1. Parties, objet et durée
Cet accord lie l'Agence cliente (le « Responsable de traitement ») et TECH APP STUDIO, SAS, RCS Nice 106 518 152, 19 Avenue des Diables Bleus, 06300 Nice, France (le « Sous-traitant »), pour les données personnelles traitées dans Velora. Il fait partie des CGV et s'applique pendant toute la durée du contrat, puis jusqu'à la suppression complète des données.
Il complète la politique de confidentialité. En cas de contradiction sur la protection des données, cet accord prévaut sur les CGV.
2. Description du traitement
- Nature et finalité : hébergement, stockage, affichage et transmission des données nécessaires au service décrit dans les CGV (suivi des ventes, contenus, messages, tournages, contrats, app des Modèles).
- Personnes concernées : les Modèles de l'Agence et les membres de son équipe.
- Données : identité et coordonnées, comptes des plateformes branchées (sessions et clés chiffrées), ventes, contenus, messages, réponses aux formulaires, contrats, échantillons de voix si la fonction est utilisée, données de l'appareil et de connexion, journaux de sécurité.
- Données sensibles : le suivi « Mon cycle » (données de santé), facultatif, activé seulement avec le consentement explicite de la Modèle recueilli dans l'app, chiffré et non visible par l'Agence.
- Durée : celle du contrat, plus la période d'export de 30 jours.
3. Instructions de l'Agence
Le Sous-traitant traite les données uniquement sur instruction documentée de l'Agence. Les CGV, cet accord et les réglages faits par l'Agence dans la console constituent ses instructions. Le Sous-traitant prévient l'Agence s'il estime qu'une instruction viole le RGPD.
Le Sous-traitant n'utilise jamais les données pour son propre compte, ne les vend pas et ne s'en sert pas pour entraîner des modèles d'IA.
4. Confidentialité
Seules les personnes habilitées du Sous-traitant accèdent aux données, quand c'est nécessaire au service. Elles sont tenues à la confidentialité par contrat ou par une obligation légale.
5. Sécurité (article 32 du RGPD)
- Isolement des agences en base de données (Row Level Security), vérifié par des tests automatiques.
- Chiffrement AES-256-GCM des secrets avec une clé par agence, elle-même chiffrée par une clé maître hors base.
- Chiffrement des échanges (TLS) et des données au repos chez les hébergeurs.
- Mots de passe hachés (Argon2id), double authentification obligatoire pour les propriétaires et administrateurs.
- Médias privés, accessibles seulement par des liens signés valables 5 minutes.
- Journal d'audit des actions sensibles, sauvegardes chiffrées, limites de requêtes contre l'aspiration.
- App iPhone vérifiée par App Attest, sessions gardées dans le trousseau de l'appareil.
Le Sous-traitant peut faire évoluer ces mesures, sans baisser le niveau de protection.
6. Sous-traitants ultérieurs
L'Agence autorise de manière générale le recours aux sous-traitants ultérieurs listés dans la politique de confidentialité. Le Sous-traitant leur impose par contrat les mêmes obligations de protection des données et reste responsable de leur respect.
Le Sous-traitant prévient l'Agence par e-mail au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur. L'Agence peut s'y opposer pour un motif raisonnable lié à la protection des données. Si aucune solution n'est trouvée, elle peut résilier sans frais avant le changement.
7. Services branchés par l'Agence
Les services tiers que l'Agence branche elle-même (plateformes de vente, messageries, signature électronique, réseaux sociaux, fournisseurs d'IA) ne sont pas des sous-traitants du Sous-traitant. Les données leur sont envoyées sur instruction de l'Agence, qui choisit ces services, accepte leurs conditions et encadre ses relations avec eux.
8. Transferts hors de l'UE
Les données sont hébergées dans l'Union européenne. Un transfert vers un pays tiers, y compris un accès à distance par un sous-traitant ultérieur, n'a lieu qu'avec des garanties appropriées : décision d'adéquation (dont le Data Privacy Framework UE-États-Unis) ou clauses contractuelles types de la Commission européenne.
9. Assistance à l'Agence
Le Sous-traitant aide l'Agence à répondre aux demandes d'exercice des droits : la console permet d'exporter et de supprimer les données, et toute demande reçue directement d'une personne concernée est transmise à l'Agence sans délai indu.
Il aide aussi l'Agence, sur demande, pour ses analyses d'impact et ses consultations de la CNIL, en lui donnant les informations dont il dispose.
10. Violation de données
Le Sous-traitant notifie à l'Agence toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir eu connaissance. La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables et les mesures prises ou proposées.
11. Fin du contrat
À la fin du contrat, l'Agence peut exporter ses données pendant 30 jours. Le Sous-traitant les supprime ensuite. Les copies présentes dans les sauvegardes disparaissent au fil de leur rotation, sous 30 jours. Le Sous-traitant confirme la suppression par écrit sur demande. Seules restent les données que la loi l'oblige à garder, comme les factures.
12. Audit
Le Sous-traitant met à disposition de l'Agence les informations nécessaires pour démontrer le respect de cet accord. L'Agence peut faire réaliser un audit une fois par an, avec un préavis de 30 jours, à ses frais, par un auditeur indépendant tenu à la confidentialité, sans perturber le service ni accéder aux données des autres clients.
13. Engagements de l'Agence
L'Agence garantit avoir une base légale pour chaque traitement, informer ses Modèles et son équipe, recueillir les consentements nécessaires (notamment pour la voix et l'image), et n'inviter que des personnes majeures. Elle peut publier sa propre politique de confidentialité dans l'app de ses Modèles depuis la console (Personnaliser).