Accord de sous-traitance
Les clauses de l'article 28 encadrant le traitement de données personnelles par Lokom pour votre compte.
1. Objet et champ d'application
Le présent accord fait partie des Conditions générales de service et s'applique chaque fois que Lokom traite des données personnelles pour votre compte.
Vous êtes le responsable de traitement. Lokom est le sous-traitant. Vous décidez de l'existence des données de vos commerciaux et de leur sort ; nous n'agissons que sur vos instructions.
Le présent accord ne couvre pas les données dont Lokom est lui-même responsable de traitement — votre compte, votre facturation, nos journaux de sécurité. Celles-ci relèvent de la Politique de confidentialité.
En cas de contradiction avec les conditions générales sur une question de protection des données, le présent accord prévaut.
2. Nature, finalité et durée du traitement
Objet et finalité. Calculer et administrer les commissions commerciales sur vos instructions, tel que décrit aux conditions générales.
Durée. Tant que votre compte est ouvert, plus le délai de grâce de 14 jours prévu à la section 9.
Catégories de personnes concernées. Vos salariés et prestataires : commerciaux, managers, administrateurs. Ainsi que les personnes désignées comme propriétaires d'affaires dans votre CRM.
Types de données personnelles.
| Type | Exemples |
|---|---|
| Identité | nom, adresse e-mail professionnelle |
| Emploi | équipe, rôle, manager, dates d'entrée et de sortie |
| Rémunération | quota, rémunération cible, calculs de commission, relevés |
| Issues du CRM | montant de l'affaire, date de conclusion, propriétaire, et les champs que vous désignez comme entrées de commission |
| Techniques | identifiants utilisateur, enregistrements de session et d'audit |
Aucune catégorie particulière. Lokom n'est pas conçu pour traiter des données révélant la santé, l'origine, la religion, les opinions politiques, l'appartenance syndicale, la vie sexuelle ou des données biométriques, et vous ne devez pas en charger. Les données de rémunération ne sont pas une catégorie particulière au sens du RGPD, mais elles sont sensibles en pratique et nous les traitons comme telles.
3. Vos obligations
Vous garantissez disposer d'une base légale pour les données personnelles chargées dans Lokom, et avoir informé les personnes concernées de ce qui en est fait — en particulier que leur commission est calculée dans un outil tiers. C'est en général une information en contexte d'emploi ; elle vous incombe, pas à nous.
Vos instructions sont : la configuration que vous définissez dans le produit, et toute instruction écrite adressée à [email protected].
4. Nos obligations
Nous nous engageons à :
- Ne traiter que sur vos instructions documentées, y compris pour les
transferts, sauf obligation du droit de l'Union ou d'un État membre — auquel cas nous vous en informons au préalable, sauf interdiction légale.
- Garantir que nos intervenants sont tenus à la confidentialité.
- Appliquer les mesures de sécurité de la section 7 (art. 32 RGPD).
- Respecter les conditions relatives aux sous-traitants de la section 6.
- Vous aider à répondre aux demandes des personnes concernées — accès,
rectification, effacement, portabilité, opposition — au moyen des fonctions d'export et de suppression du produit, et manuellement lorsque celles-ci ne suffisent pas.
- Vous aider pour vos obligations des articles 32 à 36 : sécurité,
notification de violation, analyses d'impact et consultation préalable, compte tenu des informations à notre disposition.
- Supprimer ou restituer les données à la fin du service, à votre choix —
voir section 9.
- Mettre à disposition les informations nécessaires pour démontrer notre
conformité, et permettre les audits et y contribuer — voir section 8.
5. Violations de données personnelles
Nous vous notifierons dans les meilleurs délais après avoir eu connaissance d'une violation affectant vos données, et en tout état de cause sous 48 heures — ce qui vous laisse les 24 heures restantes de votre propre délai de 72 heures au titre de l'art. 33.
La notification décrira ce qui s'est produit, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises — dans la limite de ce que nous savons alors. Nous n'attendrons pas de tout savoir.
6. Sous-traitants ultérieurs
Vous donnez une autorisation générale de recourir à des sous-traitants ultérieurs. La liste à jour figure à la section 6 de la Politique de confidentialité et fait foi.
Nous vous informerons 30 jours avant tout ajout ou remplacement. Si vous vous y opposez pour un motif raisonnable tenant à la protection des données, faites-le nous savoir dans ce délai et nous chercherons une alternative ; à défaut, vous pourrez résilier la partie concernée du service sans pénalité pour le reste de la période réglée.
Chaque sous-traitant est tenu par des obligations au moins équivalentes à celles du présent accord, et nous restons pleinement responsables de leur exécution envers vous.
7. Mesures de sécurité
Elles sont mises en œuvre, non projetées.
Isolation entre clients, appliquée deux fois. Chaque requête est filtrée par organisation au niveau applicatif, et la sécurité au niveau des lignes de PostgreSQL applique la même frontière dans la base, sous un rôle qui ne peut la contourner. Un filtre applicatif oublié renvoie zéro ligne, pas celles d'un autre client. Un test automatisé vérifie que chaque table à portée organisationnelle porte une politique, afin qu'une nouvelle table ne puisse arriver non couverte.
Identifiants. Les jetons tiers (OAuth Pipedrive, clés Stripe) sont conservés dans un coffre-fort, jamais en colonnes en clair. Les autres valeurs sensibles sont chiffrées au repos en AES-256-GCM.
Contrôle d'accès. L'authentification repose sur des JWT signés ; l'identité n'est lue que depuis le jeton vérifié, jamais depuis le corps d'une requête.
Minimisation dans les journaux. Montants de commission, valeurs de rémunération, montants d'affaires et identifiants personnels ne doivent pas être journalisés. Un contrôle automatisé s'exécute sur le code de commission et de facturation à chaque commit.
Piste d'audit. Les modifications susceptibles d'affecter la rémunération d'une personne sont enregistrées avec l'auteur, l'organisation, l'action et un avant/après assaini.
Chiffrement en transit de tout le trafic. Hébergement tel qu'exposé dans la politique de confidentialité : régions européennes pour le stockage, avec l'unique transit américain qui y est signalé.
8. Audits
Nous vous fournirons les informations raisonnablement nécessaires pour vérifier notre conformité.
Pour les audits sur site : une fois par an, sous préavis de 30 jours, à vos frais, sous confidentialité, et seulement lorsqu'une revue documentaire n'a pas déjà répondu à la question.
9. Suppression et restitution
Tant que votre compte est ouvert, vous pouvez exporter vos données de commission en CSV et vos relevés en PDF.
À la fin du service, ou lorsque vous supprimez votre organisation, nous effaçons les données personnelles. Un délai de grâce de 14 jours s'applique d'abord, pendant lequel vous pouvez annuler ; ensuite l'effacement s'exécute automatiquement sur chaque table appartenant à votre organisation, suivi d'une passe de vérification confirmant qu'il n'en reste rien.
Deux exceptions, étroites : la trace permanente que la suppression a eu lieu — quelle organisation, quand, sur quelle instruction, et rien sur les personnes — et ce que la loi nous impose de conserver, comme les factures.
Les sauvegardes sont conservées 7 jours, sur notre offre Supabase actuelle. La suppression atteint la base en production immédiatement ; elle sort de toute sauvegarde antérieure à la suppression au terme de ces 7 jours.
10. Transferts hors de l'Union européenne
Le stockage est européen. Un seul flux transite par les États-Unis, décrit à la section 7 de la Politique de confidentialité, et repose sur les clauses contractuelles types, incorporées au présent accord par référence et qui prévalent sur lui en cas de contradiction.