Version 2026-09-16 r2, applicable à compter du 16/09/2026. Article 28 du RGPD — se signe en ligne depuis votre espace client.
Qui fait quoi, et sur quels traitements.
Le présent contrat encadre les traitements de données à caractère personnel que PIKALI, SARL au capital de 100 €, SIRET 10403821100017, RCS Saverne, siège 37 Rue Principale, 67310 Dahlenheim (ci-après « Pikali ») réalise pour le compte de son client (ci-après « le Client ») dans le cadre des prestations décrites au devis accepté.
Il est conclu en application de l'article 28 du Règlement (UE) 2016/679 (ci-après « RGPD»), qui impose un contrat écrit entre un responsable de traitement et son sous-traitant.
⚠️ Ce contrat ne concerne pas les données du Client lui-même (nom, coordonnées, facturation) : pour celles-là, Pikali est responsable de traitement et applique sa politique de confidentialité ainsi que l'article 19 de ses conditions générales.
Le présent contrat complète les conditions générales de vente et de prestation de Pikali et le devis accepté par le Client. En cas de contradiction sur la protection des données personnelles, le présent contrat prévaut.
Ses trois annexes en font partie intégrante : A — description des traitements · B — mesures de sécurité · C — sous-traitants ultérieurs autorisés.
L'objet, la nature, la finalité, la durée de chaque traitement, le type de données et les catégories de personnes concernées sont décrits à l'annexe A, conformément à l'article 28.3 du RGPD.
Lorsqu'une prestation nouvelle fait apparaître un traitement non prévu à l'annexe A, celle-ci est mise à jour par accord écrit des parties — un simple échange de courriers électroniques suffit.
Les engagements imposés par l'article 28 du RGPD, et ceux du Client.
Pikali ne traite les données personnelles que sur instruction documentée du Client. Constituent de telles instructions : le devis accepté, le présent contrat et ses annexes, les demandes écrites adressées par le Client (courrier électronique ou espace client), ainsi que les opérations techniques strictement nécessaires à l'exécution des prestations commandées.
Pikali informe immédiatement le Client si une instruction lui paraît constituer une violation du RGPD ou d'une autre disposition relative à la protection des données, et peut suspendre son exécution jusqu'à confirmation ou modification écrite.
Si Pikali est tenue, par le droit de l'Union ou d'un État membre, de procéder à un transfert ou à une communication, elle en informe le Client avant traitement, sauf interdiction légale.
Pikali veille à ce que les personnes autorisées à traiter les données — salariés, collaborateurs et sous-traitants — s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et reçoivent la formation nécessaire.
L'accès aux données est limité aux seules personnes qui en ont besoin pour exécuter la prestation, et pour la seule durée nécessaire. Cet engagement survit à la fin du contrat.
Pikali met en œuvre les mesures techniques et organisationnelles appropriées exigées par l'article 32 du RGPD, compte tenu de l'état de l'art, des coûts, de la nature des traitements et des risques pour les personnes concernées. Ces mesures sont détaillées à l'annexe B.
Pikali peut faire évoluer ces mesures, à condition de ne jamais diminuer le niveau de protection.
Le Client donne à Pikali une autorisation générale écrite de recourir à des sous-traitants ultérieurs, au sens de l'article 28.2 du RGPD. Ceux qui interviennent à ce jour sont listés à l'annexe C, et le Client les accepte en signant le présent contrat.
Pikali informe le Client par écrit, au moins trente jours à l'avance, de tout ajout ou remplacement de sous-traitant ultérieur. Le Client peut s'y opposer par écrit et de façon motivée dans ce délai ; à défaut de solution acceptable pour les deux parties, il peut résilier les prestations concernées sans frais ni pénalité.
Pikali impose contractuellement à chaque sous-traitant ultérieur les mêmes obligations que celles du présent contrat, et demeure pleinement responsable devant le Client de l'exécution de leurs obligations.
L'hébergement, le stockage et les sauvegardes des données sont assurés au sein de l'Union européenne (voir l'annexe C).
Pikali ne procède à aucun transfert hors de l'Union européenne sans en informer le Client au préalable et sans mettre en place une garantie appropriée au sens du chapitre V du RGPD (décision d'adéquation ou clauses contractuelles types de la Commission européenne).
⚠️ Le Client reste informé que certains services tiers qu'il choisit d'intégrer à son site — outil de mesure d'audience, carte, vidéo, police de caractères distante, moteur de recherche interne, bouton de réseau social — peuvent transmettre des données à des acteurs situés hors de l'Union. Lorsqu'un tel service est prévu, il est identifié au devis et les conséquences lui en sont expliquées ; il lui appartient, en tant que responsable de traitement, de l'accepter ou de demander une alternative hébergée dans l'Union.
Les demandes d'exercice de droits (accès, rectification, effacement, limitation, portabilité, opposition) relèvent du Client, responsable de traitement.
Pikali l'aide à y répondre par des mesures techniques appropriées : extraction, rectification, anonymisation ou suppression de données dans le site et ses sauvegardes. Si une demande lui est adressée directement par une personne concernée, Pikali ne répond pas elle-même et la transmet au Client sous trois jours ouvrés.
L'assistance est comprise dans le forfait de maintenance dans la limite des heures incluses ; au-delà, elle est chiffrée avant intervention.
Compte tenu de la nature du traitement et des informations à sa disposition, Pikali aide le Client à respecter ses obligations au titre des articles 32 à 36 du RGPD : sécurité, notification des violations, analyse d'impact relative à la protection des données (AIPD) et consultation préalable de l'autorité de contrôle.
Cette assistance porte sur les éléments techniques que Pikali maîtrise ; elle ne substitue pas Pikali au Client dans l'appréciation des risques, qui relève de la responsabilité de ce dernier.
Pikali notifie au Client toute violation de données personnelles dans les meilleurs délais et au plus tard quarante-huit heures après en avoir pris connaissance, par courrier électronique à l'adresse de contact du Client, conformément à l'article 33.2 du RGPD.
La notification décrit, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées pour y remédier et en atténuer les effets, ainsi qu'un point de contact.
Pikali documente chaque violation et fournit au Client tout élément nécessaire à sa propre notification à l'autorité de contrôle et, le cas échéant, aux personnes concernées. La notification à l'autorité de contrôle incombe au Client, responsable de traitement.
Pikali tient un registre des catégories d'activités de traitement effectuées pour le compte de ses clients, conformément à l'article 30.2 du RGPD.
Elle met à la disposition du Client, sur demande écrite, les informations nécessaires pour démontrer le respect des obligations du présent contrat.
Le Client peut faire réaliser un audit du respect du présent contrat, par lui-même ou par un auditeur indépendant qu'il mandate et qui n'est pas concurrent de Pikali, une fois par année civile, moyennant un préavis écrit de trente jours.
L'audit ne peut porter que sur les traitements réalisés pour le compte du Client, à l'exclusion de toute autre activité de Pikali et des données de ses autres clients.
L'audit se déroule pendant les heures ouvrées, sans perturber l'exploitation, dans le respect de la confidentialité des données des autres clients de Pikali et de ses secrets d'affaires. Pikali peut y répondre par la remise d'une documentation existante ou d'un rapport d'audit indépendant lorsque celui-ci couvre le périmètre demandé.
Les frais d'audit sont à la charge du Client, sauf si l'audit révèle un manquement significatif imputable à Pikali.
En sa qualité de responsable de traitement, le Client :
Le Client garantit Pikali contre toute réclamation résultant d'un manquement à ces obligations.
Le présent contrat prend effet à sa signature et demeure en vigueur tant que Pikali traite des données personnelles pour le compte du Client.
À son terme, quelle qu'en soit la cause, et au choix du Client exprimé par écrit, Pikali lui restitue les données (au format standard disponible chez Pikali au jour de la demande) ou les supprime, ainsi que les copies existantes, sauf obligation légale de conservation.
À défaut de choix exprimé dans les trente jours, et après une relance écrite restée sans réponse, Pikali procède à la suppression des données au terme de la période de conservation prévue à l'article 15 des conditions générales (quatre-vingt-dix jours). Les sauvegardes chiffrées résiduelles sont détruites au terme de leur cycle de rotation, sans réutilisation possible.
Pikali atteste par écrit de la restitution ou de la suppression sur demande du Client.
Chaque partie assume les conséquences de ses propres manquements, dans les conditions de l'article 82 du RGPD. La limitation de responsabilité prévue à l'article 13.2 des conditions générales de Pikali s'applique au présent contrat, sauf dans les cas où la loi l'interdit, notamment en cas de faute lourde ou dolosive.
Lorsqu'une partie a réparé l'intégralité d'un dommage, elle peut réclamer à l'autre la part lui revenant, à proportion de sa responsabilité.
Ce qui suit décrit exactement ce que le Client accepte en signant le présent contrat en ligne depuis son espace client.
En saisissant ses nom, prénom et fonction, en cochant la case d'acceptation puis en validant, le signataire :
La signature est une signature électronique simple au sens des articles 1366 et 1367 du Code civil et du règlement (UE) n° 910/2014 (eIDAS). Sont enregistrés au moment exact de la validation : les nom, prénom et fonction saisis, la date et l'heure horodatées, l'adresse IP, le navigateur utilisé, la version du contrat acceptée et l'empreinte numérique (SHA-256) de son texte intégral.
L'accès à l'espace client est protégé par une clé d'accès personnelle transmise au Client, qui s'engage à ne pas la communiquer à un tiers non habilité.
Conformément à l'article 1356 du Code civil, les parties conviennent expressément que les enregistrements électroniques conservés par Pikali font foi entre elles quant à l'identité du signataire, à la date de la signature et au contenu accepté, jusqu'à preuve contraire.
Le contrat signé est généré au format PDF et reste accessible en permanence depuis l'espace client. Une confirmation est adressée par courrier électronique dès la signature. Pikali le conserve, avec ses éléments de preuve, pendant dix ans.
Le présent contrat est rédigé en français. Seule la version française a valeur contractuelle ; toute traduction est fournie à titre d'information et la version française prévaut en cas de divergence.
Il est soumis au droit français. À défaut de résolution amiable dans les trente jours suivant une réclamation écrite, tout litige relève de la compétence exclusive des tribunaux du ressort de Saverne.
Elles font partie intégrante du contrat.
Les traitements ci-dessous sont ceux qu'implique l'exécution des prestations courantes de Pikali. Ceux qui ne correspondent pas aux prestations réellement commandées au devis ne sont pas mis en œuvre.
| Traitement | Finalité | Personnes concernées | Données | Durée |
|---|---|---|---|---|
| Hébergement du site | Rendre le site accessible et le maintenir en fonctionnement | Visiteurs, clients et utilisateurs du site | Données saisies dans le site, journaux techniques, adresses IP | Durée du contrat d'hébergement |
| Sauvegardes | Restaurer le site et ses données après incident | Idem | Copie complète des fichiers et de la base | Durée de rétention indiquée au devis |
| Maintenance et assistance | Corriger, mettre à jour, sécuriser, diagnostiquer | Idem, et personnel du Client | Accès ponctuel aux données nécessaires au diagnostic | Le temps de l'intervention |
| Migration / reprise de l'existant | Transférer le contenu et les comptes d'un site existant vers le nouveau | Clients et comptes existants du Client | Comptes, commandes, historiques, fichiers | Le temps de la migration, puis suppression des copies de travail |
| Formulaires et commandes | Acheminer les messages et les commandes vers le Client | Visiteurs, prospects, acheteurs | Identité, coordonnées, contenu du message, détail de la commande | Selon les durées fixées par le Client |
| Envoi des e-mails du site | Confirmations, notifications, réinitialisation de mot de passe | Destinataires des messages | Adresse e-mail, contenu du message | Durée de conservation des journaux d'envoi |
Nature des opérations : collecte, enregistrement, organisation, conservation, consultation, extraction, modification, transmission au Client, effacement.
Aucune donnée sensible (article 9 du RGPD) n'est traitée, sauf accord écrit préalable prévoyant les mesures spécifiques correspondantes (article 14).
Conformément à l'article 32 du RGPD, Pikali met en œuvre les mesures suivantes :
Ces mesures peuvent évoluer avec l'état de l'art, sans jamais diminuer le niveau de protection.
Le Client autorise les sous-traitants ultérieurs suivants (article 7) :
| Sous-traitant | Rôle | Localisation des données |
|---|---|---|
| Hetzner Online GmbH (Allemagne) | Hébergement des serveurs et des sauvegardes | Union européenne (Allemagne, Finlande) |
| LWS — Ligne Web Services (France) | Acheminement des e-mails transactionnels des sites | Union européenne (France) |
| Anthropic (États-Unis) | Modèle d'intelligence artificielle utilisé par nos outils internes pour analyser la structure technique d'un site et produire du code — dans le périmètre strict défini à l'annexe B (aucune donnée personnelle de vos visiteurs ou clients ne lui est soumise) | Hors Union européenne, encadré par les clauses contractuelles types de la Commission européenne |
Ne sont pas des sous-traitants ultérieurs de Pikali :
Lorsque le Client demande à conserver son hébergeur actuel ou impose un prestataire, celui-ci est son propre sous-traitant : Pikali n'en répond pas.
Voir aussi : conditions générales · politique de confidentialité.