Contrat de sous-traitance (DPA)
La présente version française est fournie à titre d'information. En cas de divergence, la version anglaise fait foi.
Version du 13 novembre 2026.
Le présent contrat de sous-traitance (« DPA ») fait partie des conditions générales de VisitLead. Il est conclu entre le Client, responsable du traitement, et Quantum Liquid LLC, 30 N Gould St, Ste R, Sheridan, WY 82801, États-Unis d'Amérique (« VisitLead »), sous-traitant. Il répond à l'article 28 du Règlement général sur la protection des données (RGPD), à l'article 9 de la loi fédérale suisse sur la protection des données (nLPD) et, pour les visiteurs situés aux États-Unis, aux exigences d'un contrat de « service provider » du CCPA. Il s'applique dès que le Client pose le tag VisitLead sur un site ou importe des contacts, sans signature séparée.
1. Objet et durée
VisitLead traite des données personnelles pour le compte du Client, afin de lui fournir le Service décrit dans les conditions générales, pendant toute la durée d'utilisation du Service et jusqu'à la suppression des données prévue à l'article 10.
2. Description du traitement
| Nature et finalité | Mesurer les visites du site du Client, reconnaître l'organisation propriétaire du réseau d'une visite, reconnaître le retour des contacts connus du Client, envoyer les signaux (digest, alertes, Slack, webhooks) |
|---|---|
| Personnes concernées | Visiteurs des sites du Client ; contacts connus du Client (clients, prospects, abonnés à la newsletter, personnes rencontrées) ; membres de l'équipe du Client |
| Catégories de données | Pages vues (adresse, titre, date), site d'origine (domaine), taille d'écran, langue, pays, type d'appareil ; organisation reconnue par le réseau ; empreinte du jour ; identifiant aléatoire du cookie _vl lorsqu'il est permis ; pour les contacts connus : adresse électronique, nom, entreprise, poste, jeton de lien, visites |
| Données jamais traitées | Adresse IP enregistrée (elle n'est utilisée qu'en mémoire, pendant la requête) ; contenu des formulaires autre que l'adresse électronique et le nom ; mots de passe ; catégories particulières de données |
| Lieu | Union européenne (Francfort), sous réserve de l'article 7 |
3. Instructions
VisitLead ne traite les données que sur instruction documentée du Client : les présentes, les conditions générales et les réglages que le Client choisit dans l'application (sites, pages importantes, mode suisse, intégrations). VisitLead informe le Client si une instruction lui semble contraire au droit applicable. VisitLead n'utilise pas les données des visiteurs du Client pour ses propres fins, ne les vend pas, ne les partage pas au sens du CCPA, et ne les combine pas avec les données d'autres Clients. Seul le cache des réseaux d'organisations, qui ne contient aucune donnée de personne, est commun à tous les Clients.
4. Confidentialité
Les personnes autorisées à traiter les données sont tenues à la confidentialité et n'y accèdent que pour fournir le Service, le maintenir ou répondre à une demande du Client.
5. Sécurité
VisitLead met en œuvre des mesures techniques et organisationnelles adaptées au risque, en particulier :
- l'adresse IP d'un visiteur n'est jamais écrite en base ni dans un journal ;
- empreintes à clé (HMAC) au lieu des valeurs pour les adresses électroniques recherchées, les IP de l'équipe exclues et les identifiants de cookie ;
- empreinte du jour dont le secret est effacé au plus tard après 48 heures ;
- chiffrement en transit (TLS) et au repos ; séparation des données par espace Client ;
- connexion par le Compte Lead, sessions limitées à 12 heures, accès administrateur restreint ;
- suppression automatique des visites après 12 mois.
6. Sous-traitants ultérieurs
Le Client autorise de manière générale le recours aux sous-traitants ultérieurs suivants :
| Sous-traitant ultérieur | Service | Lieu de traitement |
|---|---|---|
| Vercel Inc. | Hébergement de l'application, du tag et du collecteur | Union européenne (Francfort) |
| Neon (Databricks, Inc.) | Base de données PostgreSQL | Union européenne (AWS eu-central-1, Francfort) |
| Resend | Envoi des courriels (digest, alertes) | Union européenne et États-Unis |
| Stripe Payments Europe | Paiement des abonnements (données de compte du Client seulement) | Irlande et États-Unis |
| Anthropic | Assistant IA | États-Unis |
VisitLead impose à chaque sous-traitant ultérieur des obligations de protection au moins équivalentes à celles du présent DPA. VisitLead annonce tout ajout ou remplacement sur cette page et par courriel aux administrateurs du Client au moins 30 jours à l'avance. Le Client peut s'y opposer pour un motif raisonnable lié à la protection des données ; à défaut d'accord, il peut résilier le Service sans frais. Pour identifier le réseau d'une visite, l'adresse IP est transmise aux registres Internet publics.
7. Transferts hors de Suisse et de l'UE/EEE
Les données sont hébergées dans l'Union européenne. Quantum Liquid LLC étant établie aux États-Unis, un accès depuis les États-Unis (support, maintenance) et le recours à Resend, Stripe et Anthropic peuvent constituer un transfert. Ces transferts reposent sur les clauses contractuelles types de la Commission européenne (décision 2021/914, module 2 ou 3 selon le cas), avec l'avenant pour la Suisse, ou sur le Data Privacy Framework lorsque le destinataire y est certifié. Ces clauses sont intégrées par référence au présent DPA.
8. Droits des personnes concernées
VisitLead aide le Client à répondre aux demandes des personnes concernées : l'application permet de retrouver, d'exporter, de corriger et de supprimer un contact et ses visites, et de marquer un refus. Une demande reçue directement par VisitLead est transmise au Client sans retard injustifié. Le refus global de la page /optout de visitlead.io s'applique à tous les Clients : le Client accepte que l'adresse refusée soit marquée dans son espace et refusée dans ses imports futurs.
9. Violations de données
VisitLead notifie au Client toute violation de données qui touche ses données sans retard injustifié, et au plus tard 48 heures après en avoir eu connaissance, avec les informations disponibles pour lui permettre d'informer l'autorité de contrôle et les personnes concernées.
10. Fin du traitement
À la fin du Service, ou sur demande du Client, VisitLead supprime les données personnelles traitées pour le Client dans les 30 jours, copies de sauvegarde comprises au terme de leur cycle de rotation, sauf obligation légale de conservation. Le Client peut exporter ses données avant la fin.
11. Audit
VisitLead met à disposition du Client les informations nécessaires pour démontrer le respect du présent DPA. Un audit sur place peut être convenu une fois par an au plus, avec un préavis de 30 jours, aux frais du Client, sans accès aux données des autres Clients.
12. Assistance
VisitLead aide le Client, dans la mesure des informations dont il dispose, pour ses analyses d'impact et ses consultations préalables. L'application fournit un modèle d'analyse d'intérêt légitime et des textes types pour la déclaration de protection des données du Client.
13. Ordre de priorité
En cas de contradiction, le présent DPA l'emporte sur les conditions générales pour tout ce qui touche à la protection des données. Le droit et le for sont ceux des conditions générales, sous réserve des règles impératives du RGPD et des clauses contractuelles types.