Accord de traitement des données (ATD)

Version : 1.0 · Date d'entrée en vigueur : 2026-08-18 · RGPD article 28

Entre le Client (responsable du traitement) et TriStiX S.L. (TVA ESB26925016), Avenida Maisonnave 41, 3º H, 03003 Alicante/Alacant, Espagne (sous-traitant, exploitant la plateforme TraXmark®).

1. Objet et durée

Le traitement est limité à la fourniture du Service TraXmark et dure pendant toute la durée de l'abonnement.

2. Nature et finalité du traitement

Traitement des signaux d'engagement (ouvertures, clics, réponses), de l'analytique documentaire et des métadonnées associées, strictement aux fins d'exploiter le Service pour le Client.

3. Catégories de personnes concernées et de données personnelles

Personnes concernées : contacts et utilisateurs du Client. Données personnelles : identifiants de contact, télémétrie d'engagement pseudonymisée, données d'interaction documentaire.

4. Obligations du sous-traitant (art. 28.3)

Le Sous-traitant :

• traite les données personnelles uniquement sur instructions documentées du Client ;
• garantit la confidentialité des personnes autorisées à traiter ;
• met en œuvre les mesures de sécurité techniques et organisationnelles appropriées (voir Annexe II) ;
• ne recourt pas à des sous-traitants ultérieurs sans information préalable et droit d'objection du Client ;
• assiste le Client pour les demandes des personnes concernées (art. 12–22) ;
• supprime ou restitue les données personnelles à l'issue du contrat, selon le choix du Client ;
• met à disposition les informations nécessaires pour démontrer la conformité et permettre des audits.

5. Mesures de sécurité (synthèse de l'Annexe II)

Chiffrement en transit (TLS 1.2+) et au repos ; chiffrement enveloppe (AES-256-GCM) des identifiants ; isolation des locataires au niveau des lignes (RLS) ; journaux d'audit immuables ; MFA pour les accès administratifs ; pseudonymisation des IP/user-agents dès l'ingestion.

6. Sous-traitants ultérieurs

La liste actuelle des sous-traitants ultérieurs est fournie sur demande. Le Client peut s'opposer aux modifications ; le traitement avec le sous-traitant contesté est alors cessé pour ce Client.

7. Transferts internationaux

Les données sont hébergées dans l'UE. Tout transfert hors EEE s'appuie sur des clauses contractuelles types (CCT) et des mesures supplémentaires.

8. Droits des personnes concernées

Le Sous-traitant informe le Client sans délai indu dès réception d'une demande d'une personne concernée et l'assiste dans son traitement.

9. Notification de violation

Le Sous-traitant notifie le Client sans délai indu (au plus tard sous 72 heures) après avoir pris connaissance d'une violation de données personnelles, avec les détails connus et les mesures correctives.

10. Responsabilité et audit

La responsabilité au titre du présent Accord suit le contrat principal et le droit applicable. Le Client peut auditer la conformité au moyen de la documentation et, si strictement nécessaire et convenu, par des audits sur site.