entre l’entreprise qui commande chez nous une analyse ou réserve un espace d’équipe (responsable du traitement, ci-après le « client ») et seora.one, Peter R. Stuhlmann, Martha-Arendsee-Str. 10, 12681 Berlin (sous-traitant, ci-après le « prestataire »). Le présent contrat est conclu lors de la commande d’une analyse par un professionnel (§ 14 BGB) ou lors de la réservation d’une formule d’équipe et complète les conditions générales. Il régit le traitement de données à caractère personnel pour le compte du client conformément à l’article 28 du règlement général sur la protection des données (RGPD).
1 Objet et durée
Le prestataire analyse des sites web pour le client et lui met les résultats à disposition ; pour les formules d’équipe, il met en outre à sa disposition un espace d’équipe. Ce faisant, il traite des données à caractère personnel pour le compte du client, dans la mesure où elles se rapportent au site web du client, à ses sources de données et à son équipe.
Le contrat s’applique tant que le client a des analyses enregistrées chez nous ou utilise une formule d’équipe, et prend fin avec la suppression de la dernière analyse ou de l’espace d’équipe. Ne sont pas couvertes les données que le prestataire traite en tant que responsable de traitement indépendant : le compte client, la commande, le paiement et la facture, la communication avec le client ainsi que la consultation de données publiques sur les concurrents et sur les personnes citées par un site web analysé (politique de confidentialité du prestataire).
2 Nature des données, finalité, personnes concernées
Personnes concernées : les personnes citées sur le site web du client (par exemple propriétaires, salariés, auteurs) ; les visiteurs du site web du client sous forme agrégée, dans la mesure où le client connecte des sources de données ; les salariés et mandataires du client qu’il invite dans l’espace d’équipe (membres), ainsi que les personnes avec lesquelles des rapports sont partagés par lien.
Données de l’analyse : textes, métadonnées et captures d’écran de pages accessibles publiquement du site web du client, y compris les informations sur des personnes qui y sont publiées ; les informations du client pour l’analyse (entreprise, secteur, région, objectifs, public cible, concurrents, informations sur l’activité) ; les données des sources de données que le client connecte – Search Console (requêtes et pages avec clics, impressions, taux de clics, position), Google Analytics (données de visite agrégées par canal, page de destination, appareil et pays, aucune donnée sur des visiteurs individuels), Tag Manager (conteneur publié), Matomo et Microsoft Clarity (valeurs agrégées par page) ; statut, responsables et commentaires dans le suivi des mesures ; liens de partage (nom, validité, consultations sans adresse IP).
Données des membres : nom, adresse e-mail et rôle, leur photo de profil s’ils en téléversent une ; heures de connexion et appareils pour la gestion des sessions (adresse IP tronquée) ; en cas de connexion avec Google ou LinkedIn, l’identifiant du compte concerné et son adresse e-mail ; droits par membre ; quel membre a lancé quelle analyse ; invitations (adresse e-mail, droits, message personnel) et adhésions via le lien d’invitation non encore confirmées (nom, adresse e-mail) ; conversations des membres avec l’assistant IA ; le journal des accès des applications connectées ; le journal de l’équipe.
Finalité : réalisation, affichage et partage des analyses ; mise à disposition de l’espace d’équipe, connexion, gestion des membres et des droits, traçabilité pour l’administrateur de l’équipe, notifications par e-mail, réponses de l’assistant IA aux questions des membres.
3 Instructions
Le prestataire ne traite les données que sur instruction documentée du client – c’est-à-dire conformément au présent contrat, à la description des prestations, aux informations fournies par le client lors de la commande et aux paramètres du compte ou de l’espace d’équipe. Le client donne d’autres instructions sous forme de texte à l’adresse e-mail du prestataire. Si le prestataire estime qu’une instruction est illicite, il en informe le client. Le client est responsable de la licéité du traitement à l’égard des personnes concernées – y compris de leur information et, le cas échéant, de l’association des représentants du personnel (le journal et la mention « lancée par » permettent de savoir qui a fait quoi).
4 Obligations du sous-traitant
Le prestataire soumet toutes les personnes participant au traitement à une obligation de confidentialité, assiste le client dans une mesure habituelle et sans frais supplémentaires en cas de demandes des personnes concernées, d’analyses d’impact relatives à la protection des données et de notifications aux autorités de contrôle, et tient un registre des activités de traitement. Le prestataire n’est pas tenu de désigner un délégué à la protection des données et n’en a pas désigné ; l’interlocuteur est le prestataire à son adresse e-mail.
5 Sécurité du traitement
Le prestataire met en œuvre les mesures techniques et organisationnelles décrites à l’annexe 1 et les maintient à l’état de l’art. Il peut les adapter tant que le niveau de protection ne diminue pas.
6 Sous-traitants ultérieurs
Le client consent au recours aux sous-traitants ultérieurs mentionnés à l’annexe 2. Le prestataire annonce les sous-traitants ultérieurs nouveaux ou remplacés au moins 30 jours à l’avance sur cette page et par e-mail aux administrateurs des équipes. Le client peut s’y opposer pour un motif légitime ; si aucune solution ne peut être trouvée, il peut résilier la formule d’équipe à la date du changement ou supprimer ses analyses. Le prestataire impose contractuellement aux sous-traitants ultérieurs un niveau de protection équivalent.
7 Transferts vers des pays tiers
L’application et sa base de données fonctionnent en Allemagne. Dans la mesure où des sous-traitants ultérieurs traitent des données en dehors de l’UE (voir l’annexe 2), cela n’a lieu qu’avec des garanties appropriées au sens des articles 44 et suivants du RGPD – une décision d’adéquation telle que l’EU-US Data Privacy Framework ou les clauses contractuelles types de la Commission européenne.
8 Droits des personnes concernées
Si une personne concernée adresse une demande au prestataire (accès, rectification, effacement …), celui-ci la transmet sans délai au client et l’assiste pour y répondre. Le client peut supprimer lui-même des analyses ; l’administrateur de l’équipe peut lui-même retirer des membres dans l’espace d’équipe – le prestataire supprime alors l’accès de cette personne à cette équipe. Les analyses qu’elle a lancées restent dans l’équipe.
9 Violations de données à caractère personnel
Le prestataire notifie au client les violations de données à caractère personnel sans délai, au plus tard dans les 48 heures après en avoir pris connaissance, avec les informations dont le client a besoin pour sa propre notification, et prend les mesures nécessaires pour en limiter les conséquences.
10 Justificatifs et contrôles
Le prestataire démontre sur demande le respect du présent contrat, en règle générale au moyen d’informations et de documents. Des contrôles sur place sont possibles après annonce avec un préavis d’au moins quatre semaines pendant les heures ouvrables habituelles, au maximum une fois par an, sauf motif particulier ; ils ne doivent compromettre ni l’exploitation ni la confidentialité des données d’autres clients. Les frais d’un contrôle sur place sans motif particulier sont à la charge du client.
11 Suppression et restitution
Pendant la durée du contrat, le prestataire supprime les entrées du journal d’une équipe après 3 mois, les entrées du journal des applications connectées après 90 jours, les enregistrements des e-mails envoyés après 90 jours et les conversations avec l’assistant IA après 180 jours sans activité. Il supprime les enregistrements de ce qu’un délai de suppression a automatiquement effacé (uniquement des numéros et des identifiants) après 12 mois. Si l’administrateur de l’équipe retire un membre, l’accès de celui-ci prend fin immédiatement et le prestataire supprime l’accès de cette personne à cette équipe, y compris les sessions, conversations avec l’assistant IA et applications connectées correspondantes. Si le client supprime une analyse, le prestataire la supprime immédiatement, y compris les captures d’écran, téléchargements, partages et données issues des sources de données.
Lorsque l’espace d’équipe prend fin, les membres sont déconnectés et tous les liens de partage sont fermés. L’administrateur de l’équipe peut encore consulter et télécharger les analyses, téléchargements (PDF et tableur) et factures pendant 30 jours. Ensuite, le prestataire supprime intégralement l’équipe – analyses, partages, comptes des membres, invitations et journal –, sauf obligation légale de conservation (factures : 8 ans). Les copies dans les sauvegardes expirent au plus tard après 14 jours. Si le prestataire bloque un espace d’équipe, celui-ci est fermé pour tous.
12 Dispositions finales
En cas de contradiction entre le présent contrat et les conditions générales, le présent contrat prévaut pour les questions de protection des données. La responsabilité est régie par l’art. 82 du RGPD et, pour le reste, par les dispositions des conditions générales. Le prestataire annonce les modifications avec le préavis prévu au point 6 ; la version indiquée en haut fait foi. Le droit allemand s’applique.
Annexe 1 – Mesures de protection
- Accès au système : connexion par lien envoyé par e-mail, mot de passe (conservé uniquement sous forme de valeur de contrôle, vérifié au regard de fuites de données connues) ou – si configuré – avec Google ou LinkedIn (le prestataire ne reçoit que l’identifiant, l’adresse e-mail et le nom du compte concerné – de LinkedIn également le lien vers la photo de profil et le paramètre de langue, qu’il écarte –, aucun accès aux données qui y figurent) ; tentatives de connexion limitées ; sessions par appareil consultables et révocables ; les comptes d’équipe ne sont valables que sur l’adresse de leur équipe.
- Accès aux données : séparation des données par compte et par équipe ; droits par membre (lire, lancer, partager), administration uniquement par l’administrateur de l’équipe ; liens de partage avec date d’expiration, mot de passe et blocage, les destinataires peuvent uniquement lire.
- Transmission : exclusivement chiffrée (TLS) ; les adresses des équipes, les analyses et les partages sont bloqués pour les moteurs de recherche.
- Traçabilité : journal par équipe, suppression après 3 mois ; journal des accès des applications connectées.
- Protection contre les abus : limites du nombre de requêtes pour la connexion, la réservation et les téléchargements ; seule une valeur de contrôle chiffrée (pseudonymisée) est conservée, jamais l’adresse IP ou l’adresse e-mail elle-même.
- Serveur : exploitation dans un centre de données à Francfort-sur-le-Main ; accès administratif au serveur réservé au prestataire et uniquement chiffré ; l’application fonctionne de manière isolée dans des conteneurs sans droits d’administrateur ; les mises à jour sont vérifiées automatiquement avant leur installation.
- Sauvegarde des données : sauvegarde quotidienne de la base de données et du dossier de données ; conservation pendant 14 jours sur le serveur et pendant 30 jours dans une copie chez le prestataire en Allemagne ; une liste des suppressions garantit que ce qui a été supprimé le reste après la restauration d’une sauvegarde.
- Secrets : les clés d’accès du prestataire aux services se trouvent uniquement dans l’environnement du serveur – ni dans la base de données ni dans l’interface. Si un client enregistre ses propres accès à des services d’IA, le prestataire conserve ces clés sous forme chiffrée ; l’interface n’en affiche que les quatre derniers caractères. Si un client, à sa propre demande, enregistre un accès à une source de données (Google, Matomo, Microsoft Clarity) pour les analyses de suivi d’un pack annuel, cet accès est lui aussi conservé sous forme chiffrée dans la base de données – au plus tard jusqu’à la dernière analyse de suivi du pack, au remboursement du pack, à la suppression du compte ou jusqu’à ce que le client le déconnecte.
- Organisation : accès aux données des clients uniquement dans la mesure nécessaire à l’exploitation, à la correction d’erreurs ou à une demande du client ; les exportations de données à caractère personnel par le prestataire sont consignées.
Annexe 2 – Sous-traitants ultérieurs
Les paramètres de la plateforme déterminent quel fournisseur assume quelle tâche ; la liste indique la situation actuelle. Les textes du rapport sont rédigés par OpenAI, les suggestions dans le formulaire de commande par OpenAI ; l’assistant IA fonctionne via OpenAI, la traduction des rapports via OpenAI ; pour la visibilité dans les réponses de l’IA, nous interrogeons ChatGPT, Gemini, Perplexity et Claude.
Hostinger International Ltd.
- Prestation
Serveur (VPS) : exploitation de l’application et stockage de toutes les données
- Lieu du traitement
Chypre (siège) ; centre de données à Francfort-sur-le-Main, Allemagne
- Données
toutes les données visées au point 2
Resend
- Prestation
- Envoi d’e-mails (invitations, liens de connexion, avis relatifs au quota, « Le rapport est prêt »)
- réception des e-mails envoyés aux adresses du prestataire
- Lieu du traitement
États-Unis – EU-US Data Privacy Framework (certifié)
- Données
nom, adresse e-mail, contenu du message concerné – pour les invitations, également le message personnel de l’administrateur de l’équipe
OpenAI Ireland Ltd.
- Prestation
- Textes du rapport (modèle d’analyse)
- Suggestions dans le formulaire de commande
- Assistant IA
- Traduction des rapports
- Requêtes sur la visibilité dans ChatGPT
- Lieu du traitement
Irlande ; accès depuis les États-Unis sur la base des clauses contractuelles types de l’UE
- Données
- Textes du rapport : contenus du site web analysé – y compris les personnes qui y sont citées –, valeurs mesurées et informations pour l’analyse (entreprise, secteur, région, objectifs, public cible, concurrents) ; si le client les a connectées, également des données de la Search Console (requêtes et pages avec clics, impressions, taux de clics, position) et de Google Analytics (nom de la propriété ; sessions, engagement et conversions par canal, page de destination, appareil et pays).
- Suggestions : adresse, titre, description, intertitres et un extrait de texte de la page d’accueil, le texte des mentions légales et la raison sociale.
- Assistant IA : les messages du membre et – s’il le demande – des contenus des analyses ainsi que des informations de son compte et relatives à l’équipe : nom, adresse e-mail, appareils connectés (sans adresse IP), rôle, droits et consommation, pour l’administrateur de l’équipe également des informations sur l’abonnement ; adresse de facturation et numéro de TVA intracommunautaire, s’ils sont enregistrés dans le compte.
- Traduction : les textes du rapport.
- Visibilité : questions sur le site web analysé, la marque et le secteur.
Anthropic Ireland, Limited
- Prestation
- Requêtes sur la visibilité dans Claude
- Recherche web de concurrents
- Lieu du traitement
Irlande ; accès depuis les États-Unis sur la base des clauses contractuelles types de l’UE
- Données
- Visibilité : questions sur le site web analysé, la marque et le secteur.
- Concurrents : domaine, offre et région du site web analysé.
- Aucune donnée de compte ou de membre.
Google Ireland Limited / Google LLC
- Prestation
- Requêtes sur la visibilité dans Gemini
- Mesure des temps de chargement avec PageSpeed Insights et Chrome UX Report
- Entité chez Google (Knowledge Graph, Natural Language)
- Search Console – uniquement si le client la connecte pour une analyse
- Google Analytics – uniquement si le client le partage pour une analyse
- Google Tag Manager – uniquement si le client le partage pour une analyse
- Lieu du traitement
Irlande et États-Unis – Google LLC certifiée au titre de l’EU-US Data Privacy Framework
- Données
- Visibilité : questions sur le site web analysé, la marque et le secteur.
- Temps de chargement : adresses des pages vérifiées.
- Entité : nom de l’entreprise et extraits de texte de la page d’accueil et de la page « À propos » du site analysé.
- Search Console : la connexion à Google ; sont lues les données de clics et de recherche du site web connecté.
- Google Analytics : la connexion à Google ; sont lues des données de visite agrégées du site web connecté (sessions, canaux, pages de destination, appareils, pays, conversions), aucune donnée sur des visiteurs individuels.
- Google Tag Manager : la connexion à Google ; est lue la version publiée du conteneur du site web connecté (types et noms des balises, ID de mesure, paramètres de consentement), aucune donnée de visiteurs.
- Aucune donnée de compte ou de membre.
Perplexity AI, Inc.
- Prestation
Requêtes sur la visibilité dans Perplexity
- Lieu du traitement
États-Unis – clauses contractuelles types de l’UE ; aucune conservation des requêtes
- Données
- Visibilité : questions sur le site web analysé, la marque et le secteur.
- Aucune donnée de compte ou de membre.
DataForSEO OÜ
- Prestation
- Résultats de recherche, indicateurs relatifs aux mots-clés et backlinks
- fiche d’établissement, avis, mentions et réponses des recherches par IA concernant le site web analysé
- Lieu du traitement
Estonie (UE)
- Données
mots-clés, domaines, raison sociale et questions sur le site web analysé ; noms de personnes que le site web analysé lui-même désigne comme propriétaires ou auteurs (recherche de profils professionnels) – aucune donnée de compte ou de membre
ElevenLabs (Eleven Labs Inc.)
- Prestation
Sonorisation de la vidéo d’analyse – uniquement avec le module complémentaire
- Lieu du traitement
États-Unis – EU-US Data Privacy Framework (certifié)
- Données
le texte parlé de la vidéo : entreprise, site web et résultats de l’analyse – aucune donnée de compte ou de membre
Les paiements sont traités par Stripe Payments Europe, Limited (Irlande) en qualité de responsable de traitement indépendant ; Stripe reçoit à cet effet les données de facturation du client, aucune donnée des membres.
L’application fait en outre appel à des services qui ne reçoivent aucune donnée des membres ni aucune donnée sur des personnes : l’interface VIES de la Commission européenne (le numéro de TVA intracommunautaire du client), « Pwned Passwords » de Have I Been Pwned (les 5 premiers caractères d’une valeur de contrôle lorsque quelqu’un définit un mot de passe) ainsi que des registres et archives publics pour l’analyse – Wikidata, la Wikimedia Foundation (nombre de consultations d’un article Wikipédia), les registres de noms de domaine (RDAP), Internet Archive, les répertoires de certificats TLS, Common Crawl, HTTP Archive, les bibliothèques publicitaires de Google et de Meta et Brave Search ; ils reçoivent le domaine et la raison sociale du site web analysé, Wikimedia le titre de l’article.