Accord de sous-traitance (DPA)
AGENCE THRIVE — dernière mise à jour : 1 septembre 2026
Le présent accord complète le contrat d'abonnement au service Cub.. Il vaut acte de sous-traitance au sens de l'article 28.3 du règlement (UE) 2016/679 (RGPD) et s'impose dès lors que le client dépose dans le service des données à caractère personnel.
En cas de contradiction avec les conditions générales de vente, le présent accord prévaut pour tout ce qui concerne les données personnelles.
1. Parties et rôles
- Responsable de traitement : le client, pour les données qu'il dépose dans le service — celles de ses propres clients, prospects, partenaires, salariés et correspondants.
- Sous-traitant : AGENCE THRIVE, Société par actions simplifiée au capital de 3 000 €, siège social 38 cours de l'Intendance, 33000 Bordeaux, France, SIREN 835 080 409.
Le sous-traitant traite ces données uniquement sur instruction documentée du responsable de traitement. L'utilisation du service et la configuration choisie par le client constituent ces instructions ; toute instruction particulière est formulée par écrit à info@mycub.fr.
Le sous-traitant informe le client s'il estime qu'une instruction constitue une violation du RGPD ou du droit national applicable.
2. Objet, durée, nature et finalité
Objet : l'hébergement et le traitement des données déposées par le client dans Cub., pour lui permettre d'utiliser les fonctions du service.
Durée : celle de l'abonnement, prolongée de la période de réversibilité de trente jours.
Nature des opérations : collecte, enregistrement, organisation, structuration, conservation, consultation, modification, extraction, transmission au sein de l'organisation du client, sauvegarde, effacement.
Finalité : fournir les fonctions de gestion d'activité souscrites — gestion de projets, suivi commercial, tâches, documents, comptabilité, échanges avec les clients du client, formulaires, portail client, signature électronique.
3. Personnes concernées et catégories de données
| Personnes concernées | Catégories de données |
|---|---|
| Utilisateurs désignés par le client | Identité, e-mail professionnel, rôle et permissions, journaux de connexion |
| Clients et prospects du client | Identité, coordonnées, fonction, entreprise, historique des échanges |
| Correspondants figurant dans les e-mails rattachés | Identité, coordonnées, contenu des messages et pièces jointes |
| Répondants aux formulaires publiés | Réponses fournies, pièces jointes, empreinte de l'adresse IP |
| Signataires de documents | Identité, horodatage, adresse IP, empreinte du document signé |
| Partenaires et fournisseurs du client | Identité, coordonnées, informations contractuelles |
Aucune catégorie particulière de données au sens de l'article 9 du RGPD n'est requise par le service. Si le client en dépose dans un champ libre, il lui appartient d'en apprécier la licéité et d'en informer les personnes concernées.
4. Obligations du sous-traitant
Le sous-traitant s'engage à :
- ne traiter les données que sur instruction documentée du client, y compris pour un transfert hors de l'Union européenne ;
- garantir que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité, contractuelle ou légale ;
- mettre en œuvre les mesures techniques et organisationnelles décrites sur la page Mesures de sécurité, conformément à l'article 32 ;
- respecter les conditions de l'article 6 du présent accord pour le recrutement d'un sous-traitant ultérieur ;
- aider le client, par des mesures techniques appropriées, à répondre aux demandes d'exercice des droits des personnes concernées — le service permet au client d'accéder, rectifier, exporter et supprimer lui-même les données ;
- aider le client à respecter ses obligations de sécurité, de notification de violation, d'analyse d'impact et de consultation préalable (articles 32 à 36), compte tenu de la nature du traitement et des informations dont il dispose ;
- supprimer ou renvoyer les données au terme du contrat, dans les conditions de l'article 8 ;
- mettre à disposition du client toute information nécessaire pour démontrer le respect des obligations de l'article 28, et permettre les audits prévus à l'article 9.
5. Notification d'une violation de données
Le sous-traitant notifie au client toute violation de données à caractère personnel dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par e-mail à l'adresse de contact renseignée au compte.
La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Les informations manquantes sont communiquées au fur et à mesure, sans retard indu.
La notification à l'autorité de contrôle et, le cas échéant, aux personnes concernées incombe au client en sa qualité de responsable de traitement ; le sous-traitant lui apporte l'assistance nécessaire.
6. Sous-traitants ultérieurs
Le client autorise de façon générale le recours à des sous-traitants ultérieurs. Leur liste, avec leur rôle et leur localisation, est publiée et tenue à jour sur la page Sous-traitants ultérieurs.
Toute addition ou remplacement est annoncé au client au moins trente jours avant sa prise d'effet. Le client peut s'y opposer pour un motif légitime tenant à la protection des données ; à défaut d'accord, il peut résilier l'abonnement sans pénalité, avec remboursement au prorata de la période payée d'avance.
Le sous-traitant impose à chaque sous-traitant ultérieur les mêmes obligations que celles du présent accord et demeure pleinement responsable de leur exécution.
7. Transferts hors Union européenne
Les données sont hébergées et traitées dans l'Union européenne.
Aucun transfert hors de l'Union n'est réalisé par le sous-traitant de sa propre initiative. Lorsqu'un utilisateur du client relie volontairement un service tiers depuis son compte, le transfert qui en résulte est encadré par les clauses contractuelles types de la Commission européenne adoptées par le prestataire concerné, et relève de l'instruction du client.
8. Sort des données en fin de contrat
À la cessation du contrat, quelle qu'en soit la cause, le client dispose de trente jours pour exporter ses données depuis le service.
Passé ce délai, les données sont supprimées des systèmes de production. Les copies présentes dans les sauvegardes disparaissent par rotation dans un délai maximal de trente jours supplémentaires. Le sous-traitant en atteste par écrit sur demande.
Font exception les données que le sous-traitant est tenu de conserver en vertu d'une obligation légale — notamment les pièces comptables, conservées dix ans — qui restent alors soumises aux mêmes garanties de confidentialité et de sécurité.
9. Audit
Le client peut, une fois par période de douze mois et à ses frais, vérifier le respect du présent accord. La demande est adressée par écrit avec un préavis de trente jours ; elle s'exerce d'abord par la communication de la documentation existante — description des mesures de sécurité, comptes rendus d'incident, attestations de l'hébergeur.
Si cette documentation ne suffit pas, un audit sur pièces ou sur site peut être conduit, aux heures ouvrées, sans perturber l'exploitation, par le client ou un auditeur indépendant soumis à confidentialité et n'étant pas un concurrent du sous-traitant.
10. Registre et point de contact
Le sous-traitant tient le registre des catégories d'activités de traitement effectuées pour le compte du client, prévu à l'article 30.2 du RGPD.
Point de contact unique pour toute question relative au présent accord : info@mycub.fr.
11. Responsabilité
La responsabilité de chaque partie s'apprécie selon l'article 82 du RGPD. Les limitations de responsabilité stipulées aux conditions générales de vente ne s'appliquent pas aux obligations issues du présent accord.
12. Modification
Le présent accord peut être mis à jour pour tenir compte d'une évolution réglementaire ou d'un changement d'organisation. Toute modification substantielle est portée à la connaissance du client trente jours avant sa prise d'effet.