Accord de sous-traitance

Pour les données de vos contacts, que vous saisissez, importez ou collectez via vos pages publiques, vous êtes responsable de traitement et Lumio Creator agit comme sous-traitantau sens de l'article 28 du RGPD.

Pour les données de votre propre compte (identité, abonnement, usage du service), la répartition est inverse : Lumio Creator en est responsable, et ce document ne s'y applique pas. Elles relèvent de la politique de confidentialité.

Accepter les conditions générales vaut acceptation du présent accord. Aucune signature séparée n'est nécessaire, mais vous pouvez en demander un exemplaire signé à contact@lumiocreator.com.

• Objet: l'hébergement et le traitement des données de vos contacts, pour vous fournir les fonctions du service que vous choisissez d'utiliser.
• Durée: la durée de votre abonnement, prolongée du délai de suppression prévu à l'article 9.
• Nature des opérations : collecte via vos pages publiques, enregistrement, organisation, consultation, modification, envoi de messages, analyse statistique, archivage documentaire et suppression.
• Finalité : la gestion de votre relation commerciale avec vos contacts. Lumio Creator ne poursuit aucune finalité propre sur ces données.

Selon les fonctions que vous activez, le service traite pour votre compte :

• Identification et contact : nom, adresse e-mail, téléphone, compte Instagram.
• Relation commerciale : source, étiquettes, étape de vente, notes que vous rédigez, rendez-vous, paiements que vous enregistrez.
• Contenus déclaratifs : réponses à vos formulaires, à vos quiz et à vos questionnaires de candidature.
• Documents et contrats: fichiers que vous téléversez, contrats envoyés et signés. La signature électronique enregistre l'adresse IP et le navigateur du signataire, à titre de preuve.
• Mesure d'audience : vues de vos pages publiques et paramètres de campagne associés.

Personnes concernées : vos prospects, clients, anciens clients, et les visiteurs de vos pages publiques.

Le service n'est pas conçu pour traiter des données sensibles au sens de l'article 9 du RGPD (santé, opinions, orientation, données biométriques) ni des données d'infractions. Si votre activité vous conduit à en saisir, notamment dans un champ libre, vous en assumez seul la licéité et les garanties supplémentaires.

Lumio Creator ne traite vos données que sur votre instruction documentée. Vos instructions sont constituées du présent accord, des conditions générales, et de l'usage que vous faites des fonctions du service : chaque action que vous déclenchez, ou que vous automatisez, vaut instruction.

Si une instruction nous paraît constituer une violation du RGPD ou d'une autre disposition applicable, nous vous en informons. Nous pouvons suspendre l'exécution d'une instruction manifestement illicite.

Vos données ne sont jamais vendues, jamais louées, jamais exploitées à des fins publicitaires, et jamais utilisées pour entraîner des modèles d'intelligence artificielle, qu'ils soient les nôtres ou ceux d'un tiers.

Les personnes autorisées à accéder à vos données s'engagent à la confidentialité et n'y accèdent que lorsque c'est nécessaire à l'exploitation du service ou au traitement d'une demande de support.

Pour être explicite sur un point que l'architecture impose : l'éditeur détient les accès techniques d'administration de la base de données, donc la capacité matérielle d'accéder à vos données. Cet accès est réservé à l'exploitation, au diagnostic d'incident et au support, et n'est jamais utilisé pour en tirer un usage propre.

Les mesures suivantes sont en place et vérifiables dans le comportement du service :

• Cloisonnement strict entre espaces de travail, appliqué au niveau de la base de données et non seulement dans l'application : une requête d'un espace ne peut pas atteindre les données d'un autre.
• Chiffrement de tous les échanges en transit (HTTPS), et chiffrement au repos des secrets de connexion (jetons des connecteurs, identifiants d'envoi d'e-mails) en AES-256-GCM.
• Documents stockés dans un espace privé, accessibles uniquement par des liens signés à durée limitée.
• Accès de vos équipiers gouverné par des rôles et des permissions que vous définissez, les réglages engageant le compte étant réservés à son propriétaire.
• Authentification déléguée, mots de passe jamais stockés en clair, en-têtes de sécurité HTTP et protection contre la falsification de requêtes lors des connexions à des services tiers.
• Sauvegardes régulières assurées par l'hébergeur de la base de données.

Ces mesures évoluent avec l'état de l'art. Elles ne peuvent être dégradées sans être remplacées par des mesures au moins équivalentes.

Vous autorisez Lumio Creator à recourir aux sous-traitants ultérieurs listés ci-dessous. Chacun est lié par des engagements de protection des données au moins équivalents à ceux du présent accord, et n'intervient que dans la limite de ce qui lui est nécessaire.

• Supabase, Inc. : base de données, authentification et stockage des fichiers (970 Toa Payoh North, Singapour — données hébergées dans l'Union européenne (Paris, eu-west-3)).
• Vercel Inc.: hébergement et exécution de l'application (440 N Barranca Ave #4133, Covina, CA 91723, États-Unis — fonctions exécutées en région Paris (cdg1)).
• Resend: acheminement des e-mails, lorsque vous utilisez la voie d'envoi par défaut du service. Si vous connectez votre propre compte Gmail ou votre propre serveur d'envoi, vos messages ne transitent pas par ce prestataire.
• Anthropic: traitement des contenus que vous soumettez aux agents d'intelligence artificielle et à l'assistant. Ces contenus ne servent pas à entraîner ses modèles.
• Google: uniquement si vous connectez un agenda ou une boîte d'envoi, pour les seules opérations décrites dans la politique de confidentialité.

Le prestataire de paiement Stripe ne figure pas dans cette liste : il traite les données de votre abonnement, pour lesquelles Lumio Creator est responsable et non sous-traitant. Les paiements que vous enregistrez au sujet de vos propres clients sont saisis dans le service et ne sont transmis à aucun prestataire de paiement.

Tout ajout ou remplacement de sous-traitant ultérieur vous est annoncé par e-mail ou dans l'application au moins trente jours avant sa mise en œuvre. Vous pouvez vous y opposer pour un motif raisonnable tenant à la protection des données. À défaut de solution, vous pouvez résilier sans pénalité et obtenir le remboursement au prorata de la période payée d'avance.

Vos données sont hébergées dans l'Union européenne. Certains prestataires listés à l'article 7 sont néanmoins établis hors de l'Union, ou peuvent y accéder pour l'exploitation de leur service. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne ou un mécanisme reconnu équivalent, complétés le cas échéant par des mesures techniques telles que le chiffrement.

Vous gardez la main sur vos données pendant toute la durée du contrat : elles restent consultables et exportables depuis l'application, et vous pouvez supprimer un contact, un document ou un contrat à tout moment, de manière définitive.

À la fermeture de votre compte, vos données et celles de vos contacts sont supprimées dans un délai de trente jours, sauf obligation légale de conservation portant sur des pièces comptables. Exportez ce que vous souhaitez conserver avant de résilier : passé ce délai, la suppression est irréversible et aucune copie n'est conservée.

Un compte resté sans accès actif pendant douze moisest traité de la même façon : conserver indéfiniment les données de vos contacts sur un espace abandonné serait contraire au principe de limitation de conservation. Vous êtes prévenu par e-mail et disposez de trente jours pour vous manifester ; reprendre un abonnement avant ce terme conserve l'intégralité des données.

Les fonctions du service sont conçues pour que vous puissiez répondre seul, et immédiatement, à une demande d'une personne concernée : consultation d'une fiche, rectification, export, suppression définitive. C'est la forme d'assistance la plus utile, parce qu'elle ne dépend pas de nos délais.

Lorsqu'une demande dépasse ce que l'interface permet, nous vous assistons dans un délai raisonnable. Si une personne concernée nous contacte directement à votre sujet, nous ne lui répondons pas à votre place : nous lui indiquons de s'adresser à vous, et nous vous relayons sa demande.

Nous vous assistons également, dans la limite des informations dont nous disposons, pour la sécurité des traitements, la notification des violations, les analyses d'impact et la consultation préalable de l'autorité de contrôle (articles 32 à 36 du RGPD).

En cas de violation de données affectant vos données, nous vous en informons sans délai injustifié après en avoir pris connaissance, à l'adresse e-mail du propriétaire du compte. Notre message décrit la nature de la violation, les catégories et le volume approximatif de données concernées, les conséquences probables et les mesures prises ou proposées.

C'est à vous, responsable de traitement, qu'il revient de notifier l'autorité de contrôle et, le cas échéant, d'informer les personnes concernées. Nous vous fournissons les éléments nécessaires.

Nous mettons à votre disposition les informations nécessaires pour démontrer le respect de nos obligations : documentation des mesures de sécurité, liste à jour des sous-traitants ultérieurs, réponse à vos questionnaires raisonnables.

Un audit sur place ou une inspection reste possible, à vos frais, sous réserve d'un préavis raisonnable, d'une fréquence limitée à une fois par an sauf incident, d'un engagement de confidentialité, et de modalités qui ne compromettent ni la sécurité ni la confidentialité des données des autres utilisateurs.

Pour toute question relative au présent accord ou pour en demander un exemplaire signé, écrivez à contact@lumiocreator.com. Les coordonnées complètes de l'éditeur figurent dans les mentions légales.