Accord de sous-traitance (DPA)
1. Parties et rôles
Le présent accord (« DPA ») est conclu entre, d’une part, le Client, agissant en qualité de responsable de traitement, et, d’autre part, Fraum, micro-entreprise exploitée par Amine Belahbib, TVA intracommunautaire FR25947519252, 59 rue de Ponthieu, Bureau 326, 75008 Paris, France, agissant en qualité de sous-traitant.
Il s’applique à tout traitement de données à caractère personnel réalisé par Fraum pour le compte du Client dans le cadre du Service Fraum Studio (voir CGV). Il prévaut sur tout document contraire en matière de protection des données. Il complète la politique de confidentialité.
2. Objet et durée
Le DPA a pour objet de définir les conditions dans lesquelles Fraum traite des données à caractère personnel pour le compte du Client, conformément à l’article 28 du RGPD. Il entre en vigueur à la souscription du Service et reste en vigueur pendant toute la durée du contrat, puis jusqu’à la suppression ou la restitution des données (section 13).
3. Instructions du responsable de traitement
Fraum traite les données uniquement sur instructions documentées du Client, y compris pour les transferts hors UE. Le Client est seul responsable de la licéité des traitements, des bases légales, de l’information des personnes et de l’obtention des consentements (notamment image et voix).
Fraum informe le Client si une instruction lui paraît contraire au RGPD ou à une autre disposition légale. Si Fraum est tenue par la loi de traiter des données, elle en informe le Client, sauf interdiction légale.
4. Nature et finalité du traitement
| Élément | Description |
|---|---|
| Finalité | Fourniture du Service : hébergement, production de clips multilingues, validation humaine, export, facturation, support, sécurité. |
| Catégories de personnes | Utilisateurs du Client ; personnes filmées ou enregistrées présentes dans les contenus. |
| Catégories de données | Données d’identification et de compte ; données techniques (logs, IP) ; contenus média incluant image et voix ; données de facturation. |
| Durée du traitement | Durée du contrat, puis durées de conservation de la section 13 et de la politique de confidentialité. |
Le Service n’est pas destiné aux données de candidats, de recrutement, d’ATS ou de CRM, ni aux données sensibles au sens de l’article 9 du RGPD.
5. Obligations de Fraum
- Traiter les données uniquement pour les finalités et selon les instructions du Client.
- Veiller à la confidentialité (section 6) et à la sécurité (section 7).
- Recourir aux sous-traitants ultérieurs dans les conditions de la section 8.
- Assister le Client pour les droits des personnes et les analyses d’impact (section 9).
- Notifier les violations de données (section 10).
- Permettre les audits (section 11) et organiser le sort des données en fin de contrat (section 13).
6. Confidentialité du personnel
Fraum veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité et bénéficient d’une formation appropriée. L’accès est limité au strict nécessaire (principe du moindre privilège).
7. Sécurité (article 32 RGPD)
Fraum met en œuvre des mesures techniques et organisationnelles appropriées au risque, notamment :
- authentification des utilisateurs et gestion des accès ;
- secrets et clés conservés hors du dépôt de code ;
- URLs signées à durée limitée pour l’accès aux médias ;
- chiffrement des communications en transit (TLS) ;
- sauvegardes régulières et procédures de restauration ;
- journalisation des accès et des tâches ;
- mesures de minimisation des données transmises aux sous-traitants.
Le détail complet des mesures est annexé ou décrit dans la documentation de sécurité mise à disposition du Client.
8. Sous-traitants ultérieurs
Le Client autorise par avance le recours aux sous-traitants ultérieurs listés ci-dessous. Fraum impose à chacun, par contrat, des obligations de protection des données au moins équivalentes à celles du présent DPA.
| Prestataire | Fonction | Localisation |
|---|---|---|
| Stripe | Paiement et abonnements | États-Unis / UE |
| Pennylane | Facturation électronique (Factur-X) | France / UE |
| Google Drive (Google) | Stockage des sources partagées | UE / transferts encadrés |
| Prestataire de stockage objet (R2) | Stockage des médias | UE |
| APIs média (ASR, doublage, synchronisation labiale) | Traitement IA des médias | Liste des sous-traitants IA média (ASR, traduction, lip sync) à finaliser avant publication — voir checklist README |
| Hébergeur applicatif | Hébergement | OVHcloud SAS — 2 rue Kellermann, 59100 Roubaix · VPS région Londres (os-uk2) |
Fraum notifie au Client tout changement (ajout ou remplacement) dans un délai raisonnable avant l’entrée en service du nouveau sous-traitant, afin que le Client puisse formuler des objections. En cas d’objection fondée, les parties recherchent une solution ; à défaut, le Client peut résilier le Service.
9. Assistance au responsable de traitement
Fraum assiste le Client, dans la mesure du possible, pour répondre aux demandes d’exercice des droits des personnes (accès, rectification, effacement, limitation, opposition, portabilité). Pour les demandes relatives aux personnes filmées, cette assistance est apportée sur demande du Client, seul interlocuteur des personnes concernées.
Fraum assiste également le Client pour les analyses d’impact relatives à la protection des données (AIPD) et les consultations préalables de l’autorité de contrôle, compte tenu de la nature du traitement.
10. Notification des violations de données
Fraum notifie au Client toute violation de données à caractère personnel dans un délai cible de 72 heures après en avoir pris connaissance, en précisant : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises ou proposées.
La notification ne vaut pas reconnaissance de responsabilité. Il appartient au Client, en sa qualité de responsable de traitement, de notifier le cas échéant la violation à l’autorité de contrôle et aux personnes concernées. Fraum documente les violations conformément à l’article 33 du RGPD.
11. Audit et inspections
Fraum met à disposition du Client les informations nécessaires pour démontrer le respect de ses obligations et permet des audits, y compris des inspections, dans des conditions raisonnables : préavis, périmètre limité, respect de la confidentialité et de la sécurité, une fois par an et sauf obligation légale ou incident de sécurité.
12. Transferts hors Union européenne
Tout transfert de données hors de l’Union européenne est encadré par des garanties appropriées, notamment les clauses contractuelles types de la Commission européenne, complétées par des mesures techniques et organisationnelles (minimisation, chiffrement en transit, limitation aux extraits nécessaires). Fraum informe le Client des garanties applicables sur demande.
13. Sort des données en fin de contrat
À la fin du contrat, et selon le choix du Client, Fraum restitue ou supprime les données à caractère personnel, sauf obligation légale de conservation (notamment facturation : 10 ans). La restitution s’effectue via l’export des clips validés, téléchargeable pendant 12 mois après la fin du contrat. Au-delà, les données sont supprimées, sous réserve des sauvegardes techniques (purge sous 30 jours).
Les durées de conservation détaillées figurent dans la politique de confidentialité.
14. Responsabilité
La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations prévues dans les CGV, sans préjudice des dispositions impératives du RGPD.
15. Droit applicable
Le présent DPA est soumis au droit français. Tout litige relatif au DPA relève des juridictions compétentes définies dans les CGV.
16. Contact protection des données
Point de contact protection des données : privacy@fraum.fr (pas de DPO désigné à ce jour).