# Contrat de sous-traitance (article 28 du RGPD)

Le présent contrat encadre le traitement de données personnelles réalisé par Circuy pour le compte du client. Il s'applique dès l'utilisation du service.

## Parties et rôles

- **Responsable de traitement :** le client, éditeur du site sur lequel les parcours de guidage sont exécutés, et administrateur des comptes Circuy de son organisation.
- **Sous-traitant :** Circuy.

Circuy ne décide ni des parcours affichés, ni des personnes visées, ni des textes rédigés. Il fournit l'outil, le stocke et le distribue.

## Traitements

| Traitement | Données | Personnes | Finalité | Durée |
| --- | --- | --- | --- | --- |
| Comptes administrateurs | adresse e-mail, fournisseur OAuth, identifiant interne, sessions et jetons d'extension | administrateurs du client | authentifier, autoriser, révoquer un appareil | jusqu'à suppression du compte ou révocation du jeton |
| Parcours | contenu rédigé, sélecteurs, versions publiées | — (contenu du responsable) | exécuter le guidage sur le site du client | jusqu'à suppression du projet |
| Télémétrie d'exécution | identifiants de projet, parcours, version et étape ; identifiant de session aléatoire ; type d'événement ; horodatage ; option choisie | visiteurs du site, sans identification | mesurer l'adoption des parcours pour le responsable | 13 mois |

**Ce qui n'est pas collecté sur les visiteurs :** adresse IP, agent utilisateur, cookie, identifiant persistant, contenu des champs de formulaire, URL complète, attributs transmis à `identify` (ciblage local uniquement).

Circuy ne peut pas extraire ni rectifier les données d'un visiteur : il ne détient aucun identifiant de personne. Les droits d'accès, de rectification et d'effacement portent sur les **comptes administrateurs** et s'exercent depuis le dashboard (page Compte).

## Stockage sur le terminal du visiteur

Le SDK écrit localement, dans le navigateur du visiteur, les clés décrites dans [l'intégration](integration.md). Cet usage relève du fonctionnement du service demandé par le responsable. Circuy n'y a pas accès. La qualification au regard des règles sur le consentement appartient au client.

## Hébergement

**Unique hébergeur : Greenshift**, prestataire européen. Le centre de données se situe **aux Pays-Bas** (région d'Amsterdam). Toutes les données, y compris les sauvegardes et les journaux, y résident. Aucun traitement, transfert ou sous-traitant n'est situé hors de l'Union européenne.

Le bâtiment est exploité en colocation par **Iron Mountain**, société de droit américain, qui fournit l'énergie, le bâtiment et la sécurité physique, **sans accès logique aux données**. Le contrôle logique reste chez Greenshift.

Les noms de domaine sont enregistrés chez OVH, bureau d'enregistrement et gestionnaire DNS. OVH n'héberge ni l'application ni les données.

## Sauvegardes et journaux

Sauvegardes quotidiennes, rétention de sept jours, chez le même hébergeur, aux Pays-Bas. Les journaux applicatifs sont structurés en JSON ; ils ne contiennent ni adresse IP, ni jeton, ni contenu de parcours.

## Obligations de Circuy

- ne traiter les données que sur instruction documentée du client, pour les finalités ci-dessus ;
- garantir la confidentialité des personnes autorisées à traiter les données ;
- assister le client pour les demandes des personnes concernées portant sur les comptes administrateurs ;
- notifier au client toute violation de données personnelles dans les meilleurs délais ;
- supprimer ou restituer les données à la fin du contrat, sous réserve des durées légales de conservation ;
- mettre à disposition les informations nécessaires pour démontrer le respect du présent contrat.

## Obligations du client

- rédiger et publier des parcours dont il assume le contenu ;
- informer ses visiteurs, dans sa propre documentation, des clés écrites localement par le SDK ;
- n'utiliser Circuy que pour le guidage de ses propres interfaces.

## Sous-traitants ultérieurs

Greenshift est l'unique sous-traitant ultérieur pour l'hébergement. Tout recours à un autre sous-traitant, y compris hors Union européenne, exigerait un avenant et une décision d'architecture explicite.