Annexe de sous-traitance des données personnelles

Version 2 du 7 octobre 2026.

Article 28 du règlement (UE) 2016/679.

Préambule

La présente annexe est conclue entre :

le professionnel qui crée un profil de marchand sur Stelline et accepte la présente annexe, ci-après « le Marchand », agissant en qualité de responsable de traitement ;

et la société FOLLOW MY IMMO, société par actions simplifiée au capital de 5 000 euros, dont le siège est situé 21 C rue Jacques Cartier, 78960 Voisins-le-Bretonneux, immatriculée au registre du commerce et des sociétés de Versailles sous le numéro 915 122 212, joignable à l’adresse followmyimmo@gmail.com, ci-après « Follow My Immo », agissant en qualité de sous-traitant.

Follow My Immo édite Stelline, un logiciel en ligne destiné aux marchands de montres d’occasion. En utilisant Stelline, le Marchand confie à Follow My Immo le traitement de données personnelles de ses acheteurs, vendeurs particuliers, déposants, fournisseurs, personnes intéressées par ses montres et personnes qui lui demandent de les prévenir quand une montre précise arrive.

La présente annexe fait partie des conditions générales d’utilisation de Stelline (« les CGU »). Elle met en œuvre l’article 28 du règlement (UE) 2016/679 du 27 avril 2016 (« le RGPD ») et s’applique avec la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. Le Marchand l’accepte par voie électronique, en cochant la case prévue à cet effet dans la fiche de sa société. Cette acceptation vaut contrat écrit au sens de l’article 28.9 du RGPD.

Article 1. Définitions

Les termes « données personnelles », « traitement », « responsable de traitement », « sous-traitant », « personne concernée » et « violation de données personnelles » ont le sens que leur donne l’article 4 du RGPD. On entend par « Service » le logiciel Stelline et ses fonctionnalités. On entend par « Sous-traitant ultérieur » tout prestataire auquel Follow My Immo confie tout ou partie du traitement des données du Marchand.

Article 2. Objet et champ

2.1. La présente annexe fixe les conditions dans lesquelles Follow My Immo traite, pour le compte du Marchand, les données personnelles décrites à l’annexe 1, dans le seul but de fournir le Service.

2.2. Elle ne couvre pas les données des comptes des utilisateurs de Stelline ni les données nécessaires à la gestion de la relation commerciale entre Follow My Immo et le Marchand. Pour ces données, Follow My Immo est responsable de traitement et applique sa politique de confidentialité.

Article 3. Durée

La présente annexe s’applique pendant toute la durée des CGU. Elle reste applicable après leur fin, jusqu’à la suppression des données du Marchand, ou la fin de leur conservation légale, prévues à l’article 14.

Article 4. Instructions documentées

4.1. Follow My Immo traite les données uniquement sur instruction documentée du Marchand, y compris pour les transferts vers un pays tiers. Ces instructions sont constituées par la présente annexe, par les CGU, par les actions que le Marchand réalise dans le Service (saisie, modification, suppression, création d’un lien de dépôt de coordonnées, publication en vitrine, émission d’une facture, envoi d’un email, export) et par toute instruction écrite complémentaire adressée à followmyimmo@gmail.com.

4.2. Si le droit de l’Union européenne ou le droit français impose à Follow My Immo un traitement non prévu par ces instructions, Follow My Immo en informe le Marchand avant de traiter les données, sauf si ce droit interdit cette information pour des motifs importants d’intérêt public.

4.3. Follow My Immo informe immédiatement le Marchand si, selon elle, une instruction constitue une violation du RGPD ou d’une autre disposition du droit de l’Union ou du droit français relative à la protection des données. Elle peut suspendre l’exécution de cette instruction jusqu’à ce que le Marchand la confirme, la modifie ou la retire. Ce signalement n’est pas un conseil juridique. Il ne décharge pas le Marchand de sa propre responsabilité.

4.4. Follow My Immo peut refuser une instruction complémentaire qui excède les fonctionnalités du Service ou qui n’est pas réalisable techniquement. Elle en indique alors les raisons au Marchand. Le Marchand peut dans ce cas résilier les CGU dans les conditions qu’elles prévoient.

4.5. Follow My Immo n’utilise pas les données du Marchand à d’autres fins que la fourniture du Service. Elle ne les vend pas, ne les loue pas et ne les communique à aucun autre client de Stelline.

Article 5. Confidentialité

5.1. Follow My Immo garantit que les personnes qu’elle autorise à traiter les données du Marchand se sont engagées par écrit à en respecter la confidentialité ou sont soumises à une obligation légale de confidentialité appropriée.

5.2. Ces personnes n’accèdent aux données que dans la mesure strictement nécessaire à la fourniture du Service, à son support et à sa sécurité. Elles ne les traitent que sur instruction du Marchand, conformément à l’article 32.4 du RGPD.

Article 6. Sécurité du traitement

6.1. Follow My Immo met en œuvre les mesures techniques et organisationnelles décrites à l’annexe 2 afin de garantir un niveau de sécurité adapté au risque, au sens de l’article 32 du RGPD. L’annexe 2 décrit uniquement les mesures en place à la date de la présente version. Les mesures qui ne sont pas encore en place y sont signalées comme telles.

6.2. Follow My Immo peut faire évoluer ces mesures pour tenir compte de l’état des connaissances, à condition de ne pas diminuer le niveau global de sécurité. Elle tient l’annexe 2 à jour.

6.3. Le Marchand est responsable de la sécurité de ses propres accès. Il protège l’adresse email qui lui sert à se connecter et les appareils depuis lesquels il utilise le Service. Il signale sans délai à Follow My Immo tout accès qu’il n’a pas autorisé.

Article 7. Sous-traitants ultérieurs

7.1. Le Marchand donne à Follow My Immo une autorisation écrite générale de recourir à des Sous-traitants ultérieurs. Les Sous-traitants ultérieurs en place à la date de la présente version figurent à l’annexe 3, avec leur prestation, leur localisation et les garanties de transfert. Le Marchand les autorise expressément.

7.2. Follow My Immo informe le Marchand par email, au moins 30 jours à l’avance, de tout projet d’ajout ou de remplacement d’un Sous-traitant ultérieur. L’information précise son identité, sa prestation, sa localisation et les garanties de transfert.

7.3. Pendant ce délai, le Marchand peut s’opposer à ce changement par écrit en indiquant un motif lié à la protection des données. Les parties recherchent alors de bonne foi une solution. Si aucune solution n’est trouvée, le Marchand peut résilier les CGU sans pénalité avant l’entrée en fonction du nouveau Sous-traitant ultérieur, après avoir exporté ses données. En l’absence d’opposition dans ce délai, le changement est réputé accepté.

7.4. Lorsqu’une urgence liée à la sécurité ou à la continuité du Service impose de remplacer un Sous-traitant ultérieur sans attendre ce délai, Follow My Immo en informe le Marchand dès que possible. Le Marchand conserve son droit d’opposition et de résiliation prévu à l’article 7.3.

7.5. Follow My Immo impose à chaque Sous-traitant ultérieur, par contrat, en substance les mêmes obligations de protection des données que celles de la présente annexe, notamment des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Le Marchand reconnaît que ces contrats peuvent être les conditions standard de traitement des données proposées par ces prestataires.

7.6. Follow My Immo reste pleinement responsable envers le Marchand de l’exécution, par ses Sous-traitants ultérieurs, de leurs obligations de protection des données.

Article 8. Transferts hors de l’Union européenne

8.1. Follow My Immo ne transfère des données du Marchand vers un pays situé hors de l’Espace économique européen que sur instruction du Marchand, ou lorsque le droit de l’Union ou le droit français l’y oblige. Dans tous les cas, elle respecte le chapitre V du RGPD.

8.2. En acceptant la présente annexe, le Marchand donne instruction à Follow My Immo d’effectuer les transferts décrits à l’annexe 3. Ces transferts reposent, selon le cas :

a) sur la décision d’adéquation de la Commission européenne du 10 juillet 2023 relative au cadre de protection des données UE-États-Unis (« Data Privacy Framework »), pour les prestataires américains inscrits sur la liste officielle de ce cadre ;
b) sur les clauses contractuelles types adoptées par la Commission européenne par la décision d’exécution (UE) 2021/914 du 4 juin 2021, complétées si nécessaire de mesures supplémentaires.

8.3. Si une garantie de transfert disparaît, par exemple si la certification d’un prestataire n’est pas renouvelée ou si une décision d’adéquation est annulée, Follow My Immo en informe le Marchand dans les meilleurs délais. Elle met alors en place une autre garantie prévue par le chapitre V du RGPD, ou procède au remplacement du prestataire concerné dans les conditions de l’article 7.

Article 9. Assistance pour les droits des personnes concernées

9.1. Le Service permet au Marchand de consulter, corriger, exporter et supprimer lui-même les données de son carnet clients, ainsi que les intérêts reçus par le formulaire « Je suis intéressé » et les recherches reçues par le formulaire « Je cherche une montre ». Le Marchand utilise ces fonctionnalités pour répondre aux demandes d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition prévues aux articles 15 à 22 du RGPD.

9.2. Les factures émises et les inscriptions au registre des objets mobiliers ne sont pas modifiables dans le Service, en raison des obligations légales qui pèsent sur le Marchand. Il revient au Marchand d’apprécier, au regard de ces obligations, la suite à donner à une demande qui les concerne.

9.3. Si une personne concernée s’adresse directement à Follow My Immo au sujet de données traitées pour le compte du Marchand, Follow My Immo transmet la demande au Marchand dans un délai de 5 jours ouvrés. Elle n’y répond pas elle-même, sauf instruction du Marchand.

9.4. Lorsque les fonctionnalités du Service ne suffisent pas, Follow My Immo aide le Marchand, sur sa demande écrite et dans la mesure du possible, par des mesures techniques et organisationnelles appropriées.

Article 10. Assistance pour les obligations des articles 32 à 36 du RGPD

10.1. Compte tenu de la nature du traitement et des informations dont elle dispose, Follow My Immo aide le Marchand à respecter ses obligations relatives :

a) à la sécurité du traitement (article 32) ;
b) à la notification des violations de données à la CNIL (article 33) et à leur communication aux personnes concernées (article 34) ;
c) à l’analyse d’impact relative à la protection des données, lorsqu’elle est requise (article 35) ;
d) à la consultation préalable de la CNIL (article 36).

10.2. Cette aide consiste à fournir au Marchand les informations utiles dont Follow My Immo dispose sur le Service, notamment la présente annexe et ses annexes tenues à jour.

10.3. L’aide fournie par les fonctionnalités du Service et par la documentation est comprise dans le prix du Service. Une assistance complémentaire importante peut être facturée à un coût raisonnable, après devis accepté par le Marchand. Cette facturation est exclue lorsque la demande résulte d’un manquement de Follow My Immo ou d’une violation de données survenue chez elle ou chez un Sous-traitant ultérieur.

Article 11. Violations de données personnelles

11.1. Follow My Immo notifie au Marchand toute violation de données personnelles concernant les données traitées pour son compte, dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance. La notification est envoyée par email à l’adresse du compte du Marchand.

11.2. La notification contient, dans la mesure du possible :

a) la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés ;
b) le nom et les coordonnées d’un point de contact chez Follow My Immo ;
c) les conséquences probables de la violation ;
d) les mesures prises ou proposées pour y remédier et pour en limiter les effets négatifs.

Les informations qui ne sont pas disponibles immédiatement sont communiquées dès qu’elles sont connues, de manière échelonnée.

11.3. Follow My Immo prend sans tarder les mesures raisonnables pour contenir la violation et en limiter les conséquences. Elle documente la violation.

11.4. Il appartient au Marchand, en tant que responsable de traitement, de notifier la violation à la CNIL dans les 72 heures après en avoir pris connaissance lorsque l’article 33 du RGPD l’exige, et d’en informer les personnes concernées lorsque l’article 34 l’exige. Follow My Immo ne notifie pas elle-même la violation à la CNIL ni aux personnes concernées, sauf instruction écrite du Marchand ou obligation légale qui s’imposerait à elle.

Article 12. Obligations propres du Marchand

12.1. Le Marchand détermine les finalités et les moyens essentiels de ses traitements. Il est seul responsable :

a) de leur licéité, et notamment de l’existence d’une base légale pour chacun d’eux ;
b) de l’information de ses clients, vendeurs particuliers, déposants, fournisseurs et personnes intéressées, conformément aux articles 13 et 14 du RGPD ;
c) de la tenue de son registre des objets mobiliers conformément à la réglementation qui lui est applicable ;
d) de l’exactitude et de la pertinence des données qu’il saisit ;
e) de la conservation légale de ses documents, notamment de ses factures et de son registre, y compris après la fin des CGU (l’article 14 décrit ce que Follow My Immo conserve de son côté) ;
f) des réponses aux demandes des personnes concernées.

12.2. Le Marchand ne saisit dans le Service que les données nécessaires à son activité. Il s’interdit d’y saisir des données sensibles au sens de l’article 9 du RGPD, des données relatives aux condamnations pénales et aux infractions au sens de l’article 10, ou des données bancaires de ses acheteurs.

12.3. Le Marchand documente par écrit toute instruction qu’il adresse à Follow My Immo en dehors des fonctionnalités du Service.

Article 13. Documentation et audits

13.1. Follow My Immo met à la disposition du Marchand, sur demande écrite, les informations nécessaires pour démontrer le respect des obligations prévues à l’article 28 du RGPD et à la présente annexe, notamment : a) les annexes tenues à jour ; b) les engagements de protection des données et documents de conformité publiés par ses Sous-traitants ultérieurs ; c) des réponses écrites aux questions raisonnables du Marchand. Follow My Immo répond dans un délai de 30 jours.

13.2. Si ces informations ne suffisent pas à démontrer le respect de la présente annexe, ou en cas de violation de données, ou à la demande de la CNIL, le Marchand peut faire réaliser un audit, y compris une inspection, par lui-même ou par un auditeur indépendant qu’il mandate, aux conditions suivantes :

a) préavis écrit d’au moins 30 jours, réduit à ce qui est raisonnable en cas de violation de données ;
b) au plus une fois par période de douze mois, sauf violation de données ou demande de la CNIL ;
c) l’auditeur n’est pas un concurrent de Follow My Immo et s’engage par écrit à la confidentialité ;
d) l’audit se déroule pendant les heures ouvrées, sans perturber le Service, et ne donne accès à aucune donnée d’un autre client de Stelline ni aux secrets des affaires de Follow My Immo au-delà de ce qui est nécessaire ;
e) Follow My Immo reçoit une copie du rapport d’audit.

13.3. Les frais de l’audit sont à la charge du Marchand. Si l’audit révèle un manquement important de Follow My Immo à la présente annexe, celle-ci corrige ce manquement à ses frais.

13.4. Les conditions du présent article ne limitent en rien les pouvoirs d’enquête de la CNIL ou d’une autre autorité de contrôle.

Article 14. Fin du contrat : sort des données

14.1. Pendant toute la durée des CGU, le Marchand peut exporter ses données depuis le Service. Il peut aussi, à tout moment, demander par écrit à followmyimmo@gmail.com l’export de ses factures et de son registre des objets mobiliers.

14.2. Lorsque le compte du Marchand est supprimé, Follow My Immo supprime les données personnelles traitées pour son compte, à l’exception de celles que le 14.3 conserve. Sont supprimés : le carnet clients, les fournisseurs, les intérêts reçus par le formulaire « Je suis intéressé », les recherches de clients reçues par le formulaire « Je cherche une montre », les demandes de coordonnées, les photos, la vitrine publique, les cotes, les relevés, les envois d’emails, les clés d’accès, les réglages de la société et les comptes de connexion des utilisateurs. Les liens publics sont coupés. Les fichiers (photos et vitrine) sont supprimés du stockage.

14.3. Follow My Immo conserve, pour la durée de conservation légale, les factures et les avoirs (10 ans), leurs PDF et les inscriptions au registre des objets mobiliers (selon la réglementation applicable au Marchand), ainsi que les éléments qui leur sont indissociablement rattachés : la fiche de la montre concernée, son dossier de vente livré ou facturé (sans lien public ni acheteur rattaché), le logo figurant sur la facture et le nom du vendeur. Ces documents ne sont plus modifiables, ne sont plus accessibles au Marchand dans le Service, et ne sont utilisés que pour satisfaire à l’obligation légale de conservation et pour répondre à une demande légale ou à une demande d’export du Marchand.

14.4. À l’expiration de la durée légale de conservation, Follow My Immo supprime ces documents. Elle confirme la suppression par écrit au Marchand sur demande.

14.5. Les sauvegardes de la base de données sont conservées 7 jours. Les données supprimées en sont donc effacées au plus 7 jours après la suppression. La sauvegarde des fichiers purge, à son passage quotidien suivant, les photos et la vitrine du compte supprimé. Elle ne supprime jamais les PDF des factures, qui suivent le 14.3. Les sauvegardes ne sont pas utilisées entre-temps, sauf pour restaurer le Service après un incident.

Article 15. Responsabilité

15.1. Chaque partie est responsable des manquements à ses propres obligations au titre du RGPD et de la présente annexe. Conformément à l’article 82.2 du RGPD, Follow My Immo n’est tenue du dommage causé par le traitement que si elle n’a pas respecté les obligations du RGPD qui incombent spécifiquement aux sous-traitants, ou si elle a agi en dehors des instructions licites du Marchand ou contrairement à celles-ci.

15.2. Dans les relations entre les parties, la responsabilité de Follow My Immo au titre de la présente annexe est soumise aux limitations et au plafond prévus par les CGU. Ces limitations ne s’appliquent pas en cas de faute lourde ou dolosive. Elles ne s’appliquent pas non plus là où la loi les écarte, et ne peuvent priver de sa substance l’obligation essentielle de Follow My Immo.

15.3. Ces limitations ne restreignent pas le droit à réparation des personnes concernées prévu à l’article 82 du RGPD, ni l’action récursoire entre les parties prévue à l’article 82.5 du RGPD.

15.4. Le Marchand garantit Follow My Immo contre les conséquences d’un traitement illicite résultant de ses propres instructions ou des données qu’il a saisies, dans la mesure de sa part de responsabilité dans le dommage.

Article 16. Coopération

16.1. Les parties coopèrent de bonne foi, et avec la CNIL lorsqu’elle le demande, pour l’exécution de la présente annexe.

16.2. Si une autorité publique demande à Follow My Immo l’accès à des données du Marchand, Follow My Immo en informe le Marchand, sauf si la loi l’interdit. Elle ne communique que les données strictement exigées par une demande légalement fondée.

16.3. Follow My Immo tient un registre des catégories d’activités de traitement effectuées pour le compte de ses clients, conformément à l’article 30.2 du RGPD.

16.4. Follow My Immo n’a pas désigné de délégué à la protection des données. Pour toute question relative à la présente annexe, le Marchand écrit à followmyimmo@gmail.com.

Article 17. Modification de l’annexe

17.1. Follow My Immo peut modifier la présente annexe pour l’adapter à une évolution du Service, de ses Sous-traitants ultérieurs ou de la réglementation. Une modification ne peut pas réduire le niveau de protection des données. Les changements de Sous-traitants ultérieurs suivent l’article 7.

17.2. Toute autre modification est notifiée au Marchand par email au moins 30 jours avant son entrée en vigueur. Si le Marchand refuse la modification, il peut résilier les CGU sans pénalité avant cette date.

Article 18. Ordre de priorité et droit applicable

18.1. En cas de contradiction entre les CGU et la présente annexe sur la protection des données personnelles, la présente annexe prévaut.

18.2. La présente annexe est soumise au droit français et au droit de l’Union européenne. Les litiges relèvent de la juridiction désignée dans les CGU.

Annexe 1. Description du traitement

Objet : fourniture au Marchand du logiciel en ligne Stelline, qui sert à gérer son activité de marchand de montres d’occasion.

Durée : la durée des CGU, prolongée jusqu’à la suppression des données, ou la fin de leur conservation légale, prévues à l’article 14.

Nature des opérations : hébergement, enregistrement, organisation, structuration, conservation, consultation, chiffrement, affichage, mise en forme de factures, publication en vitrine sur instruction du Marchand, réception de formulaires et de coordonnées, envoi d’emails sur action du Marchand, export, effacement.

Finalités, toutes poursuivies pour le compte du Marchand : tenue du stock ; tenue du registre des objets mobiliers, avec l’identité des vendeurs particuliers et des déposants ; établissement des cotes ; enregistrement des ventes et émission des factures ; publication d’une vitrine publique ; recueil des coordonnées des acheteurs par un lien que le Marchand leur adresse ; réception des demandes du formulaire « Je suis intéressé » ; réception des recherches du formulaire « Je cherche une montre » et rapprochement avec les montres en stock, pour permettre au Marchand de prévenir le client ; tenue du carnet clients ; suivi des fournisseurs.

Personnes concernées : acheteurs ; vendeurs particuliers et déposants ; personnes intéressées par une montre ; personnes qui cherchent une montre ; fournisseurs.

Catégories de données : identité, coordonnées, adresse postale, email, téléphone ; pour le registre : nature et numéro de la pièce d’identité (numéro conservé chiffré) et domicile du vendeur particulier ou du déposant ; données de vente et de facture ; pour le formulaire « Je suis intéressé » : nom, téléphone, message ; pour le formulaire « Je cherche une montre » : nom, téléphone, montre recherchée, budget, précisions.

Données sensibles : aucune au sens de l’article 9 du RGPD. Aucune donnée bancaire des acheteurs : Stelline n’enregistre aucun paiement reçu.

Durées de conservation : carnet clients, jusqu’à la suppression de la fiche par le Marchand ; factures, 10 ans, sans modification possible, y compris après la suppression du compte ; registre, selon la réglementation applicable au Marchand, sans modification possible, y compris après la suppression du compte ; intérêts, supprimés 90 jours après leur refus et au plus 3 ans après leur dépôt ; recherches de clients, supprimées 12 mois après leur dépôt, ou 12 mois après la dernière prolongation faite par le Marchand quand il a recontacté la personne, et 30 jours après la clôture de la recherche, ou plus tôt à la demande du Marchand ; liens de coordonnées jamais remplis, supprimés 30 jours après leur expiration ; fin des CGU, voir l’article 14.

Annexe 2. Mesures techniques et organisationnelles

Mesures en place à la date de la présente version :

Cloisonnement par marchand imposé par la base de données elle-même (règles d’accès ligne par ligne, « row level security ») : un marchand n’accède qu’à ses propres données.
Chiffrement en transit : connexion chiffrée (HTTPS).
Chiffrement de la pièce d’identité du registre par l’algorithme AES-256-GCM.
Connexion sans mot de passe par lien email à usage unique, valable 15 minutes.
Création des comptes contrôlée : personne ne peut créer librement un compte.
Journalisation des consultations du registre et des actions d’administration.
Sauvegarde quotidienne de la base de données. Durée de conservation : 7 jours.
Sauvegarde quotidienne des fichiers (factures en PDF, photos et vitrine) dans un projet distinct, hébergé dans l’Union européenne (Francfort) ; l’intégrité de chaque facture copiée est vérifiée par son empreinte.
Intégrité des documents légaux : factures et inscriptions au registre non modifiables.
Confidentialité des personnes autorisées (article 5).

Annexe 3. Sous-traitants ultérieurs autorisés

SUPABASE PTE. LTD. 65 Chulia Street #38-02/03, OCBC Centre, Singapour 049513. Prestation : base de données et stockage des fichiers, ainsi que la copie de sauvegarde des fichiers. Localisation : données hébergées à Paris (région eu-west-3), copie de sauvegarde à Francfort (eu-central-1) ; le prestataire étant établi à Singapour, un accès depuis un pays tiers, par exemple pour le support, peut constituer un transfert. Garanties : clauses contractuelles types de la Commission européenne.
Railway Corporation 548 Market St PMB 68956, San Francisco, Californie 94104, États-Unis. Prestation : hébergement de l’application. Localisation : États-Unis. Garanties : Data Privacy Framework UE-États-Unis, certification active.
Plus Five Five, Inc. exploitée sous le nom Resend, 2261 Market Street #5039, San Francisco, Californie 94114, États-Unis. Prestation : envoi des emails. Localisation : stockage aux États-Unis. Garanties : Data Privacy Framework UE-États-Unis (certification active, renouvellement en cours d’examen) et clauses contractuelles types.