Contrat de sous-traitance

1. Les parties et l’objet

Le présent contrat lie le Client, qui utilise Rankscape pour son entreprise et agit comme responsable du traitement, et Romain Le Gall, EI (Studio Eklipse, SIRET 848 357 661 00034, 24 rue Michel Gricourt, 60360 Auchy-la-Montagne), éditeur de Rankscape, qui agit comme sous-traitant. Il fait partie des conditions générales de vente et s’applique dès l’inscription, pour toute la durée d’utilisation du service, période d’essai et bêta comprises.

Il encadre les données personnelles que le Client confie à Rankscape ou que Rankscape collecte pour lui : les contacts de son CRM et ce qui s’y rattache. Les données du compte du Client lui-même (son nom, son adresse, sa facturation) relèvent de la politique de confidentialité, où Rankscape est responsable du traitement.

2. Ce que Rankscape fait des données, et pour quoi

• Recevoir les demandes laissées sur les pages du Client : formulaires de ses landing pages et, s’il pose le script de capture sur son site, copies des formulaires envoyés depuis son site.
• Tenir le CRM : contacts, entreprises, affaires, notes, appels, tâches, imports et exports, fusion des doublons, désinscriptions.
• Envoyer, au nom du Client et après sa validation, les relances et les newsletters à ceux de ses contacts qui ont accepté de les recevoir (ou, pour une prospection entre professionnels, à ceux que la loi permet de solliciter sans accord préalable, voir l’article 6), et les réponses aux avis Google qu’il a approuvées.
• Transmettre un contact au CRM externe du Client (HubSpot, Pipedrive) ou à l’adresse de webhook qu’il a déclarée, seulement s’il les a branchés ; et, s’il le demande, récupérer depuis HubSpot ses contacts et ses affaires (nom, adresse e-mail, téléphone, société, titre, montant, étape) pour les tenir à jour dans le CRM de Rankscape, sans aucun consentement aux e-mails.
• Nourrir les textes rédigés pour le Client (« mémoire du terrain ») à partir des échanges consignés dans le CRM, après retrait des adresses e-mail, des numéros de téléphone, des liens, des IBAN, des adresses postales et des noms des contacts et des entreprises clientes.

Rankscape n’utilise ces données à aucune autre fin : ni prospection pour son propre compte, ni revente, ni entraînement d’un modèle d’intelligence artificielle. Il agit sur les instructions du Client, données par l’usage du service et par ses réglages ; s’il estime qu’une instruction enfreint le RGPD, il le lui signale.

3. Les données et les personnes concernées

• Personnes : prospects et clients du Client, interlocuteurs dans les entreprises clientes, visiteurs de ses pages qui laissent une demande, auteurs d’avis Google sur son établissement.
• Données : nom, adresse e-mail, téléphone, entreprise, message, champs du formulaire, provenance de la visite (paramètres de campagne, site d’origine, page), adresse IP et navigateur au moment de la demande, historique des échanges et des affaires, étiquettes et champs que le Client ajoute, preuve du consentement, désinscriptions ; pour un avis Google : nom public de l’auteur, note et texte.
• Le Client s’engage à ne pas y verser de données sensibles (santé, opinions, etc.) ni de données relatives à des mineurs.

4. Les engagements de Rankscape

• Confidentialité : seules les personnes habilitées de l’équipe Rankscape accèdent aux données, et seulement pour faire fonctionner le service. Se connecter au compte du Client pour l’aider exige son accord, donné depuis l’écran Équipe pour sept jours et refermable à tout moment ; chaque accès est inscrit à son journal.
• Sécurité : échanges chiffrés (HTTPS), jetons et secrets chiffrés au repos, mots de passe hachés, double authentification proposée, droits par rôle dans chaque entreprise, sauvegarde quotidienne de la base conservée quatorze jours et copiée hors du serveur, journal des gestes sensibles.
• Droits des personnes : le Client dispose dans Rankscape de quoi y répondre lui-même (consulter, corriger, exporter, supprimer un contact, enregistrer une désinscription, qui l’emporte toujours). Une demande reçue par Rankscape est transmise au Client sans délai.
• Violation de données : Rankscape prévient le Client dans les 48 heures après en avoir pris connaissance, avec ce qu’il sait de sa nature, de son étendue et des mesures prises, pour que le Client puisse notifier la CNIL dans les 72 heures.
• Aide : Rankscape fournit au Client les informations utiles à une analyse d’impact ou à une demande de la CNIL.
• Fin du contrat : le Client exporte ses contacts quand il veut (export CSV). À la suppression de son compte, ses données sont effacées sans délai de la base ; les sauvegardes qui les contiennent encore disparaissent au plus tard après quatorze jours sur le serveur et trente jours hors du serveur. Seules restent les données que la loi oblige à conserver.
• Contrôle : Rankscape met à la disposition du Client les informations nécessaires pour démontrer le respect de ces engagements, et répond à ses questions écrites. Un audit sur place se convient par écrit, une fois par an au plus, à la charge du Client.

5. Les sous-traitants de Rankscape

Le Client autorise Rankscape à recourir aux sous-traitants suivants, pour les seules tâches indiquées :

• Hostinger (Union européenne) : hébergement du service et de la base, e-mails d’alerte.
• Sweego (France) : acheminement des relances et des newsletters, depuis mail.rankscape.fr.
• Anthropic (États-Unis) : rédaction par le modèle Claude. Il reçoit les textes à rédiger et les extraits d’échanges anonymisés décrits plus haut, jamais le fichier des contacts, et ne s’en sert pas pour entraîner ses modèles. L’assistant du centre d’aide lui transmet aussi la question que l’utilisateur écrit, telle quelle, avec les extraits de l’aide qui y répondent : y recopier les coordonnées d’un contact les lui transmettrait. Rankscape ne conserve pas ces conversations.
• OpenAI (États-Unis) : rédaction de certains contenus (articles, posts, newsletters, guides, relances) par ses modèles GPT, et mesure de la visibilité dans ChatGPT. Il reçoit les textes à rédiger et les extraits d’échanges anonymisés décrits plus haut, ainsi que les questions d’acheteurs que le Client suit, jamais le fichier des contacts, et ne s’en sert pas pour entraîner ses modèles.
• Sentry (États-Unis) : suivi des erreurs techniques, réglé pour ne pas transmettre de données identifiantes.
• Laravel Nightwatch (Laravel Holdings, données conservées dans l’Union européenne) : mesure des performances et des erreurs du service. Il reçoit l’identifiant technique du compte, jamais son nom, son adresse ni le contenu des formulaires.

Chacun est tenu par écrit à des obligations équivalentes. Rankscape prévient le Client trente jours avant tout ajout ou remplacement, par e-mail et sur cette page ; le Client peut s’y opposer et, à défaut d’accord, résilier sans frais. Les transferts vers les États-Unis reposent sur les clauses contractuelles types de la Commission européenne.

Google, LinkedIn, Meta, HubSpot et Pipedrive ne sont pas des sous-traitants de Rankscape : ce sont les services du Client, auxquels Rankscape transmet ce qu’il lui demande de publier ou de synchroniser.

6. Les engagements du Client

• Disposer d’une base légale pour chaque contact qu’il importe, saisit ou collecte, et informer les personnes (article 13 du RGPD). Les formulaires des landing pages Rankscape affichent cette information ; les formulaires de son propre site, sur lesquels il pose le script de capture, la portent sous sa responsabilité, en mentionnant Rankscape comme destinataire.
• Déclarer dans la politique de cookies de son site les deux mémoires que le script de capture n’écrit qu’avec l’accord du visiteur (rk_attribution et rk_seen, mesure d’audience, 90 jours).
• N’envoyer relances et newsletters qu’aux personnes qui l’ont accepté ; Rankscape les réserve d’office aux contacts dont le consentement est enregistré et qui ne se sont pas désinscrits, et un contact importé n’a jamais de consentement.
• Pour une prospection entre professionnels (scénario « Prospection B2B »), seule exception au consentement : n’écrire que sur un sujet en rapport avec la profession du destinataire, et l’avoir informé, au moment où ses coordonnées ont été recueillies, de leur usage commercial. Rankscape réserve d’office ce scénario aux contacts rattachés à une entreprise cliente, à une adresse professionnelle (jamais une messagerie grand public), jamais désinscrits, pour un Client qui vend à des professionnels, deux cents contacts au plus par relance, et chaque e-mail porte un lien de désinscription.
• Ne pas garder un contact plus longtemps qu’utile : Rankscape supprime d’office ceux sans échange depuis trois ans.

7. Contact

Pour toute question sur ce contrat ou sur une donnée : bonjour@rankscape.fr. Une version signée peut être fournie sur demande.