Accord de sous-traitance — Le Noyau pour Instagram

Version 1 — dernière mise à jour : 12/11/2026

1. Objet

Le présent accord fixe les conditions dans lesquelles nous traitons, pour le compte du Client, les données personnelles de ses Prospects lorsqu'il utilise Le Noyau pour Instagram (le « Service »), conformément à l'article 28 du règlement général sur la protection des données (RGPD). Les mots commençant par une majuscule ont le sens que leur donnent les conditions d'utilisation.

Il fait partie des conditions d'utilisation et s'applique dès que le Client les accepte, pendant toute la durée de son utilisation du Service, bêta comprise. Pour la protection des données des Prospects, il prévaut sur les conditions d'utilisation en cas de contradiction.

2. Parties et rôles

Le sous-traitant est Mathis Lenglet, entrepreneur individuel (micro-entreprise), nom commercial ML PUBLISHING, marque Consultants Corp., SIREN 947 489 639, siège : 92 avenue de Montbrun, 64600 Anglet, France (ci-après « nous »). Contact pour toute question relative aux données et à la sécurité : contact@le-noyau.fr.

Le Client, titulaire de l'espace, est responsable du traitement des données de ses Prospects : il décide de connecter son compte Instagram, des fonctions qu'il active et de l'usage qu'il fait de ces données. Il garantit qu'il dispose d'une base légale pour les traiter et qu'il en informe ses Prospects.

Pour les données des comptes de nos clients et de leurs Membres, de l'abonnement et de la facturation, nous agissons comme responsable de traitement : ces traitements sont décrits dans la politique de confidentialité et ne relèvent pas du présent accord.

Un assistant d'intelligence artificielle que le Client connecte lui-même à son espace (connexion dite « MCP », par exemple Claude ou ChatGPT) n'est pas un de nos sous-traitants : il agit pour le Client, selon le contrat conclu avec son éditeur. La connexion vaut instruction du Client de lui transmettre les données qu'il demande et d'appliquer les modifications autorisées (article 7 des conditions). Le présent accord ne couvre pas les traitements que cet assistant effectue.

3. Instructions du Client

Nous traitons les données des Prospects uniquement pour fournir le Service, selon les instructions documentées du Client : les conditions d'utilisation et le présent accord, les réglages et fonctions qu'il active dans son espace (automatisations, relances, intelligence artificielle, intégrations, accès support, assistants connectés), et les demandes écrites qu'il nous adresse. La description du traitement figure en annexe 1.

Nous n'utilisons jamais ces données pour nos propres fins : ni prospection, ni revente, ni constitution d'une base commune entre clients, ni entraînement de modèles d'intelligence artificielle. Les contenus transmis à notre fournisseur d'intelligence artificielle ne servent pas à entraîner ses modèles.

Si une instruction nous paraît contraire au RGPD ou à une autre règle de protection des données, nous en informons immédiatement le Client. Si la loi nous oblige à traiter ou à communiquer des données (réquisition d'une autorité, par exemple), nous en informons le Client avant de le faire, sauf si la loi l'interdit, et nous ne communiquons que ce qui est strictement exigé.

4. Personnes autorisées

Seules accèdent aux données des Prospects les personnes qui en ont besoin pour exploiter, maintenir et sécuriser le Service : l'exploitant et la personne qu'il habilite par écrit pour les interventions techniques. Chacune est tenue à une obligation de confidentialité qui continue après la fin de sa mission.

Depuis l'application, ces personnes n'accèdent au contenu d'un espace que si son propriétaire leur ouvre lui-même un accès support (Paramètres › Support) : 24 heures au plus, en lecture seule par défaut, et journalisé. L'accès direct à l'infrastructure (serveur, base de données, sauvegardes) est réservé à l'exploitation, à la sécurité et au traitement des incidents ; il ne sert jamais à consulter les conversations d'un client pour un autre motif.

5. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées au risque (article 32 du RGPD), décrites en annexe 2. Cette annexe distingue les mesures en place de celles qui ne sont que des objectifs. Nous la mettons à jour quand nos mesures évoluent, sans jamais réduire le niveau de protection global.

6. Sous-traitants ultérieurs

Le Client nous autorise à faire appel aux sous-traitants ultérieurs listés en annexe 3. Nous leur imposons par contrat des obligations de protection des données équivalentes à celles du présent accord, et nous restons responsables envers le Client de leur respect.

Avant d'ajouter ou de remplacer un sous-traitant ultérieur qui traite des données des Prospects, nous prévenons le propriétaire de l'espace par e-mail au moins 30 jours à l'avance, en indiquant le prestataire, le service rendu, les données concernées et le lieu de traitement, et nous mettons l'annexe 3 à jour. Le Client peut s'y opposer par écrit, de façon motivée, pendant ce délai. Nous cherchons alors une solution : renoncer au changement, proposer une alternative, ou arrêter pour ce Client le traitement concerné. À défaut, le Client peut résilier son abonnement sans frais ni pénalité, avant la date du changement ; la part déjà payée de la période en cours n'est pas remboursée.

En cas d'urgence de sécurité ou de défaillance d'un prestataire, le délai peut être réduit : nous prévenons alors le Client immédiatement, en expliquant pourquoi. Le Client garde la même possibilité de s'opposer, et le traitement concerné peut être suspendu pour lui le temps de trouver une solution. L'urgence ne nous autorise jamais à confier des données à un prestataire sans contrat de protection des données.

Les outils que le Client relie lui-même à son espace, comme sa base Airtable, ne sont pas nos sous-traitants ultérieurs : il les choisit, conclut seul le contrat avec leur éditeur et répond des transferts éventuels hors de l'Union européenne. Nous y transmettons les données des Prospects sur son instruction, quand il active l'intégration, dans un seul sens et sans jamais modifier les autres données de l'outil.

7. Transferts hors de l'Union européenne

Les données des Prospects sont hébergées dans l'Union européenne (France). Certains sous-traitants ultérieurs listés en annexe 3 peuvent les traiter hors de l'Union européenne : chaque transfert est encadré par les clauses contractuelles types de la Commission européenne, comme indiqué dans l'annexe. Nous n'effectuons aucun autre transfert sans en informer le Client selon l'article 6.

8. Droits des personnes

Le Service donne au Client les moyens de répondre lui-même aux demandes de ses Prospects : consulter et exporter les données d'un prospect, les corriger, et supprimer un prospect avec tout ce qui le concerne. Quand le Client supprime un prospect à la demande de celui-ci, le Service supprime aussi les lignes qu'il a créées pour lui dans la base Airtable du Client, si elle est reliée ; les autres copies que le Client a faites dans ses propres outils restent de sa responsabilité. Si un Prospect nous adresse directement une demande, nous la transmettons au Client sans retard et au plus tard sous 5 jours ouvrés, sans y répondre nous-mêmes sauf instruction du Client. Nous l'aidons, dans la mesure du possible, à traiter les demandes que les outils du Service ne couvrent pas.

9. Violations de données

Si nous constatons une violation de données touchant les données des Prospects du Client (accès non autorisé, divulgation, perte ou altération), nous prévenons le propriétaire de l'espace sans retard injustifié, et au plus tard 24 heures après en avoir pris connaissance. Nous le prévenons aussi d'un soupçon sérieux si des mesures de protection doivent être prises tout de suite.

Cette première information indique ce que nous savons à ce moment-là : la nature de la violation, les dates, les données, les personnes et le nombre approximatif d'enregistrements concernés (ou le fait qu'ils sont encore inconnus), les conséquences probables, les mesures prises ou envisagées, ce que le Client peut faire, et un contact pour le suivi. Nous la complétons au fil de l'enquête.

Nous aidons le Client à apprécier s'il doit notifier la violation à la CNIL (dans les 72 heures, article 33 du RGPD) et aux personnes concernées (article 34), et à préparer ces notifications ; nous ne les faisons pas en son nom sans mandat écrit. Nous tenons un registre des violations, y compris celles qui ne donnent lieu à aucune notification.

10. Analyse d'impact et autorités

Nous fournissons au Client les informations dont nous disposons pour l'aider à réaliser une analyse d'impact relative à la protection des données, lorsqu'elle est nécessaire (par exemple pour l'usage du score d'intérêt ou de l'intelligence artificielle, ou si ses conversations peuvent contenir des données sensibles), et à consulter la CNIL si besoin. Nous coopérons avec l'autorité de contrôle à sa demande.

11. Fin du contrat

Avant la fin du contrat, le Client peut exporter ses prospects (fichier CSV) et toutes les données de son espace (fichier JSON). À la fin de l'abonnement, l'espace passe en lecture seule pendant 30 jours, puis l'espace et toutes ses données sont supprimés (article 15 des conditions). Les copies de sauvegarde sont effacées au fil de leur rotation, dans un délai de 30 jours au plus. Le Client peut demander une suppression plus rapide par écrit ; il peut aussi supprimer lui-même son compte et son espace depuis Paramètres › Profil.

Nous ne gardons ensuite aucune donnée des Prospects, sauf l'empreinte non réversible des prospects qui ont demandé l'effacement de leurs données (pour qu'un ancien message ne les fasse pas réapparaître) et les journaux de sécurité, pour leur durée de conservation (24 mois). Sur demande du Client, nous lui confirmons la suppression par écrit.

12. Informations et audits

Nous mettons à la disposition du Client, sur demande, les informations nécessaires pour démontrer le respect du présent accord (description des mesures de sécurité, liste des sous-traitants ultérieurs et de leurs garanties, journaux de son espace).

Le Client peut faire réaliser un audit, au plus une fois par an et après chaque violation de données le concernant, par lui-même ou par un auditeur indépendant tenu au secret professionnel, en nous prévenant au moins 30 jours à l'avance. L'audit se fait à ses frais, pendant les heures ouvrées, sans accès aux données des autres clients et sans compromettre la sécurité du Service. Nous corrigeons sans retard les écarts constatés.

13. Responsabilité

Chaque partie répond des manquements qui lui sont imputables, dans les conditions de l'article 14 des conditions. Ces limites ne s'appliquent pas aux droits des personnes concernées, qui peuvent obtenir réparation dans les conditions de l'article 82 du RGPD.

14. Durée et modifications

Le présent accord s'applique tant que nous traitons des données des Prospects pour le Client, y compris pendant les 30 jours qui suivent la fin de l'abonnement et jusqu'à la suppression des données.

Chaque version est datée et numérotée. Nous prévenons le Client par e-mail au moins 30 jours avant tout changement important ; les versions précédentes sont disponibles sur demande. Le présent accord est soumis au droit français, comme les conditions d'utilisation.

Annexe 1 — Description du traitement

Objet et finalités	Fournir au Client le Service qu'il a choisi : boîte de réception partagée de ses conversations Instagram, suivi et qualification de ses prospects (pipeline, tags, notes, rappels), rattachement de ses rendez-vous, suivi des appels et des ventes, statistiques, automatisations et relances qu'il configure, fonctions d'intelligence artificielle qu'il active (suggestions, résumés, score, relance rédigée par l'intelligence artificielle), exports, sauvegardes, sécurité et assistance qu'il autorise.
Nature des opérations	Collecte par l'API officielle d'Instagram et par l'outil de prise de rendez-vous que le Client connecte, enregistrement, organisation, consultation, mise à jour, transmission aux sous-traitants ultérieurs nécessaires aux fonctions activées et, sur instruction du Client, à sa propre base Airtable, envoi des messages décidés par le Client ou par ses automatisations, export, sauvegarde, effacement (y compris des lignes créées par le Service dans la base Airtable du Client, quand un Prospect demande l'effacement de ses données).
Personnes concernées	Les Prospects du Client : personnes qui échangent avec son compte Instagram professionnel (qui écrivent, commentent, répondent ou réagissent sur ce compte, ou que son équipe contacte depuis ce compte), et personnes qui réservent un rendez-vous avec lui. Si la fonction est proposée : la personne dont la voix est convertie, avec son consentement écrit.
Données	Identifiant Instagram propre à l'application, nom d'utilisateur, nom, photo de profil, nombre d'abonnés et autres informations publiques de profil ; messages privés et pièces jointes ; commentaires, réponses et réactions aux stories, mentions ; coordonnées et informations ajoutées par l'équipe (notes, tags, étapes, rappels, messages programmés) ; réservations et réponses au formulaire de réservation ; suivi des appels ; ventes et échéanciers ; résumés, scores et suggestions produits par l'intelligence artificielle ; traces techniques nécessaires (dates, statut des envois). Le détail figure à l'article 3 de la politique de confidentialité.
Données sensibles	Le Service n'est pas conçu pour traiter des catégories particulières de données (santé, opinions, etc.). Si les conversations du Client peuvent en contenir, il lui revient de disposer de la base légale et de l'exception applicables ; il peut désactiver l'intelligence artificielle pour tout son compte, pour qu'aucune donnée ne lui soit plus envoyée.
Durée	Pendant la durée de l'abonnement, puis jusqu'à la suppression prévue à l'article 11. Durées de conservation applicables pendant l'abonnement : article 6 de la politique de confidentialité (notamment : prospect sans activité depuis 24 mois supprimé automatiquement, prospect qui demande l'effacement supprimé, réservation non rattachée gardée 30 jours au plus, sauvegardes 30 jours au plus).

Annexe 2 — Mesures de sécurité

En place à la date de cette version :

Hébergement : application, base de données et sauvegardes chez Scaleway, en France (région Paris). La base de données n'est accessible que par un réseau privé, jamais directement depuis Internet.
Isolation des clients : chaque donnée appartient à un espace, et la base de données elle-même refuse qu'un espace lise ou modifie les données d'un autre (sécurité au niveau des lignes). L'application se connecte avec un compte limité à la lecture et à l'écriture des données ; les changements de structure passent par un compte distinct.
Chiffrement : communications chiffrées (HTTPS) ; jetons d'accès Instagram et clés des intégrations chiffrés en base (AES-256) ; mots de passe et jetons des assistants d'intelligence artificielle conservés sous forme hachée.
Accès des équipes du Client : rôles (propriétaire, administrateur, setter, closer) aux droits différents ; double authentification obligatoire pour les propriétaires et les administrateurs ; exclusion d'un membre immédiate.
Accès de nos équipes : accès support ouvert seulement par le propriétaire, limité dans le temps et journalisé (article 4) ; secrets techniques hors du code, dans des fichiers protégés sur le serveur.
Journaux : actions sensibles (invitations, rôles, exports, suppressions, accès support, consultations et modifications par les assistants d'intelligence artificielle) journalisées et conservées 24 mois ; alertes techniques internes sans contenu des conversations.
Sauvegardes : sauvegarde automatique quotidienne de la base de données, gardée 14 jours, et copie avant chaque mise à jour de sa structure ; copie chaque nuit des pièces jointes ; 30 jours au plus pour toute copie. Les suppressions et retraits d'accès sont aussi notés hors de la base, pour être réappliqués après une restauration ; cette procédure de restauration a été testée sur des données fictives.
Surveillance : disponibilité du Service vérifiée toutes les 5 minutes ; erreurs signalées en temps réel à l'exploitant.
Suppression : effacement automatique selon les durées de conservation (purges quotidiennes) ; jetons supprimés dès la déconnexion d'un compte ou le retrait d'une autorisation.

Objectifs, sans engagement à ce jour : rétablissement du Service en 4 heures après une panne majeure ; perte de données limitée à l'intervalle entre deux sauvegardes, soit au plus un jour pour les notes, tags et étapes (les messages Instagram peuvent être récupérés auprès d'Instagram, dans les limites de son API).

Annexe 3 — Sous-traitants ultérieurs

Prestataires qui traitent des données des Prospects pour fournir le Service :

Scaleway SAS, France (région Paris)	Hébergement de l'application, base de données, sauvegardes. Toutes les données de l'annexe 1. Traitement dans l'Union européenne.
Anthropic PBC, États-Unis	Suggestions de réponse, résumés, score et relances rédigées par l'intelligence artificielle, lorsque le Client les utilise et tant qu'il n'a pas désactivé l'intelligence artificielle : extraits de la conversation et de la fiche du prospect nécessaires à la fonction. Transferts encadrés par les clauses contractuelles types de la Commission européenne ; les contenus transmis ne servent pas à entraîner ses modèles.
Discord Inc., États-Unis	Alertes techniques adressées à l'exploitant en cas d'erreur du Service : messages d'erreur pouvant contenir des identifiants internes, sans contenu des conversations. Transferts encadrés par les clauses contractuelles types de la Commission européenne.
Runpod, serveurs situés dans l'Union européenne	Calcul de la conversion de voix, lorsque cette fonction est proposée et activée avec le consentement de la personne concernée : enregistrements vocaux et modèle vocal.

Meta (Instagram) n'est pas un de nos sous-traitants : c'est la plateforme d'où proviennent les données, que le Client utilise selon son propre contrat avec Meta. Les prestataires que nous utilisons pour nos propres traitements (paiement, e-mails du Service adressés aux équipes, site internet, nom de domaine, prise de rendez-vous avec notre équipe) ne reçoivent pas de données des Prospects ; ils sont listés dans la politique de confidentialité.