Annexe contractuelle

Contrat de sous-traitance des données personnelles

Article 28 du Règlement (UE) 2016/679 (RGPD) · Version 1.0 — 20 juillet 2026

Document à faire relire par un juriste avant mise en ligne. Il a été rédigé à partir de l'architecture technique réelle du service et des obligations de l'article 28 du RGPD, mais il n'a pas valeur de conseil juridique. Les mentions [À COMPLÉTER] ne peuvent être remplies que par l'éditeur.

1. Qui fait quoi

La Loge est un service qui permet à un studio photo ou vidéo (ci-après « le Studio ») de mettre à disposition de ses propres clients un espace privé à sa marque : livraison de films et de galeries, validation, factures, documents.

Il faut donc distinguer deux traitements, qui n'obéissent pas aux mêmes règles :

Données concernées	Responsable de traitement	Rôle de La Loge
Compte du Studio : nom du studio, email, mot de passe, facturation, journaux de connexion	La Loge	Responsable — voir la politique de confidentialité
Données que le Studio dépose : identité et coordonnées de ses clients, photos et vidéos livrées, commentaires, factures, documents	Le Studio	Sous-traitant — objet du présent contrat

Autrement dit : le Studio décide de ce qu'il collecte auprès de ses clients et pourquoi ; La Loge se contente de l'héberger et de le lui restituer. La Loge n'utilise jamais ces contenus pour son propre compte.

2. Objet, durée et nature du traitement

Objet : hébergement, stockage, mise à disposition et transmission des contenus et données déposés par le Studio dans son espace La Loge.

Durée : le contrat s'applique tant que le Studio dispose d'un compte actif. Il prend fin à la clôture du compte, sous réserve des opérations de restitution et d'effacement prévues à l'article 8.

Nature des opérations : collecte via l'interface, enregistrement, conservation, organisation, consultation, transmission au client final, sauvegarde, transcodage vidéo, et effacement sur instruction.

Finalité : permettre au Studio de livrer ses prestations et de suivre la relation avec ses clients.

Catégories de personnes concernées

Les clients du Studio (particuliers : mariés, familles ; ou professionnels).
Les personnes apparaissant sur les photographies et vidéos livrées (invités, participants, tiers).

Catégories de données

Identité et contact : nom, prénoms, adresse email, secteur d'activité.
Contenus : photographies et vidéos — qui constituent des données personnelles dès lors que des personnes y sont identifiables, et relèvent par nature de la vie privée et familiale.
Données de gestion : factures, montants, documents, dates de tournage, commentaires et validations.
Données techniques : code d'accès, horodatage des consultations.

Point de vigilance. Les images d'un mariage ou d'un événement familial peuvent révéler indirectement des convictions religieuses ou l'appartenance à un groupe. Le service n'est pas conçu pour traiter délibérément des données sensibles au sens de l'article 9 du RGPD, ni des données de santé, ni des données bancaires (celles-ci restent chez Stripe). Le Studio s'engage à ne pas en déposer.

3. Obligations de La Loge

La Loge s'engage à :

ne traiter les données que sur instruction documentée du Studio — l'usage normal du service valant instruction — et jamais pour ses propres finalités (aucune revente, aucune exploitation commerciale, aucun entraînement de modèle d'intelligence artificielle) ;
garantir la confidentialité des données et n'y accéder que lorsque c'est strictement nécessaire au support technique ou à la sécurité du service ;
mettre en œuvre les mesures de sécurité décrites à l'article 5 ;
notifier au Studio toute violation de données dans les meilleurs délais et au plus tard sous 48 heures après en avoir pris connaissance, avec les éléments permettant au Studio de remplir sa propre obligation de notification à la CNIL ;
aider le Studio à répondre aux demandes d'exercice de droits de ses clients (accès, rectification, effacement, portabilité) ;
tenir un registre des catégories de traitements effectués pour le compte du Studio.

4. Obligations du Studio

Le Studio, en tant que responsable de traitement, s'engage à :

disposer d'une base légale pour les données qu'il dépose, et avoir informé ses clients de l'existence de l'espace privé et de son hébergement ;
obtenir, lorsque c'est nécessaire, l'autorisation des personnes photographiées ou filmées (droit à l'image) ;
ne déposer que des données nécessaires à sa prestation ;
transmettre les codes d'accès de manière raisonnablement sûre et ne pas les diffuser publiquement ;
documenter ses propres traitements et répondre aux demandes de ses clients.

5. Mesures de sécurité effectivement en place

Ces mesures décrivent l'état réel du service à la date de publication. Elles peuvent évoluer, sans jamais diminuer le niveau de protection.

Cloisonnement par studio : les données de chaque studio sont isolées au niveau de la base de données elle-même (politiques de sécurité par ligne). Un studio ne peut techniquement pas lire ni modifier les données d'un autre, même en détournant l'interface.
Accès client scellé : l'espace d'un client final n'est accessible que par son code, vérifié côté serveur ; aucune donnée n'est lisible avec la seule clé publique de l'application.
Chiffrement en transit : l'ensemble des échanges est protégé par TLS (HTTPS).
Mots de passe : jamais stockés en clair — hachés par le fournisseur d'authentification. La Loge n'a pas accès aux mots de passe des studios.
Fichiers : stockés chez un hébergeur dédié, servis par des adresses non indexées et non devinables, et non référencés par les moteurs de recherche.
Journalisation : inscriptions et demandes de réinitialisation de mot de passe sont journalisées et limitées en fréquence (anti-abus).
Sauvegardes : assurées par l'hébergeur de la base de données.

[À COMPLÉTER] Préciser la durée de rétention des sauvegardes offerte par votre offre Supabase, ainsi que l'existence éventuelle d'une double authentification sur les comptes d'administration.

6. Sous-traitants ultérieurs

Le Studio autorise La Loge à faire appel aux prestataires ci-dessous, qui interviennent chacun sur une partie du service. La Loge informera le Studio de tout ajout ou remplacement, en lui laissant la possibilité d'y objecter.

Prestataire	Rôle	Hébergement	Encadrement des transferts
Supabase	Base de données, authentification	Union européenne (Paris)	Pas de transfert hors UE
Backblaze B2	Stockage des photos et vidéos	Union européenne (Amsterdam)	Pas de transfert hors UE
Cloudflare	Diffusion, protection, sous-domaines	Réseau mondial — siège États-Unis	Clauses contractuelles types
Resend	Envoi des emails du service	États-Unis	Clauses contractuelles types
Stripe	Paiement des abonnements des studios	Irlande / États-Unis	Clauses contractuelles types

Les contenus déposés par les studios (photos, vidéos, documents) sont stockés dans l'Union européenne et transitent par le réseau de diffusion de Cloudflare. Stripe ne reçoit aucune donnée des clients finaux : il ne traite que l'abonnement du studio.

7. Assistance et exercice des droits

Le Studio dispose dans sa console des moyens de consulter, corriger, exporter et supprimer lui-même les données de ses clients — ce qui lui permet de répondre directement à la plupart des demandes. Lorsqu'une demande dépasse ces moyens, La Loge apporte son aide dans un délai raisonnable et au plus tard sous 15 jours ouvrés.

8. Sort des données à la fin du contrat

Le Studio peut à tout moment exporter ou télécharger les contenus qu'il a déposés.
À la clôture du compte, les données sont conservées 30 jours afin de permettre une réactivation ou une récupération, puis effacées.
Sur l'offre gratuite Découverte, l'accès aux espaces est limité à 90 jours ; passé ce délai les contenus ne sont plus consultables par les clients finaux, mais ils ne sont pas supprimés : le passage à une offre payante en rétablit l'accès.
Les sauvegardes techniques disparaissent selon le cycle de rotation de l'hébergeur.
Les données de facturation du Studio sont conservées 10 ans, comme l'exige la loi comptable.

9. Audit

Le Studio peut demander, une fois par an et moyennant un préavis raisonnable, les informations nécessaires pour vérifier le respect du présent contrat. Les audits sur site restent exceptionnels et à la charge du demandeur.

10. Contact

Pour toute question relative à ce contrat ou à la protection des données : service@timelesshouse.org.

[À COMPLÉTER] Raison sociale, forme juridique, SIRET, adresse du siège et représentant légal de l'éditeur — indispensables pour que ce document soit opposable.