Version 2.0 du 13/10/2026
Entre les soussignés :
Oxemis SARL, désignée ci-après le « Sous-traitant », d’une part, et le client, agissant en qualité de Responsable de traitement, ci-après dénommé l’« Utilisateur », d’autre part,
Il est convenu ce qui suit :
1. Objet du Contrat
Le présent accord vise à établir les conditions dans lesquelles Oxemis SARL, en tant que Sous-traitant, s’engage à réaliser, pour le compte de l’Utilisateur, les opérations de traitement de données à caractère personnel telles que définies ci-dessous.
Dans le cadre de cet accord, l’Utilisateur agit en tant que Responsable de traitement, conformément au Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, dit « Règlement européen sur la protection des données » (RGPD).
2. Définitions
Pour l’interprétation du présent accord, les termes suivants sont définis comme suit :
2.1 Données à Caractère Personnel : toute information relative à une personne physique identifiée ou identifiable selon les termes du RGPD, que le Sous-traitant traite pour le compte du Responsable de traitement.
2.2 Violation de Données Personnelles : toute violation de la sécurité conduisant à la destruction, la perte, la modification, la divulgation ou l’accès non autorisé aux Données Personnelles.
2.3 Traitement : toute opération ou ensemble d’opérations effectuées sur des Données Personnelles, englobant la collecte, l’enregistrement, l’organisation, la structuration, le stockage, l’adaptation, l’altération, la récupération, la consultation, l’utilisation, la divulgation par transmission, la diffusion, la combinaison, la restriction ou l’effacement de Données Personnelles.
3. Détails du Traitement
3.1 Types de Données Personnelles
Les informations de contact, telles que les adresses électroniques, les numéros de téléphone, les noms, les prénoms, les fonctions, ainsi que tout autre type de données déterminé et contrôlé par l’Utilisateur selon ses préférences et paramètres des services proposés par Oxemis SARL.
3.2 Catégories de Personnes Concernées
Toutes les catégories de personnes physiques, déterminées et contrôlées par l’Utilisateur à sa seule discrétion, comprenant notamment : les clients, les prospects, les employés, les sous-traitants, les fournisseurs, etc.
3.3 Objet et Nature du Traitement
Le Sous-traitant effectue le Traitement des Données Personnelles dans le but de fournir des services au Responsable de traitement, impliquant le Traitement des Données Personnelles et l’exécution des obligations du Sous-traitant conformément à l’accord et aux conditions convenues entre les parties. Les services incluent notamment le traitement des bases de destinataires, l’analyse du comportement des destinataires, la définition de stratégies de communication marketing, etc.
3.4 Durée du Traitement
Les Données Personnelles sont traitées pendant toute la durée des relations contractuelles entre les parties. Elles sont conservées durant 18 mois maximum après l’expiration de la relation contractuelle pour permettre la réactivation d’un contrat après une période d’inactivité, puis supprimées définitivement. L’Utilisateur peut en demander la suppression anticipée à tout moment, dans les conditions prévues à l’article 6.
4. Obligations des Parties
4.1 Obligations de l’Utilisateur
L’Utilisateur est responsable des Traitements effectués dans le cadre des services souscrits. Il s’engage à fournir les Données Personnelles nécessaires, à documenter les instructions de Traitement, à veiller au respect des obligations du RGPD, à superviser le Traitement par le biais d’audits, et à prendre les mesures de sécurité nécessaires.
4.2 Obligations du Sous-traitant
Oxemis SARL traite les Données Personnelles uniquement sur instruction documentée de l’Utilisateur, met en place des mesures de sécurité appropriées, s’engage à informer l’Utilisateur en cas de Violation de Données Personnelles, et assure une assistance en matière de droits des personnes concernées.
4.3 Autorités de Contrôle
Les Parties coopèrent avec les autorités de protection des données compétentes.
4.4 Délégué à la Protection des Données
Oxemis SARL a nommé un délégué à la protection des données, joignable à l’adresse électronique dpo@oxemis.com.
4.5 Application des Conditions Générales
Le présent accord complète les conditions générales applicables aux services souscrits par l’Utilisateur, primant en cas de contradictions.
4.6 Modifications
Le présent accord peut être modifié à tout moment. En cas de modifications, l’Utilisateur peut résilier sans frais les services dans un délai de trente jours à compter de l’entrée en vigueur de ces modifications.
5. Sous-traitance ultérieure
5.1 Autorisation générale : l’Utilisateur autorise Oxemis SARL à faire appel à des sous-traitants ultérieurs pour l’hébergement et l’exploitation de l’infrastructure nécessaire aux services. La liste des sous-traitants ultérieurs en vigueur figure en Annexe 1.
5.2 Localisation : les sous-traitants ultérieurs hébergent les Données Personnelles exclusivement en France et dans l’Union européenne. Aucun transfert hors de l’Union européenne n’est effectué.
5.3 Obligations des sous-traitants ultérieurs : Oxemis SARL impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du présent accord. Oxemis SARL demeure pleinement responsable envers l’Utilisateur de l’exécution de ces obligations par ses sous-traitants ultérieurs.
5.4 Changement de sous-traitant ultérieur : Oxemis SARL informe l’Utilisateur de tout ajout ou remplacement d’un sous-traitant ultérieur au moins 30 jours avant sa prise d’effet, par e-mail et par la mise à jour de l’Annexe 1. L’Utilisateur peut s’y opposer par écrit, de manière motivée, dans ce délai. À défaut d’accord entre les parties, l’Utilisateur peut résilier sans frais les services concernés.
6. Sort des données en fin de contrat
6.1 Conservation puis suppression : à l’expiration ou à la résiliation des services, les Données Personnelles traitées pour le compte de l’Utilisateur sont conservées durant 18 mois maximum, afin de permettre la réactivation du contrat. Au terme de ce délai, Oxemis SARL les supprime définitivement. Aucune copie n’est conservée, que ce soit par Oxemis SARL ou par ses sous-traitants ultérieurs.
6.2 Suppression sur demande : l’Utilisateur peut demander à tout moment la suppression de tout ou partie de ses Données Personnelles, y compris pendant le délai de 18 mois prévu à l’article 6.1, par e-mail à dpo@oxemis.com. Oxemis SARL procède à la suppression dans un délai de 30 jours et en confirme l’exécution par écrit.
6.3 Restitution : avant l’expiration des services, l’Utilisateur peut exporter ses données depuis son espace client ou en demander la restitution dans un format standard (CSV).
6.4 Sauvegardes : les Données Personnelles présentes dans les sauvegardes sont effacées au terme du cycle de rotation de celles-ci, au plus tard 90 jours après la suppression. Pendant ce délai, elles ne font l’objet d’aucun traitement.
6.5 Exception légale : seules les données dont la conservation est imposée par une obligation légale peuvent être conservées, pour la durée strictement nécessaire.
7. Sécurité des données
7.1 Mesures mises en œuvre : Oxemis SARL met en œuvre les mesures techniques et organisationnelles décrites dans sa Politique de Sécurité des Systèmes d’Information (PSSI). Les principales mesures sont résumées en Annexe 2.
7.2 Évolution des mesures : Oxemis SARL peut faire évoluer ces mesures pour suivre l’état de l’art, à condition de ne jamais réduire le niveau de sécurité global.
7.3 Confidentialité du personnel : les personnes autorisées à traiter les Données Personnelles sont soumises à une obligation de confidentialité et reçoivent une formation adaptée.
7.4 Notification des violations : en cas de Violation de Données Personnelles, Oxemis SARL notifie l’Utilisateur dans un délai maximal de 48 heures après qualification de l’incident. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables et les mesures prises pour y remédier.
8. Assistance au Responsable de traitement
8.1 Analyses d’impact et consultation préalable : Oxemis SARL fournit à l’Utilisateur, sur demande, les informations nécessaires à la réalisation d’une analyse d’impact relative à la protection des données et, le cas échéant, à la consultation préalable de l’autorité de contrôle. Ces informations comprennent notamment la description du traitement, la PSSI, la liste des sous-traitants ultérieurs et la localisation des données.
8.2 Droits des personnes concernées : Oxemis SARL transmet sans délai à l’Utilisateur toute demande d’exercice de droits reçue directement d’une personne concernée. Il l’aide à y répondre, notamment au moyen des fonctions de modification, d’export et de suppression disponibles dans les services.
8.3 Audits : Oxemis SARL met à la disposition de l’Utilisateur les informations nécessaires pour démontrer le respect du présent accord. Il permet la réalisation d’audits par l’Utilisateur ou un auditeur mandaté par lui, soumis à une obligation de confidentialité, moyennant un préavis de 30 jours et dans la limite d’un audit par an, sauf en cas de Violation de Données Personnelles.
Annexe 1 — Liste des sous-traitants ultérieurs
| Sous-traitant | Siège | Prestation | Localisation des données |
|---|---|---|---|
| OVH SAS (OVHcloud) | 2 rue Kellermann, 59100 Roubaix, France | Hébergement sur serveurs dédiés | France |
| Scaleway SAS | 8 rue de la Ville l’Évêque, 75008 Paris, France | Hébergement sur serveurs dédiés | France et Pays-Bas (Amsterdam) |
Pour le service SMS, Oxemis SARL fait également appel à un prestataire d’acheminement des SMS établi dans l’Union européenne. Son identité est communiquée à tout Utilisateur du service SMS, sur simple demande à dpo@oxemis.com.
Annexe 2 — Mesures techniques et organisationnelles
Résumé de la PSSI d’Oxemis. La PSSI fait foi en cas de différence.
| Domaine | Mesure |
|---|---|
| Hébergement | Serveurs dédiés (OVHcloud, Scaleway), situés en France et dans l’Union européenne. Aucun cloud public (hyperscaler) pour les données sensibles. |
| Cloisonnement | Isolation des données de chaque client par un identifiant unique (Tenant ID) injecté dans chaque requête. |
| Chiffrement des flux | TLS 1.2 minimum et HTTPS obligatoires. Toute connexion non sécurisée est rejetée. |
| Minimisation | Le corps des messages envoyés en SMTP et via l’API n’est pas conservé : il est purgé une fois le routage effectué. |
| Accès administrateurs | Moindre privilège. Authentification par clés SSH ou certificats, sans mot de passe seul. Journaux d’audit. |
| Accès clients | Mots de passe robustes et authentification multifacteur (MFA). Clés d’API uniques, révocables instantanément. |
| Continuité | Services répartis sur plusieurs centres de données distants. Bascule vers un site de secours documentée et testée. |
| Sauvegardes | Tests de restauration au moins une fois par an. |
| Mises à jour | Correctifs de sécurité critiques appliqués automatiquement. Mises à jour majeures testées en environnement de préproduction. |
| Postes de travail | Chiffrement intégral des disques (BitLocker). Interdiction de stocker des données clients en local. |
| Personnel | Sensibilisation aux risques dès l’arrivée puis en continu. Veille sur les vulnérabilités (CVE). Révocation immédiate des accès au départ d’un collaborateur. |
| Incidents | Remontée des incidents 24h/24 et 7j/7 via support@oxemis.com. Notification du client sous 48 heures après qualification d’une violation. |