Article 28 du règlement (UE) 2016/679 (RGPD). Version 1.0, 7 novembre 2026. Cet accord complète les conditions générales de vente et s'applique dès qu'un client commande un service d'hébergement ou de maintenance. Télécharger en PDF.
Le responsable de traitement : le client professionnel qui a signé un devis ou passé une commande d'hébergement, de maintenance ou de gestion de site, ci-après « le client ». Les données du client sont celles des visiteurs, clients, adhérents ou salariés qu'il collecte au moyen de son site ou de ses boîtes e-mail.
1. Objet et durée
Le présent accord définit les conditions dans lesquelles l'agence traite des données à caractère personnel pour le compte du client, dans le cadre des prestations commandées. Il s'applique pendant toute la durée de ces prestations et jusqu'à la restitution ou la suppression des données (article 9). Il est accepté par la signature du devis ou de la commande, qui renvoie aux conditions générales de vente.
2. Rôles des parties
Pour les données contenues dans le site, la base de données et les boîtes e-mail du client, le client est responsable de traitement et l'agence est son sous-traitant. L'agence agit uniquement sur instruction documentée du client : le devis, la commande, les demandes adressées par ticket ou par e-mail, et le présent accord.
Pour ses propres besoins (facturation, relation commerciale, comptes de l'Espace Kaolin, sécurité de ses services), l'agence est responsable de traitement ; ces traitements relèvent des mentions légales et non du présent accord.
3. Description du traitement
Finalité : héberger le site et les e-mails du client, les sauvegarder, les maintenir et les sécuriser, selon la formule commandée.
Nature des opérations : stockage, sauvegarde, transmission, consultation ponctuelle lors d'une intervention technique, restauration, suppression.
Catégories de personnes : visiteurs du site, clients et prospects du client, adhérents, salariés, correspondants par e-mail.
Catégories de données : identité et coordonnées, contenus de formulaires et de messages, données de connexion (adresse IP, journaux), données de comptes éventuels. Le client s'engage à ne pas faire héberger de données de santé, de données relatives à des condamnations pénales ni d'autres catégories particulières au sens de l'article 9 du RGPD sans accord écrit préalable de l'agence.
Durée : celle du contrat d'hébergement, puis le délai de l'article 9.
4. Obligations de l'agence
L'agence s'engage à :
traiter les données uniquement pour la finalité décrite et selon les instructions du client ; si elle estime qu'une instruction viole le RGPD, elle en informe le client ;
garantir la confidentialité des données, et veiller à ce que les personnes autorisées à y accéder soient tenues à une obligation de confidentialité ;
mettre en œuvre les mesures de sécurité décrites en annexe 2 ;
tenir un registre des traitements effectués pour le compte du client, conformément à l'article 30.2 du RGPD ;
ne pas utiliser les données à ses propres fins, ni les vendre, ni les transférer hors de l'Union européenne sans l'accord du client et sans garanties appropriées.
5. Sous-traitants ultérieurs
Le client donne à l'agence une autorisation générale de recourir aux sous-traitants ultérieurs listés en annexe 1. L'agence les lie par des obligations de protection équivalentes à celles du présent accord et reste responsable à l'égard du client de leur exécution.
En cas d'ajout ou de remplacement d'un sous-traitant ultérieur, l'agence informe le client par e-mail au moins 30 jours à l'avance. Le client peut s'y opposer par écrit, pour un motif légitime lié à la protection des données, dans ce délai. À défaut d'accord, chaque partie peut résilier le service concerné sans pénalité, l'agence remboursant la part de l'année contractuelle non consommée.
6. Droits des personnes concernées
Le client reste seul interlocuteur des personnes concernées. Si l'une d'elles s'adresse directement à l'agence pour exercer ses droits (accès, rectification, effacement, limitation, portabilité, opposition), l'agence transmet la demande au client dans un délai de 5 jours ouvrés sans y répondre elle-même. Elle aide le client, dans la mesure du possible et sur demande, à y répondre, notamment par des exports ou des suppressions techniques.
7. Violation de données
L'agence notifie le client de toute violation de données à caractère personnel dont elle a connaissance, par e-mail et dans les meilleurs délais, au plus tard 48 heures après en avoir pris connaissance. La notification décrit, autant que possible, la nature de la violation, les données et le nombre de personnes concernées, les conséquences probables et les mesures prises ou proposées. La notification à la CNIL et aux personnes concernées incombe au client, responsable de traitement ; l'agence lui fournit les éléments nécessaires.
8. Assistance, audit et conformité
L'agence aide le client à respecter ses obligations relatives à la sécurité, à la notification des violations, aux analyses d'impact et aux consultations préalables de la CNIL, dans la mesure où elles concernent les services fournis. Elle met à sa disposition les informations nécessaires pour démontrer le respect du présent accord.
Le client peut demander un audit, au plus une fois par an sauf violation avérée, avec un préavis écrit de 30 jours, dans des conditions qui ne perturbent pas le service ni les autres clients. Les audits sur site des centres de données de l'infrastructure sont exclus : l'agence en transmet les attestations disponibles. Le temps passé par l'agence est facturé au tarif de la prestation de gestion en vigueur, sauf manquement constaté.
9. Sort des données en fin de contrat
À la fin du contrat, le client dispose de 30 jours pour récupérer ses fichiers, sa base de données et ses e-mails, par FTP, par Plesk ou sur demande à l'agence. Passé ce délai, l'agence supprime les données de l'hébergement, et les copies de sauvegarde disparaissent selon leur cycle de rotation, au plus tard 90 jours après la fin du contrat. Sur demande écrite, l'agence confirme la suppression par e-mail. Elle peut conserver les données dont la loi lui impose la conservation, par exemple les pièces comptables, qui sont alors des données dont elle est responsable.
10. Transferts hors Union européenne
Les serveurs d'hébergement sont situés en France. L'agence ne transfère pas les données du client hors de l'Union européenne. Si un transfert devenait nécessaire, il n'aurait lieu qu'avec l'accord écrit du client et sous garanties appropriées (décision d'adéquation ou clauses contractuelles types).
11. Responsabilité et droit applicable
La responsabilité des parties au titre du présent accord est soumise aux limitations prévues aux conditions générales de vente, sans préjudice des droits des personnes concernées ni de la responsabilité de l'agence à leur égard dans les conditions de l'article 82 du RGPD. Le droit français s'applique ; les tribunaux compétents sont ceux du ressort de Limoges, sauf règle impérative contraire.
Annexe 1. Sous-traitants ultérieurs
Brocloud, hébergement
Infrastructure technique et logicielle des sites et des e-mails, France
OVH SAS, centres de données
Stockage physique et sécurité matérielle des serveurs, 2 rue Kellermann, 59100 Roubaix, France
BunnyWay d.o.o. (bunny.net)
Transmission chiffrée de la connexion à l’espace de gestion de l’hébergement et, pour les clients ayant souscrit l’option DNS Anycast, résolution DNS de leur domaine. Slovénie, Union européenne. Ne stocke pas le contenu des sites.
NameBay (bureau d’enregistrement)
Enregistrement des noms de domaine uniquement, lorsque le client commande un domaine par l'agence. Les données du titulaire du domaine sont transmises pour cet enregistrement. NameBay fait partie du groupe français Nameshield (basé à Angers) et est détenue à 100 % par la société française LADN.
Annexe 2. Mesures de sécurité
Connexions chiffrées (HTTPS, certificat SSL) pour les sites, Plesk, Kaolin et les e-mails.
Protection anti-DDoS avancée et filtrage des tentatives de connexion abusives.
Sauvegardes régulières de l'hébergement, restauration sur demande.
Accès à l'infrastructure limité aux personnes qui en ont besoin, identifiants individuels, mots de passe protégés.
Mises à jour de sécurité de la plateforme d'hébergement assurées par l'hébergeur ; mises à jour du site du client incluses dans l'option d'infogérance, à la charge du client sinon.
Journalisation des accès, conservation limitée.
Hébergement en France, dans des centres de données référencés comme alimentés en énergie verte.
Le client reste responsable de la sécurité de son site (mots de passe, extensions, contenus) lorsqu'il en conserve la gestion.
Contact
Pour toute question sur le présent accord ou pour en obtenir une copie signée : STG AETERNUM, enseigne Porcelaine & Pixels, 8 rue d'Isly, 87000 Limoges, contact@porcelainepixels.fr.
