Contrat de sous-traitance (DPA)

1. Objet, parties et acceptation

Le présent contrat de sous-traitance (en anglais « Data Processing Agreement » ou DPA) encadre les traitements de données personnelles que FanCRM réalise pour le compte de ses clients, conformément à l'article 28 du règlement (UE) 2016/679 (RGPD).

Il est conclu entre :

• le client : la personne, agence ou créateur, qui ouvre un compte FanCRM et déclare agir à des fins professionnelles. Il agit comme responsable de traitement pour les données de ses fans, de ses prospects, de ses modèles et de ses propres clients ;
• FanCRM : service exploité par Carl Wozny sous le nom commercial Delsmer, joignable à contact@fancrm.fr. FanCRM agit comme sous-traitant pour ces données.

Ce contrat est une annexe des Conditions générales. Il est accepté en même temps qu'elles, en cochant la case prévue lors de l'inscription ou du paiement d'un abonnement (depuis le site ou depuis le tableau de bord), et sa version acceptée est conservée avec la date d'acceptation. Lorsqu'une nouvelle version est publiée, le client qui a accepté une version antérieure est invité à l'accepter depuis son tableau de bord. En cas de contradiction entre les Conditions générales et le présent contrat sur un point relatif à la protection des données personnelles, le présent contrat prévaut.

Les données dont FanCRM est lui-même responsable (compte du client, facturation, sécurité, journaux, parrainage, newsletter, statistiques du site) ne relèvent pas de ce contrat : elles sont décrites dans la politique de confidentialité.

2. Durée

Le présent contrat s'applique tant que le client dispose d'un compte FanCRM, quelle que soit sa formule (y compris la formule gratuite), et jusqu'à la suppression effective des données traitées pour son compte dans les conditions de l'article 14.

Les stipulations qui, par nature, doivent survivre à la fin du contrat (confidentialité, sort des données, coopération en cas de violation ou de demande d'une autorité) restent applicables après celle-ci.

3. Nature et finalités des traitements

FanCRM traite les données uniquement pour fournir au client les fonctions qu'il choisit d'utiliser :

• réception, stockage et affichage des conversations des comptes connectés par le client (Instagram, Messenger, WhatsApp, Telegram en bot ou en compte réel), et envoi des messages rédigés par le client ou par ses automatisations ;
• réponses automatiques, suggestions de réponse et relances générées par intelligence artificielle, transcription automatique des messages vocaux reçus, analyse des images reçues, envoi de vocaux enregistrés par le client, et tenue d'une mémoire du fan (notes, résumé de conversation, informations que le fan a lui-même données) pour que les réponses restent cohérentes ;
• lecture, réponse et masquage des commentaires publiés sous les contenus Instagram et Threads du client ;
• planification et publication de contenus sur les comptes du client ;
• gestion du recrutement de modèles (fiches prospects, échanges, suivi des étapes) ;
• génération de contrats, de relevés de répartition des revenus (appelés « fiches de paie » dans l'application) et de factures ;
• hébergement des liens payants (PPV), des pages bio-link et des pages coaching du client, avec la prise de réservation, l'envoi des emails de confirmation aux visiteurs au nom du client et, pour les liens payants, l'envoi à l'acheteur d'un email de confirmation de l'achat qui reprend l'adresse de contact indiquée par le client ;
• alertes envoyées au client par email, et assistance technique à sa demande.

Les opérations réalisées sont la collecte, l'enregistrement, l'organisation, la conservation, la consultation, la transmission aux prestataires listés à l'article 9, l'extraction automatique d'informations par l'IA et l'effacement.

FanCRM n'utilise pas les données d'un client pour fournir un service à un autre client, ne les vend pas, ne les utilise pas pour sa propre prospection et ne s'en sert pas pour entraîner un modèle d'intelligence artificielle. Les chiffres agrégés et anonymes de fonctionnement (par exemple le nombre de messages traités par l'IA, utilisé pour appliquer les quotas des formules) ne sont pas des données personnelles des fans.

4. Personnes concernées et catégories de données

Selon les fonctions activées par le client, FanCRM traite pour son compte les données suivantes :

Le client choisit les fonctions qu'il active et, par conséquent, les données qui sont réellement traitées.

5. Données potentiellement sensibles

Compte tenu de l'activité des clients, les conversations avec les fans, la mémoire du fan et les contenus déposés peuvent révéler des informations sur la vie sexuelle ou l'orientation sexuelle des personnes, qui font partie des catégories particulières de données de l'article 9 du RGPD. FanCRM ne demande jamais ces informations : elles ne sont présentes que si les personnes les communiquent elles-mêmes dans les échanges.

À ce titre, le client s'engage à :

• vérifier, avant d'utiliser le service, qu'il dispose d'une base légale et, pour ces données, d'une exception de l'article 9.2 du RGPD qui lui permet de les traiter ;
• ne pas saisir lui-même dans la mémoire du fan, les notes ou les fiches prospects des informations sensibles qui ne sont pas nécessaires à la relation (santé, opinions, orientation sexuelle, origine) ;
• réaliser, si elle est requise, l'analyse d'impact relative à la protection des données de l'article 35 du RGPD, que la combinaison de communications privées, de profilage, d'IA et de transferts hors de l'Union rend probable ;
• supprimer ou faire supprimer sans attendre les données d'une personne dont il apprend qu'elle est mineure.

6. Traitement sur instruction documentée

FanCRM ne traite les données que sur instruction documentée du client, y compris pour les transferts hors de l'Union européenne. Constituent ces instructions : les Conditions générales, le présent contrat, les réglages et actions effectués par le client dans son espace (comptes connectés, automatisations, séquences, suppressions) et les demandes écrites adressées à contact@fancrm.fr.

Si FanCRM est tenu par le droit de l'Union ou le droit français de procéder à un traitement qui ne relève pas de ces instructions, il en informe le client avant le traitement, sauf si ce droit l'interdit.

FanCRM informe immédiatement le client s'il estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition relative à la protection des données. Il peut alors suspendre l'exécution de cette instruction jusqu'à ce que le client la confirme ou la modifie.

7. Confidentialité

FanCRM veille à ce que les personnes autorisées à accéder aux données s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale de confidentialité. L'accès est réservé aux personnes qui en ont besoin pour exploiter le service, le maintenir ou répondre à une demande d'assistance du client.

FanCRM ne consulte pas le contenu des conversations du client, sauf pour traiter une demande d'assistance de sa part, pour assurer la sécurité du service ou pour répondre à une obligation légale.

8. Sécurité des données

Conformément à l'article 32 du RGPD, FanCRM met en œuvre les mesures techniques et organisationnelles suivantes :

• chiffrement des échanges entre le navigateur, les serveurs de FanCRM et ses prestataires (HTTPS) ;
• mots de passe des comptes clients conservés uniquement sous forme hachée, jamais en clair ;
• protection de la connexion contre les tentatives répétées (blocage temporaire après plusieurs échecs pour un même email ou une même adresse IP) et, lorsqu'elle est activée, vérification anti-robot à l'inscription et à la connexion ;
• cloisonnement des données par compte : les données sont lues et modifiées par les serveurs de FanCRM, qui limitent chaque requête aux données du compte authentifié ;
• chiffrement de la session des comptes Telegram réels connectés (les jetons d'accès des autres plateformes connectées sont conservés dans la base de données protégée, sans chiffrement supplémentaire) ;
• stockage privé des contenus PPV, délivrés à l'acheteur par des liens temporaires après confirmation du paiement, et des vocaux enregistrés par le client ;
• journalisation des connexions et des actions sensibles, conservée 12 mois, pour détecter et analyser les incidents ;
• hébergement des données chez des prestataires professionnels (base de données et stockage : Supabase, Irlande, dans l'Union européenne ; fonctions du site : Vercel, Dublin, en Irlande, dans l'Union européenne).

Les fichiers que le client choisit de rendre publics (aperçus PPV, images et vidéos des bio-links et des pages coaching) sont, par nature, accessibles à toute personne qui dispose de leur adresse.

Le client est responsable de la sécurité de ses propres accès : confidentialité de son mot de passe, sécurité des comptes de plateformes qu'il connecte, choix des personnes à qui il donne accès à son espace.

9. Sous-traitants ultérieurs

Le client donne à FanCRM une autorisation générale de recourir à des sous-traitants ultérieurs pour exécuter le service. La liste à jour, avec la fonction, les données concernées et le pays de chacun, est publiée sur la page Sous-traitants.

Les prestataires d'intelligence artificielle y sont décrits par catégorie, avec leur pays et la situation de chaque transfert. Leur identité est communiquée sur simple demande à contact@fancrm.fr.

FanCRM informe le client par email, au moins 30 jours avant sa prise d'effet, de tout ajout ou remplacement d'un sous-traitant ultérieur. Pendant ce délai, le client peut s'y opposer par écrit, pour un motif raisonnable lié à la protection des données. Les parties cherchent alors une solution ; à défaut, le client peut résilier son abonnement sans frais, avec effet avant la mise en place du nouveau sous-traitant. En cas d'urgence liée à la sécurité ou à la continuité du service, le délai peut être réduit : le client en est informé dès que possible et conserve son droit d'opposition.

FanCRM impose à chaque sous-traitant ultérieur, par contrat ou par l'acceptation de ses conditions de traitement des données, des obligations de protection des données équivalentes à celles du présent contrat, et reste responsable envers le client de leur exécution.

Les plateformes que le client connecte (Meta pour Instagram, Messenger et Threads ; Telegram ; TikTok) traitent les données selon leurs propres conditions, que le client accepte directement auprès d'elles, en tant que responsables de leurs propres traitements. Pour WhatsApp Cloud API, Meta agit comme sous-traitant ultérieur selon ses conditions de traitement des données WhatsApp Business. Stripe agit comme sous-traitant ultérieur pour l'exécution des paiements, et comme responsable distinct pour la lutte contre la fraude et la vérification d'identité, comme l'indique la page Sous-traitants.

10. Transferts de données hors de l'Union européenne

Certains sous-traitants ultérieurs traitent des données en dehors de l'Union européenne. Le client en est informé avant d'accepter le présent contrat et donne instruction à FanCRM de procéder aux transferts décrits ci-dessous lorsqu'il utilise les fonctions concernées. La transcription des messages vocaux a lieu automatiquement pour tout vocal reçu sur un compte connecté.

Concernant le prestataire situé en Chine, le client, en sa qualité de responsable de traitement, apprécie si ce transfert est compatible avec ses propres obligations. S'il ne l'accepte pas, il ne doit pas activer les fonctions d'IA qui y ont recours (réponses automatiques et suggestions de réponse, relances, mémoire du fan, réponses aux prospects du recrutement et choix des vocaux), et il peut le signaler à contact@fancrm.fr. FanCRM informera le client de toute évolution de cette situation dans les conditions de l'article 9.

Les prestataires d'IA sont décrits par catégorie et non nommés. Leur identité, ainsi qu'une copie des garanties de transfert lorsqu'elles existent, est communiquée sur simple demande à contact@fancrm.fr.

11. Aide à l'exercice des droits des personnes

Le client reste l'interlocuteur des personnes concernées pour l'exercice de leurs droits (accès, rectification, effacement, limitation, opposition, portabilité). Si FanCRM reçoit directement une demande d'un fan ou d'une autre personne, il la transmet au client sans délai et n'y répond pas lui-même, sauf instruction du client.

Pour y répondre, le client dispose dans son espace des outils suivants :

• suppression d'une conversation, qui efface les messages enregistrés, la mémoire du fan et les réponses programmées (Instagram, Messenger, WhatsApp et bots Telegram) ;
• consultation et modification de la mémoire du fan ;
• mise en pause de l'IA pour un fan, qui arrête les réponses automatiques et les relances qui lui sont destinées ;
• suppression des fiches prospects du recrutement et des pages qu'il a créées ;
• suppression de son compte depuis ses paramètres, qui efface l'ensemble des données traitées pour son compte (article 14).

En complément, les relances automatiques ne sont pas envoyées à un fan dont le dernier message est une courte demande d'arrêt (par exemple « STOP », « arrête » ou « unsubscribe »). Ce filtre ne reconnaît pas toutes les formulations et ne couvre ni les réponses automatiques ni les séquences en cours : il ne remplace pas l'obligation du client prévue à l'article 16.

Lorsque le client retire FanCRM depuis les paramètres de Facebook, d'Instagram ou de Threads, le compte connecté correspondant est déconnecté. S'il demande en outre à Meta la suppression de ses données, FanCRM supprime les données conservées pour ce compte connecté (messages, mémoire des fans, réponses programmées, historique des vocaux envoyés, publications et statistiques enregistrées), puis le compte connecté lui-même ; la demande peut être suivie sur la page Suivi de suppression des données. Les réglages d'IA et les scripts du client ne sont pas concernés.

Pour les demandes que ces outils ne couvrent pas (comptes Telegram réels, médias reçus, copie des données d'un fan, réservations coaching), le client écrit à contact@fancrm.fr. FanCRM l'aide dans un délai qui lui permet de respecter le délai de réponse d'un mois prévu par l'article 12 du RGPD.

12. Aide à la sécurité, aux analyses d'impact et à la consultation de la CNIL

Compte tenu de la nature du traitement et des informations dont il dispose, FanCRM aide le client à respecter ses obligations des articles 32 à 36 du RGPD. Sur demande écrite, il lui fournit notamment la description des traitements réalisés, des mesures de sécurité et des sous-traitants ultérieurs, utile à la réalisation d'une analyse d'impact ou à une consultation préalable de la CNIL.

FanCRM tient un registre des activités de traitement qu'il effectue pour le compte de ses clients, conformément à l'article 30.2 du RGPD.

13. Notification des violations de données

FanCRM notifie au client toute violation de données personnelles qui concerne les données traitées pour son compte sans délai injustifié, et au plus tard 48 heures après en avoir pris connaissance, par email à l'adresse du compte.

La notification contient, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables, les mesures prises ou envisagées pour y remédier et en limiter les effets, et le contact chargé du suivi. Si toutes ces informations ne sont pas disponibles en même temps, elles sont communiquées par étapes, sans retard supplémentaire.

Il appartient au client, responsable de traitement, de notifier la violation à la CNIL et, le cas échéant, aux personnes concernées (articles 33 et 34 du RGPD). FanCRM lui apporte les informations nécessaires pour le faire.

14. Conservation et sort des données

Les données traitées pour le compte du client sont conservées tant que son compte existe. Elles sont supprimées avec le compte, ou plus tôt sur instruction du client (notamment par les outils de suppression de son espace).

La résiliation d'un abonnement payant ne supprime pas le compte : celui-ci passe à la formule gratuite et les données restent disponibles pour le client. La suppression intervient dans les cas suivants :

• lorsque le client supprime lui-même son compte depuis ses paramètres (confirmation par son mot de passe et par le mot SUPPRIMER) : immédiatement, avec les fichiers stockés pour son compte ;
• sur demande du client adressée à contact@fancrm.fr, dans un délai d'un mois ;
• automatiquement, pour un compte gratuit sans abonnement dont le tableau de bord n'a pas été ouvert depuis 3 ans, après l'envoi d'un email d'avertissement au client 30 jours avant la suppression ;
• à la fin de la relation contractuelle pour toute autre cause.

Avant la suppression, le client peut demander par écrit une copie des données traitées pour son compte. FanCRM la lui remet dans un format courant et lisible par machine, dans un délai d'un mois. Une fois la suppression effectuée, les données ne peuvent plus être récupérées ; les copies de sauvegarde techniques de l'hébergeur disparaissent selon leur cycle normal de renouvellement.

Seules restent conservées les données que FanCRM est tenu de garder pour son propre compte en vertu de la loi, notamment les pièces comptables (10 ans) et les données d'identification des auteurs de contenus publiés que tout hébergeur doit conserver (décret n° 2021-1362 du 20 octobre 2021), pendant les durées légales. Ces données concernent le client et non ses fans.

15. Information et audits

FanCRM met à la disposition du client les informations nécessaires pour démontrer le respect du présent contrat et de l'article 28 du RGPD, et répond à ses questions écrites dans un délai raisonnable.

Le client peut faire réaliser un audit, par lui-même ou par un auditeur indépendant tenu à la confidentialité, dans les conditions suivantes : demande écrite au moins 30 jours à l'avance, au plus une fois par an sauf violation de données ou demande d'une autorité de contrôle, déroulement en priorité sur pièces, sans accès aux données des autres clients ni atteinte à la sécurité du service. Les frais de l'audit sont à la charge du client.

16. Obligations du client

En sa qualité de responsable de traitement, le client s'engage à :

• disposer d'une base légale pour chaque traitement qu'il confie à FanCRM, et respecter le RGPD, les règles des plateformes qu'il connecte et la loi dans sa relation avec ses fans ;
• informer les personnes concernées (fans, prospects, modèles, clients de ses pages) des traitements réalisés, de l'utilisation d'outils automatisés et d'IA, des transferts hors de l'Union et de leurs droits, conformément aux articles 13 et 14 du RGPD, par exemple par une politique de confidentialité accessible depuis ses comptes et ses pages ;
• ne pas utiliser le service avec des personnes mineures, ni pour recruter des modèles mineures. FanCRM suspend les réponses automatiques lorsqu'un message laisse penser que l'interlocuteur est mineur, mais ce garde-fou ne remplace pas la vigilance du client ;
• garantir que toutes les personnes représentées dans les contenus qu'il dépose ou diffuse sont majeures et consentantes, et en conserver la preuve ;
• respecter sans délai la demande d'un fan qui ne souhaite plus recevoir de relances ou de messages automatiques, en mettant l'IA en pause pour ce fan ou en supprimant la conversation. Le filtre automatique des relances décrit à l'article 11 ne reconnaît que certaines demandes courtes : le client reste responsable de toutes les autres ;
• indiquer, pour chaque lien payant, une adresse email de contact valide, affichée aux acheteurs et reprise dans l'email de confirmation, et répondre aux acheteurs qui l'utilisent ;
• connecter un compte Telegram réel en sachant que les conversations privées avec des proches sont aussi synchronisées, et supprimer celles qui ne doivent pas être traitées ;
• donner des instructions licites, et ne pas utiliser les notes, la mémoire du fan ou les fiches prospects pour y consigner des informations sans rapport avec la relation ;
• rester seul responsable des messages envoyés par ses automatisations et de leur contenu.

17. Responsabilité, modifications et contact

La responsabilité de chaque partie au titre du présent contrat est régie par les Conditions générales, sous réserve des dispositions impératives du RGPD, notamment son article 82.

FanCRM peut modifier le présent contrat pour tenir compte d'une évolution du service, de la loi ou de la doctrine des autorités de protection des données. Le client est informé par email de toute modification substantielle avant son entrée en vigueur. Les changements de sous-traitants ultérieurs suivent la procédure de l'article 9.

Le présent contrat est soumis au droit français. Pour toute question, ou pour exercer l'une des facultés prévues ci-dessus, le client écrit à contact@fancrm.fr.