Accord de sous-traitance des données

Mise à jour : 25 octobre 2026. Article 28 du règlement général sur la protection des données (RGPD).

Cet accord fait partie des conditions générales. Il s'applique aux données personnelles que ADWEB CONSEIL (« le sous-traitant ») traite pour le compte du client (« le responsable de traitement ») lorsque celui-ci mesure l'audience de ses sites avec KPI-Suite. Il est accepté en créant un compte ; une version signée peut être demandée à mpelletier@adweb-conseil.com.

1. Description du traitement

Objet et finalité: Mesure d'audience des sites du client et présentation de statistiques, à l'exclusion de toute autre finalité (pas de publicité, pas de revente, pas de recoupement entre clients).
Personnes concernées: Les visiteurs des sites du client.
Données: Pages vues, événements et objectifs mesurés ; provenance ; type d'appareil, système, navigateur, taille d'écran, langue ; pays, région et ville déduits de l'adresse IP. L'adresse IP n'est pas enregistrée ; les visites d'une journée sont reliées par un identifiant pseudonyme qui change chaque jour.
Durée: Celle de l'abonnement. Les données brutes sont conservées 25 mois par défaut, durée réglable par le client dans les réglages de chaque site.

2. Obligations du sous-traitant

ne traiter les données que sur les instructions documentées du client, que constituent ces conditions et les réglages qu'il choisit dans l'application ; l'informer si une instruction lui paraît contraire au RGPD ;
garantir la confidentialité : seules les personnes qui en ont besoin y accèdent, et elles sont tenues au secret ;
mettre en œuvre des mesures de sécurité adaptées (article 32) : chiffrement des échanges (HTTPS), absence de stockage de l'adresse IP, pseudonymisation quotidienne, contrôle d'accès par compte et par site, double authentification proposée, sauvegardes, journal des actions d'administration ;
aider le client à répondre aux demandes des personnes : l'application permet de retrouver, d'exporter et de supprimer les visites d'un visiteur ;
notifier au client toute violation de données le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles à sa propre notification ;
aider le client, sur demande, pour une analyse d'impact ou une consultation de la CNIL ;
mettre à sa disposition les informations nécessaires pour démontrer le respect de cet accord, et permettre un audit raisonnable, annoncé 30 jours à l'avance, à ses frais.

3. Sous-traitants ultérieurs

Le client autorise le recours aux sous-traitants suivants :

O2SWITCH : Hébergement de l'application et de la base de données. Données : Clermont-Ferrand (France).
Brevo SAS (Paris) : Envoi des e-mails du service (confirmation, mot de passe, invitations, alertes). Données : Union européenne.
Stripe Payments Europe, Limited : Paiement et facturation des abonnements. Données : Union européenne (Irlande) ; transferts encadrés par les clauses contractuelles types.

Tout ajout ou remplacement est annoncé au client par e-mail au moins 30 jours avant ; le client peut s'y opposer et, à défaut d'accord, résilier sans frais. Chaque sous-traitant ultérieur est tenu par écrit aux mêmes obligations. Les données de visite sont hébergées en France ; aucun transfert hors de l'Union européenne n'est fait sans les garanties prévues par le RGPD.

4. Obligations du client

Le client définit les finalités, informe les visiteurs de ses sites, recueille leur consentement lorsque c'est nécessaire (le mode consentement de KPI-Suite le permet), et n'envoie pas de données identifiant directement une personne dans les adresses de pages ou les événements.

5. Fin du traitement

À la suppression d'un site ou du compte, les données de visite correspondantes sont supprimées immédiatement ; le client peut auparavant exporter ses rapports. Après la fin de l'abonnement, il garde l'accès à ses statistiques et peut les supprimer à tout moment. Les copies de sauvegarde disparaissent au fil de leur rotation.