Annexe de sous-traitance des données personnelles
Dernière mise à jour : 2026-10-03
Cette annexe fait partie intégrante des conditions générales d’utilisation et vaut accord de sous-traitance au sens de l’article 28 du règlement (UE) 2016/679. Elle s’applique dès la création de votre compte, sans démarche de votre part.
1. Qui est quoi
Vous êtes responsable de traitement : ce sont vos clients, vos chantiers, vos salariés, et vous décidez seul de ce que vous en faites. Nous sommes sous-traitant : nous traitons ces données pour votre compte, sur vos instructions, et pour le seul fonctionnement du service.
Nous restons en revanche responsable de traitement pour ce qui nous appartient en propre : votre compte d’abonné, la facturation du service, la sécurité de la plateforme et les échanges avec notre support. Ces traitements-là sont décrits dans la politique de confidentialité.
2. Ce qui est traité, et pour qui
- Objet : l’hébergement et le traitement des données que vous saisissez ou déposez dans Mevio360.
- Durée : celle de votre compte, puis les soixante jours de récupération prévus à l’article 13 des CGU.
- Nature et finalité : établir vos devis et vos factures, suivre vos chantiers, communiquer avec vos clients, publier votre site et vos contenus.
- Catégories de personnes : vos clients et prospects, vos salariés et sous-traitants, les visiteurs de votre site vitrine.
- Catégories de données : identité et coordonnées, adresses de chantier, documents commerciaux et comptables, photos de chantier, heures pointées, échanges. Aucune donnée de géolocalisation n’est collectée. Le service n’est pas conçu pour recevoir des données sensibles au sens de l’article 9, et vous vous engagez à ne pas en déposer.
3. Nos engagements
- Ne traiter vos données que sur vos instructions documentées, dont les présentes conditions font partie, sauf obligation légale, auquel cas nous vous en informons à moins que la loi ne l’interdise.
- Ne jamais les utiliser pour notre compte : ni revente, ni prospection, ni entraînement d’un modèle d’intelligence artificielle.
- Soumettre à une obligation de confidentialité toute personne autorisée à y accéder.
- Vous aider à répondre aux demandes d’exercice de droits et à vos propres obligations de sécurité, de notification de violation et d’analyse d’impact, compte tenu de la nature du traitement et des informations dont nous disposons.
- Vous notifier toute violation de données vous concernant dans les meilleurs délais après en avoir pris connaissance, avec ce que nous en savons.
- Mettre à votre disposition ce qui est nécessaire pour démontrer le respect de l’article 28 et permettre un audit, y compris une inspection, sur demande raisonnable et sans compromettre la sécurité des autres clients.
4. Sécurité
Les mesures effectivement en place, et rien d’autre : cloisonnement strict des entreprises au niveau de la base de données, mots de passe hachés (Argon2id), limitation des tentatives de connexion, journal fiscal inaltérable, jetons d’intégration chiffrés en base, chiffrement des échanges en transit (TLS) et chiffrement des sauvegardes avant leur départ hors site, sur deux destinations indépendantes, avec un exercice de restauration effectué.
Ce qui n’est pas en place, et que nous préférons écrire : le volume de stockage de la machine de production n’est pas chiffré au repos.
5. Sous-traitants ultérieurs
Vous autorisez de façon générale le recours aux sous-traitants ultérieurs listés ci-dessous. Toute addition ou remplacement vous sera annoncé au moins 30 jours à l’avance, délai pendant lequel vous pouvez vous y opposer et, à défaut d’accord, résilier sans frais.
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| OVH SAS | Hébergement des serveurs et des sauvegardes | France |
| IONOS SARL | Seconde destination de sauvegarde, chiffrée | Allemagne |
| Brevo (Sendinblue SAS) | Envoi des courriels et des SMS | France |
| Anthropic PBC | Génération de contenus et lecture de vos notes de chantier photographiées, sur votre demande | États-Unis, clauses contractuelles types |
| Functional Software (Sentry) | Supervision des erreurs techniques | États-Unis, clauses contractuelles types |
| Telegram FZ-LLC | Alertes techniques d’exploitation | Émirats arabes unis, clauses contractuelles types |
| Stripe Payments Europe | Paiement des abonnements, le jour où il sera activé | Irlande |
| Meta, LinkedIn | Publication de vos contenus, uniquement si vous raccordez ces comptes | Irlande, clauses contractuelles types |
6. Transferts hors Union européenne
Vos données de gestion sont hébergées en France. Les transferts hors Union européenne se limitent aux sous-traitants signalés comme tels dans le tableau ci-dessus, et sont encadrés par les clauses contractuelles types de la Commission européenne.
7. Sort des données à la fin
À la fermeture de votre compte, vos données restent récupérables pendant 60 jours, puis sont supprimées. Les documents de facturation sont conservés au-delà, sans accès en ligne, pour la seule durée des obligations légales de conservation comptable, portée à dix ans par l’article 36 de la loi n° 2026-534 du 25 juin 2026.
8. Contact
Pour toute question relative à cette annexe, à un exercice de droits ou à un audit : contact@fabricadigitalis.fr.