Accord de sous-traitance des données personnelles
Version du 13 octobre 2026. Annexe aux conditions générales de service.
1. Parties et objet
Cet accord s’applique entre la commune, le groupement ou l’organisme public qui souscrit à Ville Pépite (« le Client »), responsable de traitement, et STDM (SASU, SIREN 830 917 530), 23 rue Victor Hugo, 92120 Montrouge (« Ville Pépite »), sous-traitant au sens de l’article 28 du règlement général sur la protection des données (RGPD). Il fixe les conditions dans lesquelles Ville Pépite traite des données personnelles pour le compte du Client. Les traitements que Ville Pépite mène pour son propre compte sont décrits dans sa politique de confidentialité.
2. Description du traitement
| Rubrique | Pour le Client |
|---|---|
| Objet | Fournir l’agenda Ville Pépite du Client : recevoir les propositions d’événements, les faire modérer, gérer l’équipe du Client dans l’Espace pro, envoyer les e-mails de service correspondants. |
| Durée | Celle de l’abonnement, puis le temps de la réversibilité (article 10). |
| Nature des opérations | Collecte, enregistrement, organisation, conservation, consultation, modification, publication des événements validés, envoi d’e-mails, effacement. |
| Personnes concernées | Habitants, associations, commerçants et organisateurs qui proposent des événements ; agents et élus que le Client ajoute à son équipe. |
| Données | Contributeurs : e-mail, nom et organisation s’ils les donnent, contenus proposés (textes, photos dont les métadonnées sont retirées), historique des modifications, décisions de modération. Équipe : e-mail, nom, rôle, journal des actions. |
| Données sensibles | Aucune n’est demandée ; les conditions d’utilisation demandent de ne pas en publier. |
3. Instructions du Client
Ville Pépite ne traite les données que sur instruction documentée du Client : cet accord, les conditions générales, les réglages de l’Espace pro et ses demandes écrites. Si une instruction lui paraît contraire au RGPD ou au droit français, Ville Pépite en informe le Client sans délai. Aucun transfert hors de l’Union européenne n’est fait en dehors de ce que prévoit l’article 6.
4. Confidentialité
Seules les personnes de Ville Pépite qui en ont besoin accèdent aux données. Elles sont tenues à la confidentialité.
5. Sécurité
Ville Pépite met en œuvre des mesures techniques et organisationnelles adaptées au risque (article 32 du RGPD), notamment :
- hébergement dans l’Union européenne (Google Cloud, Pays-Bas), données chiffrées en transit et au repos ;
- cloisonnement par commune : les règles d’accès, testées avant chaque changement, ne laissent voir à une équipe que les données de sa commune ;
- aucune écriture directe depuis un navigateur : chaque modification passe par des fonctions serveur qui vérifient le rôle, valident les données et inscrivent l’action au journal ;
- comptes nominatifs, rôles distincts (administrateur, modérateur), accès de l’équipe Ville Pépite limités à ses membres ;
- secrets gardés dans un coffre-fort numérique, jamais dans le code ; journal des modifications conservé un an ;
- sauvegarde et export des données du Client possibles à tout moment.
6. Sous-traitants ultérieurs
Le Client autorise Ville Pépite à faire appel aux sous-traitants ci-dessous. Ville Pépite informe le Client par écrit, au moins trente jours à l’avance, de tout ajout ou remplacement ; le Client peut s’y opposer pour un motif lié à la protection des données, et, à défaut d’accord, résilier sans frais. Ville Pépite impose à chacun les mêmes obligations de protection des données et reste responsable envers le Client de leur respect.
| Sous-traitant | Pour quoi | Où sont les données |
|---|---|---|
| Google Cloud EMEA Limited (Irlande) | Hébergement, base de données, comptes, fonctions serveur, journaux | Union européenne (Pays-Bas) |
| OVH SAS (France) | Envoi des e-mails de service | France |
| Cloudflare, Inc. (États-Unis) | Stockage et diffusion des photos envoyées | Stockage dans l’Union européenne, diffusion par un réseau mondial |
| Google (Gemini) | Aide au remplissage du formulaire, à partir du texte que le contributeur choisit de coller ; traduction des événements publiés | Traitement possible hors de l’Union européenne |
| TypeSafe | Classement des événements par thème (titre, catégories, début de la description) | Traitement possible hors de l’Union européenne |
Les transferts hors de l’Union européenne sont encadrés par le cadre de protection des données UE–États-Unis (Data Privacy Framework) pour les sous-traitants qui y sont certifiés, ou par les clauses contractuelles types de la Commission européenne.
7. Droits des personnes
Ville Pépite aide le Client à répondre aux demandes des personnes (accès, rectification, effacement, limitation, portabilité, opposition). Une demande reçue directement est transmise au Client dans les meilleurs délais, au plus tard sous cinq jours ouvrés, sauf si le Client a demandé à Ville Pépite d’y répondre pour lui.
8. Violations de données
Ville Pépite notifie au Client toute violation de données personnelles dans les 48 heures après en avoir eu connaissance, avec les informations utiles à sa propre notification à la CNIL (nature de la violation, catégories et nombre approximatif de personnes et de données concernées, conséquences probables, mesures prises ou proposées), complétées au fur et à mesure.
9. Assistance et documentation
Ville Pépite aide le Client, sur demande, pour une analyse d’impact ou une consultation préalable de la CNIL. Elle tient le registre des traitements qu’elle mène pour son compte (article 30.2 du RGPD) et met à sa disposition les informations nécessaires pour démontrer le respect de cet accord. Le Client peut faire réaliser un audit, par lui-même ou un auditeur tenu au secret, une fois par an et avec un préavis de trente jours, à ses frais sauf si l’audit révèle un manquement.
10. Fin du contrat
À la fin de l’abonnement, Ville Pépite remet au Client, sur sa demande, un export complet de ses données dans un format ouvert, puis efface les données traitées pour son compte dans un délai de trois mois, sauf obligation légale de conservation. Elle confirme l’effacement par écrit sur demande.
11. Contact
Pour toute question sur cet accord ou pour notifier une instruction : contact@villepepite.fr.