SELVAMIO / Document de travail

Accord de traitement des données personnelles

Modèle contractuel, version 0.1 du 13 octobre 2026 — non signé, non publié, non applicable en l'état. À compléter et accepter uniquement pour les opérations dans lesquelles SELVAMIO agit réellement pour le compte d'un client. Ce document ne crée pas une chaîne de sous-traitance que les contrats du fournisseur ne permettraient pas d'établir.

Conditions préalables

L'accord fournisseur applicable à la marque blanche n'a pas été trouvé dans les sources publiques examinées. Sa politique de confidentialité décrit des traitements dont ITACWT est responsable ; elle ne remplace pas un accord article 28 pour les données clients. Les annexes ci-dessous doivent donc être complétées avec des preuves avant activation du présent modèle.

Le corps suivant est une proposition pour validation contractuelle. Les champs « à confirmer » ne doivent pas apparaître dans une version présentée comme acceptée ou opérationnelle.

1. Parties, objet et articulation

Le Client, identifié dans le devis, bon de commande ou annexe d'adhésion acceptée, est responsable des traitements qu'il détermine et confie à SELVAMIO. SELVAMIO, exploité par l'entrepreneur individuel identifié dans les mentions légales validées, est sous-traitant uniquement pour les opérations décrites à l'annexe A.

Si le Client intervient lui-même pour le compte d'un autre responsable, la chaîne, le mandat et les autorisations sont documentés avant tout traitement. Le Client ne peut, par une simple déclaration, accorder des droits qu'il n'a pas reçus.

Le présent accord complète le contrat commercial sans étendre les prestations vendues. Il prime pour les obligations de protection des données en cas de contradiction. Les garanties impératives et, le cas échéant, les clauses de transfert applicables conservent leur priorité. Les traitements propres à SELVAMIO — par exemple la gestion de ses devis, factures et obligations légales — relèvent de sa politique de confidentialité, et non des instructions du Client au titre du présent accord.

2. Description et durée des traitements

L'annexe A indique, pour chaque opération, son objet, sa durée, sa nature, ses finalités, les personnes concernées et les données traitées. Seules les fonctions et interventions effectivement souscrites et décrites sont couvertes.

L'accès autonome à un logiciel, une intervention de configuration et une assistance au compte peuvent entraîner des opérations différentes. Aucune catégorie de données sensibles, donnée pénale ou traitement à risque élevé n'est réputé autorisé par défaut. Leur éventuelle prise en charge nécessite une analyse et un accord adaptés avant envoi.

Les obligations de confidentialité et de protection se poursuivent aussi longtemps que des données demeurent sous le contrôle de SELVAMIO ou de ses sous-traitants, y compris pendant les opérations de sortie et les rétentions légalement justifiées.

3. Instructions et obligations du Client

Le Client documente les finalités, les données nécessaires, les destinataires et les opérations autorisées. Il s'assure de la licéité de ses instructions, de l'information des personnes et des bases légales appropriées. Il limite les données communiquées à ce qui est nécessaire et désigne ses interlocuteurs habilités. Ces obligations ne libèrent pas SELVAMIO de ses propres responsabilités.

Les instructions résultent du contrat et des annexes acceptés, des réglages effectués par les utilisateurs habilités dans le périmètre prévu, et des demandes écrites traçables. Une nouvelle finalité, un export hors périmètre ou un transfert international ne peut être déduit d'une autorisation générale d'assistance.

SELVAMIO traite les données exclusivement suivant ces instructions, y compris pour un transfert. Si une disposition applicable de l'Union européenne ou d'un État membre impose une opération différente, SELVAMIO en informe préalablement le Client, sauf interdiction légale. Il informe immédiatement le Client d'une instruction qui lui paraît contraire au droit de la protection des données. L'opération concernée est suspendue le temps d'obtenir une instruction licite ou une clarification, en limitant les conséquences aux fonctions en cause lorsque cela est possible.

4. Confidentialité et accès d'assistance

SELVAMIO limite l'accès aux personnes habilitées qui en ont besoin pour la mission ; ces personnes sont tenues à la confidentialité par un engagement ou une obligation légale appropriée. Les droits d'accès sont proportionnés et retirés lorsqu'ils ne sont plus nécessaires.

Une intervention dans le compte du Client repose sur une demande documentée, ou sur un autre cas précisément autorisé par le contrat et justifié par la protection du service. Le périmètre, l'acteur, la date et les opérations doivent être traçables dans la mesure techniquement disponible, complétée par un journal d'intervention maîtrisé par SELVAMIO. Les copies locales et captures sont évitées ou réduites au strict besoin. Aucun accès général permanent aux contenus n'est réputé consenti par la seule souscription.

Les possibilités de journalisation et de restriction propres à Systeme.io doivent être validées à l'annexe B. Ce modèle ne prétend pas modifier les habilitations du logiciel tiers.

5. Sécurité

SELVAMIO applique des mesures techniques et organisationnelles adaptées à la nature des traitements et aux risques pour les personnes. L'annexe B distingue les mesures effectivement vérifiées, les engagements contractuels des prestataires et les contrôles à réaliser. Elle couvre notamment accès, authentification, confidentialité, intégrité, disponibilité, gestion des incidents, sauvegarde/restauration et examen de l'efficacité des mesures.

Une évolution technique peut remplacer une mesure par une protection adaptée au risque ; elle ne doit pas réduire silencieusement la protection convenue. Aucun niveau de disponibilité, délai de restauration ou certification n'est réputé garanti sans engagement exprès et preuve correspondante. L'absence de garantie absolue n'exclut pas les obligations de sécurité applicables.

6. Autres sous-traitants

Option retenue pour ce modèle : autorisation spécifique écrite préalable. Seuls les prestataires identifiés et expressément autorisés dans l'annexe C pourront être engagés comme sous-traitants ultérieurs pour les opérations visées. Toute autre organisation intervenant pour ses propres finalités est qualifiée séparément et ne doit pas être ajoutée artificiellement à cette liste.

Avant un ajout ou un remplacement, SELVAMIO communique au Client l'identité, les activités confiées, les lieux pertinents et les garanties. L'opération nouvelle ne débute pas sans l'autorisation requise. Une éventuelle autorisation générale et sa procédure d'information/opposition devront faire l'objet d'un choix exprès et d'une rédaction spécifique acceptée ; elles ne sont pas présumées par le présent brouillon.

SELVAMIO impose contractuellement aux sous-traitants ultérieurs les obligations de protection nécessaires pour les activités confiées. Il demeure responsable envers le Client de l'exécution de ces obligations par ses sous-traitants ultérieurs. Les documents de la chaîne doivent être obtenus avant de promettre cette organisation au Client.

7. Transferts internationaux

Les lieux d'hébergement, d'accès d'assistance et autres transferts pertinents sont détaillés dans l'annexe C. Tout transfert hors Espace économique européen doit respecter les instructions et le chapitre V du RGPD. Le mécanisme retenu, son champ et les mesures complémentaires nécessaires sont documentés avant le transfert.

Une mention commerciale « hébergé en Europe » ne démontre pas l'absence d'accès depuis un pays tiers. La seule existence de clauses types chez un fournisseur ne prouve pas qu'elles sont acceptées, adaptées ou suffisantes pour le flux concerné. Les demandes d'accès d'autorités et les conflits de lois sont traités selon les garanties applicables, avec information du Client lorsque la loi le permet.

8. Assistance aux droits et à la conformité

SELVAMIO transmet sans retard indu au Client une demande reçue concernant un traitement effectué pour son compte. Il ne divulgue ni n'efface les données de sa propre initiative, sauf instruction ou obligation légale applicable. Il aide le Client, par les moyens appropriés disponibles et compte tenu de la nature du traitement, à traiter les demandes d'accès, rectification, limitation, opposition, effacement et portabilité.

SELVAMIO apporte l'assistance requise pour la sécurité, la gestion des violations, les analyses d'impact et les consultations préalables, compte tenu des informations dont il dispose. Les contacts, informations nécessaires et modalités d'escalade sont définis à l'annexe D.

Les prestations techniques supplémentaires peuvent être chiffrées lorsqu'elles sont distinctes des obligations dues ; une discussion de prix ne doit pas faire obstacle à une assistance impérative ni retarder indûment une réponse légale. Aucun délai fournisseur non confirmé n'est présenté comme déjà garanti.

9. Violations de données

Lorsqu'il prend connaissance d'une violation touchant les données confiées, SELVAMIO en informe le Client dans les meilleurs délais, sans attendre d'avoir terminé l'enquête. L'information disponible comprend la nature de l'incident, les catégories et volumes approximatifs concernés s'ils sont connus, les conséquences probables, les mesures prises ou proposées et le point de contact. Elle est complétée progressivement si nécessaire.

Le délai légal de notification à l'autorité applicable au responsable du traitement ne devient pas un délai d'attente accordé au sous-traitant. Le Client prend les décisions de notification qui lui incombent ; SELVAMIO conserve les éléments utiles et coopère. Chacun traite les obligations relevant de ses propres traitements. La communication à des tiers et les mesures de confinement doivent limiter la divulgation supplémentaire de données.

10. Restitution, suppression et sauvegardes

Au terme des services de traitement, le Client choisit la restitution ou la suppression des données confiées ; les copies existantes sont supprimées sauf conservation imposée par un droit de l'Union ou d'un État membre. Les modalités exécutables sont arrêtées dans l'annexe E avant prise d'effet : inventaire, formats, canal sécurisé, vérification, échéances, traitement des copies et sauvegardes, preuve d'achèvement.

Une conservation légalement imposée doit être isolée, limitée aux données et à la durée nécessaires, avec accès restreint et sans réutilisation incompatible. Les sauvegardes résiduelles suivent un cycle documenté et protégé ; elles ne justifient pas une rétention indéfinie. Une restauration doit réappliquer les suppressions pertinentes.

Le présent accord ne promet pas la remise d'un code source tiers ni la reconstruction d'un service. Il ne réduit pas les droits de sortie applicables, notamment ceux du Data Act lorsque le service est dans son champ. Les éventuels services de migration personnalisée sont distingués des opérations légalement dues. L'incertitude sur les capacités du fournisseur est un point à résoudre avant engagement, pas une renonciation du Client à ses droits.

11. Informations, contrôles et audits

SELVAMIO tient à disposition les informations nécessaires pour démontrer le respect du présent accord et contribue aux audits, y compris inspections, du Client ou de son auditeur mandaté. Les modalités pratiques protègent les données des autres clients, la confidentialité et la sécurité du service, sans neutraliser le droit d'audit ni celui de l'autorité compétente.

Les preuves documentaires existantes peuvent être examinées en premier ; elles ne remplacent pas automatiquement toute inspection nécessaire. Le préavis, le périmètre, les modalités d'accès et les éventuels coûts proportionnés doivent être convenus selon le besoin. Aucune limitation de fréquence ou facturation ne doit empêcher un contrôle justifié par un incident, une obligation légale ou des indices sérieux de non-conformité.

12. Responsabilités, évolution et acceptation

Chacun répond des obligations qui lui incombent selon son rôle et les textes applicables. Le contrat commercial ne peut supprimer les droits des personnes ni les pouvoirs des autorités. Aucun plafond de responsabilité spécifique au traitement n'est arrêté dans ce modèle : son articulation avec les CGV et les responsabilités impératives nécessite une validation juridique.

Les modifications du périmètre, des rôles ou de la chaîne de prestataires sont documentées avant leur mise en œuvre. L'accord est accepté par écrit, y compris électroniquement, avec conservation de sa version et de ses annexes. Un lien de pied de page ou une case non reliée au contrat ne constitue pas à lui seul la preuve de cette acceptation.

Annexe A — Description des opérations à compléter par client

Annexe B — Mesures et preuves

Annexe C — Chaîne de prestataires et transferts

Aucun sous-traitant ultérieur n'est autorisé par ce tableau préparatoire. Pour chaque acteur retenu, compléter : entité légale ; activité ; rôle ; catégories de données ; pays de stockage et d'accès ; contrat/DPA et version ; sous-traitants ; mécanisme de transfert et analyse ; mesures supplémentaires ; date/preuve d'autorisation du Client.

Candidats à qualifier d'après les flux : ITACWT/Systeme.io, services AWS, Google Workspace et autres destinataires techniques. Le flux Sentry et Google Fonts doit être rattaché à un acteur et une finalité ; leur présence ne suffit pas à conclure qu'ils sont sous-traitants ultérieurs de SELVAMIO.

Annexe D — Canaux et coopération

Annexe E — Sortie

Sources de validation

RGPD, articles 28 à 36, consulté le 13 octobre 2026. Documents internes associés : registre des traitements, procédure de sortie, politique de sécurité, procédure incidents et ../research/provider-sources.md. Le modèle constitue une proposition originale à rapprocher de ces sources et des contrats effectifs ; il ne reprend pas les conditions commerciales du fournisseur.