Accord de sous-traitance des données (DPA)
PIX’CEL Studio Social

Article 1 – Parties et objet

1.1. Le présent accord (« DPA ») est conclu entre : - le Client du service PIX'CEL Studio Social, agissant en qualité de responsable de traitement (« le Client ») ; - l'EURL Pix'Cel, 7 rue de Boulange, 33470 Le Teich, RCS Bordeaux B 810 582 213, représentée par Céline Guillaume, gérante, agissant en qualité de sous-traitant (« Pix'Cel »).

1.2. Il précise les conditions dans lesquelles Pix'Cel traite des données personnelles pour le compte du Client dans le cadre du Service, conformément à l'article 28 du règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978.

1.3. Il fait partie intégrante du Contrat (CGU et CGV) et est accepté lors de la souscription ou de l'ouverture de l'essai gratuit.

1.4. Lorsque le Client est une agence agissant elle-même pour le compte de ses Clients finaux, le Client agit en qualité de sous-traitant de ces derniers et Pix'Cel en qualité de sous-traitant ultérieur. Le Client garantit qu'il dispose des autorisations nécessaires de ses Clients finaux et leur répercute les informations du présent DPA.

1.5. Hors champ du DPA : Pix'Cel est responsable de traitement pour les données de gestion du compte Client (identité et coordonnées des Utilisateurs, facturation, journaux de connexion, support), traitées selon sa politique de confidentialité (https://agence-pixcel.fr/politique-de-confidentialite/).

Article 2 – Description du traitement

Catégories de personnes concernées - Utilisateurs du Client et membres de son équipe ; - Clients finaux du Client et leurs représentants ; - Valideurs destinataires des liens de validation ; - Destinataires des rapports mensuels par e-mail ; - Personnes interagissant avec les comptes connectés : abonnés, auteurs de commentaires, de mentions, de messages et d'avis ; - Personnes figurant dans les contenus publiés (photos, vidéos, textes) ; - Titulaires ou administrateurs des comptes publics suivis dans la veille concurrentielle.

Catégories de données - Identification et contact : nom, prénom, adresse e-mail (Utilisateurs, Valideurs, destinataires des rapports) ; - Données des comptes de Plateformes : identifiants de comptes et de pages, nom d'affichage, photo de profil, jetons d'accès OAuth (chiffrés) ; - Contenus : textes, images, vidéos, dates de programmation, historique de validation (date, décision, commentaire du Valideur) ; - Interactions : nom ou pseudonyme public, photo de profil, contenu des commentaires, mentions et avis, date, note attribuée ; - Statistiques : données d'audience et d'engagement, en principe agrégées par les Plateformes ; - Veille : données publiques des comptes suivis (nom, publications, indicateurs publics) ; - Requêtes adressées à l'assistant d'IA et à la recherche web, et réponses obtenues ; - Données techniques : journaux d'activité dans le Service.

Données sensibles. Le Service n'est pas conçu pour traiter des données relevant de l'article 9 ou 10 du RGPD. Le Client s'abstient d'en saisir volontairement, notamment dans les requêtes d'IA. Des données de ce type peuvent néanmoins figurer dans des commentaires ou avis publiés par des tiers ; elles sont alors traitées uniquement pour l'affichage et la réponse.

Article 3 – Obligations du Client

Le Client : - détermine les finalités et moyens essentiels du traitement et documente ses instructions par l'usage du Service et le présent DPA ; - dispose d'une base légale pour les traitements, informe les personnes concernées et respecte les règles des Plateformes ; - ne transmet que les données nécessaires ; - veille à la confidentialité des liens de validation et des identifiants de son compte.

Article 4 – Obligations de Pix'Cel

Pix'Cel : - traite les données uniquement sur instruction documentée du Client, y compris pour les transferts hors UE, sauf obligation légale dont elle informe le Client avant le traitement, sauf interdiction légale ; - informe immédiatement le Client si une instruction lui paraît contraire au RGPD ; - n'utilise pas les données pour ses propres finalités, ne les vend pas et ne les utilise pas pour entraîner des modèles d'IA ; - garantit que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité ; - met en œuvre les mesures de sécurité de l'article 6 ; - tient un registre des traitements effectués pour le compte de ses Clients (article 30.2 du RGPD).

Article 5 – Sous-traitants ultérieurs

5.1. Le Client accorde une autorisation générale de recours aux sous-traitants ultérieurs listés ci-dessous.

5.2. Plateformes. Meta, Google et YouTube traitent les données publiées sur leurs services en qualité de responsables de traitement indépendants, selon leurs propres conditions. Ils figurent dans la liste ci-dessus pour les seules opérations de transmission via leurs API réalisées par le Service. LinkedIn, TikTok et X seront ajoutés selon l'article 5.3 lorsque ces connexions seront ouvertes.

5.3. Pix'Cel informe le Client de tout ajout ou remplacement de sous-traitant ultérieur au moins 30 jours à l'avance, par e-mail ou dans le Service. Le Client peut s'y opposer pour un motif légitime lié à la protection des données dans ce délai ; à défaut de solution, il peut résilier sans frais la partie du Service concernée.

5.4. Pix'Cel impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent DPA et reste responsable de leur exécution envers le Client.

5.5. Assistant d'IA. Pix'Cel utilise l'API Gemini ; les données envoyées se limitent au texte utile à la demande, sans donnée de connexion ni jeton.

Article 6 – Mesures de sécurité

Pix'Cel met en œuvre les mesures suivantes : - Chiffrement des jetons OAuth : les jetons d'accès aux Plateformes sont chiffrés en AES-GCM avant stockage ; la clé de chiffrement est conservée côté serveur et n'est jamais exposée au navigateur ; - Cloisonnement des données : politiques de sécurité au niveau des lignes (Row Level Security) sur la base de données, chaque Client n'accédant qu'à ses propres données ; - Chiffrement en transit : toutes les communications avec le Service et entre le Service et ses sous-traitants passent par HTTPS (TLS) ; - Secrets côté serveur uniquement : clés d'API et secrets (Plateformes, Gemini, Tavily, Resend) stockés et utilisés exclusivement dans les fonctions serveur ; - Contrôle d'accès par rôle : droits attribués selon le rôle de chaque Utilisateur ; accès administrateur de Pix'Cel limité aux besoins du support et de la maintenance ; - Authentification : gestion des comptes via le service d'authentification Supabase ; - Liens de validation : liens personnels non devinables, expirant automatiquement au bout de 7 jours, donnant accès uniquement aux publications concernées ; - Mesures de l'hébergeur : chiffrement au repos et sauvegardes assurés par Supabase selon l'offre souscrite (offre Pro : sauvegarde quotidienne, conservée 7 jours).

Pix'Cel réexamine ces mesures en fonction de l'évolution des risques et peut les modifier sans réduire le niveau de protection.

Article 7 – Droits des personnes concernées

7.1. Pix'Cel aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'exercice de droits (accès, rectification, effacement, limitation, portabilité, opposition).

7.2. Si une personne concernée s'adresse directement à Pix'Cel, celle-ci transmet la demande au Client sous 5 jours ouvrés, sans y répondre elle-même, sauf instruction du Client.

Article 8 – Violation de données

8.1. Pix'Cel notifie au Client toute violation de données personnelles dans un délai maximal de 48 heures après en avoir pris connaissance, par e-mail à l'adresse du compte.

8.2. La notification précise, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou envisagées et le contact chez Pix'Cel. Les informations non disponibles immédiatement sont communiquées dès que possible.

8.3. Il appartient au Client, responsable de traitement, de notifier la violation à la CNIL et, le cas échéant, aux personnes concernées. Pix'Cel l'assiste dans ces démarches.

Article 9 – Assistance et analyse d'impact

Pix'Cel fournit au Client les informations raisonnablement nécessaires à la réalisation d'analyses d'impact et à la consultation préalable de l'autorité de contrôle (articles 35 et 36 du RGPD).

Article 10 – Durée de conservation, restitution et suppression

10.1. Pendant le Contrat, les données sont conservées tant que le Client ne les supprime pas, dans la limite des durées suivantes : messages et commentaires de la boîte de réception : 36 mois ; validations client : 36 mois ; statistiques : durée de la relation avec le client final ; journal des actions : 24 mois ; journaux techniques : 90 jours au plus.

10.2. À la fin du Contrat, le Client peut exporter ses données pendant 30 jours (article 12 des CGV). À l'issue de ce délai, Pix'Cel supprime les données du Client de ses systèmes actifs dans un délai de 30 jours. Les sauvegardes sont écrasées selon leur cycle de rotation, au plus tard 7 jours après la suppression.

10.3. Les jetons d'accès OAuth sont supprimés dès la résiliation effective ou la déconnexion d'un compte.

10.4. Pix'Cel peut conserver les données requises par une obligation légale, en les isolant et en limitant leur accès.

10.5. Sur demande, Pix'Cel confirme par écrit la suppression.

Article 11 – Audits

11.1. Pix'Cel met à la disposition du Client les informations nécessaires pour démontrer le respect du présent DPA (documentation des mesures de sécurité, liste des sous-traitants ultérieurs, certifications ou rapports d'audit disponibles de ses sous-traitants).

11.2. Le Client peut réaliser un audit, par lui-même ou par un auditeur indépendant soumis à confidentialité et non concurrent de Pix'Cel, une fois par an au maximum sauf violation avérée, moyennant un préavis de 30 jours. L'audit se déroule pendant les heures ouvrées, sans perturber le Service ni porter atteinte aux données des autres Clients. Ses frais sont à la charge du Client.

Article 12 – Transferts hors de l'Union européenne

12.1. Certains sous-traitants ultérieurs sont établis aux États-Unis ou peuvent y accéder aux données. Ces transferts sont encadrés : - par la décision d'adéquation de la Commission européenne du 10 juillet 2023 (EU-US Data Privacy Framework) pour les entités certifiées ; - à défaut ou en complément, par les clauses contractuelles types adoptées par la décision d'exécution (UE) 2021/914 de la Commission, accompagnées de mesures complémentaires le cas échéant.

12.2. Pix'Cel tient à la disposition du Client, sur demande, une copie des garanties applicables.

Article 13 – Responsabilité

La responsabilité de chaque partie au titre du présent DPA est régie par l'article 82 du RGPD et, dans les rapports entre les parties, par les limitations prévues à l'article 11 des CGU, dans la mesure permise par la loi.

Article 14 – Contact

Pour toute question relative aux données personnelles : rgpd@agence-pixcel.fr. Pix'Cel n'a pas désigné de délégué à la protection des données.

Article 15 – Droit applicable

Le présent DPA est soumis au droit français. Les litiges relèvent de la juridiction désignée dans les CGU.

Version du 25 octobre 2026.