XP OneEntre le Client (« Responsable de traitement ») et LEADSMIND AI LTD, société de droit anglais n° 17014114, 167-169 Great Portland Street, Londres W1W 5PF, Royaume-Uni (« Sous-traitant », « XP ONE »).
Contact du Sous-traitant pour toute question relative au présent accord : contact@xp-one.io
Le présent accord est conclu au titre de l'article 28 du RGPD (UE) 2016/679 et de son équivalent au UK GDPR. Il est accepté avec les Conditions générales et n'exige pas de signature séparée ; une version signée peut être fournie sur demande.
1. Objet
XP ONE traite des données à caractère personnel pour le compte et sur instruction documentée du Client, aux seules fins d'exécuter le Service.
2. Description du traitement
| Élément | Contenu |
|---|---|
| Objet | Fourniture d'une plateforme de collecte, d'organisation, d'enrichissement et de prospection de contacts professionnels |
| Durée | Durée de l'abonnement, augmentée de 30 jours de rétention |
| Nature | Collecte, structuration, conservation, enrichissement, consultation, transmission, export, effacement |
| Finalité | Prospection commerciale B2B du Client |
| Catégories de personnes | Prospects et contacts professionnels du Client ; utilisateurs désignés par le Client |
| Catégories de données | Identité professionnelle (nom, prénom), fonction, employeur, URL de profil public, email professionnel, téléphone professionnel, signaux d'engagement public, contenu des messages envoyés par le Client |
| Données sensibles | Aucune. Le Client s'interdit de traiter via le Service des catégories particulières de données (article 9 RGPD) ou des données relatives à des infractions |
3. Obligations de XP ONE
XP ONE s'engage à :
- ne traiter les données que sur instruction documentée du Client, y compris pour les transferts hors UE/Royaume-Uni ; informer le Client si une instruction lui paraît constituer une violation du droit applicable ;
- garantir que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité ;
- mettre en œuvre les mesures techniques et organisationnelles décrites à l'annexe 2 ;
- respecter les conditions du recours à un sous-traitant ultérieur (article 4) ;
- assister le Client, dans la mesure du possible, pour répondre aux demandes d'exercice de droits des personnes concernées ; lorsqu'une demande nous est adressée directement, nous la transmettons au Client sans délai et sans y répondre nous-mêmes, sauf instruction contraire ;
- assister le Client pour les analyses d'impact, les consultations préalables et la sécurité des traitements ;
- notifier le Client sans délai injustifié, et au plus tard sous 48 heures après en avoir pris connaissance, de toute violation de données à caractère personnel, avec les informations nécessaires à la notification du Client à son autorité de contrôle ;
- au choix du Client exprimé à la fin de la prestation, supprimer ou restituer l'ensemble des données, et détruire les copies existantes, sauf obligation légale de conservation. À défaut d'instruction dans les 30 jours suivant la fin du contrat, les données sont supprimées ou anonymisées ;
- mettre à disposition du Client toute information nécessaire pour démontrer le respect de ses obligations et permettre des audits, dans les conditions de l'article 6.
4. Sous-traitants ultérieurs
Le Client autorise de manière générale XP ONE à recourir aux sous-traitants ultérieurs listés à l'annexe 1.
Toute adjonction ou remplacement est notifié au Client au moins 30 jours à l'avance. Le Client peut s'y opposer pour un motif raisonnable et documenté lié à la protection des données ; à défaut d'accord, il peut résilier l'abonnement sans pénalité et obtenir le remboursement au prorata de la période payée non utilisée.
XP ONE impose à chaque sous-traitant ultérieur, par contrat, des obligations équivalentes aux présentes et demeure pleinement responsable de leur exécution.
5. Transferts internationaux
Les données sont hébergées au Royaume-Uni et dans l'Union européenne. Les transferts UE ↔ Royaume-Uni s'appuient sur la décision d'adéquation de la Commission européenne du 28 juin 2021 en faveur du Royaume-Uni. Tout transfert vers un pays tiers non adéquat est encadré par les clauses contractuelles types (SCC 2021/914) ou l'UK International Data Transfer Addendum, assorties d'une analyse d'impact du transfert.
6. Audit
Le Client peut, au maximum une fois par an et moyennant un préavis écrit de 30 jours, demander la communication de la documentation attestant de la conformité, ou faire réaliser un audit par un tiers indépendant soumis à confidentialité. L'audit se déroule pendant les heures ouvrées, sans perturber l'exploitation, et à la charge financière du Client, sauf si l'audit révèle un manquement substantiel.
7. Obligations et garanties du Client
Le Client garantit qu'il :
- dispose d'une base légale valable pour chaque traitement mis en œuvre via le Service, notamment l'intérêt légitime en prospection B2B, et a réalisé la mise en balance correspondante ;
- informe les personnes concernées conformément à l'article 14 du RGPD, au plus tard lors du premier contact, en indiquant l'origine des données ;
- traite sans délai les demandes d'opposition et retire de ses campagnes toute personne s'étant opposée ;
- respecte les règles de prospection applicables (RGPD, ePrivacy, règles nationales, conditions des plateformes utilisées) ;
- ne charge ni ne traite via le Service aucune donnée sensible ni donnée de mineur ;
- tient son propre registre des traitements.
Le Client est seul responsable de la licéité des traitements qu'il détermine et garantit XP ONE contre toute réclamation en résultant.
8. Responsabilité
La responsabilité de XP ONE au titre du présent accord est soumise au plafond de responsabilité stipulé aux Conditions générales, sauf lorsque la loi applicable en dispose autrement.
9. Droit applicable
Le présent accord est régi par le droit anglais, sans préjudice de l'application impérative du RGPD aux traitements concernant des personnes situées dans l'Union européenne. Compétence exclusive des tribunaux d'Angleterre et du Pays de Galles.
Annexe 1 — Sous-traitants ultérieurs autorisés
| Sous-traitant | Finalité | Localisation |
|---|---|---|
| Amazon Web Services | Hébergement de la base de données | Francfort, UE |
| DigitalOcean | Hébergement applicatif | Londres, Royaume-Uni |
| Stripe | Paiement et lutte contre la fraude | UE / États-Unis (SCC) |
| Sentry | Supervision technique et détection d'erreurs | UE / États-Unis (SCC) |
| Mailjet | Envoi et vérification d'emails | UE |
| Unipile | Connexion aux messageries LinkedIn et WhatsApp | UE |
| FullEnrich | Enrichissement de coordonnées professionnelles | UE |
| Checknumber | Vérification de numéros de téléphone | UE |
Liste à jour à la date du présent document ; les évolutions sont notifiées conformément à l'article 4.
Annexe 2 — Mesures techniques et organisationnelles
- Chiffrement : TLS pour toutes les communications ; chiffrement des données au repos par l'hébergeur ; mots de passe hachés de manière irréversible.
- Contrôle d'accès : authentification par jeton signé, cloisonnement strict des données par compte, accès administrateur nominatif et limité au besoin d'en connaître.
- Journalisation : traçabilité des accès administratifs et des opérations sensibles.
- Sauvegardes : sauvegardes régulières de la base de données, restauration testée.
- Développement : revue de code, tests automatisés, environnements de production et de test séparés, gestion des secrets hors du code source.
- Sous-traitants : contractualisation systématique d'un accord de traitement.
- Gestion des incidents : procédure de détection, de qualification et de notification sous 48 heures au Client.