Accord de sous-traitance

Version 1, du 16 octobre 2026.

Cet accord encadre le traitement des données des visiteurs de tes sites par Vigie, comme le demande l'article 28 du règlement général sur la protection des données (RGPD).

Les parties

Le responsable du traitement : le titulaire de l'espace Vigie, éditeur des sites suivis dans cet espace.
Le sous-traitant : Quentin Renaux, entrepreneur individuel, adresse postale (à compléter dans config.php), SIRET numéro SIRET (à compléter dans config.php).

1. Objet et durée

Le sous-traitant traite, pour le compte du responsable, les données des visiteurs des sites que le responsable suit avec Vigie. L'accord vaut tant que l'espace existe.

2. Nature et finalité

Collecte, enregistrement, organisation, conservation, consultation, regroupement en statistiques et effacement, dans un seul but : mesurer l'audience des sites du responsable et, si le responsable l'allume, gérer son bandeau cookies et le registre des accords de ses visiteurs.

3. Les données et les personnes

Les personnes concernées sont les visiteurs des sites du responsable. Les données sont celles décrites dans la page Confidentialité, partie 4 : pages vues, origine de la visite, caractéristiques générales de l'appareil, durée et défilement, ville approximative, empreinte à sens unique, et, pour le bandeau, les réponses des visiteurs. Aucune adresse IP n'est conservée, et aucune donnée sensible n'est traitée.

4. Ce que le sous-traitant s'engage à faire

Ne traiter les données que sur les instructions du responsable. Les réglages de l'espace (mémoire des Blops, bandeau, sites suivis) sont ses instructions documentées.
Ne jamais réutiliser les données pour son propre compte, ne pas les vendre, ne pas les partager, ne pas les croiser avec celles d'autres espaces ou d'autres sources, ne pas s'en servir pour la publicité.
Garder les données confidentielles : seul le sous-traitant y a accès, et chacun de ses passages dans l'espace est noté au journal, visible du responsable.
Protéger les données par les mesures de sécurité décrites en annexe.
Ne faire appel qu'à IONOS SARL (hébergement, envoi des e-mails), dans l'Union européenne. Tout nouveau sous-traitant est annoncé au moins 30 jours avant ; le responsable peut s'y opposer et fermer son espace.
Ne transférer aucune donnée hors de l'Union européenne.
Aider le responsable à répondre aux demandes de ses visiteurs (accès, effacement, opposition) : oubli d'un visiteur depuis sa fiche, export, suppression.
Prévenir le responsable de toute violation de données dans les 48 heures après l'avoir découverte, avec ce qui est connu (nature, données touchées, mesures prises), pour qu'il puisse, s'il le faut, la notifier à la CNIL dans les 72 heures.
Aider le responsable, si besoin, pour une analyse d'impact.
À la fin de l'accord, remettre les données au responsable s'il le demande (export complet), puis les effacer : la base de l'espace tout de suite, les copies de sauvegarde sous 5 jours.
Tenir à la disposition du responsable ce qui prouve le respect de cet accord, et répondre à ses questions.

5. Ce que le responsable s'engage à faire

Informer ses visiteurs, dans la politique de confidentialité de ses sites, de la mesure d'audience et de leurs droits.
Choisir des réglages adaptés, et recueillir l'accord de ses visiteurs quand c'est nécessaire (la Balise de Vigie le fait).
Ne pas envoyer de données personnelles dans les adresses ou les titres de ses pages.

Annexe : les mesures de sécurité

Toutes les connexions sont chiffrées (HTTPS).
Une base de données par espace, avec sa propre clé d'empreinte ; aucun moyen technique de relier deux espaces.
Les adresses IP ne sont jamais enregistrées ; elles sont tronquées avant toute recherche de ville.
Mots de passe hachés, blocage après plusieurs essais ratés, sessions limitées à 60 jours, déconnexion des autres appareils au changement de mot de passe.
Rôles distincts (propriétaire, lecteur) ; journal des actions et des passages d'assistance, consultable par le responsable.
Dossier des données interdit d'accès depuis le web ; politique de contenu stricte dans le tableau de bord.
Sauvegarde quotidienne de toutes les bases, gardée 5 jours sur le serveur, et copie régulière hors du serveur par le sous-traitant.
Effacement automatique des visites au-delà de 400 jours.

Une question sur ces documents : quentinrenaux@gmail.com.