Summum Agency, clients de l’accompagnement MASE. Version du 27 octobre 2026.
Le présent accord s’applique à toute commande passée auprès de Summum Agency. Il complète les conditions générales de vente (CGV) du devis. Il est accepté par la signature du bon de commande.
Le Client, identifié au bon de commande, est le responsable du traitement. Summum Agency, SARL unipersonnelle (EURL), RCS Évreux 904 188 075, 28 bis rue de la Colonie, 27600 Gaillon, est le sous-traitant (ci-après « le Prestataire »). Contact pour les données personnelles : Johann Querrec, gérant, contact@accompagnement-mase.fr.
Il répond à l’article 28 du règlement (UE) 2016/679 (RGPD). En cas de contradiction avec les CGV sur le traitement des données personnelles, le présent accord prévaut.
Le Prestataire ne traite les données que sur instruction documentée du Client. Le contrat signé, le devis et les échanges écrits de la mission valent instructions, y compris pour les transferts hors de l’Union européenne décrits à l’article 5. Si une instruction lui paraît contraire au RGPD, le Prestataire en informe le Client immédiatement.
Seule exception : l’anonymisation de documents en vue de leur réutilisation, prévue par les CGV (article 8 bis, ou 7 bis pour l’offre Classique), sauf opposition du Client. Pour cette seule opération, le Prestataire agit comme responsable de traitement, sur la base de son intérêt légitime.
Les personnes autorisées à traiter les données sont tenues à la confidentialité : le gérant du Prestataire et les intervenants qu’il mandate pour la mission.
Le Prestataire met en œuvre les mesures de sécurité suivantes (article 32 du RGPD) :
Le Client donne une autorisation générale au recours aux sous-traitants ultérieurs de la liste ci-dessous. Le Prestataire l’informe par écrit de tout ajout ou remplacement au moins trente jours à l’avance. Le Client peut s’y opposer pendant ce délai ; s’il s’y oppose, chaque partie peut mettre fin au contrat pour la partie de la prestation concernée.
Chaque sous-traitant ultérieur est lié au Prestataire par un accord de sous-traitance qui lui impose des obligations de protection des données équivalentes. Le Prestataire reste responsable envers le Client de leur exécution.
| Sous-traitant ultérieur | Service | Lieu | Encadrement du transfert hors de l’Union |
|---|---|---|---|
| Intervenants mandatés (auditeur de certification agréé MASE, expert FOH) | Accompagnement, diagnostic, formation | France | Sans objet |
| Contabo GmbH | Hébergement des serveurs (plateforme, logiciel de gestion, automatisations) | Allemagne | Sans objet |
| o2switch | Messagerie, formulaire du site | France | Sans objet |
| Zoom | Réunions à distance et transcriptions | États-Unis | Cadre UE et États-Unis et clauses types |
| SignWell (Docsketch LLC) | Signature électronique du bon de commande | États-Unis | Clauses types |
| OpenRouter | Accès aux modèles d’intelligence artificielle de la plateforme | États-Unis | Clauses types |
| Supabase | Conversations et base documentaire de l’Assistant IA SSE | France | Sans objet |
| OpenAI Ireland Ltd | Recherche dans la base documentaire de l’Assistant IA SSE | Irlande et États-Unis | Clauses types |
| Stripe | Paiement en ligne | Irlande et États-Unis | Cadre UE et États-Unis et clauses types |
Deux outils reçoivent des données sans être liés par un accord de sous-traitance.
| Destinataire | Usage | Lieu |
|---|---|---|
| Claude, d’Anthropic (abonnement) | Analyse des documents et des transcriptions de réunions | États-Unis |
| Google (compte gratuit) | Bureautique et stockage des documents | États-Unis |
Ces outils traitent les données selon leurs propres conditions d’utilisation. Le Prestataire ne peut pas leur imposer les obligations de cet accord ni encadrer leurs transferts par des clauses types. Les données du Client n’y sont traitées que pour le suivi de sa mission, sans être vendues ni cédées à d’autres fins. En acceptant le présent accord, le Client autorise l’usage de ces deux outils en connaissance de cause.
Lorsque le Client est établi en Polynésie française ou en Nouvelle-Calédonie, les échanges de données avec lui sont traités comme des transferts hors de l’Union européenne.
Le Prestataire aide le Client à répondre aux demandes des personnes concernées (accès, rectification, effacement, opposition, limitation, portabilité). Il lui transmet sans délai toute demande reçue directement et n’y répond pas lui-même, sauf instruction du Client.
Le Prestataire informe le Client de toute violation de données personnelles sans retard injustifié et au plus tard 48 heures après en avoir pris connaissance. Il lui fournit les informations utiles à la notification de la CNIL et, le cas échéant, des personnes concernées (articles 33 et 34 du RGPD).
Sur demande, le Prestataire aide le Client à remplir ses obligations de sécurité, d’analyse d’impact et de consultation préalable de la CNIL (articles 32 à 36 du RGPD), compte tenu des informations dont il dispose.
À la fin du contrat, au choix du Client exprimé par écrit, le Prestataire lui restitue les données ou les supprime, dans le mois qui suit, avec les copies existantes. Sans choix exprimé dans ce délai, les données sont supprimées. Seules les données qu’une obligation légale impose de conserver (comptabilité, contrat signé) sont gardées, pour la durée de cette obligation. Pour la plateforme passée en Option B, le serveur et ses données sont transférés au Client selon les CGV.
Le Prestataire met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord. Il permet un audit, réalisé par le Client ou par un auditeur qu’il mandate, une fois par an au plus, avec un préavis de trente jours, aux frais du Client.
