Accord de sous-traitance

Version du 20 octobre 2026 · article 28 du RGPD

À quoi sert cette page. Quand vous enregistrez une commande dans Labo, vous y mettez le nom, le téléphone et parfois l’adresse de courriel de votre client. Ces données sont les vôtres : vous en êtes le responsable, et Labo n’est que l’outil qui les garde pour vous. Le RGPD exige qu’un contrat écrit le dise. C’est cette page, et elle s’applique automatiquement à tout laboratoire abonné, sans démarche de votre part.

Accord conclu entre :

le laboratoire abonné, désigné ci-après le responsable de traitement : l’entreprise au nom de laquelle le laboratoire a été créé dans Labo ;
Amine El Makoudi — EI, éditeur de Labo, SIRET 130 444 961 00010, désigné ci-après le sous-traitant.

Il complète les conditions générales de vente et les conditions générales d’utilisation, et prévaut sur elles pour tout ce qui concerne le traitement de données personnelles pour le compte du responsable de traitement.

1. Objet, nature et durée

Le sous-traitant héberge et fait fonctionner Labo. À ce titre il traite, pour le compte du responsable de traitement et sur ses seules instructions, les données personnelles que celui-ci saisit au sujet de ses propres clients et de ses fournisseurs.

Nature des opérations : collecte par saisie dans l’application, enregistrement, conservation, affichage, mise en forme dans des documents imprimables, transmission entre les appareils des membres du laboratoire, effacement.

Finalité : uniquement permettre au laboratoire de gérer sa production et ses commandes. Rien d’autre.

Durée : celle de l’abonnement, prolongée de la période de conservation en lecture seule décrite à l’article 7.

2. Données et personnes concernées

Catégories de personnes	Données traitées
Clients du laboratoire (commandes)	nom, numéro de téléphone, adresse de courriel, contenu et date de la commande, note de l’atelier, montant et moyen de paiement déclaré
Contacts fournisseurs	nom ou raison sociale du fournisseur, tels que saisis
Membres de l’équipe, pour la part qui relève du laboratoire	fonction attribuée dans le laboratoire, appartenance à l’équipe

Aucune donnée dite sensible (santé, religion, origine, opinions, orientation sexuelle, biométrie) n’est demandée par l’application, et il ne doit pas en être saisi. Aucune donnée de carte bancaire n’est traitée : le paiement d’un client du laboratoire n’est pas encaissé par Labo, seul le moyen déclaré est noté.

Les données du compte personnel d’un membre (son nom, son adresse de courriel, son mot de passe) ne relèvent pas de cet accord : le sous-traitant en est le responsable de traitement, comme l’explique la page Confidentialité.

3. Obligations du sous-traitant

Le sous-traitant s’engage à :

n’agir que sur instruction du responsable de traitement, les instructions étant données par l’usage même de l’application ; il n’utilise ces données à aucune fin propre, ne les revend pas, ne les exploite ni pour de la publicité, ni pour entraîner un modèle d’intelligence artificielle ;
garantir la confidentialité : il est aujourd’hui la seule personne à pouvoir accéder techniquement à la base, et n’y accède que pour maintenir le service, répondre à une demande d’assistance ou satisfaire à une obligation légale. Toute personne qui travaillerait demain sur Labo serait tenue au même engagement écrit ;
assurer la sécurité des traitements au sens de l’article 32 du RGPD — les mesures en place sont énumérées à l’article 6 ;
aider le responsable de traitement à répondre aux demandes des personnes concernées (accès, rectification, effacement, portabilité, opposition, limitation) dans un délai de dix jours ouvrés à compter de la demande ;
l’aider également à satisfaire à ses obligations des articles 32 à 36 : sécurité, notification de violation, analyse d’impact, consultation préalable ;
informer le responsable de traitement si une instruction lui paraît contraire au RGPD ;
tenir à jour la liste de ses propres sous-traitants (article 5) et le registre de ses traitements.

4. Violation de données

Le sous-traitant notifie au responsable de traitement toute violation de données personnelles dans les 48 heures après en avoir pris connaissance, par courriel à l’adresse du chef du laboratoire. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises.

Il appartient au responsable de traitement de notifier la CNIL dans les 72 heures lorsque c’est requis ; le sous-traitant lui fournit tout élément nécessaire. La marche à suivre est écrite et tenue à jour par l’éditeur.

5. Sous-traitants ultérieurs

Le responsable de traitement autorise le sous-traitant à recourir aux prestataires suivants, à la seule fin de faire fonctionner le service :

Prestataire	Rôle	Lieu	Garantie de transfert
Supabase, Inc.	base de données, authentification	Londres (Royaume-Uni)	décision d’adéquation du 28 juin 2021 (Royaume-Uni) + clauses contractuelles types
Cloudflare, Inc.	service des pages, noms de domaine	réseau mondial ; société aux États-Unis	EU-US Data Privacy Framework ; à défaut, clauses contractuelles types
Resend (Plus Five Five, Inc.)	envoi des messages du service	États-Unis	clauses contractuelles types
Stripe Payments Europe, Ltd.	paiement de l’abonnement du laboratoire	Irlande	Union européenne — aucun transfert
Anthropic PBC	lecture d’un document importé, à votre demande	États-Unis	clauses contractuelles types ; aucune conservation pour entraînement
Apple Distribution International Ltd. (iCloud)	copies de sauvegarde de la base, déposées dans l’iCloud Drive de l’éditeur	société en Irlande ; stockage pouvant se situer hors de l’Union européenne	clauses contractuelles types
OVH SAS	boîte de courriel contact@labo-pro.com : assistance, remise d’une copie des données sur demande	France	Union européenne — aucun transfert

Le sous-traitant informe le responsable de traitement de tout changement dans cette liste, par courriel et par la mise à jour de cette page, trente jours avant qu’il prenne effet. Le responsable de traitement peut s’y opposer ; à défaut d’accord, il peut résilier son abonnement sans frais et obtenir le remboursement de la période non courue.

6. Mesures de sécurité

Les mesures en place, vérifiées lors de l’audit du 3 octobre 2026 :

cloisonnement par laboratoire appliqué par la base de données elle-même : un laboratoire ne peut pas lire ni écrire les données d’un autre, même en contournant l’application ;
droits par fonction vérifiés à chaque requête, et non une fois pour toutes dans un jeton : retirer une personne de l’équipe lui coupe l’accès immédiatement ;
chiffrement des échanges (HTTPS, HSTS) et des données au repos ; mots de passe hachés à sens unique (bcrypt), jamais lisibles ;
en-têtes de sécurité sur le site : politique de sécurité du contenu stricte, mise en cadre interdite, aucun script ni police chargés depuis un domaine tiers ;
bornes sur la taille et le nombre des requêtes, pour qu’un laboratoire ne puisse pas dégrader le service des autres ;
sauvegardes : photographie quotidienne de chaque module conservée quatorze jours dans la base ; une copie quotidienne de la base déposée dans l’iCloud Drive de l’éditeur, et des copies prises sur son ordinateur, au disque chiffré, avant une intervention sur la base. Aucune de ces copies n’est gardée plus de trente jours ;
veille quotidienne automatique qui prévient l’éditeur par courriel en cas d’anomalie, y compris une perte anormale de données.

7. Fin du contrat — sort des données

À la fin de l’abonnement, le laboratoire passe en lecture seule et ses données sont conservées douze mois, afin que le responsable de traitement puisse les récupérer ou reprendre son abonnement. Deux messages de prévenance sont envoyés au chef, un mois puis quinze jours avant l’effacement.

Au terme de ce délai, ou immédiatement sur demande écrite du responsable de traitement, les données sont effacées définitivement de la base, puis des sauvegardes au fil de leur rotation : quatorze jours pour les photographies internes, trente jours au plus pour les autres copies, auxquels s’ajoutent les trente jours que la corbeille d’iCloud garde ce qu’on y efface avant de le supprimer d’elle-même. Une copie de vos données remise par courriel n’est pas gardée dans la boîte de l’éditeur. Aucune autre copie n’est conservée.

Le responsable de traitement peut à tout moment, et sans frais, obtenir une copie de ses données dans un format lisible par machine, en écrivant à contact@labo-pro.com. Les documents (fiches, recettes, étiquettes, bons) s’exportent eux-mêmes en PDF depuis l’application.

8. Contrôle

Le sous-traitant met à la disposition du responsable de traitement toute information nécessaire pour démontrer le respect de cet accord, et se soumet à un audit documentaire sur demande écrite, une fois par an, avec un préavis de trente jours. L’audit ne peut porter sur les données d’un autre laboratoire.

9. Responsable de traitement — vos obligations

Il appartient au laboratoire abonné :

d’informer ses propres clients de ce qu’il enregistre à leur sujet et pourquoi ;
de ne saisir que les données nécessaires à la commande ;
de disposer d’une base légale pour ce traitement — pour une commande, l’exécution du contrat suffit ;
de répondre aux demandes de ses clients, avec l’aide prévue à l’article 3 ;
de tenir son propre registre des traitements.

10. Contact

Pour toute question relative à cet accord, à une demande de droits ou à une violation de données : contact@labo-pro.com. Autorité de contrôle : la CNIL (cnil.fr).