Accord de sous-traitance (DPA) ScanLead

Version du 13 octobre 2026.

Préambule

Le présent Accord de sous-traitance (ci-après le « DPA ») complète les Conditions Générales d'Utilisation et de Vente de ScanLead (les « Conditions ») et s'applique de plein droit dès lors que l'Utilisateur (le « Client ») utilise le Service pour traiter des données à caractère personnel relatives à des tiers (par exemple, des visiteurs de salons professionnels dont il capture les coordonnées).

En cas de contradiction entre le présent DPA et les Conditions concernant le traitement des données à caractère personnel, le DPA prévaut.

Le présent DPA vise à mettre en oeuvre les exigences de l'article 28 du Règlement Général sur la Protection des Données 2016/679 (« RGPD »).

1. Parties

• Le Client : personne physique ou morale titulaire d'un compte ScanLead, agissant en qualité de responsable de traitement au sens de l'article 4.7 RGPD.
• Le Sous-traitant : Quantum Liquid LLC, société de droit du Wyoming, dont le siège social est situé 30 N Gould St, Sheridan, WY 82801, États-Unis d'Amérique, opérant le Service ScanLead, agissant en qualité de sous-traitant au sens de l'article 4.8 RGPD.

2. Objet, durée, nature et finalité du traitement

2.1 Objet

Le Sous-traitant traite des données à caractère personnel pour le compte du Client aux seules fins de fourniture du Service ScanLead, telles que définies dans les Conditions.

2.2 Durée

Le présent DPA prend effet à la date d'acceptation des Conditions par le Client et demeure en vigueur pendant toute la durée de l'Abonnement, augmentée des périodes de restitution et de suppression prévues à l'article 11.

2.3 Nature du traitement

Collecte, enregistrement, organisation, structuration, conservation, adaptation, extraction, consultation, communication par transmission, restriction, effacement, sauvegarde.

2.4 Finalité

Permettre au Client de capturer, stocker, organiser, exporter et synchroniser vers ses outils tiers (CRM, tableurs) des données de contact fournies par des personnes physiques rencontrées lors de salons professionnels.

3. Catégories de données et catégories de personnes concernées

3.1 Catégories de données

• Nom, prénom.
• Société et fonction.
• Adresse électronique professionnelle.
• Numéro de téléphone professionnel.
• Notes libres saisies par le Client.
• Photographies de cartes de visite.
• Horodatage et lieu (nom du salon) de la capture.

Aucune catégorie particulière de données au sens de l'article 9 RGPD n'est traitée. Le Client s'engage à ne pas introduire dans le Service de telles catégories.

3.2 Catégories de personnes concernées

• Visiteurs et exposants de salons professionnels.
• Contacts professionnels dont les coordonnées sont fournies au Client dans un cadre commercial ou institutionnel.

4. Obligations du Sous-traitant

Conformément à l'article 28.3 RGPD, le Sous-traitant s'engage à :

4.1 Instructions documentées

Traiter les données à caractère personnel uniquement sur instruction documentée du Client, y compris en ce qui concerne les transferts vers des pays tiers. Les Conditions, les paramètres du compte, l'utilisation de l'interface et les demandes formelles adressées à support@scanlead.io constituent des instructions documentées. Si une instruction constitue selon le Sous-traitant une violation du RGPD ou d'autres dispositions du droit de l'Union ou du droit d'un État membre, il en informe immédiatement le Client.

4.2 Confidentialité

Veiller à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité (contractuelle ou légale) et reçoivent la formation nécessaire.

4.3 Sécurité

Mettre en oeuvre les mesures techniques et organisationnelles décrites en Annexe II, conformément à l'article 32 RGPD.

4.4 Sous-traitants ultérieurs

Recourir à des sous-traitants ultérieurs uniquement dans les conditions de l'article 5 du présent DPA.

4.5 Assistance au Client

Assister le Client, par des mesures techniques et organisationnelles appropriées, dans :

• La réponse aux demandes d'exercice des droits des personnes concernées (articles 15 à 22 RGPD).
• Le respect des obligations en matière de sécurité, de notification de violation, d'analyse d'impact et de consultation préalable (articles 32 à 36 RGPD).

4.6 Notification de violation

Notifier au Client toute violation de données à caractère personnel dans les meilleurs délais, et au plus tard dans un délai de 72 heures suivant sa prise de connaissance, en fournissant toutes les informations utiles pour permettre au Client de respecter, le cas échéant, ses propres obligations de notification aux autorités de contrôle et aux personnes concernées.

4.7 Restitution ou suppression

À l'issue de la prestation, restituer ou supprimer les données selon l'article 11 du présent DPA.

4.8 Documentation et audits

Mettre à disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations de l'article 28 RGPD, et permettre la réalisation d'audits dans les conditions de l'article 8 du présent DPA.

5. Sous-traitants ultérieurs

5.1 Autorisation générale

Le Client autorise le Sous-traitant à recourir aux sous-traitants ultérieurs listés en Annexe I.

5.2 Nouveaux sous-traitants

Toute modification substantielle de la liste (ajout ou remplacement) est notifiée au Client au moins 30 jours avant sa mise en oeuvre. Le Client dispose d'un délai de 30 jours pour s'y opposer pour un motif légitime et raisonnable. En cas d'opposition, le Sous-traitant peut proposer une alternative, à défaut le Client peut résilier son Abonnement.

5.3 Obligations imposées aux sous-traitants ultérieurs

Le Sous-traitant conclut avec chaque sous-traitant ultérieur un contrat écrit lui imposant des obligations de protection des données équivalentes à celles du présent DPA. Il demeure pleinement responsable de l'exécution par le sous-traitant ultérieur de ses obligations.

6. Droits des personnes concernées

Le Sous-traitant met à disposition du Client des fonctionnalités permettant de répondre aux demandes des personnes concernées : accès, rectification, effacement, portabilité, limitation, opposition, et permet notamment l'export ou la suppression d'un Lead depuis l'interface.

Lorsqu'une personne concernée s'adresse directement au Sous-traitant, celui-ci transmet la demande au Client dans les meilleurs délais, sans y répondre lui-même sauf instruction contraire.

7. Transferts internationaux

7.1 Hébergement principal

L'application est hébergée par Vercel : elle s'exécute à Francfort (Allemagne), et les pages et fichiers statiques sont diffusés par son réseau mondial. La base de données principale (comptes, salons, Leads) est hébergée par Neon à Francfort (Allemagne). L'authentification des comptes et les sauvegardes quotidiennes de la base sont hébergées chez Supabase, dans l'Union européenne, à Paris (France).

7.2 Transferts vers les États-Unis

Le Sous-traitant est établi aux États-Unis. Les données traitées par le Sous-traitant lui-même (à des fins de support ou d'administration) et par certains sous-traitants ultérieurs (Vercel, Neon, Stripe, Resend, PostHog) font l'objet de transferts encadrés par les Clauses Contractuelles Types adoptées par la Commission européenne dans sa décision 2021/914 du 4 juin 2021, Module 2 (responsable à sous-traitant) ou Module 3 (sous-traitant à sous-traitant), incorporées par référence au présent DPA.

Les options suivantes sont réputées choisies dans les CCT :

• Clause 7 (clause d'ancrage) : applicable.
• Clause 9 : Option 2 (autorisation générale) avec préavis de 30 jours.
• Clause 11 : mécanisme de règlement des litiges par une autorité de contrôle et un tribunal européens, sans arbitrage.
• Clause 17 : droit applicable de la République d'Irlande.
• Clause 18 : juridiction des tribunaux d'Irlande.
• Annexe I.A : Client comme exportateur, Sous-traitant comme importateur.
• Annexe I.B : voir articles 2 et 3 du présent DPA.
• Annexe II : voir Annexe II du présent DPA.
• Annexe III : sous-traitants ultérieurs listés en Annexe I du présent DPA.

Une analyse de transfert (Transfer Impact Assessment) est disponible sur demande à support@scanlead.io.

8. Audit

Le Client peut, une fois par période de douze mois, à ses frais et sous préavis raisonnable d'au moins 30 jours, réaliser ou faire réaliser par un tiers indépendant tenu à la confidentialité un audit visant à vérifier le respect par le Sous-traitant des obligations du présent DPA.

Le Sous-traitant peut satisfaire à son obligation en fournissant les rapports d'audit ou certifications reconnues (SOC 2, ISO 27001) obtenus au titre de ses propres sous-traitants ou de son propre système d'information.

En cas d'audit sur site, celui-ci ne peut perturber les opérations du Sous-traitant. Les modalités précises (portée, calendrier, auditeur) sont convenues préalablement entre les Parties. Les autorités de contrôle compétentes disposent d'un droit d'accès direct dans les limites du RGPD.

9. Responsabilité

La responsabilité du Sous-traitant au titre du présent DPA est régie par les stipulations de l'article 10 des Conditions, sans que les limitations prévues ne fassent obstacle à la responsabilité solidaire prévue à l'article 82 RGPD à l'égard des personnes concernées.

10. Durée et résiliation

Le présent DPA reste en vigueur tant que le Sous-traitant traite des données à caractère personnel pour le compte du Client. Il prend fin automatiquement à l'issue de la relation contractuelle, sans préjudice des obligations de restitution et de suppression.

11. Restitution ou suppression à l'issue de la prestation

À la fin de la prestation, à savoir la clôture du compte du Client, le Sous-traitant :

• Rend disponible pendant 30 jours une fonctionnalité d'export au format CSV et XLSX permettant au Client de récupérer l'intégralité de ses données.
• Supprime définitivement les données au terme de ce délai, ainsi que les sauvegardes dans un délai maximum supplémentaire de 30 jours, sauf obligation légale de conservation.
• Fournit sur demande une attestation de suppression.

12. Notifications

Toute notification au titre du présent DPA est adressée à support@scanlead.io pour le Sous-traitant, et à l'adresse électronique associée au compte pour le Client.

13. Loi applicable et juridiction

Les stipulations des Conditions relatives à la loi applicable et à la juridiction s'appliquent au présent DPA. Les Clauses Contractuelles Types conservent leur propre régime.

Annexe I : sous-traitants ultérieurs autorisés

Annexe II : mesures techniques et organisationnelles de sécurité

II.1 Confidentialité

• Chiffrement des données en transit (TLS 1.2 minimum) et au repos (AES-256).
• Isolation des données entre Espaces de travail via Row Level Security dans Postgres.
• Authentification à deux facteurs disponible pour tous les comptes.
• Politique de mots de passe stricte, stockés sous forme de hachage salé.
• Contrôle d'accès basé sur les rôles pour le personnel du Sous-traitant.
• Engagements écrits de confidentialité pour toute personne ayant accès aux données.

II.2 Intégrité

• Contrôles d'intégrité applicatifs et journalisation.
• Revues de code obligatoires avant mise en production.
• Environnements de test isolés de la production.

II.3 Disponibilité et résilience

• Une sauvegarde complète de la base chaque jour, compressée, conservée 30 jours dans un stockage privé chez Supabase (Paris), puis effacée.
• Redondance de l'infrastructure d'hébergement.
• Plan de reprise d'activité documenté, objectif RTO de 24 heures.

II.4 Résilience et procédures de test

• Tests d'intrusion annuels.
• Analyse continue des vulnérabilités.

II.5 Gestion des incidents

• Procédure documentée de réponse aux incidents.
• Astreinte technique.
• Communication au Client sous 72 heures maximum en cas de violation.

II.6 Gouvernance

• Registre des activités de traitement conformément à l'article 30.2 RGPD.
• Politique interne de protection des données.
• Formation régulière du personnel.