Accord de sous-traitance des données (DPA)

Version 1.1 · En vigueur le 22 octobre 2026

Le présent accord de sous-traitance des données (en anglais « Data Processing Agreement », DPA) fixe, conformément à l'article 28 du règlement général sur la protection des données (RGPD), les conditions dans lesquelles l'éditeur traite des données personnelles pour le compte de ses clients. Social Manager est le nom commercial de Christophe SERPETTE, entrepreneur individuel (EI), SIREN 488 009 515, 3 rue Frédéric Chopin, 56400 Auray, France (ci-après « l'éditeur »).

Il fait partie du contrat du client, avec les conditions générales de vente (CGV), les conditions générales d'utilisation (CGU) et les conditions des intégrations. Pour la protection des données personnelles, il l'emporte sur ces documents ; l'ordre de priorité entre eux est fixé par les CGV (article 2). Le client l'accepte avant le premier accès à son espace.

1. Rôles

Le client est responsable du traitement des données personnelles contenues dans les contenus, les médias et les paramètres éditoriaux de son espace, et de celles des comptes de réseaux sociaux qu'il y connecte : il décide de ce qu'il y prépare, de ce qu'il connecte et de ce qu'il publie. L'éditeur est son sous-traitant : il ne traite ces données que pour fournir le service et selon les instructions du client.

Agences. Lorsqu'une agence prépare des contenus pour ses propres clients, ceux-ci sont responsables du traitement, l'agence est leur sous-traitant et l'éditeur intervient comme sous-traitant ultérieur de l'agence. L'agence garantit qu'elle a obtenu de ses clients l'autorisation de recourir à l'éditeur, et leur répercute les informations prévues par le présent accord. Dans ce cas, le « client » désigne l'agence, qui transmet à l'éditeur les instructions de ses propres clients.

L'éditeur est en revanche responsable du traitement, et non sous-traitant, pour les comptes des utilisateurs, l'authentification, la sécurité, les journaux techniques, l'inscription, l'abonnement, la facturation et la relation commerciale. Ces traitements sont décrits dans la politique de confidentialité.

2. Description du traitement

Les images sont réencodées à l'import : leurs métadonnées, dont la localisation, sont supprimées. Les métadonnées des vidéos et des documents PDF sont conservées telles que le client les fournit.

3. Instructions du client

L'éditeur traite les données sur instruction documentée du client. Le contrat et l'utilisation des fonctions du service par le client et ses utilisateurs, notamment la connexion d'un compte et la programmation d'une publication validée, valent instructions. Toute autre instruction est donnée par écrit, par le formulaire de contact.

L'éditeur informe immédiatement le client si une instruction lui paraît contraire au RGPD ou à une autre règle de protection des données. Il ne traite les données pour aucune autre finalité, sauf obligation légale ; il en informe alors le client, sauf si la loi l'interdit.

4. Obligations du client

Le client s'assure que les traitements qu'il réalise avec Social Manager sont licites : base juridique, information des personnes concernées, accord des personnes représentées lorsque la loi l'exige, respect de leurs droits. Il ne fait figurer dans son espace que les données nécessaires à ses publications.

5. Confidentialité

L'éditeur, entrepreneur individuel, réalise lui-même les traitements. Toute personne qu'il autoriserait à accéder aux données serait tenue à une obligation de confidentialité. L'éditeur n'accède aux données de l'espace du client que pour l'assistance que celui-ci demande, la sécurité du service ou une obligation légale.

6. Sécurité

Les mesures suivantes sont en place :

• Espaces séparés : chaque client dispose de son propre espace, avec sa base de données, ses fichiers, ses comptes et ses paramètres ; aucune donnée d'un espace n'est accessible depuis un autre ;
• Connexions : HTTPS imposé, en-têtes de sécurité stricts (politique de sécurité du contenu, interdiction de l'affichage dans un cadre tiers) ;
• Authentification : mots de passe enregistrés sous forme d'empreinte, jamais en clair ; tentatives de connexion limitées par identifiant et par adresse ; sessions qui expirent après 8 heures d'inactivité et 7 jours au plus ; cookie de session transmis uniquement en HTTPS et inaccessible aux scripts ;
• Formulaires : protection contre les requêtes frauduleuses provenant d'autres sites ;
• Contrôle d'accès : rôles administrateur et rédacteur ; chaque ressource demandée est vérifiée par le serveur, qui contrôle son rattachement au projet ; les tentatives d'accès à une ressource d'un autre projet sont refusées et journalisées ;
• Intégrations : connexion par la page d'autorisation officielle de chaque réseau, sans mot de passe ; jetons d'accès chiffrés avec une clé propre à l'espace du client, jamais affichés ni écrits dans les journaux, supprimés à la déconnexion ;
• Isolation sur le serveur : l'application s'exécute sous un compte système dédié, aux droits limités ; ses fichiers de configuration et ses secrets sont lisibles par ce seul compte et ne sont jamais versés dans le code source ;
• Médias : fichiers contrôlés à l'import (les documents PDF à contenu actif sont refusés), enregistrés sous un nom interne aléatoire, dans un espace de stockage privé, accessibles uniquement par des liens temporaires ;
• Journaux : aucun mot de passe ni cookie n'y est écrit ; un identifiant saisi lors d'une connexion échouée n'y figure que sous forme d'empreinte ;
• Sauvegardes : quotidiennes, chiffrées, de la base de données et des fichiers du serveur, conservées 30 jours (37 jours au plus pour les versions remplacées) ; la clé qui permet de les déchiffrer n'est pas conservée sur le serveur. Les fichiers d'origine des médias ne sont pas copiés dans ces sauvegardes : lorsqu'un fichier est remplacé ou supprimé, sa version précédente est conservée 30 jours par le service de stockage.

L'éditeur adapte ces mesures à l'évolution des risques et du service, sans en réduire le niveau.

7. Sous-traitants ultérieurs

Le client autorise l'éditeur à recourir aux sous-traitants ultérieurs suivants :

Leurs coordonnées figurent dans les mentions légales.

L'éditeur impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données conformes à l'article 28 du RGPD, et reste responsable envers le client de leur respect.

Ne sont pas des sous-traitants ultérieurs :

• les réseaux sociaux auxquels le client envoie ses publications : ils reçoivent les publications et les données des comptes connectés à la demande du client et les traitent sous leur propre responsabilité, selon leurs conditions ;
• Stripe, prestataire de paiement de l'éditeur : il ne traite aucune donnée de l'espace du client. Il traite les données de paiement et de facturation du client pour le compte de l'éditeur, qui en est responsable (article 1), et certaines de ces données pour ses propres finalités, comme la prévention de la fraude et le respect de ses obligations légales, en tant que responsable du traitement. Ces traitements sont décrits dans la politique de confidentialité.

Changement de sous-traitant ultérieur. L'éditeur informe le client par écrit au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur, notamment un hébergeur, en indiquant son nom et sa prestation. Le client peut s'y opposer, de façon motivée, pendant ce délai. Si aucune solution n'est trouvée, il peut résilier son contrat sans frais avant la date du changement.

8. Assistance au client

Droits des personnes. L'éditeur transmet au client, sans délai, toute demande d'une personne concernée qu'il reçoit au sujet des données de l'espace du client, sans y répondre lui-même sauf instruction du client. Le client peut rectifier ou supprimer lui-même les contenus, les médias, les projets et les comptes connectés depuis l'interface ; pour les autres opérations, l'éditeur l'aide sur demande, dans des délais qui permettent au client de respecter le délai légal de réponse.

Autres obligations. L'éditeur aide le client, compte tenu des informations dont il dispose, à assurer la sécurité du traitement, à réaliser une analyse d'impact et, le cas échéant, à consulter la CNIL.

9. Violation de données

L'éditeur notifie au client toute violation de données personnelles touchant son espace dans les 24 heures après en avoir pris connaissance, par écrit, auprès des administrateurs de son espace. La notification décrit, dans la mesure où ces informations sont connues : la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables et les mesures prises ou proposées. Les informations qui ne sont pas encore connues sont transmises dès qu'elles le sont.

Il appartient au client, responsable du traitement, de notifier la violation à la CNIL et d'informer les personnes concernées lorsque le RGPD l'exige ; l'éditeur l'y aide. Lorsque la violation touche des données reçues d'un réseau social, l'éditeur prévient aussi ce réseau dans les conditions des conditions des intégrations.

10. Fin du contrat

À la fin du contrat, l'éditeur cesse tout traitement, à l'exception de la conservation pendant la période de garde de 30 jours prévue par les CGV (article 13). Pendant cette période, le client peut demander une copie de ses contenus et des fichiers de ses médias. Les données reçues des réseaux sociaux sont supprimées dans les délais des conditions des intégrations (article 6).

À l'issue de cette période, l'éditeur supprime les données de l'espace. Elles peuvent subsister dans les sauvegardes chiffrées 37 jours au plus, puis sont effacées. Si une sauvegarde doit être restaurée dans l'intervalle, les suppressions intervenues depuis sa création sont appliquées de nouveau avant la remise en service. Sur demande, l'éditeur confirme la suppression par écrit. Seules sont conservées les données que la loi oblige l'éditeur à garder.

11. Documentation et audit

L'éditeur met à la disposition du client les informations nécessaires pour démontrer le respect du présent accord. Il tient le registre des catégories de traitements effectués pour le compte de ses clients.

Le client peut faire réaliser, une fois par an et à ses frais, un audit par un auditeur indépendant tenu à la confidentialité, en prévenant l'éditeur au moins 30 jours à l'avance. L'audit porte sur les seuls traitements du client et ne donne accès ni aux données des autres clients ni aux secrets de sécurité.

12. Modification et contact

Le présent accord peut être modifié dans les conditions prévues par les CGU (article 16). Le client peut poser toute question sur le traitement de ses données par le formulaire de contact.

Christophe SERPETTE — Social Manager
3 rue Frédéric Chopin, 56400 Auray, France

Historique