Accord de sous-traitance (DPA)
Annexe RGPD aux CGV-U — Dernière mise à jour : 17 juin 2026 — Version 2026-06
Le présent accord de sous-traitance (ci-après le « DPA ») est conclu en application de l'article 28 du Règlement (UE) 2016/679 (RGPD). Il fait partie intégrante des Conditions Générales de Vente et d'Utilisation (« CGV-U ») et est accepté par le Client lors de la souscription. En cas de contradiction sur la protection des données personnelles, le présent DPA prévaut sur les CGV-U.
1. Parties et rôles
- Responsable du traitement : le Client (le professionnel qui publie un site via 1clic). Il détermine les finalités et les moyens du traitement des données de ses visiteurs.
- Sous-traitant : Teddy Steis, entrepreneur individuel exploitant sous le nom commercial Altitude Studio (service 1clic) — SIRET 848 474 060 00029, 10B rue de Fenouillet, 31140 Saint-Alban, France — ci-après « le Prestataire ». Il traite ces données pour le compte et sur instruction du Client.
Ce DPA ne concerne que les données des visiteurs des sites publiés par le Client (pour lesquelles le Prestataire est sous-traitant). Les données du Client lui-même (compte, entreprise, facturation, support), pour lesquelles le Prestataire est responsable de traitement, relèvent de la politique de confidentialité.
2. Description du traitement (art. 28.3)
| Objet | Hébergement et exploitation du site publié du Client, mesure d'audience first-party (sans cookie) et collecte des messages du formulaire de contact, pour le compte du Client. |
|---|---|
| Nature et finalité | Fourniture du service de site internet ; production de statistiques de fréquentation (onglet Performances) et transmission des demandes de contact (onglet Contacts) au Client. |
| Durée | Durée de l'abonnement du Client. À la fin du contrat, les données sont supprimées ou restituées (article 6). |
| Catégories de personnes | Visiteurs du site publié du Client (prospects, clients du Client). |
| Catégories de données | Données techniques de visite (page vue, horodatage, source/référent — sans cookie ni identifiant publicitaire) ; pour les formulaires de contact : nom, email, téléphone (facultatif), message, page d'origine. Aucune donnée sensible (art. 9 RGPD) n'est sollicitée. |
3. Instructions documentées
Le Prestataire traite les données uniquement sur instruction documentée du Client. Les présentes CGV-U et le DPA, ainsi que le paramétrage du site et l'usage du service par le Client, constituent ces instructions. Le Prestataire informe immédiatement le Client si une instruction lui paraît constituer une violation du RGPD ou d'une autre disposition applicable.
4. Obligations du Prestataire (sous-traitant)
- Confidentialité : le Prestataire veille à ce que les personnes autorisées à traiter les données s'engagent à la confidentialité.
- Sécurité (art. 32) : chiffrement en transit (HTTPS/TLS), hébergement au sein de l'Union européenne (serveur applicatif), pare-feu et protection anti-DDoS, sauvegardes chiffrées, contrôle des accès. Mesures techniques et organisationnelles appropriées au risque.
- Assistance aux droits des personnes : le Prestataire aide le Client, par des mesures techniques appropriées, à répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, opposition, etc., art. 12 à 22).
- Assistance sécurité / violations / AIPD : le Prestataire aide le Client à respecter ses obligations de sécurité (art. 32), de notification des violations (art. 33-34) et d'analyse d'impact (art. 35-36). Il notifie le Client sans délai injustifié après avoir pris connaissance d'une violation de données affectant les données traitées pour son compte.
- Sort des données : au choix du Client et à la fin du contrat, le Prestataire supprime ou restitue les données, et détruit les copies existantes, sauf obligation légale de conservation.
- Documentation et audits : le Prestataire met à la disposition du Client les informations nécessaires pour démontrer le respect de l'article 28, et permet la réalisation d'audits (y compris des inspections), dans des conditions raisonnables et proportionnées.
5. Sous-traitants ultérieurs
Le Client autorise le Prestataire à recourir aux sous-traitants ultérieurs suivants pour l'exécution du service. Le Prestataire leur impose, par contrat, les mêmes obligations de protection des données que celles du présent DPA (art. 28.4) :
| Sous-traitant ultérieur | Rôle | Localisation / transfert |
|---|---|---|
| Hetzner Online GmbH | Hébergement du serveur applicatif (table des visites, leads) | Allemagne (UE) |
| Cloudflare, Inc. | Diffusion (CDN), pare-feu et stockage des sites publiés (R2) | USA — Clauses Contractuelles Types (CCT) |
| OVH | Enregistrement de domaine et zone DNS | France (UE) |
| o2switch | Acheminement des emails transactionnels | France (UE) |
Le Prestataire informe le Client de tout changement prévu concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, laissant au Client la possibilité d'émettre des objections. La liste à jour figure dans la politique de confidentialité.
6. Transferts hors Union européenne
Les transferts vers des sous-traitants ultérieurs situés hors UE (Cloudflare, États-Unis) sont encadrés par les Clauses Contractuelles Types de la Commission européenne (décision 2021/914), assorties le cas échéant de mesures supplémentaires, conformément au chapitre V du RGPD.
7. Obligations du Client (responsable de traitement)
- Le Client garantit disposer d'une base légale et fournir des instructions licites pour le traitement des données de ses visiteurs.
- Le Client informe ses visiteurs du traitement dans sa propre politique de confidentialité / mentions légales. Mention type fournie : « Ce site utilise une mesure d'audience anonyme, sans cookie, opérée pour notre compte par notre prestataire Altitude Studio (1clic), agissant en qualité de sous-traitant ; les données ne sont pas partagées à des fins publicitaires. »
8. Responsabilité et droit applicable
Le présent DPA est soumis au droit français. La responsabilité des parties est régie par les CGV-U et par les dispositions impératives du RGPD. Chaque partie répond des dommages causés par le traitement lorsqu'elle n'a pas respecté les obligations du RGPD qui lui incombent spécifiquement (art. 82).
9. Contact
Pour toute question relative au présent DPA ou à la protection des données : [email protected].