Contrat de traitement des données (article 28 du RGPD) — CRM Bridge

Version 1.3 — dernière mise à jour : 22/10/2026

Ce contrat fait partie des conditions générales. Il s'applique automatiquement dès que le Client utilise le Service ; aucune signature séparée n'est requise.

Parties : le Client (responsable de traitement) et Horizon MGS (SASU au capital de 84 085 €, 46 bis route de Rebigue, 31320 Castanet-Tolosan, RCS Toulouse 989 652 250), éditrice du service CRM Bridge (sous-traitant). Contact : contact@crm-bridge.fr.

1. Objet

Le sous-traitant traite, pour le compte du Client et uniquement dans le cadre du Service commandé, les données personnelles contenues dans les outils que le Client a connectés (migration vers un autre outil, sauvegarde périodique, ou enrichissement des fiches sociétés), conformément au règlement (UE) 2016/679 (« RGPD »).

2. Description du traitement (annexe 1)

• Nature et finalités : lecture des données dans l'outil source ou dans les fichiers Excel ou CSV fournis par le Client, conversion, écriture dans l'outil de destination (migration), conservation de copies datées (sauvegarde) ou relecture puis mise à jour des fiches sociétés directement dans l'outil du Client, dans leurs seuls champs vides (enrichissement), ou complément d'un fichier de sociétés fourni par le Client, rendu avec ses colonnes d'origine et des colonnes ajoutées (enrichissement d'un fichier) ; mise à disposition de fichiers de résultat au Client ; si le Client choisit l'option d'enrichissement des sociétés (ou le produit « Enrichissement »), complément des fiches sociétés situées en France avec des données publiques (répertoire Sirene de l'INSEE), avec un rapport des champs enrichis.
• Catégories de personnes concernées : clients, prospects, fournisseurs, contacts, collaborateurs du Client tels qu'enregistrés dans ses outils.
• Catégories de données : identité, coordonnées (email, téléphone, adresse), fonction, société, données commerciales (opportunités, devis, factures, produits, notes, tâches, appels), champs personnalisés. Le Client s'engage à ne pas faire traiter de données sensibles au sens de l'article 9 du RGPD sans nous en informer au préalable.
• Durée : celle du Service commandé (voir article 9 pour la suppression).

3. Obligations du sous-traitant

Le sous-traitant s'engage à :

1. traiter les données uniquement sur instruction documentée du Client (les actions demandées dans l'interface du Service et les présentes conditions constituent ces instructions) ; il informe le Client s'il estime qu'une instruction viole la réglementation ;
2. garantir la confidentialité : les personnes autorisées à traiter les données sont tenues à une obligation de confidentialité ;
3. mettre en œuvre les mesures de sécurité décrites en annexe 2 ;
4. respecter les conditions de recours à un sous-traitant ultérieur (article 5) ;
5. aider le Client, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes concernées (accès, effacement, rectification…). Toute demande reçue directement est transmise au Client sans délai ;
6. aider le Client à garantir le respect de ses obligations de sécurité, d'analyse d'impact et de consultation de l'autorité de contrôle ;
7. notifier au Client toute violation de données affectant ses données, dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles (nature, données concernées, conséquences probables, mesures prises) ;
8. mettre à disposition du Client les informations nécessaires pour démontrer le respect du présent contrat et permettre des audits (article 8).

4. Obligations du Client

Le Client déclare disposer d'une base légale pour faire traiter ces données et avoir informé les personnes concernées. Il reste responsable de la licéité des instructions données, de la configuration des accès qu'il autorise et du contrôle du résultat.

5. Sous-traitants ultérieurs (annexe 3)

Le Client donne une autorisation générale de recourir aux sous-traitants ultérieurs suivants, tenus aux mêmes obligations de protection :

Si le Client choisit un espace de stockage qui lui appartient (S3 ou SFTP), cet espace n'est pas un sous-traitant du prestataire : le Client en reste seul responsable. Le sous-traitant informe le Client de tout ajout ou remplacement de sous-traitant ultérieur au moins 30 jours à l'avance, par email ou dans le Service ; le Client peut s'y opposer pour motif légitime, ce qui l'autorise à résilier le Service sans frais.

Option d'enrichissement des sociétés et produit « Enrichissement » : uniquement lorsque le Client les choisit, le nom, le code postal et, s'il est connu, le SIREN ou le SIRET des sociétés à enrichir sont envoyés à l'API publique « Recherche d'entreprises » de l'État (Direction interministérielle du numérique, France), qui renvoie les informations publiques correspondantes. Les fiches de particuliers ne sont pas transmises, et les entrepreneurs individuels retrouvés ne sont pas enrichis.

Option « dirigeants » : lorsque le Client la choisit en plus de l'option d'enrichissement des sociétés, le nom, le prénom et la fonction des dirigeants personnes physiques (données publiques du registre national des entreprises, renvoyées par la même API « Recherche d'entreprises ») sont inscrits comme contacts dans l'outil de destination du Client (ou, pour le produit « Enrichissement », dans l'outil enrichi), qui reste responsable de leur usage ultérieur. Aucune adresse email, aucun numéro de téléphone ni aucune date de naissance n'est récupéré, et aucune donnée supplémentaire n'est envoyée à l'API.

Les autres prestataires de l'Éditeur (paiement, emails, facturation, mesure d'audience) ne traitent pas les données des outils du Client ; ils sont décrits dans la politique de confidentialité.

6. Transferts hors de l'Union européenne

Les données du Client sont hébergées en France. Le sous-traitant n'effectue aucun transfert de ces données hors de l'Union européenne, sauf instruction du Client (par exemple un outil connecté situé hors UE).

7. Sécurité (annexe 2)

Voir la page sécurité, résumée ici : accès aux outils conservés chiffrés ; connexion sécurisée (HTTPS) ; séparation stricte des données par compte ; contrôles d'accès ; journalisation ; sauvegardes quotidiennes de la base ; stockage privé des fichiers ; surveillance automatique et procédures d'alerte ; accès limité aux seules personnes habilitées. Précision : les journaux techniques d'erreur peuvent contenir ponctuellement des extraits de données traitées ; ils sont conservés de quelques heures à un mois et accessibles à l'Éditeur seul.

8. Audit

Le Client peut, une fois par an et avec un préavis de 30 jours, demander des informations ou faire réaliser un audit par un auditeur indépendant tenu au secret, dans des conditions qui ne perturbent pas le Service ni la confidentialité des autres clients. Les frais d'audit sont à la charge du Client.

9. Sort des données à la fin du Service (annexe 4)

Le Client peut à tout moment télécharger les fichiers de résultat pendant leur durée de mise à disposition. Sur demande écrite, le sous-traitant supprime de façon anticipée les données du Client et lui en confirme la suppression, à l'exception des copies de sécurité jusqu'à leur expiration.

10. Responsabilité, durée, droit applicable

Les limitations de responsabilité prévues aux conditions générales s'appliquent au présent contrat, sans préjudice des droits des personnes concernées. Le contrat dure aussi longtemps que le Service est fourni et survit pour les obligations de confidentialité et de suppression. Il est soumis au droit français ; les tribunaux de Toulouse sont compétents.