conditions générales · annexe 1

Accord de traitement des données

Version du 6 octobre 2026

Cet accord est l’annexe 1 des conditions générales de vente et d’utilisation (article 7.3). Il en fait partie et s’accepte avec elles. Il dit ce que Citence fait quand elle traite des données personnelles pour le compte d’un client, au sens de l’article 28 du RGPD. Les mots définis aux CGV (Éditeur, Client, Service) ont ici le même sens.

article 1Quand cet accord s’applique

1.1. Le Service est conçu pour traiter des données d’entreprises et de marques. Pour l’essentiel de ce qu’il fait, l’Éditeur agit comme responsable de traitement : comptes, facturation, lecture des sites par son robot, mesure des moteurs de réponse. Ces traitements sont décrits dans la politique de confidentialité et ne relèvent pas de cet accord.

1.2. Cet accord s’applique quand le Client confie au Service des données personnelles dont il est responsable, et seulement à elles :

• les journaux de serveur de son site que le Client fait importer pour mesurer le passage des robots des moteurs (une ligne de journal porte une adresse IP et un user-agent) ;
• toute autre donnée personnelle que le Client confierait exceptionnellement au Service, dans les limites de l’article 7.1 des CGV.

1.3. Pour ces données, le Client est responsable de traitement et l’Éditeur sous-traitant. L’annexe A décrit le traitement.

article 2Instructions

2.1. L’Éditeur ne traite ces données que sur instruction documentée du Client. Les instructions sont les CGV, cet accord et le paramétrage fait par le Client dans son espace. Une instruction nouvelle se donne par écrit.

2.2. Si une instruction lui paraît contraire au RGPD ou à une autre règle de protection des données, l’Éditeur en informe le Client sans délai et peut suspendre son exécution jusqu’à confirmation ou modification.

2.3. L’Éditeur ne traite pas ces données pour ses propres fins. Il n’en tire aucune observation, aucun classement, et ne les verse pas au corpus d’Observations de l’article 6 des CGV.

article 3Confidentialité et sécurité

3.1. Les personnes autorisées à traiter ces données sont tenues à la confidentialité. Aujourd’hui, seul l’Éditeur y a accès ; tout accès du personnel à un espace client est journalisé.

3.2. L’Éditeur met en œuvre les mesures de l’article 32 du RGPD décrites à l’annexe B, et les tient à jour. Il peut les faire évoluer sans en abaisser le niveau.

article 4Sous-traitants ultérieurs

4.1. Le Client autorise de façon générale le recours aux sous-traitants ultérieurs listés sur la page sous-traitants, qui dit pour chacun son rôle, sa localisation et la garantie qui encadre un transfert hors de l’Union européenne.

4.2. L’Éditeur informe le Client, par email à l’adresse de l’administrateur de son organisation, de tout ajout ou remplacement d’un sous-traitant ultérieur qui recevra ces données, au moins 30 jours avant. Le Client peut s’y opposer par écrit pendant ce délai, pour un motif lié à la protection des données. Si aucune solution n’est trouvée, le Client peut résilier sans pénalité la partie du Service concernée, avec effet avant le changement.

4.3. L’Éditeur impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles de cet accord, et reste responsable envers le Client de leur exécution.

article 5Transferts hors de l’Union européenne

Aucun transfert de ces données hors de l’Espace économique européen n’a lieu sans une garantie de l’article 45 ou 46 du RGPD : une décision d’adéquation, dont le cadre de protection des données UE–États-Unis pour un destinataire certifié, ou les clauses contractuelles types de la Commission européenne. La page sous-traitants dit la garantie de chaque destinataire.

article 6Assistance au Client

6.1. Droits des personnes. L’Éditeur transmet au Client, sans y répondre lui-même, toute demande d’une personne qui porte sur ces données, et l’aide à y répondre par des mesures techniques appropriées (extraction, effacement ciblé), dans un délai compatible avec celui d’un mois du Client.

6.2. Conformité. L’Éditeur aide le Client, sur demande et compte tenu des informations dont il dispose, à remplir ses obligations de sécurité, d’analyse d’impact et de consultation préalable (articles 32 à 36 du RGPD).

article 7Violation de données

L’Éditeur notifie au Client toute violation de ces données dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, par email à l’administrateur de son organisation. La notification contient ce que l’Éditeur sait à ce moment des éléments de l’article 33.3 du RGPD : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements, les conséquences probables, les mesures prises ou proposées, et un contact. Elle est complétée au fur et à mesure. Le Client décide de notifier l’autorité et les personnes.

article 8Durée, fin du traitement

8.1. Cet accord vit tant que l’Éditeur détient des données qu’il traite pour le Client.

8.2. Les données sont supprimées à l’expiration de leur durée de conservation (annexe A). À la fin de l’abonnement, ou à tout moment sur demande écrite du Client, l’Éditeur les supprime, ou les restitue dans un format structuré si le Client le demande avant leur suppression, dans les 30 jours. Leurs copies dans les sauvegardes chiffrées disparaissent à la rotation de celles-ci, au plus tard 13 mois après. L’Éditeur confirme la suppression par écrit sur demande.

article 9Démontrer la conformité, audit

9.1. L’Éditeur met à la disposition du Client les informations nécessaires pour démontrer le respect de cet accord : cet accord, la liste des sous-traitants ultérieurs, la description des mesures de sécurité, et les réponses à un questionnaire écrit raisonnable.

9.2. Si ces informations ne suffisent pas, le Client peut faire réaliser un audit, une fois par an au plus, par un auditeur indépendant tenu au secret, avec un préavis de 30 jours, à ses frais, sur pièces et à distance d’abord. Un audit ne donne accès ni aux données des autres clients ni aux secrets de sécurité de l’Éditeur.

article 10Obligations du Client

Le Client garantit qu’il dispose d’une base légale pour confier ces données au Service, et qu’il a informé les personnes concernées (par exemple, la politique de confidentialité de son site mentionne ses journaux de serveur et leur analyse). Il ne confie au Service aucune donnée sensible au sens de l’article 9 du RGPD.

article 11Responsabilité, droit applicable

La responsabilité de chaque Partie au titre de cet accord suit l’article 11 des CGV, sans préjudice de l’article 82 du RGPD envers les personnes concernées. Cet accord est régi par le droit français, comme les CGV. En cas de contradiction entre cet accord et les CGV sur la protection des données, cet accord prévaut.

Annexe A · Description du traitement

Annexe B · Mesures de sécurité

• Hébergement en France (Scaleway, Paris) ; chiffrement des échanges (TLS, HSTS) ; politique de sécurité du contenu stricte.
• Cloisonnement des données par organisation ; accès du personnel avec second facteur obligatoire, et journal des consultations.
• Jetons, codes et liens de connexion conservés sous forme hachée ; aucune donnée de carte bancaire chez l’Éditeur.
• Sauvegardes quotidiennes chiffrées, hors de la machine, sans droit de suppression depuis le serveur ; restauration testée chaque mois.
• Purge automatique quotidienne des données à leur durée de conservation, surveillée par un moniteur extérieur.
• Journaux techniques sans adresse email, adresses IP effacées à 30 jours.
• Procédure écrite de violation de données, exercée.

Annexe C · Sous-traitants ultérieurs

La liste à jour est publiée sur la page sous-traitants, avec la date de sa dernière modification.