par le Client et aux opérations d’exploitation.
4. Sécurité
Le sous-traitant met en œuvre des mesures adaptées au risque, notamment : une base de données par client ; chiffrement des échanges ; chiffrement au repos des secrets et des jetons ; sauvegardes quotidiennes chiffrées avant de quitter la machine qui les produit, conservées 30 jours, avec essai de restauration régulier ; export de fin de contrat non chiffré, pour que le Client puisse l’ouvrir, conservé dans un stockage privé, accessible par un lien personnel dont chaque téléchargement expire au bout d’une heure, et supprimé à l’expiration de ce lien ; contrôle d’accès par rôles et journal d’audit dans l’application ; accès d’exploitation limités à une liste nominative de personnes.
5. Sous-traitants ultérieurs
Le Client autorise de façon générale le recours aux prestataires listés sur la page Sous-traitants et localisation. Le sous-traitant impose à chacun des obligations équivalentes aux siennes et reste responsable de leur exécution. Tout ajout ou remplacement est annoncé sur cette page et par e-mail aux propriétaires des espaces au moins trente jours à l’avance ; le Client peut s’y opposer pour un motif légitime et, à défaut de solution, résilier sans frais.
6. Assistance au Client
Le sous-traitant aide le Client, par les fonctions du Service et sur demande, à répondre aux personnes qui exercent leurs droits, à réaliser ses analyses d’impact et à démontrer sa conformité.
7. Violation de données
Le sous-traitant notifie au Client toute violation de données personnelles le concernant dans les meilleurs délais, et au plus tard soixante-douze heures après en avoir pris connaissance, avec les informations dont il dispose pour permettre au Client de remplir ses propres obligations.
8. Sort des données en fin de contrat
À la fermeture de l’espace, le sous-traitant met un export complet, non chiffré, à la disposition du Client pendant 30 jours, puis supprime l’espace, ses données et cet export. Les sauvegardes chiffrées s’éteignent au terme de leur durée de conservation.
9. Audits
Le sous-traitant met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord. Le Client peut faire réaliser un audit, au plus une fois par an et moyennant un préavis de trente jours, à ses frais et sans accès aux données des autres clients.
10. Transferts
Les données des espaces sont hébergées dans l’Union européenne (Irlande, région AWS eu-west-1). Les transferts hors de l’Espace économique européen que supposent certains prestataires sont encadrés comme indiqué sur la page des sous-traitants.