Accord de traitement des données (RGPD, article 28)

Version du 27 octobre 2026.

Cet accord, conforme à l’article 28 du RGPD, encadre les traitements de données personnelles que Cibly (« le Sous-traitant ») réalise pour le compte de ses clients (« le Responsable de traitement »). Il fait partie intégrante des CGU et des CGV et s’applique dès l’inscription. Sous-traitant, prestataire du service Cibly : SAM'PARTNERS, SASU au capital de 21 000 €, RCS Nanterre 917 809 113, siège social : 176 avenue Charles de Gaulle, 92200 Neuilly-sur-Seine ; contact pour les données personnelles : rgpd@ciblyy.fr.

1. Objet et durée

Le Sous-traitant traite les données nécessaires au service Cibly (veille, pipeline commercial, relances, agenda, références, assistant IA) pendant toute la durée de l’abonnement, puis jusqu’à leur suppression. À la fin d’une offre, d’un essai ou d’un accès gratuit (offre de lancement), si le Responsable de traitement n’accepte pas de nouveau devis, les données sont conservées en lecture seule pendant quatre-vingt-dix (90) jours, afin de lui permettre de les consulter et de les exporter. Les administrateurs de son espace en sont informés par e-mail trente jours puis sept jours avant l’échéance. À l’échéance, les données sont supprimées après vérification par un administrateur de la plateforme ; le Responsable de traitement peut demander leur suppression immédiate à tout moment, depuis ses réglages ou à rgpd@ciblyy.fr.

2. Données et personnes concernées

• Personnes : utilisateurs du client, membres de son équipe commerciale, contacts chez les acheteurs et prospects saisis par le client ; interlocuteurs des clients du Responsable de traitement, cités dans ses références (nom, fonction, téléphone et adresse e-mail professionnels) ; signataires des attestations de bonne exécution déposées par le Responsable de traitement.
• Données : identité, fonction, coordonnées professionnelles, historique des échanges commerciaux, notes, documents de consultation déposés, références et attestations de bonne exécution. Les contacts des références et les attestations ne sont pas communiqués au sous-traitant ultérieur fournissant l’assistant d’intelligence artificielle.
• Aucune donnée sensible au sens de l’article 9 du RGPD ne doit être saisie dans Cibly.

3. Engagements du Sous-traitant

• Traiter les données uniquement sur instruction documentée du client, matérialisée par l’usage du service et ses réglages ; l’activation de l’assistant IA par un administrateur du client vaut instruction de lui confier les documents et données que le client y dépose.
• Garantir la confidentialité des personnes autorisées à traiter les données ; l’accès du support est soumis à un code temporaire généré par le client.
• Mettre en œuvre les mesures de sécurité décrites dans la politique de confidentialité : chiffrement des connexions et des jetons, cloisonnement des espaces, mots de passe hachés.
• Aider le client à répondre aux demandes d’exercice des droits (export, rectification, suppression).
• Notifier toute violation de données au client dans les meilleurs délais et au plus tard 48 heures après en avoir eu connaissance.
• À la fin du contrat, supprimer les données (le client peut les exporter avant, via l’API ou les exports) ; la suppression immédiate est aussi disponible dans Réglages. Lorsque le client n’accepte pas de devis, la fin du contrat intervient à l’issue de la période de conservation de quatre-vingt-dix (90) jours décrite à l’article 1. Les copies de sauvegarde sont effacées au plus tard trente (30) jours après la suppression, par rotation automatique des sauvegardes.
• Mettre à disposition les informations nécessaires pour démontrer le respect de ces obligations et permettre des audits raisonnables, à la charge du client, avec un préavis de 30 jours.

4. Sous-traitants ultérieurs

Le client est informé de tout ajout ou remplacement de sous-traitant ultérieur au moins 30 jours à l’avance et peut s’y opposer en résiliant. Stripe intervient en tant que responsable de traitement distinct pour les paiements, uniquement lorsque l’offre du client est payée par Stripe.

5. Transferts hors de l’Union européenne

Tout transfert hors de l’UE est encadré par des clauses contractuelles types de la Commission européenne ou une décision d’adéquation.