Le présent Accord de Traitement des Données (ci-après « DPA ») est conclu entre :

• [votre entreprise] (ci-après « le Sous-traitant »), société immatriculée sous le numéro SIREN [SIREN], dont le siège social est situé [Adresse du siège social] ; et
• Le Client identifié lors de son inscription ou dans le bon de commande (ci-après « le Responsable de traitement »).

Dans le cadre des services [votre entreprise], le Sous-traitant est amené à traiter des données à caractère personnel pour le compte du Responsable de traitement. Le présent DPA définit les conditions de cette sous-traitance, conformément à l'article 28 du Règlement (UE) 2016/679 (RGPD).

Le Sous-traitant s'engage à traiter les données à caractère personnel uniquement pour les finalités définies à l'article 2 du présent DPA, pour le compte et selon les instructions documentées du Responsable de traitement.

Le présent accord entre en vigueur à la date d'acceptation par le Client et demeure en vigueur pendant toute la durée de la relation contractuelle entre les parties, y compris les périodes d'essai. Il prend fin lors de la résiliation ou de l'expiration du contrat principal, ou dès la cessation de tout traitement de données à caractère personnel par le Sous-traitant.

Le traitement réalisé par [votre entreprise] pour le compte du Client comprend les opérations suivantes :

• Collecte et stockage — enregistrement des interactions des visiteurs du site Client via le tag JavaScript [votre entreprise] (soumissions de formulaires, clics, événements de conversion).
• Analyse du service — attribution des visiteurs aux variantes de test, calcul statistique des taux de conversion, détermination du gagnant selon la méthode bayésienne ou fréquentiste configurée.
• Personnalisation — affichage conditionnel de contenu en fonction des segments de visiteurs définis par le Responsable de traitement (source d'acquisition, appareil, comportement).
• Génération de contenu IA (l'assistant IA) — analyse du HTML public des pages du Client par l'IA pour produire des suggestions d'amélioration. Aucune donnée personnelle identifiante n'est transmise à l'IA ; seul le HTML public est envoyé après suppression automatique des emails et numéros de téléphone détectés.
• Support et maintenance — accès aux données nécessaires au diagnostic et à la résolution des incidents signalés par le Client.

Le traitement n'est effectué qu'aux fins susmentionnées et selon les instructions du Responsable de traitement. Toute utilisation à d'autres fins est expressément interdite sauf accord écrit préalable.

Types de données traitées :

• Données de navigation : URL de page, paramètres UTM, référent HTTP, user-agent, résolution d'écran ;
• Identifiants de session pseudonymes (UUID aléatoire, non lié à une identité réelle sans clé externe) ;
• Données de formulaire soumises par les visiteurs via les widgets [votre entreprise] : champs variables selon la configuration du Client (email, prénom, numéro de téléphone, etc.) ;
• Données d'événements de conversion : clic, soumission, page vue, objectif personnalisé.

Catégories de personnes concernées :

• Visiteurs et prospects du site web du Client ;
• Clients ou utilisateurs finaux du Responsable de traitement interagissant avec les pages sur lesquelles le tag [votre entreprise] est déployé.

Conformément à l'article 28§3 du RGPD, [votre entreprise] s'engage à :

• Ne traiter les données que sur instruction — traiter les données personnelles uniquement selon les instructions documentées du Responsable de traitement. En cas d'obligation légale contraire, le Sous-traitant en informera le Responsable sauf si la loi l'en empêche pour des raisons d'intérêt public.
• Garantir la confidentialité — s'assurer que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité ou liées par une obligation légale de confidentialité.
• Mettre en œuvre les mesures de sécurité — mettre en place les mesures techniques et organisationnelles appropriées visées à l'article 32 du RGPD (voir Annexe 2).
• Respecter les conditions de sous-traitance ultérieure — ne pas recruter de sous-traitant ultérieur sans autorisation écrite préalable du Responsable de traitement, et imposer aux sous-traitants ultérieurs des obligations équivalentes (voir Article 6 et Annexe 3).
• Aider à la conformité — aider le Responsable de traitement, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'exercice des droits des personnes concernées (art. 15 à 22 RGPD).
• Aider aux obligations de sécurité — aider le Responsable de traitement à respecter ses obligations au titre des articles 32 à 36 du RGPD (sécurité, notification de violations, DPIA).
• Restituer ou supprimer les données — à l'expiration du contrat, supprimer toutes les données personnelles ou les restituer au Responsable de traitement selon son choix, et supprimer les copies existantes sauf obligation légale de conservation.
• Mettre à disposition les informations nécessaires — mettre à disposition du Responsable de traitement toutes les informations nécessaires pour démontrer le respect des obligations du présent article, et contribuer aux audits et inspections réalisés par le Responsable ou un mandataire.

Le Responsable de traitement (Client) s'engage à :

• Fournir des instructions documentées — transmettre ses instructions au Sous-traitant via la configuration du service (paramètres du dashboard, widgets activés, segments définis) et, si nécessaire, par écrit.
• Assurer la légalité du traitement — avoir une base légale valide (consentement, intérêt légitime, contrat) pour les traitements réalisés via [votre entreprise], notamment pour la collecte de données visiteurs via les widgets.
• Informer les personnes concernées — intégrer dans sa politique de confidentialité la description des traitements effectués via [votre entreprise] et, le cas échéant, recueillir le consentement des visiteurs avant activation des widgets de collecte.
• Notifier les incidents de sécurité — informer [votre entreprise] sans délai de tout incident de sécurité affectant les données traitées dans le cadre des services.
• Autoriser ou refuser les sous-traitants ultérieurs — répondre dans un délai raisonnable à toute demande d'autorisation de sous-traitance ultérieure soumise par [votre entreprise].

Le Client autorise [votre entreprise] à recourir aux sous-traitants ultérieurs listés en Annexe 3. En cas de modification (ajout ou remplacement), [votre entreprise] en informera le Client par email avec un préavis de 30 jours. Le Client dispose d'un droit d'opposition motivé dans ce délai. Sans opposition dans les 30 jours, le sous-traitant est réputé accepté.

[votre entreprise] impose à chaque sous-traitant ultérieur des obligations de protection des données au moins équivalentes à celles du présent DPA. [votre entreprise] demeure pleinement responsable vis-à-vis du Client du respect des obligations des sous-traitants ultérieurs.

Certains sous-traitants ultérieurs listés en Annexe 3 sont établis hors de l'Espace Économique Européen (EEE). [votre entreprise] s'assure que tout transfert de données vers ces prestataires repose sur un mécanisme adéquat reconnu par la Commission européenne :

• Décision d'adéquation — le pays destinataire dispose d'une décision d'adéquation de la Commission européenne ;
• Clauses contractuelles types (SCC) — les clauses types adoptées par la Commission européenne sont intégrées au contrat avec le sous-traitant ;
• Data Privacy Framework (DPF) — le sous-traitant est certifié au titre du cadre EU-US Data Privacy Framework.

À l'expiration ou à la résiliation du contrat principal pour quelque cause que ce soit :

• Le Responsable de traitement dispose d'un délai de 30 jours pour exporter ses données via le dashboard (export RGPD) ou demander une restitution au format JSON/CSV.
• À l'issue de ce délai, [votre entreprise] procède à la suppression définitive de toutes les données personnelles traitées pour le compte du Client, y compris les soumissions de widgets, les sessions et les identifiants visiteurs.
• Les données de facturation sont conservées pendant la durée légale applicable (10 ans — art. L.123-22 du Code de commerce).
• Sur demande, [votre entreprise] adresse au Client une attestation de suppression dans un délai de 15 jours.

Droits des personnes concernées (art. 15-22 RGPD)

[votre entreprise] met à disposition du Client les outils nécessaires pour répondre aux demandes d'exercice des droits des visiteurs :

• Droit d'accès / portabilité (art. 15, 20) — export des soumissions d'un visiteur identifié par email depuis le dashboard RGPD ;
• Droit à l'effacement (art. 17) — suppression de l'ensemble des soumissions et données liées à un email visiteur via le dashboard ou l'API dédiée ;
• Droit à la limitation / opposition (art. 18, 21) — le Client peut désactiver la collecte pour un visiteur en ne déposant pas le tag ou en utilisant le mode bloqué dans la configuration widget.

Analyse d'impact (DPIA — art. 35 RGPD)

Sur demande du Responsable de traitement, [votre entreprise] fournit les informations nécessaires à la réalisation d'une analyse d'impact relative à la protection des données (DPIA). Les traitements standard de [votre entreprise] ne sont pas susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes au sens de l'article 35 du RGPD, sauf usage spécifique à préciser par le Client.

Violations de données (art. 33 RGPD)

En cas de violation de données à caractère personnel, [votre entreprise] en informera le Responsable de traitement sans délai injustifié et au plus tard 48 heures après en avoir pris connaissance, afin de lui permettre d'effectuer si nécessaire la notification à l'autorité de contrôle compétente dans les 72 heures (art. 33 RGPD). La notification précisera la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les données impliquées, les conséquences probables et les mesures prises ou envisagées.

[votre entreprise] met en œuvre les mesures techniques et organisationnelles suivantes conformément à l'article 32 du RGPD :