Accord de traitement des données personnelles

1. Parties, périmètre et acceptation

Les parties sont SARL CATHODE, 12 rue des Villas, 84130 Le Pontet, France, RCS Avignon 985 067 610, et l’organisation cliente, partenaire ou agent identifiée dans le contrat et l’annexe de traitement. Leurs représentants acceptent par écrit la version datée du présent accord et les annexes complétées.

Le présent accord encadre les données personnelles au sens du règlement (UE) 2016/679 (« RGPD ») et de la loi Informatique et Libertés. Il complète le contrat principal et prévaut pour les obligations de protection des données, sans dérogation aux droits impératifs des personnes ni aux pouvoirs des autorités.

2. Qualification des rôles et modules

Module A — Fourniture du service : l’organisation cliente ou partenaire détermine les finalités des traitements confiés à Infenix ; CATHODE agit comme sous-traitant. L’organisation peut elle-même agir comme sous-traitant de son client, auquel cas elle documente la chaîne et les autorisations nécessaires.

Module B — Mission confiée : CATHODE détermine une finalité, par exemple une campagne pour Infenix, et confie à un agent ou partenaire des opérations selon ses instructions. CATHODE est responsable du traitement et cet intervenant est sous-traitant pour ces opérations si les faits correspondent à cette qualification.

Module C — Fichier apporté : l’annexe de transmission encadre les opérations entre responsables distincts lorsque l’agent collecte pour ses finalités et CATHODE réutilise les contacts pour les siennes. L’apport d’un fichier ne détermine pas à lui seul les rôles des opérations ultérieures.

Un intervenant choisi directement par le client industriel n’est pas automatiquement sous-traitant ultérieur de CATHODE. Les parties identifient son donneur d’ordre et son rôle. Une décision conjointe sur les finalités et moyens essentiels nécessite un accord distinct conforme à l’article 26, dont les grandes lignes sont accessibles aux personnes ; le module C ne le remplace pas.

3. Description et durée des traitements

L’annexe 1 identifie, pour chaque module, le responsable, le sous-traitant, la mission, les finalités, les opérations, les personnes, les données, les destinataires, la durée et les instructions. Les opérations peuvent comprendre la collecte autorisée, l’enregistrement, l’organisation, la consultation, la mise à jour, le partage habilité, l’export et la suppression.

Le traitement ne dure que le temps nécessaire à la mission et à sa clôture. Une conservation légale distincte est identifiée et limitée. Les données sensibles ou pénales sont exclues du périmètre standard et ne sont admises qu’après instruction licite et annexe définissant les garanties adaptées.

4. Instructions et obligations du responsable

Le responsable détermine la base légale, informe les personnes, vérifie la licéité des données et transmissions, respecte la minimisation et fixe les durées. Il garantit que ses instructions restent dans les droits dont il dispose et documente l’habilitation de ses représentants.

Le sous-traitant agit uniquement sur instructions documentées, y compris pour les transferts. Le contrat, les annexes et les opérations effectuées dans le périmètre autorisé constituent les instructions initiales. Toute nouvelle finalité nécessite un accord écrit. Une obligation légale de traitement est communiquée avant exécution, sauf interdiction légale.

Le sous-traitant informe immédiatement le responsable lorsqu’une instruction lui paraît contraire au droit applicable. Les parties clarifient l’instruction ; une opération manifestement illicite est suspendue dans le périmètre concerné.

5. Confidentialité et absence de réutilisation libre

Les personnes autorisées sont soumises à une obligation de confidentialité et accèdent aux seules données nécessaires à leur mission. Les habilitations sont réexaminées et retirées lorsque la mission ou l’accès prend fin.

Le sous-traitant ne vend pas les données confiées, ne prospecte pas pour ses propres finalités avec elles et ne les utilise pas pour entraîner un modèle général sur la seule base de cet accord. Une autre finalité ne peut être autorisée par une clause générale : elle exige l’analyse des rôles, de la compatibilité, de la base légale et de l’information des personnes. Les obligations de confidentialité survivent à la mission.

6. Mesures techniques et organisationnelles

Le sous-traitant met en œuvre les mesures appropriées aux risques conformément à l’article 32 : confidentialité, intégrité, disponibilité, résilience, capacité de restauration et évaluation régulière de leur efficacité. Leur description concrète figure à l’annexe 2, avec les responsabilités du client et des fournisseurs.

Cette annexe distingue les mécanismes effectivement vérifiés des mesures restant à confirmer : comptes nominatifs, séparation des organisations, droits partenaires, protection des échanges et fichiers, sauvegardes, accès d’administration, journalisation, correctifs et procédures d’incident. Aucune certification ni fréquence de sauvegarde ne peut être déduite de la simple présence d’un fournisseur dans le code.

7. Sous-traitants ultérieurs

Le responsable donne une autorisation écrite spécifique ou générale, choisie à l’annexe 3. Seuls les prestataires identifiés et couverts par cette autorisation peuvent traiter les données de la mission. L’inventaire indicatif publié ici ne constitue pas une autorisation.

En cas d’autorisation générale, le sous-traitant informe le responsable d’un ajout ou remplacement au moins trente jours avant sa mise en œuvre, afin de permettre une objection motivée liée à la protection des données. Les parties recherchent une solution ; à défaut, le traitement concerné n’est pas confié au prestataire contesté et la prestation affectée peut être arrêtée selon le contrat.

Le sous-traitant impose contractuellement les mêmes obligations de protection des données à ses sous-traitants ultérieurs et reste pleinement responsable envers le responsable de leur exécution. Il tient leur liste et les informations nécessaires à disposition.

8. Localisations et transferts internationaux

L’annexe 3 décrit les lieux de stockage, de traitement, de sauvegarde et les éventuels accès distants depuis un pays tiers. Une région d’hébergement en Europe ne démontre pas à elle seule l’absence de transfert hors de l’Espace économique européen.

Un transfert est exécuté uniquement sur instruction documentée et avec le mécanisme légal approprié : décision d’adéquation applicable au destinataire ou garanties conformes au chapitre V. Lorsqu’il est fondé sur l’article 46, l’évaluation du transfert et les mesures supplémentaires nécessaires sont documentées.

Les clauses européennes de sous-traitance 2021/915 et les clauses de transfert 2021/914 ont des objets distincts. Le présent texte est un accord spécifique et ne se présente pas comme une reproduction inchangée de ces clauses. Une demande d’une autorité étrangère est examinée selon le droit applicable, limitée et signalée lorsque légalement possible.

9. Assistance aux droits des personnes

Le sous-traitant transmet sans délai au responsable toute demande relative aux données confiées, au plus tard dans les cinq jours ouvrés de sa réception. Il ne répond pas sur le fond sans instruction, sauf obligation légale. Il aide à identifier les données et à mettre en œuvre accès, rectification, effacement, limitation, opposition et portabilité dans les conditions applicables.

Le responsable conduit la réponse dans les délais du RGPD. Les procédures permettent de traiter les copies, exports et données partagées dans la limite des responsabilités de chacun. Une vérification d’identité reste proportionnée ; un justificatif n’est demandé que si nécessaire.

10. Violations et signalement

Le sous-traitant informe le responsable sans délai injustifié après connaissance d’une violation de données confiées, et au plus tard dans les vingt-quatre heures. Un premier signalement est adressé au contact d’incident de l’annexe 1 avec les informations disponibles ; les compléments sont transmis progressivement sans attendre la fin des investigations.

Le signalement indique la nature, les catégories de données et de personnes, les volumes approximatifs si connus, les conséquences possibles, les mesures prises ou proposées et le contact de suivi. Les parties contiennent l’incident, préservent les preuves utiles et documentent les décisions.

Le responsable apprécie le risque et procède, lorsque nécessaire, à la notification à l’autorité dans les meilleurs délais et au plus tard soixante-douze heures après en avoir eu connaissance, ainsi qu’à l’information des personnes lorsque requise. Une notification par le sous-traitant en son nom nécessite un mandat explicite.

11. Analyse d’impact et coopération

Compte tenu du traitement et des informations à sa disposition, le sous-traitant assiste le responsable pour la sécurité, les violations, les analyses d’impact et les consultations préalables prévues aux articles 32 à 36. Il coopère avec l’autorité compétente et fournit les informations nécessaires.

La nécessité d’une analyse d’impact ou d’un DPO est appréciée selon les critères légaux et les traitements réels. Les présentes clauses ne valent ni analyse d’impact achevée ni désignation d’un DPO.

12. Preuves et audits

Le sous-traitant met à disposition les informations nécessaires pour démontrer le respect de l’article 28 et permet les audits, y compris les inspections, par le responsable ou un auditeur mandaté. Les modalités protègent les secrets légitimes et les données d’autres organisations sans empêcher une vérification effective.

Un préavis raisonnable et une revue documentaire initiale peuvent être convenus pour les audits ordinaires. Ils ne font pas obstacle à un audit urgent, justifié par un incident ou requis par l’autorité. Les frais et modalités ne peuvent rendre ce droit illusoire. Les écarts sont documentés et suivis jusqu’à leur correction.

13. Restitution, effacement et sauvegardes

Au terme de la mission, le responsable choisit la restitution ou la suppression des données personnelles confiées. Le sous-traitant exécute l’instruction, détruit les copies existantes et remet une confirmation documentée, sauf conservation imposée par le droit de l’Union ou d’un État membre.

L’annexe 2 définit le délai de récupération et le calendrier d’effacement des données actives et sauvegardes. Pendant ce délai, les données sont limitées à la restitution, la sécurité et les obligations légales. La conservation légale précise son fondement, son périmètre et sa durée ; elle n’autorise pas une nouvelle prospection.

Une restauration de sauvegarde réapplique les instructions d’effacement déjà reçues. La fin d’accès d’un agent inclut ses copies locales et exports ; une conservation distincte pour une finalité propre doit être licite, annoncée et séparée. Les droits de changement de fournisseur prévus par les CGV et les textes applicables sont préservés.

14. Responsabilité et droit applicable

Chaque partie assume ses obligations selon son rôle réel. Aucune clause ne supprime les droits des personnes, la responsabilité prévue à l’article 82 ou les pouvoirs de l’autorité. Le sous-traitant qui détermine lui-même des finalités et moyens devient responsable pour le traitement concerné dans les conditions du RGPD.

Le présent accord est soumis au droit français, sous réserve des règles impératives. Les contacts, la procédure amiable et les règles de compétence suivent le contrat principal. Les obligations de confidentialité, d’assistance, de restitution et de protection des données survivent autant que nécessaire à la clôture.

Annexe 1 — Fiche de traitement à compléter

Pour chaque mission : identité et adresse des parties ; représentant habilité ; contrat principal ; module A, B ou C ; responsable et sous-traitant ; point de contact de chacun ; dates de début et fin ; instructions ; catégories de destinataires ; lieux autorisés. Contact CATHODE : contact@cathode-obsolescence.fr.

Profil industriel : collaborateurs, techniciens et intervenants identifiables ; coordonnées professionnelles, fonctions, habilitations, affectations, historiques de maintenance, notes, échanges et documents contenant des informations personnelles. Finalités : organisation du parc, maintenance, coordination et demandes autorisées.

Profil commercial : contacts de clients et prospects, agents et utilisateurs commerciaux ; identité, entreprise, fonction, coordonnées, profils professionnels, notes de qualification, appels, relances et historique de mission. Finalités et canaux de campagne sont précisés. Les objectifs, performances et commissions concernant les agents sont traités dans le rôle et le cadre appropriés.

Champs commerciaux observés : prénom, nom, civilité, fonction, persona, e-mail, téléphone, profil LinkedIn et contact principal ; entreprise, SIREN/SIRET, NAF, effectif, adresse, géolocalisation et ciblage ; notes libres, contexte et résultat d’appel, réponses, argumentaire, dates et prochaines relances. L’affectation, les auteurs, statuts et métadonnées d’événements permettent un suivi interne. Ces champs ne prouvent ni une source de collecte licite, ni une information remise, ni une opposition enregistrée ; seules les données nécessaires à la mission sont retenues.

Les champs effectivement nécessaires sont listés pour la mission ; les données sensibles sont exclues sauf annexe spécifique. Une liste de rôles générique ne remplace pas l’identification du responsable pour chaque jeu de données.

Annexe 2 — Mesures et durées à confirmer

Mécanismes observés dans le dépôt : authentification Supabase, comptes nominatifs, contrôle des accès par organisation et permissions, liens clients–partenaires acceptés et non expirés, révocation, journal d’événements partenaire et stockage de certaines factures avec accès signé. Leur effectivité en production doit être vérifiée ; le journal n’est pas présenté comme une preuve de stockage matériellement inaltérable.

Précisions vérifiées dans le code : identité interrogée côté serveur auprès de Supabase et rafraîchissement des cookies de session ; factures partenaires PDF limitées à dix mégaoctets avec téléchargement signé de trois cents secondes après contrôle du partenaire ; pièces jointes de devis avec autorisation de l’acteur, contrôle du périmètre, quarantaine et vérification du type et de la taille avant disponibilité. Ces mécanismes ne prouvent ni une analyse antivirus, ni des politiques RLS actives, ni une purge automatique des fichiers.

À compléter par les parties : administration et MFA, chiffrement en transit et au repos avec périmètre, sauvegardes et restauration testée, durée des journaux, contrôle des exports, gestion des vulnérabilités, confidentialité du personnel, procédure de droits et d’incidents, responsabilités et preuves de vérification.

Calendrier proposé à valider techniquement avant signature : récupération pendant au moins trente jours après fin de service ou transition applicable ; effacement des données actives au plus tard soixante jours après fin de mission, sauf instruction plus rapide ; effacement des sauvegardes au plus tard quatre-vingt-dix jours après cette fin. Le contrat signé indique les délais réellement garantis et les exceptions légales ; ces valeurs ne décrivent pas un automatisme actuellement attesté.

Annexe 3 — Inventaire des fournisseurs

Pour chaque fournisseur effectivement retenu, préciser : entité juridique contractante, service, opérations et données, pays de traitement et d’accès, durée, contrat article 28, autorisation et mécanisme de transfert. L’inventaire ci-dessous prépare cette annexe ; les régions et contrats de production ne sont pas confirmés.

Neon — base PostgreSQL et données applicatives. Supabase — authentification et certains fichiers, notamment factures et pièces jointes selon les fonctions. OVHcloud — messagerie, destinataires et contenus des courriels ; le fournisseur OVH est confirmé par CATHODE, mais le produit, l’entité et la localisation restent à préciser.

Le code utilise PostgreSQL avec un pilote Neon HTTP et un client transactionnel WebSocket par défaut, ou un pilote node-postgres selon configuration. Les courriels sont rendus côté serveur puis envoyés par un transport SMTP configuré côté serveur ; cela ne prouve ni la réception des réponses dans Infenix, ni le chiffrement SMTP effectivement négocié en production.

Google Gemini API — extraction d’images/documents et rapports selon fonctions. Identifier le régime contractuel, les conditions de réutilisation et de conservation et les éventuels transferts avant d’y confier des données personnelles. Vercel — hébergement prévu dans la documentation ; son utilisation effective et sa configuration doivent être confirmées.

Flux IA précisément observés : classification de références et fabricants par le modèle gemini-3.1-flash-lite ; analyse d’images et annotations par gemini-3.1-pro-preview. Le résultat brut de cette analyse peut être conservé dans l’historique d’import avec l’identifiant d’usine et une empreinte des images. Les modèles décrivent cette version du code, pas un engagement de modèle permanent. Aucune suppression automatique de données personnelles dans les images, aucune durée de cache et aucune absence de conservation par Google ne sont attestées par ces flux.

Tout fournisseur supplémentaire ou service activé figure dans l’annexe signée. Les partenaires choisis directement par le client et les responsables autonomes ne sont pas assimilés par défaut à des sous-traitants ultérieurs de CATHODE.

Annexe 4 — Fichiers apportés et transmission

Avant une transmission, l’apporteur fournit une fiche de provenance par lot : sources, dates, contexte, catégories, finalités initiales et envisagées, bases légales, information des personnes, canaux autorisés, oppositions et restrictions. Le destinataire vérifie ces éléments et refuse ou isole les données insuffisamment justifiées avant usage.

Lorsque les parties sont responsables distincts, chacune répond de ses opérations. L’apporteur justifie la licéité de la transmission ; le destinataire justifie sa réutilisation. L’information prévue à l’article 14 est fournie au plus tard dans le mois et, si elle intervient plus tôt, lors de la première communication ou divulgation, sous réserve des exceptions applicables.

Les oppositions à la prospection sont respectées sans délai et communiquées aux parties concernées dans le périmètre licite. Les listes de blocage conservent seulement les éléments nécessaires pour éviter une nouvelle sollicitation. Un nouvel import ou une protection commerciale du prospect ne neutralise pas une opposition.

Les parties fixent les destinataires, le transfert sécurisé, les copies locales autorisées, la durée et la fin de mission. Les prospects non clients sont conservés pour la prospection suivant la durée justifiée, avec trois ans depuis la collecte ou le dernier contact émanant du prospect comme référence CNIL ; une relance sortante ne remet pas ce délai à zéro. Une finalité de preuve distincte est documentée.

Limites vérifiées du parcours CRM : aucun champ dédié ni circuit complet de provenance, d’information et d’opposition du contact n’a été identifié dans les flux examinés. Le consentement marketing du compte utilisateur et la source technique d’un événement ne remplacent pas ces preuves. Un export individuel vCard existe ; aucun import CSV de contacts, export CRM global, purge automatique à trois ans ou effacement propagé des copies n’est attesté par ce parcours. L’archivage d’une entreprise n’est pas un effacement. Les obligations ci-dessus nécessitent une procédure opérationnelle documentée, dans Infenix ou un système externe maîtrisé.

Annexe 5 — Validation et signature

Le document accepté indique la version, le contrat principal, les modules et annexes complétés. Pour chaque partie sont consignés la dénomination, le représentant et sa qualité, la date et la signature ou la preuve d’acceptation électronique. Les autorisations de sous-traitants et instructions ultérieures sont conservées.

Les annexes opérationnelles incomplètes doivent être finalisées avant que les traitements correspondants soient confiés. Un simple lien dans les CGU ou un compte utilisateur ne remplace pas cette acceptation par les personnes habilitées.