1. Objet
Le présent accord (« DPA ») constitue le contrat de sous-traitance prévu à l'article 28 du règlement (UE) 2016/679 (RGPD). Il s'applique dès la création d'un compte Reboundly et complète les CGU (articles 10 et 11) et la politique de confidentialité. En cas de contradiction sur le traitement des données de prospects, le DPA prévaut.
2. Parties et rôles
Responsable de traitement : l'utilisateur du Service, pour les données des prospects qu'il ajoute afin de les démarcher. C'est lui qui décide de les contacter et pourquoi.
Sous-traitant : l'éditeur du Service reboundly.app (voir les mentions légales), qui traite ces données uniquement pour fournir le Service (génération, envoi, détection des réponses, statistiques, conservation).
Les données du compte utilisateur (email de connexion, profil, facturation) relèvent d'un traitement distinct dont l'éditeur est responsable ; elles sont décrites dans la politique de confidentialité et ne sont pas l'objet du présent DPA.
3. Traitement confié
Objet : aider l'utilisateur à prospecter par email en BtoB.
Durée : celle du compte, et au plus trois ans sans réponse d'un prospect donné — durée annoncée dans la mention légale de chaque email.
Nature et finalité : stockage, génération de messages, envoi, réception des réponses sur une adresse dédiée à la campagne, enregistrement des événements d'envoi, arrêt des relances, désinscription.
Catégories de personnes : les prospects, contacts professionnels, que l'utilisateur inscrit dans le Service.
Catégories de données : identité (nom, prénom), email, entreprise, notes et contexte fournis par l'utilisateur, contenu des messages envoyés, événements techniques (envoyé, délivré, répondu, rejeté, signalé comme spam). Aucune donnée sensible n'est requise pour utiliser le Service ; l'utilisateur s'engage à n'en pas inscrire.
4. Instructions
Le sous-traitant ne traite les données que sur instruction documentée du responsable — c'est-à-dire l'usage du Service tel que configuré par l'utilisateur (ajout d'un prospect, lancement ou arrêt d'une campagne, suppression). Toute instruction illégale est refusée ; le sous-traitant en informe alors le responsable.
5. Confidentialité et sécurité
Les personnes autorisées à traiter les données sont tenues à une obligation de confidentialité. L'accès est cloisonné par compte au niveau de la base (Row Level Security). Les échanges avec le Service sont chiffrés (HTTPS). Les actions d'administration sur un compte sont journalisées.
6. Sous-traitants ultérieurs
Le responsable autorise le recours aux sous-traitants ultérieurs listés à l'article 11 des CGU et à l'article 5 de la politique de confidentialité : Vercel Inc. (hébergement), Supabase (base et authentification, UE), Resend (acheminement des emails), Anthropic (génération de texte). Stripe n'accède pas aux données de prospects.
Tout ajout ou remplacement est notifié par mise à jour de cette liste, avec un préavis permettant d'objecter. Le sous-traitant impose à ses sous-traitants ultérieurs des obligations au moins équivalentes au présent DPA.
7. Transferts hors Union européenne
Certains sous-traitants ultérieurs sont établis hors de l'UE (États‑Unis). Les transferts s'appuient sur les garanties du RGPD, notamment les clauses contractuelles types de la Commission européenne, et le cas échéant des mesures complémentaires.
8. Assistance
Le sous-traitant assiste le responsable pour répondre aux demandes des personnes concernées (accès, rectification, effacement, opposition) et pour toute notification à une autorité de contrôle, dans la mesure où ces demandes concernent des données traitées dans le Service. Un prospect qui répond « STOP » est désinscrit définitivement sans autre instruction.
9. Notification d'une violation
Le sous-traitant informe le responsable sans délai injustifié après avoir pris connaissance d'une violation de données personnelles le concernant, avec les informations dont il dispose pour permettre au responsable de notifier la CNIL et, le cas échéant, les personnes concernées.
10. Sort des données
À la suppression du compte, ou sur instruction, le sous-traitant efface les données de prospects ou les restitue au responsable (export depuis l'espace compte), sauf obligation légale de conservation. L'effacement des sauvegardes techniques suit le cycle habituel de celles-ci.
11. Audit
Le sous-traitant met à disposition les informations nécessaires pour démontrer le respect du présent DPA (documentation technique, politique de confidentialité, liste des sous-traitants). Un audit plus poussé peut être convenu par écrit, limité à ce qui est raisonnable au regard de la taille du Service, et sans mettre en cause la sécurité ou la confidentialité des autres utilisateurs.
12. Droit applicable
Le présent DPA est soumis au droit français. Les litiges relèvent des tribunaux français compétents, comme les CGU.
Le DPA s'accepte en créant un compte (case CGU). Pour une question : Mon compte → réglages, ou l'politique de confidentialité.