Accord de sous-traitance
Article 28 du règlement (UE) 2016/679 — en vigueur au 10 septembre 2026. Annexe indissociable des conditions générales de vente.
Ce document décrit les conditions dans lesquelles CAZIFAMI traite, pour le compte de son Client, les données personnelles nécessaires au fonctionnement d'EditoRadar. Il est publié en clair afin que toute rédaction puisse l'examiner avant de s'engager.
1. Rôles des parties
Le Client est responsable de traitement. Il détermine les finalités et les moyens, définit sa grille éditoriale, décide des personnes qu'il souhaite suivre et assume la responsabilité de ce qu'il publie.
CAZIFAMI est sous-traitant. Elle n'agit que sur instruction documentée du Client, ne détermine aucune finalité propre et n'exploite les données à aucune fin qui lui serait personnelle.
Le Client agissant à des fins journalistiques, le traitement relève des aménagements prévus par l'article 85 du règlement et l'article 80 de la loi n°78-17 du 6 janvier 1978. Il appartient au Client d'apprécier la portée de ce régime pour son activité.
2. Objet, nature et durée
| Objet | Collecte de sources ouvertes du territoire, hiérarchisation éditoriale, production de propositions d'angles et de pré-articles, mise à disposition d'un brief quotidien |
|---|---|
| Nature des opérations | Collecte, enregistrement, structuration, conservation, consultation, analyse automatisée, transmission au Client, effacement |
| Durée | Durée de l'abonnement, prolongée du délai de restitution ou de suppression prévu à l'article 10 |
3. Catégories de personnes concernées
- Utilisateurs du Client — journalistes, secrétaires de rédaction, direction, dont les accès et les retours d'évaluation sont enregistrés.
- Personnes citées dans les sources publiques — élus, dirigeants d'entreprise, responsables associatifs et toute personne mentionnée dans un document public analysé par le Service.
- Personnes figurant dans la liste de suivi du Client, lorsqu'il en constitue une.
4. Catégories de données
- Identité et fonction professionnelle : nom, prénom, mandat, entreprise ou institution de rattachement.
- Éléments de contexte issus de documents publics : délibérations, actes du tribunal de commerce, marchés publics, communiqués, agendas.
- Données de connexion et d'usage des utilisateurs du Client : adresse électronique, horodatage, actions réalisées dans l'application.
- Appréciations éditoriales attribuées par le Client : niveau d'intérêt, notes, commentaires.
Le Service n'a pas vocation à traiter de données relevant de l'article 9 du règlement. Si de telles données figurent incidemment dans une source publique, elles ne font l'objet d'aucun traitement spécifique. Le Client s'abstient d'en introduire délibérément.
5. Instructions
CAZIFAMI ne traite les données que sur instruction documentée du Client. Constituent des instructions : les conditions générales, le présent accord, le contrat, la configuration de la grille éditoriale et toute demande écrite ultérieure.
Si une instruction paraît constituer une violation du règlement ou d'une autre disposition relative à la protection des données, CAZIFAMI en informe immédiatement le Client et peut suspendre son exécution.
6. Confidentialité et personnes autorisées
L'accès aux données est limité aux personnes qui en ont besoin pour l'exécution du contrat. À la date d'entrée en vigueur, seul le président de CAZIFAMI y a accès. Toute personne y accédant est soumise à une obligation de confidentialité contractuelle survivant à la fin de sa mission.
Les données de chaque Client sont cloisonnées. La grille éditoriale, les listes et les productions d'un Client ne sont ni communiquées ni réutilisées au profit d'un autre.
7. Sous-traitants ultérieurs
Le Client autorise CAZIFAMI à recourir aux sous-traitants ultérieurs listés ci-dessous. CAZIFAMI leur impose par contrat des obligations équivalentes aux présentes et demeure pleinement responsable de leur exécution.
| Sous-traitant | Rôle | Localisation | Encadrement du transfert |
|---|---|---|---|
| Netlify, Inc. | Hébergement de l'application et stockage | États-Unis | Clauses contractuelles types |
| Anthropic PBC | Modèles d'analyse et de rédaction | États-Unis | Clauses contractuelles types |
| Resend, Inc. | Acheminement des alertes et des briefs par courriel | États-Unis | Clauses contractuelles types |
Toute adjonction ou remplacement est notifié au Client au moins trente jours à l'avance. Le Client dispose de ce délai pour s'y opposer par écrit et pour des motifs raisonnables ; à défaut d'accord, il peut résilier sans indemnité.
Les données transmises aux fournisseurs de modèles ne sont pas utilisées pour entraîner leurs modèles.
8. Transferts hors Union européenne
Les transferts vers les États-Unis mentionnés à l'article 7 sont encadrés par les clauses contractuelles types adoptées par la décision d'exécution (UE) 2021/914 et, lorsque le fournisseur y est certifié, par le cadre de protection des données UE–États-Unis. Une évaluation des garanties est tenue à la disposition du Client.
9. Sécurité
Compte tenu de l'état de l'art, des coûts et des risques, CAZIFAMI met en œuvre :
- le chiffrement des échanges en transit et le chiffrement des données au repos assuré par l'hébergeur ;
- une authentification individuelle des utilisateurs du Client et un cloisonnement des données par titre ;
- une journalisation des accès et des opérations sensibles ;
- la limitation stricte des personnes habilitées ;
- la conservation des secrets d'accès hors du code source ;
- une capacité de suspension immédiate d'un accès compromis.
10. Sort des données en fin de contrat
À la fin du contrat, et selon le choix exprimé par le Client dans un délai de trente jours, CAZIFAMI restitue les données dans un format structuré et lisible, ou les supprime. À défaut de choix exprimé, elles sont supprimées à l'expiration de ce délai. Les copies de sauvegarde sont effacées selon leur cycle de rotation, dans un délai maximal de quatre-vingt-dix jours.
11. Assistance du Client
CAZIFAMI assiste le Client, dans la mesure du possible et compte tenu de la nature du traitement :
- pour répondre aux demandes d'exercice de droits reçues par le Client ; si une demande lui est adressée directement, CAZIFAMI la transmet sans délai sans y répondre elle-même ;
- pour la réalisation d'une analyse d'impact et, le cas échéant, d'une consultation préalable ;
- pour la démonstration du respect de ses obligations.
12. Violation de données
CAZIFAMI notifie au Client toute violation de données personnelles dans les quarante-huit heures suivant sa découverte, par écrit, en précisant la nature de la violation, les catégories et le volume approximatif de données et de personnes concernées, les conséquences probables et les mesures prises. Elle apporte au Client toute l'assistance nécessaire à sa propre notification à l'autorité de contrôle.
13. Registre et documentation
CAZIFAMI tient un registre des catégories de traitements effectués pour le compte de ses clients, conformément à l'article 30.2 du règlement, et le met à disposition de l'autorité de contrôle sur demande.
14. Audit
Le Client peut demander, une fois par an et moyennant un préavis de trente jours, les éléments documentaires démontrant le respect des présentes. Un audit sur site, conduit par le Client ou un tiers indépendant non concurrent, est possible en cas de motif sérieux ; ses modalités sont convenues entre les parties et ses coûts supportés par le Client, sauf si l'audit révèle un manquement substantiel.
15. Modification
Toute modification est notifiée au Client au moins trente jours avant son entrée en vigueur. Le Client qui la refuse peut résilier sans indemnité avant cette date.
16. Contact
Les demandes relatives à la protection des données s'adressent à CAZIFAMI par le formulaire de contact. CAZIFAMI n'a pas désigné de délégué à la protection des données.