Contrat de sous-traitance RGPD / DPA

Dernière mise à jour : 2026.

Entre les parties :

SLYM (SLYM.CO) — SIREN 933 516 270 — Siège social : 229 rue Saint-Honoré, 75001 Paris. Ci-après « le Sous-traitant ».

ET le Créateur de Hub, client de la plateforme SLYM, personne morale ou physique. Ci-après « le Responsable de traitement ». Ensemble, « les Parties ».

1. Objet du DPA

Le présent Accord encadre le traitement des données personnelles effectué par SLYM au nom du Responsable de traitement, conformément à l'article 28 du RGPD. SLYM s'engage à mettre en œuvre les mesures techniques et organisationnelles nécessaires pour garantir la protection des données.

2. Rôle des parties

Le Responsable de traitement détermine les finalités, les catégories de données, les droits des personnes concernées et les durées de conservation.

SLYM, en tant que Sous-traitant, traite les données uniquement sur instruction documentée du Responsable de traitement, et pour l'hébergement, l'exécution et la maintenance du hub.

3. Nature des traitements effectués par SLYM

Les services fournis par SLYM impliquent : hébergement, sauvegarde, transmission, modification technique, stockage, monitoring, sécurité et installation de modules. SLYM ne crée pas de nouveaux traitements sans instruction du Responsable de traitement.

4. Types de données traitées

Selon l'utilisation définie par le Responsable de traitement :

données d'identification (nom, email),
contenus publiés,
interactions (messages, commentaires),
données de navigation,
données techniques (logs),
données liées aux modules installés.

Les données sensibles (art. 9 RGPD) ne doivent pas être traitées sauf obligation spécifique et explicite.

5. Catégories de personnes concernées

Utilisateurs finaux du hub,
Administrateurs, modérateurs,
Membres, abonnés, apprenants, clients (selon activité du hub).

6. Obligations du Sous-traitant (SLYM)

6.1. Traiter les données uniquement selon les instructions — Toute utilisation hors instruction nécessite l'autorisation écrite du Responsable.

6.2. Confidentialité — Accès réservé au personnel autorisé, obligation de confidentialité signée, encadrement strict des droits d'accès.

6.3. Sécurité — Chiffrement TLS, isolation multi-tenant, sauvegardes chiffrées, stockage sécurisé dans l'UE ou pays conformes, monitoring et prévention anti-intrusion, gestion d'accès par rôles (RBAC).

6.4. Sous-traitants ultérieurs — SLYM peut faire appel à des prestataires (hébergeur, emails, paiements). SLYM doit notifier le Responsable en cas d'ajout ou de remplacement, et garantir que ces sous-traitants offrent des garanties adéquates.

6.5. Aide au Responsable de traitement — SLYM assiste le Responsable pour les demandes d'exercice de droits RGPD, les obligations de sécurité, les analyses d'impact (DPIA) et les notifications de violation de données.

6.6. Violation de données — SLYM notifie le Responsable dans les 72 heures suivant la découverte d'un incident.

7. Obligations du Responsable de traitement

Le Responsable s'engage à définir une base légale pour ses traitements, informer ses utilisateurs finaux, respecter les obligations légales, ne pas collecter de données non nécessaires, configurer son hub de manière conforme et gérer les demandes d'exercice des droits.

SLYM n'est pas responsable des contenus ou traitements initiés par le Responsable.

8. Localisation et transferts de données

Les données sont hébergées dans l'Union européenne (selon configuration standard) ou dans un pays reconnu adéquat par la Commission européenne. Tout transfert hors UE est encadré par des Clauses Contractuelles Types (CCT) et des mesures supplémentaires recommandées par la CNIL.

9. Durée du traitement

Les données sont traitées tant que le compte est actif, puis pendant la période nécessaire à la suppression ou à l'archivage définie par le Responsable. Une fois cette période terminée, les données sont supprimées ou anonymisées.

10. Fin de prestation et réversibilité

À la fin du contrat, SLYM supprime les données ; le Responsable peut demander un export (si la fonctionnalité est disponible) ; SLYM peut conserver certaines données pour des obligations légales (factures, logs).

11. Documentation et audit

SLYM met à disposition sa documentation de sécurité, son registre des sous-traitants et les informations nécessaires pour démontrer sa conformité.

Toute demande d'audit doit être annoncée 30 jours à l'avance, ne pas perturber l'exploitation de la plateforme et rester dans un cadre raisonnable.

12. Responsabilité

Chaque Partie est responsable des obligations lui incombant : le Responsable pour la conformité RGPD de son hub, SLYM pour la conformité RGPD de l'infrastructure et des traitements sous-traités. SLYM ne peut être tenue responsable d'un manquement du Responsable.

13. Loi applicable et juridiction

Le présent DPA est soumis au droit français. Tout litige sera porté devant les tribunaux compétents.