Dernière mise à jour : 21/04/2026
Découvrez comment nous protégeons vos données. Le présent document est une annexe aux Conditions générales conclues entre le Client (ci-après, le « Responsable du traitement ») et Scrupp (ci-après, le « Sous-traitant »). Chaque partie est dénommée « Partie » et ensemble, les « Parties ».
Aux fins du présent document, les termes et expressions commençant par une majuscule ont la même signification que celle qui leur est attribuée dans les Conditions générales.
Les présentes clauses ont pour objet de définir les conditions dans lesquelles le Sous-traitant s'engage à effectuer, pour le compte du Responsable du traitement, les opérations de traitement de données personnelles définies ci-après.
Dans le cadre de leurs relations contractuelles, les parties s'engagent à respecter la réglementation applicable au traitement des données personnelles et, en particulier, le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après, « le Règlement général sur la protection des données »).
Le Sous-traitant est autorisé à traiter, pour le compte du Responsable du traitement, les données personnelles nécessaires à la fourniture des services suivants : (i) nettoyage, correction, synchronisation, enrichissement, organisation et gestion des coordonnées — par exemple, adresses e-mail et numéros de téléphone — des clients, prospects et fournisseurs du Responsable du traitement, (ii) détection et fusion automatique des doublons.
En outre, le Sous-traitant est autorisé à (iii) mettre à jour les coordonnées des clients, prospects et fournisseurs du Responsable du traitement en ce qui concerne les e-mails erronés, notamment par la synchronisation des boîtes mail des salariés du Responsable du traitement (ci-après, ensemble, les « Services »).
Les catégories de personnes concernées sont les clients, prospects et fournisseurs du Responsable du traitement (ci-après, les « Personnes »).
La nature des opérations réalisées sur les données est la collecte, le traitement et le stockage des données personnelles des Personnes aux fins de l'exécution des Services.
La finalité du traitement est l'exécution des Services.
Les données personnelles traitées sont des données d'identification des Personnes et des données relatives à la situation professionnelle des Personnes. Pour l'exécution des Services mentionnés dans le présent document, le Responsable du traitement fournira au Sous-traitant les informations nécessaires suivantes : informations et données d'identification des Personnes.
Le Sous-traitant ne vend, ne loue ni ne cède les données à aucun tiers. Le recours à des sous-traitants ultérieurs pour mener des activités de traitement spécifiques est régi par la section 6 ci-après et par les garanties décrites dans la Politique de confidentialité du Responsable du traitement.
Le Sous-traitant s'engage à :
1. traiter les données uniquement pour la ou les finalités faisant l'objet de la présente sous-traitance ;
2. traiter les données conformément aux instructions documentées du Responsable du traitement. Les parties conviennent que toute utilisation ou tout paramétrage de la solution du Sous-traitant par le Responsable du traitement sera enregistré et considéré comme une instruction documentée. Si le Sous-traitant considère qu'une instruction constitue une violation du Règlement général sur la protection des données ou de toute autre disposition légale de l'Union ou des États membres relative à la protection des données, il en informe immédiatement le Responsable du traitement.
En outre, lorsque le Sous-traitant est tenu de procéder à un transfert de données personnelles vers un pays tiers ou une organisation internationale en vertu du droit de l'Union ou du droit de l'État membre auquel il est soumis, il doit informer le Responsable du traitement de cette obligation légale avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'intérêt public. Nonobstant ce qui précède, le Sous-traitant est expressément autorisé par le Responsable du traitement à traiter les données afin d'améliorer la technologie et les services du Sous-traitant et de fournir ces services tels que décrits à la Section II.
3. garantir la confidentialité des données personnelles traitées dans le cadre du présent document ;
4. veiller à ce que les personnes autorisées à traiter les données personnelles en vertu du présent document :
- s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ;
- reçoivent la formation nécessaire en matière de protection des données personnelles.
5. prendre en compte, s'agissant de ses outils, produits, applications ou services, les principes de protection des données dès la conception et de protection des données par défaut.
6. Sous-traitants ultérieurs : le Responsable du traitement reconnaît et accepte le recours par le Sous-traitant aux sous-traitants ultérieurs suivants dans le cadre des Services :
| Sous-traitant ultérieur | Finalité | Localisation |
|---|---|---|
| Hetzner Online GmbH | Hébergement de production principal, bases de données, sauvegardes | Allemagne (UE) |
| Stripe, Inc. | Traitement des paiements et facturation | Irlande (UE) / États-Unis (CCT) |
| Spaceship / Spacemail | Envoi d'e-mails transactionnels et liés au compte | Union européenne |
| Google LLC (Workspace Marketplace, Analytics, OAuth) | Intégration avec Google Sheets/Workspace, analyse d'audience optionnelle, OAuth | États-Unis (CCT + Data Privacy Framework) |
| OpenAI, L.L.C. | Fonctionnalités de génération de contenu par IA (optionnelles, sur activation) | États-Unis (CCT) |
| Google Gemini (Google Cloud) | Fonctionnalités de génération de contenu par IA (optionnelles, sur activation) | États-Unis (CCT + Data Privacy Framework) |
Le Sous-traitant peut faire appel à des sous-traitants ultérieurs supplémentaires pour mener des activités de traitement spécifiques. Dans ce cas, il informe par écrit le Responsable du traitement au moins 30 jours à l'avance de tout changement envisagé concernant l'ajout ou le remplacement de sous-traitants ultérieurs. Cette notification précise les activités de traitement sous-traitées, le nom, la localisation et les coordonnées du nouveau sous-traitant ultérieur, ainsi que la date d'entrée en vigueur du nouveau contrat. Le Responsable du traitement peut s'opposer à ce changement dans un délai de 30 jours à compter de la réception de la notification.
Le Responsable du traitement dispose d'un délai minimum de 30 (trente) jours à compter de la date de réception de cette information pour formuler ses objections. La sous-traitance ultérieure ne peut être effectuée que si le Responsable du traitement n'a pas émis d'objection dans le délai convenu.
Le Sous-traitant ultérieur est tenu de respecter ces obligations pour le compte et selon les instructions du Responsable du traitement. Il appartient au Sous-traitant de s'assurer que le Sous-traitant ultérieur présente les mêmes garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du Règlement européen sur la protection des données.
Lorsque le Sous-traitant ultérieur ne remplit pas ses obligations en matière de protection des données, le Sous-traitant demeure pleinement responsable devant le Responsable du traitement de l'exécution par le Sous-traitant ultérieur de ses obligations.
7. Exercice des droits des personnes concernées : le Sous-traitant aide le Responsable du traitement, dans la mesure du possible, à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées : droit d'accès, de rectification, d'effacement et d'opposition, droit à la limitation du traitement, droit à la portabilité des données, droit de ne pas faire l'objet d'une décision individuelle automatisée (y compris le profilage).
Lorsque les personnes concernées adressent au Sous-traitant des demandes d'exercice de leurs droits, le Sous-traitant doit transmettre ces demandes dès réception par e-mail au Responsable du traitement.
8. Notification des violations de données personnelles : le Sous-traitant notifie au Responsable du traitement toute violation de données personnelles au plus tard 72 (soixante-douze) heures après en avoir pris connaissance, par e-mail. Cette notification est accompagnée de toute documentation utile afin de permettre au Responsable du traitement, si nécessaire, de notifier cette violation à l'autorité de contrôle compétente.
9. Assistance apportée par le Sous-traitant au Responsable du traitement dans le cadre du respect de ses obligations : le Sous-traitant aide le Responsable du traitement pour la réalisation d'analyses d'impact relatives à la protection des données et pour la consultation préalable de l'autorité de contrôle.
10. Mesures de sécurité : le Sous-traitant s'engage à mettre en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles contre tout traitement non autorisé ou illicite et contre la perte, la destruction, les dommages, l'altération ou la divulgation accidentels, notamment :
Suppression des données : au terme des Services relatifs au traitement de ces données, le Sous-traitant s'engage à détruire toutes les données personnelles au plus tard un mois après la fin des Services.
11. Registre des catégories d'activités de traitement : le Sous-traitant déclare tenir un registre écrit de toutes les catégories d'activités de traitement effectuées pour le compte du Responsable du traitement.
12. Documentation : le Sous-traitant met à la disposition du Responsable du traitement la documentation nécessaire pour démontrer le respect de toutes ses obligations et pour permettre la réalisation d'audits, y compris des inspections, par le Responsable du traitement ou tout autre auditeur qu'il a mandaté, et contribuer à ces audits.
Lors de ces audits, le Responsable du traitement ou l'auditeur qu'il a mandaté à cet effet n'est pas autorisé à accéder aux secrets d'affaires, aux informations stratégiques ou à toute information que le Sous-traitant s'est engagé à garder confidentielle. Le Sous-traitant est en droit de s'opposer à toute inspection et/ou vérification par le Responsable du traitement ou son auditeur susceptible de lui permettre d'accéder à de telles informations, sans que le Responsable du traitement puisse se prévaloir d'un quelconque droit à cet égard.
En tout état de cause, le Responsable du traitement veille à ce que l'auditeur et, plus généralement, son personnel réalisant ces audits soient soumis à des obligations de confidentialité appropriées.
1. Droit d'information et consentement des personnes concernées : il appartient au Responsable du traitement d'informer les personnes concernées des opérations de traitement au moment de la collecte des données. Plus précisément, dans la mesure où le Responsable du traitement n'a pas connaissance (i) des personnes concernées par l'opération de traitement, (ii) de l'éventuelle relation contractuelle entre le Responsable du traitement et les personnes concernées ni de la finalité du traitement des données et (iii) de la configuration décidée et réalisée par le Responsable du traitement, il appartient au Responsable du traitement de définir la base juridique appropriée du traitement.
Le cas échéant, le Responsable du traitement doit recueillir le consentement des personnes concernées au traitement.
2. Synchronisation des boîtes mail des salariés : il appartient au Responsable du traitement :
-- d'informer ses salariés que le Sous-traitant demandera l'accès à leurs boîtes mail afin de synchroniser les données des personnes concernées (via Google Connect).
-- de décider si l'acceptation de cette synchronisation est obligatoire ou non.
L'utilisation et le transfert par le sous-traitant des informations recueillies auprès des API Google sont conformes à la Politique relative aux données utilisateur des services d'API Google, y compris aux exigences d'utilisation limitée.
Le Responsable du traitement s'engage en outre à :
3.1 fournir au Sous-traitant les données mentionnées au point II du présent document ;
3.2 consigner par écrit toute instruction concernant le traitement des données par le Sous-traitant. Plus précisément, le Sous-traitant a développé une solution tenant compte des principes de protection des données dès la conception et, par défaut, la moins intrusive possible. D'autres configurations peuvent être ajoutées par le Responsable du traitement : il lui appartient de définir l'utilisation prévue et la configuration correspondante de la solution. Comme dans la situation indiquée précédemment, toute configuration réalisée par le Responsable du traitement est considérée comme une instruction du Responsable du traitement au Sous-traitant ;
3.3 veiller, au préalable et pendant toute la durée du traitement, au respect des obligations du Responsable du traitement prévues par le Règlement européen sur la protection des données ;
3.4 superviser le traitement, y compris la réalisation d'audits et d'inspections auprès du Sous-traitant.
Forfait gratuit disponible. Sans carte bancaire. Exportez vos leads avec e-mails et téléphones vérifiés.