Préambule
Le présent Accord de Traitement des Données (DPA) est conclu entre BELLI, SAS au capital de 1 000 euros, 22 galerie Saint Marc, 75002 Paris (SIREN : 914 527 429 — RCS Paris), représentée par Alexandre BREL, exploitant le service « LISTAR », et Le Client, personne morale ayant souscrit au Service et accepté les CGU de Listar.
Le présent DPA est conclu en application de l'article 28 du RGPD et de la Loi n°78-17 du 6 janvier 1978 modifiée. Il fait partie intégrante du contrat. DPO : dpo@listar.fr
Article 1 — Objet
Le présent DPA définit les conditions dans lesquelles Belli traite des données à caractère personnel pour le compte du Client dans le cadre de la fourniture du service d'enrichissement de données professionnelles B2B Listar.
Article 2 — Définitions
- Données à Caractère Personnel (DCP) : toute information relative à une personne physique identifiée ou identifiable (art. 4(1) RGPD).
- Responsable de Traitement : personne qui détermine les finalités et les moyens du traitement (art. 4(7) RGPD).
- Sous-Traitant : personne qui traite des DCP pour le compte du Responsable de Traitement (art. 4(8) RGPD).
- Sous-Traitant Ultérieur : tout sous-traitant engagé par Belli pour traiter des DCP pour le compte du Client.
- Violation de Données : toute violation de sécurité entraînant destruction, perte, altération, divulgation ou accès non autorisé (art. 4(12) RGPD).
- Personne Concernée : toute personne physique dont les DCP sont traitées.
- Autorité de Contrôle : autorité publique chargée de surveiller la protection des données (en France : la CNIL).
Article 3 — Rôles des parties
3.1 — Double qualification de Belli / Listar
Belli intervient dans deux rôles distincts :
- (a) Responsable de Traitement indépendant : pour les DCP qu'il collecte dans sa propre base d'enrichissement (emails professionnels, téléphones, profils LinkedIn, informations d'entreprise). Base légale : intérêt légitime (art. 6.1(f) RGPD).
- (b) Sous-Traitant : lorsqu'il traite les Données Client transmises pour enrichissement, pour le compte et sur instruction du Client.
3.2 — Le Client, Responsable de Traitement
Le Client détermine seul les finalités et les moyens de l'utilisation des Données Enrichies en aval du Service. Il est seul responsable du respect de ses obligations RGPD dans ce cadre.
Article 4 — Description du traitement
| Caractéristique | Description |
|---|---|
| Finalité | Enrichissement de données professionnelles B2B pour le compte du Client |
| Personnes concernées | Contacts professionnels (prospects, clients potentiels) du Client : salariés, dirigeants, associés de personnes morales |
| Catégories de DCP | Nom, prénom, adresse email professionnelle, numéro de téléphone professionnel, intitulé de poste, entreprise, URL du profil LinkedIn |
| Données sensibles | Aucune donnée sensible au sens de l’article 9 du RGPD n’est traitée |
| Durée de conservation Données Client | 90 jours maximum après transmission, puis suppression automatique |
| Localisation | Union Européenne |
| Base légale (Belli en RT) | Intérêt légitime (article 6.1(f) RGPD) |
Article 5 — Obligations de Belli en qualité de Sous-Traitant
5.1 — Instructions du Client
Belli ne traite les Données Client que sur instructions documentées du Client. Les CGU et le présent DPA constituent les instructions initiales. Toute instruction supplémentaire doit être transmise par écrit à dpo@listar.fr. Si Belli estime qu'une instruction constitue une violation du RGPD, il en informe immédiatement le Client par écrit.
5.2 — Confidentialité
Belli garantit que les personnes autorisées à traiter les DCP se sont engagées à respecter la confidentialité. Seules les personnes dont l'accès est strictement nécessaire à l'exécution du Service y ont accès.
5.3 — Sécurité du traitement
Belli met en œuvre les mesures techniques et organisationnelles appropriées conformément à l'article 32 du RGPD. Ces mesures sont décrites en Annexe 2.
5.4 — Notification de Violation de Données
En cas de Violation affectant les Données Client, Belli s'engage à :
- Notifier le Client dans les meilleurs délais et au plus tard dans les 72 heures ;
- Fournir : description de la violation, catégories et nombre de Personnes Concernées, conséquences probables, mesures prises, coordonnées du DPO ;
- Documenter la violation dans un registre interne et coopérer avec le Client.
5.5 — Assistance au Client
Belli assiste le Client pour : répondre aux demandes d'exercice de droits (accès, rectification, effacement, opposition, portabilité, limitation) ; respecter les articles 32 à 36 du RGPD ; répondre aux contrôles d'une Autorité de Contrôle. Si Belli reçoit directement une demande d'une Personne Concernée portant sur les Données Client, il en informe le Client et ne répond pas directement sauf instruction contraire.
5.6 — Sort des données en fin de contrat
À la cessation du contrat :
- Export : le Client dispose de 30 jours pour exporter ses Données Client via la plateforme ou à contact@listar.fr ;
- Suppression : passé ce délai, Belli procède à la suppression définitive sous 30 jours supplémentaires ;
- Certification : Belli fournit, sur demande, une attestation écrite de suppression. Les données de facturation restent conservées 10 ans (obligation légale).
Article 6 — Obligations du Client
Le Client s'engage à :
- Disposer d'une base légale valide pour transmettre les Données Client et utiliser les Données Enrichies ;
- N'utiliser le Service qu'aux fins professionnelles légitimes (prospection B2B, enrichissement CRM, recrutement professionnel) ;
- Informer les Personnes Concernées conformément aux articles 13 et 14 du RGPD ;
- S'assurer que ses instructions à Belli sont conformes à la réglementation ;
- Ne transmettre aucune donnée sensible au sens de l'article 9 du RGPD ;
- Coopérer avec Belli en cas de Violation, contrôle ou demande d'Autorité de Contrôle.
Article 7 — Sous-traitants ultérieurs
7.1 — Autorisation générale
Le Client autorise de manière générale Belli à recourir à des Sous-Traitants Ultérieurs. La liste figure en Annexe 3 et sur la page dédiée.
7.2 — Notification et droit d'opposition
Belli notifie le Client de tout changement au moins 15 jours avant la prise d'effet. Le Client peut s'opposer par écrit dans ce délai. À défaut d'accord, l'opposition vaut résiliation.
7.3 — Obligations imposées
Belli impose contractuellement à chaque Sous-Traitant Ultérieur des obligations substantiellement équivalentes à celles du présent DPA.
7.4 — Responsabilité
Belli demeure pleinement responsable envers le Client de l'exécution par ses Sous-Traitants Ultérieurs.
Article 8 — Transferts hors EEE
L'ensemble des données est hébergé au sein de l'EEE, chez Amazon Web Services EMEA SARL (Luxembourg). Certains sous-traitants (Stripe, Mailjet, Google) peuvent transférer des données hors EEE. Belli s'assure que des garanties appropriées sont mises en place :
- Décision d'adéquation de la Commission européenne (article 45 RGPD) ;
- Clauses Contractuelles Types (Décision 2021/914) ;
- Data Privacy Framework (DPF) pour les transferts vers les États-Unis.
Article 9 — Droit d'audit
Le Client peut demander un audit des pratiques de Belli, dans les conditions suivantes :
- Préavis de 30 jours par écrit à dpo@listar.fr ;
- Un audit par an maximum, sauf violation avérée ou demande d'Autorité de Contrôle ;
- Périmètre limité à la conformité RGPD (exclusion du code source et secrets d'affaires) ;
- Réalisation par le Client ou un tiers indépendant sous obligation de confidentialité ;
- Coûts à la charge du Client, sauf manquement substantiel de Belli.
Article 10 — Responsabilité
Soumise aux limitations prévues à l'article 11 des CGU. Le Client reste seul responsable de l'utilisation qu'il fait des Données Enrichies en aval du Service.
Article 11 — Durée et résiliation
En vigueur dès l'acceptation des CGU. Les obligations de suppression et de confidentialité survivent à la cessation du contrat.
Article 12 — Dispositions finales
- 12.1 Le DPA prévaut sur les CGU pour toute question relative au traitement des DCP.
- 12.2 Modifications notifiées 30 jours avant entrée en vigueur.
- 12.3 Droit français applicable. Compétence exclusive des tribunaux de Paris.
Annexe 1 — Description du traitement
| Champ | Détail |
|---|---|
| Responsable de Traitement | Le Client |
| Sous-Traitant | Belli SAS — exploitant Listar |
| DPO du Sous-Traitant | dpo@listar.fr |
| Finalités | Enrichissement de données professionnelles B2B (emails, téléphones, informations entreprises) à partir des Données Client |
| Nature du traitement | Collecte, consultation, rapprochement, structuration, stockage temporaire, restitution, suppression |
| Personnes concernées | Contacts professionnels (salariés, dirigeants, associés, indépendants) de personnes morales ciblées par le Client |
| Catégories de DCP | Nom, prénom, email professionnel, téléphone professionnel, intitulé de poste, entreprise (secteur, taille, localisation, site web), URL LinkedIn |
| Données sensibles (art. 9) | Aucune |
| Base légale (Belli en RT) | Intérêt légitime (art. 6.1(f) RGPD) — sources publiques et partenaires data |
| Fréquence | En continu, à la demande du Client via plateforme web, API ou extension navigateur |
| Conservation Données Client | 90 jours maximum, puis suppression automatique |
| Localisation | Union Européenne |
Annexe 2 — Mesures techniques et organisationnelles (MTO)
A. Chiffrement
- En transit : HTTPS/TLS sur toutes les communications. Connexions non chiffrées rejetées.
- Mots de passe : hachage irréversible bcrypt avec salage individuel. Jamais stockés en clair.
B. Contrôle d’accès
- Principe du moindre privilège : accès limité aux membres de l’équipe Belli qui en ont besoin.
- Sessions sécurisées : tokens JWT avec expiration automatique.
- Extension navigateur : token stocké localement, supprimé à la déconnexion ou désinstallation.
C. Infrastructure et hébergement
- Hébergement UE : Amazon Web Services EMEA SARL (Luxembourg). Aucune donnée hors EEE.
- Isolation réseau : bases de données et services internes sans accès public direct.
D. Journalisation et surveillance
- Logs d’accès : identifiant, action, horodatage, IP. Conservés 12 mois.
- Surveillance continue et alertes en cas d’anomalie.
E. Minimisation et durée de conservation
- Données de compte utilisateur : durée du compte + 30 jours après clôture.
- Données Client transmises pour enrichissement : 90 jours maximum.
- Données de facturation : 10 ans (obligation légale).
- Logs de connexion : 12 mois.
F. Sécurité organisationnelle
- Accès limité aux personnes en ayant besoin pour l’exécution du service.
- Engagement de confidentialité pour chaque collaborateur ayant accès aux DCP.
G. Gestion des incidents
- Procédure interne de gestion des incidents.
- Notification au Client sous 72h.
- Registre des violations tenu à jour.
Annexe 3 — Liste des Sous-traitants ultérieurs
Partie A — Sous-traitants opérationnels
| Sous-traitant | Finalité | Localisation | Mécanisme de transfert |
|---|---|---|---|
| Stripe, Inc. | Traitement sécurisé des paiements, gestion des abonnements | UE (Irlande) | Pas de transfert hors EEE — certifié PCI-DSS |
| Mailjet (Sinch) | Envoi d’emails transactionnels (inscription, MDP, factures) | France / UE | Pas de transfert hors EEE |
| Google (Sign-In) | Authentification via Google Sign-In. Email et nom uniquement. | UE | EU-US DPF |
| Amazon Web Services EMEA SARL | Hébergement infrastructure Listar (serveurs, BDD, stockage) | Luxembourg (UE) | Pas de transfert hors EEE — région eu-west |