Accord de sous-traitance des données

Préambule

Cet accord de sous-traitance (l'« accord ») lie le professionnel qui utilise Glidely (« toi », le responsable de traitement) et À COMPLÉTER, éditeur de Glidely (« Glidely », le sous-traitant). Il forme l'annexe des conditions générales et répond à l'article 28 du règlement (UE) 2016/679 (« RGPD »).

Les mots « données personnelles », « traitement », « responsable de traitement », « sous-traitant » et « violation de données » ont le sens que leur donne le RGPD. Tu acceptes cet accord en acceptant les conditions générales ; il s'applique dès la création de ton espace.

1. Objet

Cet accord fixe les conditions dans lesquelles Glidely traite, pour ton compte et sur tes instructions, les données personnelles que tu enregistres dans ton espace ou que tes clients transmettent par ton site, ton widget et les liens que tu leur envoies.

Il ne couvre pas les données dont Glidely est lui-même responsable (ton compte, ta licence, l'annuaire), décrites par la politique de confidentialité.

2. Durée

L'accord s'applique pendant toute la durée du contrat, puis aussi longtemps que Glidely conserve des données pour ton compte après sa fin (article 13).

3. Description du traitement

Nature des opérations : hébergement, enregistrement, organisation, consultation, modification, affichage sur ton site, production de documents (devis, pièces, documents à signer), envoi d'emails, transmission aux services que tu relies, traduction et analyse par intelligence artificielle quand tu les utilises, sauvegarde, export, anonymisation et suppression.

Finalités : te fournir le service décrit par les conditions générales — demandes et réservations, devis, paiements, facturation, agenda, suivi de la relation client, boutique et expéditions, cartes et bons, documents signés, avis, échanges avec tes clients, statistiques et exports.

Personnes concernées :

• tes clients et prospects, et les personnes qui paient pour eux ;
• les participants à tes prestations, y compris des mineurs ;
• les destinataires des colis de ta boutique ;
• les personnes qui t'écrivent par le formulaire de contact de ton site ;
• les auteurs d'avis sur tes prestations ;
• les personnes qui apparaissent sur les photos de ton site, et celles que tu cites dans tes notes ou tes documents.

Catégories de données : identité et coordonnées (nom, email, téléphone, adresse) ; informations de réservation (prestation, dates, lieu ou adresse d'intervention, niveau, participants avec leurs noms et, si tu la demandes, leur date de naissance) ; échanges et notes ; devis, pièces et paiements (montants, statut, moyen de paiement — jamais un numéro de carte, saisi chez ton prestataire de paiement) ; commandes et adresses de livraison ; documents signés et preuves d'acceptation, avec une empreinte (et non l'adresse en clair) de l'adresse IP et du navigateur ; avis ; photos ; identifiant de provenance d'une demande venue de l'annuaire.

Données sensibles : le service n'est pas conçu pour des données de santé ni pour d'autres catégories particulières de données (article 9 du RGPD), et ses modèles de documents n'en demandent pas. Tu t'engages à ne pas en saisir dans les champs libres, sauf obligation légale dont tu réponds.

4. Tes instructions

Tes instructions sont : les conditions générales et cet accord ; les réglages que tu choisis et les actions que tu fais dans ton espace (envoyer un email, exporter, anonymiser, relier un service…) ; toute instruction écrite complémentaire acceptée par Glidely.

Glidely ne traite les données que sur ces instructions, y compris pour un transfert hors de l'Union européenne, sauf obligation légale ; il t'en informe alors avant le traitement, sauf si la loi l'interdit. Glidely t'informe immédiatement s'il estime qu'une instruction enfreint le RGPD ou une autre règle de protection des données.

Glidely n'utilise pas les données de tes clients pour son propre compte. Il n'en tire que des mesures agrégées (nombre de demandes, chiffre d'affaires venu de l'annuaire), sans identifier personne, pour faire fonctionner et améliorer le service. Seule exception, imposée par la loi : prévenir l'auteur d'un avis que Glidely refuse ou retire de l'annuaire, à l'adresse que tu as enregistrée (article L111-7-2 du code de la consommation).

5. Confidentialité

Les personnes autorisées par Glidely à traiter les données sont soumises à une obligation de confidentialité et n'y accèdent que dans la mesure nécessaire (support, exploitation, sécurité).

Une personne de l'équipe de Glidely ne se connecte à ton espace qu'à ta demande ou pour corriger un incident, pour une heure au plus à chaque fois ; chaque connexion est inscrite au journal de ton espace.

6. Sécurité

Glidely met en œuvre des mesures techniques et organisationnelles appropriées au risque (article 32 du RGPD), décrites à l'annexe 2. Il les fait évoluer avec l'état de l'art, sans en réduire le niveau.

7. Sous-traitants ultérieurs

Tu autorises Glidely à faire appel aux sous-traitants ultérieurs listés à l'annexe 1.

Glidely t'informe de tout ajout ou remplacement par email et dans ton espace, au moins 30 jours avant. Tu peux t'y opposer pour un motif tenant à la protection des données, en nous écrivant dans ce délai ; si aucune solution n'est trouvée, tu peux résilier sans frais avant que le changement prenne effet.

Glidely impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles de cet accord, et reste responsable envers toi de leur respect.

8. Transferts hors de l'Union européenne

Les données de ton espace sont hébergées en France. Un transfert hors de l'Union européenne n'a lieu que vers les sous-traitants ultérieurs indiqués à l'annexe 1, avec la garantie qui y figure (articles 44 et suivants du RGPD). En dehors de ces cas et de ce que tu décides toi-même (article suivant), Glidely ne transmet aucune donnée de tes clients hors de l'Union européenne.

9. Les services que tu choisis

Certains services, reliés à ton espace par toi, ne sont pas des sous-traitants de Glidely : tu contractes avec eux, ou tu décides de leur transmettre des données, et tu vérifies leurs garanties (notamment pour un transfert hors de l'Union européenne). Le service leur transmet des données à ta demande :

• Ton prestataire de paiement (Stripe, Mollie, PayPal, SumUp ou Revolut), sur ton propre compte : il reçoit le montant, un libellé (qui peut contenir le nom de ton client, par exemple pour un acompte de réservation), un identifiant de paiement et, chez Stripe, l'adresse email du client pour une commande ou une carte ; ton client saisit ses données de paiement chez lui.
• Tes transporteurs (Boxtal, Sendcloud, Colissimo et le suivi de La Poste), avec tes identifiants : pour un devis au panier, le pays, le code postal et la ville du destinataire ; pour une étiquette, son nom, son adresse, son email et son téléphone.
• Google, si tu relies tes avis Google avec ta propre clé : Glidely interroge l'API Google Places avec l'identifiant de ton établissement, puis enregistre et affiche ta note et les avis que Google renvoie (au plus cinq, avec le nom de leur auteur).
• Ton propre serveur d'envoi d'emails (SMTP), si tu l'utilises à la place de celui de Glidely.
• Le gestionnaire de ton nom de domaine : avec ton jeton d'accès Hostinger, Glidely peut écrire pour toi les réglages DNS de ton domaine.
• Une application d'agenda (Google Agenda, Calendrier d'Apple, Outlook…) que tu abonnes à ton lien d'agenda privé : elle lit tes séances avec le nom, le téléphone et l'email de tes clients, le numéro de devis et le montant.
• Les vidéos YouTube (version sans cookie) ou Vimeo que tu places sur ton site : elles ne se chargent qu'après un clic du visiteur, dont le navigateur transmet alors son adresse IP à ces services.
• Les liens de messagerie (WhatsApp) et d'itinéraire (Google Maps, Plans d'Apple, Waze, OpenStreetMap) : de simples liens, qui ne transmettent rien tant qu'on ne clique pas.

10. Droits des personnes

Tu réponds aux demandes de tes clients. Ton espace t'en donne les moyens : exporter tout ce que tu détiens sur un client (au format JSON), corriger sa fiche, l'anonymiser (son identité est effacée, ses pièces comptables restent intactes et ses avis perdent leur signature), supprimer un message. Les messages reçus par le formulaire de contact de ton site sont effacés automatiquement 12 mois après leur réception.

Si une personne s'adresse à Glidely pour des données de ton espace, Glidely te transmet sa demande sans délai et ne lui répond pas lui-même, sauf pour l'orienter vers toi.

Pour une demande que ces outils ne couvrent pas, Glidely t'assiste dans la mesure du possible et dans les meilleurs délais.

11. Violation de données

Glidely te notifie toute violation de données personnelles de ton espace dans les meilleurs délais après en avoir pris connaissance, de façon à te permettre de la notifier, s'il le faut, à la CNIL dans les 72 heures (article 33 du RGPD).

La notification décrit, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, ses conséquences probables, les mesures prises ou proposées, et la personne à contacter. Ce qui n'est pas encore connu est transmis dès que possible.

Glidely documente chaque violation et t'aide, si nécessaire, à informer les personnes concernées.

12. Assistance et registre

Glidely t'aide, sur demande et avec les informations dont il dispose, à réaliser une analyse d'impact relative à la protection des données et à consulter la CNIL si nécessaire (articles 35 et 36 du RGPD).

Glidely tient le registre des traitements qu'il effectue comme sous-traitant (article 30, paragraphe 2, du RGPD).

13. Sort des données à la fin du contrat

Avant la fermeture de ton espace, tu peux exporter tes données, comme le prévoient les conditions générales. À la fermeture, tu donnes à Glidely les instructions suivantes :

• conserver tes pièces comptables — factures, factures d'acompte, avoirs, leurs fichiers PDF et XML, et le registre des pièces —, en lecture seule, pendant 10 ans à compter de la fermeture — ou jusqu'à la fin de leur durée légale de conservation (dix ans après la fin de l'année de leur émission) si elle est plus tardive — pour te permettre de respecter tes obligations de conservation (article L123-22 du code de commerce, article L102 B du livre des procédures fiscales), et te les communiquer, ou à la personne que tu désignes, sur simple demande ;
• supprimer tout le reste 30 jours après la fermeture ;
• supprimer ces pièces au terme de cette durée.

Les sauvegardes, renouvelées chaque jour, effacent les données supprimées au plus tard 14 jours plus tard. Glidely te confirme la suppression sur demande.

14. Documentation et audits

Glidely met à ta disposition les informations nécessaires pour démontrer le respect de cet accord : l'accord, ses annexes et ses réponses écrites à tes questions.

Tu peux faire réaliser un audit au plus une fois par an, et en outre après une violation de données, par toi-même ou par un auditeur indépendant tenu au secret et qui n'est pas un concurrent de Glidely, avec un préavis de 30 jours, à tes frais, sans accès aux données des autres espaces ni atteinte à la sécurité du service.

15. Responsabilité, droit applicable et contact

Chaque partie répond des dommages causés par sa violation du RGPD ou de cet accord, dans les conditions de l'article 82 du RGPD ; pour le reste, les limites de responsabilité des conditions générales s'appliquent.

Cet accord est soumis au droit français, et les règles de litige des conditions générales s'y appliquent. En cas de contradiction, il l'emporte sur les conditions générales pour ce qui concerne les données de tes clients.

Contact pour cet accord : donnees@glidely.fr. Dernière mise à jour : 2026-11-02.

Annexe 1 — Sous-traitants ultérieurs

Liste à jour au 2026-11-02 :

• Hostinger International Ltd (Chypre) — hébergement du service : le serveur qui porte l'application, la base de données, les fichiers déposés et les sauvegardes. Données : toutes les données du service. Lieu : serveur situé à Paris (France).
• Hostinger International Ltd (Chypre) — relais d'envoi des emails du service : les messages de Glidely, et ceux que les pros envoient à leurs clients depuis Glidely (sauf quand un pro utilise son propre serveur d'envoi). Données : adresse du destinataire, objet, contenu du message et pièces jointes (par exemple une facture). Lieu : serveurs de messagerie du prestataire — localisation : À COMPLÉTER.
• Anthropic, PBC (États-Unis) — intelligence artificielle : traduction automatique des textes publics du site d'un pro, analyse des photos du site et des images d'inspiration (option Glidy), seulement quand ces fonctions sont utilisées. Données : les textes publics du site, avec un glossaire (nom de marque, noms de lieux, vocabulaire du métier), et des copies réduites des photos, sans leurs métadonnées, qui peuvent montrer des personnes ; jamais les fiches clients, les demandes, les coordonnées ni les paiements. Lieu : États-Unis. Garantie du transfert hors de l'Union européenne : clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914), prévues par l'accord de traitement des données du prestataire.
• jsDelivr (réseau public de diffusion de fichiers) — fourniture de la police d'icônes des pages : espace de gestion, site Glidely et annuaire, sites des pros, widget. Données : l'adresse IP et les informations techniques du navigateur du visiteur (navigateur, origine de la page), transmises directement par son navigateur. Lieu : réseau mondial : serveurs possiblement situés hors de l'Union européenne. Garantie du transfert hors de l'Union européenne : À COMPLÉTER.
• Internet Security Research Group — Let's Encrypt (États-Unis) — délivrance des certificats de sécurité (HTTPS) des adresses du service et des noms de domaine personnels des pros. Données : les noms de domaine à certifier (ils figurent ensuite dans les journaux publics de transparence des certificats). Lieu : États-Unis. Garantie du transfert hors de l'Union européenne : À COMPLÉTER.
• komoot GmbH — service Photon (Allemagne), et la Base Adresse Nationale (État français) — suggestions d'adresses quand un pro situe un lieu sur la carte. Données : le texte de l'adresse saisie, envoyé par le serveur de Glidely, sans l'adresse IP du pro. Lieu : Union européenne.

Les données de ton espace et leurs sauvegardes restent sur le serveur situé à Paris ; les autres sous-traitants ne reçoivent que les données indiquées, et seulement quand la fonction concernée est utilisée.

Annexe 2 — Mesures de sécurité

• Connexions chiffrées sur tout le service (HTTPS, avec en-tête HSTS) ; emails envoyés par connexion chiffrée.
• Isolation des espaces par la base de données elle-même (règles de sécurité par ligne) : le rôle utilisé par l'application ne lit que l'espace de la session ; la base n'est pas exposée sur Internet.
• Mots de passe conservés sous forme d'empreinte, longueur minimale imposée, adresse email vérifiée, double authentification disponible, tentatives de connexion et d'inscription limitées.
• Session vérifiée à chaque requête ; rôle et appartenance à l'espace contrôlés par le serveur, action par action.
• Clés de paiement, mots de passe d'envoi et jetons d'accès chiffrés (AES-256-GCM), jamais réaffichés.
• Liens envoyés aux clients protégés par des jetons aléatoires ; jetons d'avis conservés sous forme d'empreinte ; preuves de signature conservées avec une empreinte de l'adresse IP et du navigateur.
• Journal des actions sensibles (connexions, exports, connexions de l'assistance), consultable dans l'espace.
• Pièces comptables inaltérables (toute modification est refusée par la base), numérotation continue contrôlée, empreinte SHA-256 de chaque fichier.
• Photos déposées converties et débarrassées de leurs métadonnées.
• Sauvegarde quotidienne de la base et des fichiers, conservée 14 jours.
• Formulaires publics protégés contre les abus (limites de fréquence, pièges à robots) ; pages de gestion protégées contre l'affichage dans un site tiers.
• Accès de l'équipe de Glidely limité au besoin, journalisé, et d'une heure au plus par connexion d'assistance.