Contrat de traitement des données
Dernière mise à jour : 26 octobre 2026 · Version 2026-10
Ce contrat est conclu entre le cabinet qui l'accepte dans son espace privé (le Responsable) et Younes Sbai, NIF 08117733K, domicilié Calle Antonio Sedeño Cantos 4, 2.º D, 29640 Fuengirola (Málaga), España (le Sous-traitant), conformément à l'article 28 du Règlement (UE) 2016/679 (RGPD) et à la loi organique espagnole 3/2018 (LOPDGDD). Il fait partie des conditions d'utilisation et est accepté électroniquement : l'acceptation est enregistrée avec la date, la personne et la version.
1. Objet
Le Sous-traitant traite, pour le compte du Responsable, les données personnelles des personnes qui font le diagnostic d'immigration du Responsable, dans le seul but de fournir le service Arraigo Spain : afficher le diagnostic, recevoir et conserver les demandes de contact, prévenir le Responsable, envoyer à la personne son diagnostic quand elle le demande par email et permettre au Responsable de les gérer et de les suivre dans l'espace privé.
2. Durée
Tant que le Responsable utilise le service. À la fin, la clause 11 s'applique.
3. Données et personnes concernées
| Personnes concernées | Futurs clients du Responsable qui font le diagnostic ; membres de l'équipe du Responsable. |
|---|---|
| Identité et coordonnées | Prénom (s'il est indiqué), téléphone ou WhatsApp, email, langue. |
| Réponses au diagnostic | Nationalité, âge (par tranches), situation administrative et de résidence, dates d'arrivée ou de résidence, situation familiale, professionnelle, d'études ou financière (par tranches), objectif et délai. |
| Données de suivi | Statut du contact, notes internes, personne attribuée et historique des actions de l'équipe. |
| Données non collectées | Le diagnostic ne pose aucune question sur le casier judiciaire, les expulsions ou les procédures de sanction : il indique seulement, si la personne le signale, qu'il y a « un point à vérifier avec un professionnel ». Aucune donnée de santé ni autre catégorie particulière n'est collectée. |
4. Instructions du Responsable
Le Sous-traitant ne traite les données que sur instructions documentées du Responsable, c'est-à-dire celles de ce contrat et les réglages que le Responsable configure dans son espace. S'il estime qu'une instruction est contraire à la réglementation, il le signale immédiatement. Il n'utilise pas les données pour ses propres fins, ne les vend pas, ne les cède pas et ne les utilise ni pour entraîner des systèmes ni pour de la publicité. En particulier, il ne contacte pas les futurs clients du Responsable et ne leur propose aucun service, propre ou de tiers.
Le Sous-traitant n'accède pas à l'espace du Responsable, sauf si celui-ci autorise expressément un accès d'assistance, limité à 7 jours. Pendant cet accès, les coordonnées et les notes restent masquées et chaque visite est enregistrée et visible par le Responsable.
5. Confidentialité
Le Sous-traitant et toute personne travaillant pour lui ayant accès aux données sont tenus au secret, y compris après la fin du contrat.
6. Sécurité
Le Sous-traitant applique notamment les mesures suivantes (art. 32 RGPD) :
- Données hébergées dans l'Union européenne, chiffrées en transit (HTTPS/TLS) et au repos.
- Connexion par liens à usage unique valables 20 minutes ; sessions de 30 jours conservées seulement sous forme d'empreinte chiffrée et révoquées au retrait de l'accès.
- Séparation des données de chaque cabinet ; possibilité que chaque membre de l'équipe ne voie que ses contacts.
- Historique des actions de l'équipe sur chaque contact.
- Masquage des coordonnées des personnes qui n'ont pas consenti à être contactées.
- Accès à la base de données uniquement depuis le serveur, avec des clés de service jamais envoyées au navigateur.
7. Sous-traitants ultérieurs
Le Responsable autorise de façon générale l'intervention des sous-traitants suivants, avec lesquels le Sous-traitant a des contrats imposant des obligations équivalentes :
| Supabase | Base de données et fichiers. Serveurs dans l'Union européenne. |
|---|---|
| Vercel | Hébergement du site et des fonctions. Exécution configurée dans l'Union européenne (Francfort). |
| Resend | Envoi des emails. Envoi depuis l'Union européenne (Irlande). |
Le Sous-traitant informe le Responsable par email de tout changement de sous-traitant au moins 15 jours à l'avance ; le Responsable peut s'y opposer et, à défaut de solution, résilier sans frais. Lorsqu'un sous-traitant établi hors de l'Espace économique européen peut accéder aux données, le transfert repose sur le cadre de protection des données UE-États-Unis ou sur les clauses contractuelles types.
Ne sont pas des sous-traitants les services que le Responsable choisit d'utiliser avec ses clients (WhatsApp, son agenda, sa solution de paiement, sa messagerie).
8. Droits des personnes
Le Sous-traitant aide le Responsable à répondre aux demandes d'accès, de rectification, d'effacement, d'opposition, de limitation et de portabilité. Si une personne s'adresse au Sous-traitant, celui-ci transmet la demande au Responsable sans délai et au plus tard sous 5 jours ouvrés.
9. Violations de données
Le Sous-traitant notifie au Responsable toute violation de sécurité touchant ses données sans retard injustifié et au plus tard 48 heures après en avoir eu connaissance, avec les informations disponibles pour permettre au Responsable, le cas échéant, de la notifier à l'autorité de contrôle dans les 72 heures.
10. Coopération et audit
Le Sous-traitant met à la disposition du Responsable les informations nécessaires pour démontrer le respect de ce contrat et coopère aux analyses d'impact ou consultations préalables nécessaires. Les audits sont convenus avec un préavis raisonnable et à la charge de celui qui les demande.
11. Fin du traitement
À la fin du service, le Responsable dispose de 30 jours pour demander l'export de ses données. Passé ce délai, le Sous-traitant supprime les données et leurs copies dans un délai maximal de 90 jours supplémentaires, sauf obligation légale de les conserver bloquées.
12. Obligations du Responsable
Le Responsable garantit disposer d'une base légale pour le traitement, informe les personnes au moyen de la politique de confidentialité de son diagnostic (générée par le service avec ses informations), répond à leurs droits et décide de la durée de conservation des contacts dans son espace.