ACCORD DE SOUS-TRAITANCE (DPA)

Version 1.1, en vigueur au 14 septembre 2026.

Le présent Accord de sous-traitance (l'« Accord ») complète les Conditions Générales de Vente d'Emelia et régit le traitement des données à caractère personnel effectué par Bridgers SAS pour le compte de ses Clients, au sens de l'article 28 du Règlement (UE) 2016/679 (« RGPD »).

Il est conclu entre :

Bridgers SAS, société par actions simplifiée au capital de 1 000 euros, immatriculée au RCS de Paris sous le numéro 882 679 749, dont le siège social est situé 149 avenue du Maine, 75014 Paris, France, éditrice du service Emelia, ci-après le « Sous-traitant » ou « Emelia »,

et

le Client, personne physique ou morale titulaire d'un compte Emelia, ci-après le « Responsable de traitement ».

1POURQUOI CE DOCUMENT EXISTE, ET CE QU'IL AJOUTE À LA POLITIQUE DE CONFIDENTIALITÉ

Emelia traite deux ensembles de données distincts, sous deux qualifications juridiques différentes. La confusion entre les deux est la première source de malentendu, elle est donc levée ici.

Les données du compte Client. Nom, adresse email, informations de facturation, journaux de connexion, usage du service. Sur ces données, Emelia agit comme responsable de traitement : elle en détermine les finalités et les moyens. Ce traitement est décrit dans la politique de confidentialité, et le présent Accord ne le couvre pas.

Les données que le Client charge, importe, enrichit ou fait traiter dans Emelia, c'est-à-dire les données de ses prospects et destinataires. Sur ces données, Emelia agit comme sous-traitant : elle ne les traite que sur instruction du Client, qui en reste seul responsable. C'est l'objet du présent Accord. Ces données sont désignées ci-après les « Données Client ».

Le cas de la recherche d'adresses et de numéros. Quand le Client demande au service de trouver l'adresse email ou le numéro d'une personne, la requête part de lui, elle est transmise aux prestataires de recherche listés à l'Annexe 3, et le résultat lui est rendu à lui seul et rattaché à son compte. Emelia ne constitue ni n'exploite de base de contacts qui lui serait propre : elle n'est pas éditrice des sources interrogées, et les recherches d'un Client ne servent jamais à répondre à celles d'un autre. Le rôle de chaque prestataire de recherche à l'égard de ses propres sources relève de son propre encadrement contractuel, indiqué à l'Annexe 3.

Conformément à l'article 28(10) du RGPD, si Emelia venait à déterminer elle-même les finalités et les moyens d'un traitement, elle serait considérée comme responsable de ce traitement, qui sortirait alors du champ du présent Accord. C'est déjà le cas des données du compte mentionnées ci-dessus.

Une politique de confidentialité ne peut pas tenir lieu d'accord de sous-traitance : elle documente un traitement dont l'éditeur est responsable, là où l'article 28 exige un contrat qui encadre un traitement effectué pour le compte d'autrui. Ce document est ce contrat.

2ACCEPTATION ET FORME

Le présent Accord est incorporé par référence aux Conditions Générales de Vente et s'applique automatiquement à tout Client dès lors qu'il charge des Données Client dans le service. Aucune signature n'est nécessaire pour qu'il produise ses effets.

Un Client qui a besoin d'un exemplaire signé pour son propre registre des traitements ou pour son service juridique peut en demander un à contact@emelia.io : Emelia le lui adresse signé, sans modification du contenu ci-dessous.

Emelia peut modifier le présent Accord pour tenir compte d'une évolution légale ou d'un changement dans ses propres sous-traitants. Toute modification substantielle est notifiée directement au Client par email au moins trente jours avant sa prise d'effet, et n'entre pas en vigueur à son égard s'il s'y oppose par écrit dans ce délai pour un motif tenant à la protection des données ; les parties recherchent alors une solution, à défaut de quoi le Client peut résilier sans pénalité. La publication d'une nouvelle version sur cette page ne vaut pas, à elle seule, notification.

Chaque version est datée et archivée. Emelia conserve la trace de la version applicable à chaque Client.

3DESCRIPTION DU TRAITEMENT

Conformément à l'article 28(3) du RGPD, le traitement est décrit comme suit.

Objet. La fourniture du service Emelia : hébergement de listes de contacts, recherche et vérification d'adresses email, recherche de numéros de téléphone, envoi de séquences d'emails depuis les boîtes du Client, exécution d'actions LinkedIn depuis les comptes du Client, suivi des ouvertures, des clics, des réponses et des désinscriptions.

Durée. Le traitement dure aussi longtemps que le compte du Client est actif, et se prolonge des délais de suppression prévus à l'article 12.

Nature et finalité. Collecte, enregistrement, organisation, structuration, conservation, modification, extraction, consultation, utilisation, communication par transmission, rapprochement et effacement, aux seules fins de permettre au Client de mener ses campagnes de prospection commerciale.

Catégories de personnes concernées. Les prospects et destinataires que le Client cible, ainsi que les personnes dont les coordonnées professionnelles figurent dans les listes qu'il importe ou constitue.

Catégories de données. Identité et coordonnées professionnelles : nom, prénom, adresse email professionnelle, numéro de téléphone, fonction, ancienneté, entreprise, secteur, taille, site web, adresse, ville, pays, URL de profil LinkedIn. Contenu des messages envoyés et des réponses reçues. Données d'engagement : ouvertures, clics, réponses, rebonds, désinscriptions, acceptations d'invitation. Toute variable personnalisée que le Client choisit d'ajouter à ses listes.

Données sensibles. Le service n'est pas conçu pour traiter des catégories particulières de données au sens de l'article 9 du RGPD, ni des données relatives aux condamnations pénales. Le Client s'interdit d'en charger dans le service.

4OBLIGATIONS D'EMELIA

Emelia s'engage, conformément à l'article 28(3) points a) à h) du RGPD :

a) À ne traiter les Données Client que sur instruction documentée du Client. Les instructions du Client sont constituées par les présentes, par les Conditions Générales de Vente, et par l'usage que le Client fait des fonctionnalités du service. Si Emelia estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition du droit de l'Union ou d'un État membre relative à la protection des données, elle en informe immédiatement le Client. Lorsqu'une obligation légale impose à Emelia un traitement non prévu par ces instructions, elle en informe le Client avant le traitement, sauf si la loi applicable interdit cette information pour des motifs d'intérêt public.

b) À ce que les personnes autorisées à traiter les Données Client soient tenues à la confidentialité. Les salariés et prestataires d'Emelia ayant accès aux Données Client sont soumis à une obligation contractuelle de confidentialité qui survit à la fin de leur relation avec Emelia, et ne reçoivent d'accès qu'au périmètre nécessaire à leurs fonctions.

c) À mettre en œuvre les mesures techniques et organisationnelles requises par l'article 32. Ces mesures sont décrites à l'Annexe 2, avec les conditions dans lesquelles elles peuvent évoluer.

d) À ne recruter un sous-traitant ultérieur que dans les conditions de l'article 6 ci-dessous.

e) À aider le Client à répondre aux demandes d'exercice des droits des personnes concernées. Le service permet au Client d'accéder à ses listes, de les exporter, de les rectifier et de les supprimer lui-même, ce qui couvre la plupart des demandes. Lorsqu'une demande excède ces fonctionnalités, Emelia apporte au Client l'assistance nécessaire dans des délais compatibles avec le mois que l'article 12(3) du RGPD lui laisse pour répondre. Lorsqu'une personne concernée s'adresse directement à Emelia, celle-ci lui indique qu'elle n'est pas responsable du traitement et transmet la demande au Client sans délai, sans y répondre elle-même.

f) À aider le Client à respecter ses obligations au titre des articles 32 à 36, c'est-à-dire la sécurité du traitement, la notification des violations, la communication aux personnes concernées, l'analyse d'impact et la consultation préalable de l'autorité de contrôle, compte tenu de la nature du traitement et des informations dont Emelia dispose.

g) À supprimer ou à restituer les Données Client au terme de la prestation, selon le choix du Client, dans les conditions de l'article 12.

h) À mettre à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations du présent article, et à permettre la réalisation d'audits dans les conditions de l'article 11.

i) À tenir le registre prévu à l'article 30(2) du RGPD, qui recense les catégories d'activités de traitement effectuées pour le compte de ses Clients, et à le mettre à la disposition de l'autorité de contrôle sur demande. Un extrait relatif aux traitements du Client lui est communiqué s'il en fait la demande écrite.

5CE QU'EMELIA NE FAIT PAS DES DONNÉES CLIENT

L'obligation de n'agir que sur instruction, posée à l'article 4 a), emporte les conséquences suivantes. Elles sont énoncées ici parce que ce sont les questions que les Clients posent le plus souvent.

• Emelia n'utilise pas les Données Client à ses propres fins commerciales. Elle ne les vend pas, ne les loue pas, et ne les communique à personne en dehors des sous-traitants ultérieurs de l'Annexe 3.
• Emelia n'alimente aucune base de prospects qui lui serait propre avec les listes que ses Clients importent ou les résultats de leurs recherches, et les données personnelles d'un Client ne sont jamais rendues accessibles à un autre. Emelia conserve en revanche un cache technique d'informations publiques sur les entreprises, qui ne contient pas de données personnelles et qui évite d'interroger plusieurs fois la même source.
• Emelia n'entraîne aucun modèle d'intelligence artificielle sur les Données Client, et impose la même interdiction au prestataire mentionné à l'Annexe 3.
• Les mesures agrégées que produit le service, qui ne permettent ni d'identifier une personne ni de remonter à un Client, peuvent être utilisées pour suivre et améliorer le service. Ce ne sont plus des données à caractère personnel.

Le présent article porte sur les Données Client, c'est-à-dire ce que le Client charge et fait traiter dans le service. Il ne dit rien des données du compte lui-même : la personne qui ouvre un compte Emelia figure évidemment dans les fichiers d'Emelia, qui en est alors responsable de traitement, comme l'explique l'article 1 et comme le détaille la politique de confidentialité. Les deux ne se confondent pas.

6SOUS-TRAITANTS ULTÉRIEURS

Le Client donne à Emelia une autorisation générale de recourir à des sous-traitants ultérieurs pour l'exécution du service, au sens de l'article 28(2) du RGPD.

La liste des sous-traitants ultérieurs en vigueur figure à l'Annexe 3. Elle est tenue à jour sur cette page.

Emelia informe le Client de tout ajout ou remplacement de sous-traitant ultérieur au moins trente jours avant que celui-ci n'accède aux Données Client, par email à l'adresse du compte. Le Client dispose de ce délai pour s'opposer, par écrit et pour un motif raisonnable tenant à la protection des données. En cas d'opposition, les parties recherchent de bonne foi une solution alternative ; à défaut, le Client peut résilier son abonnement sans pénalité, la part non utilisée de la période payée lui étant remboursée.

Emelia impose contractuellement à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent Accord. Conformément à l'article 28(4), Emelia demeure pleinement responsable devant le Client de l'exécution par le sous-traitant ultérieur de ses obligations.

7TRANSFERTS HORS DE L'UNION EUROPÉENNE

Les Données Client sont hébergées dans l'Union européenne, en France (région AWS eu-west-3, Paris).

L'Annexe 3 indique, pour chaque sous-traitant ultérieur, son pays d'établissement et la garantie qui encadre le transfert lorsqu'il y en a un. Deux d'entre eux sont établis aux États-Unis.

Lorsque le prestataire est établi aux États-Unis et inscrit sur la liste du cadre de protection des données UE-États-Unis pour la catégorie de données concernée, le transfert repose sur la décision d'adéquation de la Commission européenne du 10 juillet 2023. Emelia vérifie l'inscription effective du prestataire et sa portée.

À défaut d'inscription valide, le transfert repose sur les clauses contractuelles types de la décision d'exécution (UE) 2021/914, module 3 (sous-traitant vers sous-traitant), complétées d'une analyse d'impact du transfert.

Si l'inscription d'un prestataire au cadre de protection des données devient inactive, ou si une décision d'adéquation est invalidée, Emelia bascule sans délai vers les clauses contractuelles types pour le transfert concerné, ou cesse de recourir à ce prestataire.

Le Client peut obtenir copie des garanties mises en place pour un transfert donné en écrivant à contact@emelia.io.

8VIOLATIONS DE DONNÉES

Conformément à l'article 33(2) du RGPD, Emelia notifie au Client toute violation de données à caractère personnel affectant les Données Client dans les meilleurs délais et au plus tard quarante-huit heures après en avoir pris connaissance.

La notification est adressée par email à l'adresse du compte et comporte, dans la mesure des informations disponibles au moment de l'envoi : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements, les conséquences probables, les mesures prises ou proposées pour y remédier et en atténuer les effets, et le point de contact d'Emelia. Les informations manquantes sont communiquées au fur et à mesure, sans que leur recherche retarde la notification initiale.

Il appartient au Client, en sa qualité de responsable de traitement, de décider s'il y a lieu de notifier l'autorité de contrôle et d'informer les personnes concernées, et de procéder à cette notification. Emelia ne notifie pas l'autorité à la place du Client.

9DEMANDES DES AUTORITÉS

Si une autorité publique, administrative ou judiciaire adresse à Emelia une demande contraignante d'accès aux Données Client, Emelia :

• en informe le Client sans délai, afin qu'il puisse exercer ses propres droits, sauf lorsque le droit applicable le lui interdit ;
• lorsque cette interdiction existe, en demande la levée et s'efforce d'obtenir le droit de communiquer au Client le plus d'informations possible, aussi vite que possible, en conservant la trace documentée de ses démarches ;
• conteste la demande lorsqu'elle lui paraît illégale au regard du droit applicable, y compris en exerçant les voies de recours disponibles, et demande la suspension de ses effets pendant la procédure ;
• ne communique que le minimum d'informations strictement exigé, sur la base d'une interprétation raisonnable de la demande.

Emelia est une société française, établie dans l'Union européenne, et n'est pas soumise à une législation d'un pays tiers l'obligeant à communiquer des données à ses autorités.

10OBLIGATIONS ET DROITS DU CLIENT

Le Client garantit, en sa qualité de responsable de traitement :

• Qu'il dispose d'une base légale valable pour le traitement des Données Client, et qu'il est en mesure de la démontrer. En prospection commerciale interentreprises, cette base est le plus souvent l'intérêt légitime, ce qui suppose que le message adressé ait un rapport avec la fonction professionnelle de la personne.
• Qu'il informe les personnes concernées dans les conditions de l'article 14 du RGPD lorsque les données n'ont pas été collectées auprès d'elles, ce qui est le cas en prospection sortante, et qu'il leur indique l'identité du responsable, les finalités, la base légale, la source des données et leurs droits.
• Qu'il fournit dans chaque message un moyen de s'opposer simple et gratuit, et qu'il en tient compte. Emelia met à disposition une variable de désinscription et une liste noire à cet effet, mais ne peut pas se substituer au Client pour en décider l'usage.
• Que les instructions qu'il donne à Emelia sont licites, et qu'il ne charge dans le service aucune donnée qu'il n'a pas le droit de traiter.
• Qu'il tient à jour son propre registre des traitements et, le cas échéant, l'analyse d'impact prévue à l'article 35.

Emelia ne vérifie pas la licéité des listes que le Client importe et n'a pas les moyens de le faire : elle n'a pas connaissance de la manière dont les données ont été collectées.

Le Client dispose en contrepartie des droits suivants, qu'il exerce à tout moment : donner et modifier ses instructions dans les limites du service, accéder à ses données et les exporter, obtenir leur rectification ou leur suppression, s'opposer à un nouveau sous-traitant ultérieur dans les conditions de l'article 6, faire réaliser un audit dans les conditions de l'article 11, obtenir copie des garanties encadrant un transfert, et décider du sort de ses données à la fin du contrat.

11AUDIT ET DÉMONSTRATION DE CONFORMITÉ

Emelia met à la disposition du Client, sur demande écrite, les informations nécessaires pour démontrer le respect des obligations du présent Accord : description des mesures de sécurité, liste à jour des sous-traitants ultérieurs, localisation des données, garanties encadrant les transferts.

Le Client peut faire réaliser un audit, par lui-même ou par un auditeur indépendant soumis à une obligation de confidentialité et n'étant pas un concurrent d'Emelia, une fois par période de douze mois, sous préavis écrit de trente jours, pendant les heures ouvrables et sans perturbation disproportionnée de l'activité d'Emelia. Un audit supplémentaire peut être réalisé à la suite d'une violation de données affectant le Client ou d'une demande motivée d'une autorité de contrôle.

Les frais de l'audit sont à la charge du Client, sauf si l'audit révèle un manquement substantiel d'Emelia au présent Accord, auquel cas ils sont supportés par Emelia.

12SORT DES DONNÉES À LA FIN DU CONTRAT

À la résiliation du contrat, le Client peut exporter ses données depuis son compte, pendant toute la durée de son accès.

Au choix du Client exprimé par écrit dans les trente jours suivant la fin du contrat, Emelia restitue les Données Client dans un format structuré et couramment utilisé, ou les supprime. À défaut de choix exprimé dans ce délai, Emelia procède à la suppression.

La suppression intervient dans les trente jours suivant la fin du contrat ou la demande du Client pour les systèmes de production, et dans les quatre-vingt-dix jours pour les sauvegardes, celles-ci étant écrasées par rotation et non effacées unitairement.

Emelia délivre au Client, sur demande écrite, une attestation de suppression indiquant les périmètres supprimés et la date d'exécution.

Emelia peut conserver les Données Client au-delà de ces délais dans la seule mesure où le droit de l'Union ou d'un État membre l'y oblige, et pour la seule durée de cette obligation. Les données de facturation, dont Emelia est responsable de traitement, sont conservées conformément aux obligations comptables et fiscales applicables.

13RESPONSABILITÉ

La responsabilité de chaque partie au titre du présent Accord est régie par les stipulations des Conditions Générales de Vente, sans préjudice des dispositions impératives de l'article 82 du RGPD relatives au droit à réparation des personnes concernées.

14PRÉVALENCE, SURVIE ET DIVISIBILITÉ

En cas de contradiction entre le présent Accord et les Conditions Générales de Vente ou tout autre document contractuel liant les parties, y compris conclu postérieurement, le présent Accord prévaut pour tout ce qui concerne le traitement des Données Client. Pour le reste, les Conditions Générales de Vente continuent de s'appliquer.

Les obligations qui, par leur nature, doivent survivre à la fin du contrat lui survivent : la confidentialité, la sécurité, la suppression ou la restitution des données et leur attestation, et la coopération en cas de violation portant sur une période antérieure.

Si une stipulation du présent Accord était jugée nulle ou inapplicable, les autres resteraient en vigueur, et les parties lui substitueraient une stipulation valable poursuivant le même objet.

15DROIT APPLICABLE ET JURIDICTION

Le présent Accord est régi par le droit français. Les tribunaux de Paris sont compétents, sous réserve des règles impératives de compétence applicables aux consommateurs et des compétences dévolues aux autorités de contrôle.

16CONTACT

Pour toute question relative au présent Accord, à l'exercice des droits, à un audit ou à une demande d'exemplaire signé : contact@emelia.io, ou par courrier à Bridgers SAS, 149 avenue du Maine, 75014 Paris, France.

17ANNEXE 1 : RÉCAPITULATIF DU TRAITEMENT

18ANNEXE 2 : MESURES TECHNIQUES ET ORGANISATIONNELLES

Mesures mises en œuvre par Emelia au titre de l'article 32 du RGPD.

Chiffrement et transport. Les échanges entre le Client et le service, et entre les composants du service, sont chiffrés en transit par TLS. Les données au repos sont chiffrées au niveau du stockage géré par l'hébergeur.

Contrôle d'accès. Les accès aux systèmes de production sont nominatifs, restreints aux personnes dont les fonctions l'exigent, et révoqués au départ. Les secrets applicatifs et les clés d'API sont stockés hors du code source. Les clés d'API du Client sont révocables à tout moment depuis son compte.

Cloisonnement. Les données de chaque Client sont associées à son compte et les accès applicatifs sont filtrés sur cet identifiant. Les environnements de production et de développement sont séparés.

Journalisation. Les accès aux systèmes de production et les actions d'administration sont journalisés et conservés.

Sauvegardes. Les bases de données sont sauvegardées automatiquement par l'hébergeur, avec une rétention permettant la restauration à un point antérieur dans le temps.

Développement. Le code est versionné et chaque modification est tracée et rattachée à son auteur. Les changements sont livrés par demandes de fusion, et ceux qui touchent au traitement des Données Client passent par une revue avant mise en production.

Sécurité de l'hébergement. Emelia s'appuie sur les mesures physiques et environnementales de son hébergeur AWS, dont les certifications (ISO/IEC 27001, SOC 2) sont publiques et couvrent la région eu-west-3.

Personnel. Les personnes ayant accès aux Données Client sont liées par une obligation de confidentialité et sensibilisées à la protection des données.

Gestion des incidents. Emelia dispose d'une procédure de qualification et de traitement des incidents de sécurité, incluant la notification prévue à l'article 8 du présent Accord.

Revue. Ces mesures sont réexaminées périodiquement et à la suite de tout incident de sécurité significatif.

Elles peuvent évoluer avec l'état de l'art. Emelia ne met en œuvre aucune modification qui diminuerait le niveau de sécurité global sans en informer préalablement le Client, qui peut s'y opposer dans les conditions de l'article 2.

19ANNEXE 3 : SOUS-TRAITANTS ULTÉRIEURS

Sous-traitants ultérieurs susceptibles de traiter des Données Client, à la date de la présente version. Les raisons sociales ci-dessous sont celles des entités qui contractent avec Emelia ; plusieurs diffèrent du nom commercial du service.

Sur la fonctionnalité de génération de messages. Elle n'est appelée que si le Client la déclenche. Le prestataire s'engage contractuellement à ne pas entraîner ses modèles sur le contenu transmis, et annonce une suppression des entrées et des sorties sous trente jours pour son interface standard et vingt-neuf jours pour son interface par lots. Un Client qui ne souhaite pas que ses données de prospects soient transmises à ce prestataire n'utilise pas cette fonctionnalité.

Sur le rejeu de session. L'outil de mesure d'usage enregistre des sessions de navigation dans l'application, ce qui peut inclure des écrans affichant des Données Client. Les champs de mot de passe sont masqués.

Les prestataires qui ne traitent que les données du compte du Client, et non les Données Client, ne relèvent pas du présent Accord : ils sont listés dans la politique de confidentialité. C'est notamment le cas du prestataire de paiement et de l'outil de support.

20HISTORIQUE DES VERSIONS