Accord de sous-traitance des données

Version du 5 novembre 2026 — annexe des conditions générales

Cet accord encadre le traitement des données personnelles que Lexxa (le sous-traitant) effectue pour le compte du Client (le responsable de traitement) lorsqu'il utilise RGD2, conformément à l'article 28 du règlement général sur la protection des données (RGPD). Il fait partie des conditions générales et est accepté avec elles.

1. Description du traitement

Objet

Fournir le service RGD2 : scan des pages désignées par le Client, aide à l'audit, production des rapports et déclarations.

Durée

Celle de l'utilisation du service par le Client (avec ou sans abonnement payé), puis jusqu'à la suppression des données (article 9).

Nature

Collecte (chargement des pages), enregistrement, consultation, structuration, transmission optionnelle à l'assistant d'IA, suppression.

Données

Adresses des pages auditées, copie du code HTML et captures d'écran des pages, extraits relevés (textes, alternatives, intitulés, contenus de tableaux), décisions et commentaires des Utilisateurs, adresses e-mail des personnes invitées, adresses de contact des clients et des déclarations, adresse e-mail de l'Utilisateur qui a déclaré un site comme le sien (exception au robots.txt), rapports et déclarations ; pour le mode connecté (option), l'adresse de la page de connexion, l'identifiant et le mot de passe d'un compte de test confié par le Client — mot de passe chiffré, jamais réaffiché, supprimé après 90 jours sans usage une fois la dernière campagne du site publiée depuis 90 jours (jamais pendant une campagne en cours). Le Client confie un compte de test aux données fictives.

Personnes concernées

Utilisateurs de l'espace du Client, personnes invitées, contacts des clients du Client et des déclarations d'accessibilité, et toute personne dont des données figurent dans les pages que le Client fait auditer.

Le Client veille à ne faire auditer que des pages qu'il a le droit de traiter, et de préférence des pages publiques ou des comptes de test.

2. Instructions du Client

Lexxa ne traite les données que sur instruction documentée du Client : les présentes conditions et les actions de ses Utilisateurs dans le service, y compris en ce qui concerne les transferts hors de l'Union européenne, sauf obligation légale à laquelle elle serait soumise ; elle en informe alors le Client avant le traitement, si la loi ne l'interdit pas. Elle ne les utilise à aucune autre fin, notamment pas pour entraîner un modèle d'intelligence artificielle. Si une instruction lui paraît contraire au RGPD, Lexxa en informe immédiatement le Client.

3. Confidentialité

Les personnes autorisées par Lexxa à traiter les données sont soumises à une obligation de confidentialité. L'accès d'administration aux serveurs et à la base de données est réservé à ces personnes.

4. Mesures de sécurité

• chiffrement des échanges (HTTPS) entre les navigateurs et le service ;
• cloisonnement des données par organisation : chaque requête est limitée à l'espace de l'Utilisateur, avec des rôles et des droits par compte ;
• mots de passe hachés, jamais stockés en clair ; adresse e-mail vérifiée à l'inscription ;
• hébergement chez OVH, en France ; accès d'administration par clé, réservé ;
• sauvegardes quotidiennes de la base de données, conservées 15 jours au plus ;
• données envoyées à l'assistant d'IA réduites au strict nécessaire, adresses e-mail et numéros de téléphone masqués dans les tableaux, cadres, formulaires et conversations.

5. Sous-traitants ultérieurs

Le Client autorise de façon générale le recours aux sous-traitants ultérieurs suivants :

Lexxa impose à chacun, par contrat, les mêmes obligations de protection des données que celles du présent accord, et demeure pleinement responsable envers le Client de leur exécution. Elle informe le Client par e-mail de tout ajout ou remplacement au moins 30 jours à l'avance ; le Client peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier son abonnement.

6. Transferts hors de l'Union européenne

Les données sont hébergées dans l'Union européenne (en France pour OVH). Pendant une séance de démarrage accompagné, l'écran partagé transite par kMeet, uniquement par des serveurs situés en Suisse selon Infomaniak, pays reconnu par la Commission européenne comme assurant une protection adéquate. Un transfert hors de l'Union ne peut avoir lieu que par un sous-traitant ultérieur listé ci-dessus et dans le cadre des garanties prévues par le RGPD (décision d'adéquation ou clauses contractuelles types de la Commission européenne).

7. Assistance au Client

Lexxa aide le Client, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes. Elle lui transmet sans délai toute demande reçue directement. Elle fournit aussi les informations utiles à ses analyses d'impact et aux consultations de l'autorité de contrôle.

8. Violation de données

Lexxa notifie au Client toute violation de données personnelles le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir eu connaissance. La notification précise la nature de la violation, les données et personnes concernées, ses conséquences probables et les mesures prises ou envisagées ; les informations qui ne sont pas encore connues sont transmises dès qu'elles le sont.

9. Sort des données en fin de contrat

Au terme de l'utilisation du service, le Client choisit, sur simple demande, la restitution de ses rapports et déclarations (PDF), suivie de la suppression de toutes les autres données (copies HTML, captures d'écran, extraits, décisions, commentaires), ou la suppression immédiate de l'ensemble. Le service ne propose pas d'export brut des autres données. À défaut de choix, les données sont supprimées selon les délais des conditions générales (article 14) — 3 mois après la fin de l'abonnement ou de l'essai, ou la dernière connexion si elle est plus récente ; 12 mois après la dernière connexion pour un espace qui n'a jamais eu d'abonnement —, et les sauvegardes dans les 15 jours suivants. Sur demande, Lexxa confirme la suppression par écrit.

10. Documentation et audit

Lexxa met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord. Le Client peut faire réaliser un audit, à ses frais, une fois par an avec un préavis de 30 jours, et à tout moment après une violation de données ou à la demande d'une autorité de contrôle, par un auditeur tenu au secret. Lexxa contribue à ces audits, y compris aux inspections. L'audit ne doit pas perturber le service ni donner accès aux données d'autres clients.

11. Obligations du Client

Le Client garantit disposer d'une base légale pour les traitements qu'il confie à Lexxa. Il informe les personnes concernées, notamment les Utilisateurs qu'il invite et, pour une agence, ses propres clients. Il donne ses instructions conformément au RGPD.