# Accord de sous-traitance — Formeo

Version : 2026-10-26. Conditions contractuelles définitives. La date d’entrée en vigueur pour chaque client est déterminée à l’article 1.

## 1. Parties, conclusion et durée

Cet accord complète le contrat de service entre le client identifié dans la preuve d’acceptation écrite (Client) et RyactApps LLC, société à responsabilité limitée constituée dans l’État de New York, exploitant Formeo sur https://formeo.me et LittleReply sur https://littlereply.com (Sous-traitant). Son adresse est 418 BROADWAY, STE N, ALBANY, NY 12207, USA. Contact confidentialité et sécurité : privacy@formeo.me. Assistance : contact@formeo.me.

Le représentant habilité du Client conclut cet Accord en adressant à privacy@formeo.me une acceptation expresse de la version 2026-10-26, avec la dénomination, l’adresse, le représentant et le contact confidentialité du Client, les identifiants des espaces couverts et sa qualité de responsable de traitement ou de sous-traitant. Le Sous-traitant confirme son acceptation par écrit, notamment par e-mail, identifie son représentant habilité et fournit le relevé des traitements et prestataires décrit dans les annexes. L’Accord devient contraignant à l’envoi de cette confirmation. Un accord signé séparément incorporant expressément cette version produit le même effet. Chaque partie conserve le document convenu et sa preuve d’acceptation. La visite du site, le téléchargement ou la seule acceptation des conditions générales du compte ne concluent pas cet Accord.

L’Accord doit être conclu avant le traitement pour le compte du Client lorsque l’article 28 du RGPD l’exige. Il s’applique pendant le contrat de service et subsiste pour les traitements restants jusqu’à l’achèvement de la restitution ou de la suppression. Il ne certifie pas rétroactivement les traitements antérieurs. Les annexes font partie de l’Accord.

## 2. Rôles et périmètre

Les termes de protection des données ont le sens du règlement (UE) 2016/679 (RGPD). Les Données du Client sont les données personnelles traitées pour son compte selon l’annexe 1. Le Client détermine les finalités et moyens en qualité de responsable de traitement. S’il est lui-même sous-traitant, il confirme son autorisation de désigner le Sous-traitant comme sous-traitant ultérieur et transmet les instructions documentées et obligations applicables du responsable. Les références aux instructions du Client incluent ces instructions autorisées.

Le Client est responsable de la base juridique, des informations aux personnes, de la licéité de la collecte et des communications, de la minimisation, des autorisations, des destinataires et d’une conservation adaptée. Les catégories particulières de données, données pénales, pièces d’identité, mots de passe et secrets de paiement ne doivent pas être demandés dans des formulaires ordinaires sans analyse et accord écrits distincts sur des garanties appropriées. Les responsabilités d’une partie ne dispensent pas l’autre de ses propres obligations.

Les traitements propres au Sous-traitant pour les comptes, la facturation, ses obligations légales et la mesure facultative du service figurent dans la [politique de confidentialité](https://formeo.me/politique-de-confidentialite). Ils n’autorisent pas la réutilisation des Données du Client à des fins publicitaires, de vente ou d’entraînement de modèles d’IA à usage général.

## 3. Instructions documentées

Le Sous-traitant traite les Données du Client uniquement sur instructions documentées, y compris pour les transferts internationaux, afin de fournir, sécuriser et assister le service configuré. Les instructions comprennent cet Accord, le contrat de service, les paramètres autorisés des espaces et formulaires et les instructions écrites ultérieures acceptées dans le périmètre du service. Le Sous-traitant ne détermine pas de nouvelles finalités pour les Données du Client.

Si le droit de l’Union ou d’un État membre impose un autre traitement, le Sous-traitant en informe préalablement le Client, sauf interdiction légale pour des motifs importants d’intérêt public. Les autres demandes d’autorités publiques sont examinées selon le droit applicable et l’article 8 ; il ne s’agit pas d’une autorisation générale de divulgation incompatible.

Le Sous-traitant informe immédiatement le Client s’il estime qu’une instruction enfreint le RGPD ou d’autres règles de protection des données de l’Union ou d’un État membre et suspend cette instruction jusqu’à ce qu’un traitement licite soit possible. Les parties coopèrent pour résoudre la difficulté ; le Client peut mettre fin au traitement concerné à défaut de solution licite.

## 4. Confidentialité et sécurité

L’accès est limité aux personnes habilitées qui en ont besoin pour leurs missions et sont soumises à une obligation contractuelle ou légale appropriée de confidentialité, subsistant après la fin de l’accès. Le Sous-traitant réexamine les permissions et supprime les accès inutiles.

Le Sous-traitant met en œuvre et maintient des mesures techniques et organisationnelles adaptées au risque selon l’article 32 du RGPD, en tenant compte du traitement, des techniques disponibles et des coûts. L’annexe 2 décrit les contrôles et limites opérationnelles. Le Sous-traitant en évalue régulièrement l’efficacité, examine les insuffisances et y remédie. Les modifications ne doivent pas réduire substantiellement la protection convenue.

Aucune certification, disponibilité ininterrompue, sauvegarde indépendante opérée ou durée fixe de rétablissement n’est déclarée. Cela ne limite pas l’obligation de prévoir des mesures appropriées de confidentialité, d’intégrité, de disponibilité, de résilience et de rétablissement pour les traitements entrepris.

## 5. Sous-traitants ultérieurs et destinations demandées

Le Client donne une autorisation écrite générale pour les sous-traitants ultérieurs identifiés pour ses traitements à l’annexe 3 et dans le relevé des prestataires associé. Le Sous-traitant retient des prestataires présentant des garanties suffisantes, leur impose par écrit des obligations substantiellement identiques de protection des données et demeure pleinement responsable envers le Client de leur exécution.

Le Sous-traitant adresse au contact confidentialité désigné un préavis écrit d’au moins 30 jours avant l’ajout ou le remplacement d’un sous-traitant ultérieur, avec sa finalité, son identité, sa localisation et les garanties de transfert pertinentes. Le Client peut formuler une objection raisonnablement motivée par la protection des données pendant ce délai. Les parties recherchent une solution de remplacement ou des garanties adéquates. Aucune Donnée du Client concernée n’est transmise au prestataire contesté tant que l’objection reste non résolue. À défaut de solution, chaque partie peut mettre fin au service concerné, avec restitution ou suppression selon l’article 10 et remboursement proportionnel des frais prépayés pour le service concerné non utilisé.

Les messageries, webhooks et services connectés choisis par le Client ne reçoivent des données que sur ses instructions. Le Client doit disposer des autorisations et accords nécessaires pour ces destinations. Un prestataire engagé par le Sous-traitant pour exécuter ses obligations de traitement reste un sous-traitant ultérieur, quel que soit son libellé dans l’interface.

## 6. Assistance et droits des personnes

Compte tenu de la nature du traitement et des informations disponibles, le Sous-traitant assiste le Client par des mesures techniques et organisationnelles appropriées pour l’accès, la rectification, l’effacement, la limitation, la portabilité, l’opposition et les autres droits applicables, ainsi que pour les articles 32 à 36 du RGPD, notamment les analyses d’impact et la consultation préalable.

Le Sous-traitant transmet sans retard injustifié les demandes concernant les Données du Client et n’y répond pas pour son compte sans instruction ou obligation légale. Il fournit l’assistance pertinente à temps pour les délais légaux du Client. Le Client communique le périmètre et les instructions nécessaires ; une vérification d’identité proportionnée et des communications sécurisées s’appliquent. Les frais convenus pour une assistance exceptionnelle ne doivent pas entraver la coopération obligatoire ni les délais légaux.

## 7. Violations de données personnelles

Le Sous-traitant informe le Client sans retard injustifié après avoir pris connaissance d’une violation affectant les Données du Client, par son contact confidentialité désigné et, si nécessaire, le contact du compte de l’espace. La première notification ne doit pas attendre la fin de l’enquête.

À mesure que les informations sont disponibles, la notification précise la nature de la violation, les catégories et nombres approximatifs de personnes et d’enregistrements concernés, un contact pour obtenir des précisions, les conséquences probables et les mesures prises ou proposées pour contenir la violation ou y remédier. Les éléments manquants suivent progressivement sans nouveau retard injustifié. Le Sous-traitant documente l’incident, conserve les preuves pertinentes, contient et corrige la violation et assiste les notifications. Le Client détermine les notifications aux autorités et aux personnes, sauf obligation légale d’intervention directe du Sous-traitant.

## 8. Traitements et transferts internationaux

La base principale, le stockage privé et les fonctions applicatives sont configurés à Francfort. Cela ne constitue pas un engagement de traitement exclusivement dans l’EEE : le Sous-traitant est établi aux États-Unis et les prestataires, l’assistance, les journaux, les réseaux et les destinations demandées peuvent impliquer d’autres pays.

Avant un transfert soumis au chapitre V du RGPD, y compris un accès depuis un pays tiers, les parties doivent établir et documenter un mécanisme valable applicable aux parties et traitements réels. Il peut s’agir d’une décision d’adéquation applicable ou de clauses contractuelles types valables avec les annexes, l’évaluation et les mesures supplémentaires nécessaires. Un cadre d’adéquation exige de vérifier la couverture actuelle du destinataire et des données. Cet Accord ne constitue pas lui-même des clauses contractuelles types de transfert international ; citer un mécanisme n’établit ni certification ni conclusion de ce mécanisme.

Le Sous-traitant consigne les destinataires, pays, mécanismes et garanties et fournit ces informations et l’accès aux garanties applicables au Client. Il examine les demandes d’accès des autorités, conteste les demandes illicites ou disproportionnées lorsque cela est approprié, limite les divulgations légalement requises et informe le Client sauf interdiction légale. Si les garanties ne peuvent être établies ou cessent d’être efficaces, il informe le Client et suspend le transfert concerné jusqu’à une solution licite ; à défaut, l’article 10 s’applique. L’IA facultative ne doit recevoir aucune Donnée du Client avant confirmation écrite des prestataires, de la conservation et des garanties de transfert applicables.

## 9. Registres, informations et audits

Le Sous-traitant tient les registres exigés par la loi, met à disposition les informations nécessaires pour démontrer le respect de cet Accord et de l’article 28 du RGPD, permet et facilite les audits et inspections du Client ou de son auditeur indépendant mandaté et coopère avec les autorités compétentes.

Les parties coordonnent un périmètre proportionné, un préavis raisonnable, la confidentialité et des accès sécurisés pour protéger les autres clients et le service. Ces modalités ne doivent pas empêcher un audit nécessaire, une enquête urgente ou l’accès d’une autorité. Les rapports indépendants peuvent aider sans remplacer les droits d’audit légalement requis. Le Sous-traitant remédie aux insuffisances identifiées et informe des actions correctives. Aucune certification n’est impliquée.

## 10. Conservation, restitution et suppression

Pendant le service, le Sous-traitant respecte les instructions licites de suppression et les paramètres de conservation du Client. La conservation par défaut des messages est de 90 jours, sauf autre paramètre disponible sélectionné. Le Client choisit une durée adaptée à sa finalité.

À la fin du service concerné, le Client choisit la restitution dans un format électronique disponible et couramment utilisé suivie de la suppression, ou la suppression sans restitution. Le Sous-traitant demande ce choix avant une fermeture planifiée ; les instructions peuvent aussi être adressées à privacy@formeo.me. En l’absence d’instruction de restitution après cette demande, la suppression s’applique. Le Sous-traitant exécute l’instruction sans retard injustifié, supprime les copies restantes et confirme l’achèvement sur demande, sauf obligation de conservation du droit de l’Union ou d’un État membre. Il identifie cette obligation lorsque cela est permis, isole les données conservées, limite leur traitement à cette obligation et les supprime à son terme.

La suppression d’une demande retire les champs et métadonnées des accès ordinaires et programme la purge des fichiers et contenus dépendants. Les échecs de purge sont suivis et font l’objet de nouvelles tentatives. Les sauvegardes, lorsqu’elles existent, restent protégées, exclues des traitements ordinaires et sont supprimées ou rendues irrécupérables selon le calendrier documenté fourni pour les traitements du Client. Les traces de suppression sont appliquées avant de rendre les données restaurées accessibles. Le calendrier doit identifier la conservation réelle des prestataires et ses limites ; il ne constitue pas une exception de conservation illimitée. Les copies livrées aux messageries ou intégrations contrôlées par le Client restent sous son contrôle.

## 11. Priorité, modifications et responsabilité

Cet Accord prévaut sur les clauses incompatibles du contrat de service pour les Données du Client. Les clauses de transfert applicables et les règles impératives de protection des données prévalent sur cet Accord. Aucune disposition ne réduit les droits légaux des personnes, les pouvoirs des autorités ou les responsabilités des parties au titre du RGPD. Les clauses du contrat de service relatives au droit applicable et aux litiges s’appliquent pour le surplus, sous réserve des règles impératives de l’Union et des États membres.

Les modifications substantielles nécessitent un accord écrit identifiant la nouvelle version ; la seule publication d’un nouveau téléchargement ne modifie pas un Accord conclu. Les changements de sous-traitants ultérieurs suivent l’article 5. Des versions française et anglaise sont disponibles ; la preuve d’acceptation identifie la langue et la version convenues. Aucune traduction ne réduit les protections impératives du RGPD.

## Annexe 1 — Description du traitement

| Élément | Périmètre |
| --- | --- |
| Objet | Réception et gestion des demandes issues des formulaires du Client et assistance associée. |
| Nature et finalité | Collecte, validation, contrôles anti-spam et de sécurité, stockage, organisation, accès, export, notifications, intégrations configurées et suppression pour traiter les demandes. Les réponses IA facultatives sont soumises à l’article 8. |
| Personnes | Visiteurs des sites, personnes citées dans les demandes, destinataires désignés et membres habilités de l’équipe figurant dans les Données du Client. |
| Données | Champs choisis par le Client, dont noms, coordonnées et texte des demandes ; pièces jointes autorisées ; destinataires ; métadonnées nécessaires d’envoi et de sécurité ; informations associées de suivi, livraison et assistance. |
| Fréquence et durée | Selon l’utilisation du service, pendant la période de l’article 1 et selon les instructions de conservation de l’article 10. |
| Instructions | Espaces identifiés, paramètres publiés des formulaires, destinataires et intégrations, conservation et instructions écrites licites. |

La preuve d’acceptation identifie les espaces couverts et contacts habilités. Le Sous-traitant conserve la configuration applicable et les instructions complémentaires convenues. Les usages à risque exclus nécessitent l’accord distinct de l’article 2.

## Annexe 2 — Mesures techniques et organisationnelles

- Accès : administration authentifiée, appartenance actuelle aux espaces et projets, permissions limitées, stockage privé et liens temporaires de téléchargement soumis à autorisation.
- Séparation et minimisation : autorisations par client et politiques d’accès en base ; absence de secrets des destinataires et de configuration privée dans le rendu public ; exclusion des messages et secrets des journaux opérationnels.
- Transmission et secrets : points d’accès HTTPS, secrets côté serveur, chiffrement des identifiants d’intégration enregistrés et accès API limité et révocable.
- Réception et fichiers : validation, limites de fréquence et de taille, contrôles anti-spam, propriété des pièces jointes et quarantaine. Les fichiers exigeant une analyse réussie restent indisponibles jusqu’à son résultat ; une panne d’analyse ne doit pas les libérer.
- Intégrité et suppression : enregistrement durable des demandes et travaux, états distincts de livraison, exports et suppressions autorisés, traces de suppression et nouvelles tentatives de purge.
- Organisation : accès selon le besoin, confidentialité, revue de sécurité, gestion des incidents, assistance et obligations d’audit de cet Accord.
- Rétablissement : le service dépend des prestataires d’infrastructure. Une sauvegarde indépendante distincte et un objectif fixe de rétablissement vérifié ne sont pas inclus dans la configuration publiée. Avant d’entreprendre le traitement, le Sous-traitant documente la couverture réelle de sauvegarde et de restauration, les calendriers de conservation et de purge des prestataires et les mesures de rétablissement adaptées au risque. Il doit remédier aux insuffisances selon l’article 4 ; un objectif non vérifié n’est pas une garantie.

## Annexe 3 — Prestataires et relevé des transferts

| Prestataire/service | Rôle et périmètre | Localisation |
| --- | --- | --- |
| Supabase | Base de données, stockage privé et authentification des accès au service. | Projet principal à Francfort ; assistance et autres traitements examinés séparément. |
| Vercel | Hébergement, fonctions, transport des travaux et journaux techniques. | Fonctions à Francfort ; CDN, journaux et assistance pouvant impliquer d’autres régions. |
| Brevo | Transport des notifications et e-mails d’authentification configurés, informations de destinataires et de livraison et contenu nécessaire à l’envoi. | Localisations et conservation applicables consignées pour le service souscrit. |
| OpenAI, seulement après activation et vérification selon l’article 8 | Champs et contexte sélectionnés et réponses générées pour les fonctions IA demandées. | Entité contractante, lieux, conservation et garanties confirmés avant l’envoi de Données du Client. |

Le Sous-traitant fournit et actualise un relevé des entités contractantes réelles, services concernés, pays de traitement, calendriers de conservation et de sauvegarde et garanties de transfert. Le relevé initial accompagne la confirmation écrite de l’article 1 ; les modifications suivent les articles 5 et 8. Références officielles : [accord Supabase](https://supabase.com/legal/dpa), [accord Vercel](https://vercel.com/legal/dpa), [conditions Brevo](https://www.brevo.com/legal/termsofuse/), [accord OpenAI](https://openai.com/policies/data-processing-addendum/). Ces liens sont informatifs et ne prouvent ni conclusion ni configuration de ces dispositions.

Stripe traite les données de paiement et de compte selon son rôle applicable ; PostHog traite la mesure facultative du service selon la politique de confidentialité. Cet Accord ne les autorise pas à recevoir le contenu des formulaires. Les destinations configurées par le Client et les services anti-spam facultatifs doivent être identifiés selon leur rôle réel ; tout autre prestataire engagé par le Sous-traitant pour les Données du Client nécessite l’autorisation de l’article 5. La [page des prestataires](https://formeo.me/sous-traitants) complète l’information sans modifier unilatéralement un Accord conclu.