Accord de traitement des données

CONTRAT DE SOUS-TRAITANCE

conformément à l'article 28 du règlement (UE) 2016/679 (RGPD)

JAAN BV – tous les services (hébergement web, VPS et serveurs dédiés, Smsbox, 2mail, développement sur mesure)

Version : 2.6 – 27 octobre 2026

Sous-traitant : JAAN BV (Jaan Internet Solutions), siège social Zelzatestraat 61, 9960 Assenede, Belgique – KBO 0894.248.245 – privacy@jaan.be – 09 328 03 83

Responsable du traitement : le Client, tel qu'identifié dans le Contrat principal, la commande ou le compte client.

Article 1 – Champ d'application et ordre de priorité

1.1 Le présent Contrat de sous-traitance fait partie intégrante de tout contrat conclu entre JAAN BV et le Client pour la fourniture de Services (le « Contrat principal »), y compris les conditions générales, les commandes et les descriptions de services de JAAN BV.

1.2 Il s'applique à tout traitement de Données à caractère personnel du Client par JAAN BV en tant que sous-traitant dans le cadre des Services, quel que soit le Service souscrit par le Client. L'Annexe A décrit le traitement par Service.

1.3 En cas de contradiction entre le présent Contrat de sous-traitance et le Contrat principal, le présent Contrat de sous-traitance prévaut en ce qui concerne le traitement des Données à caractère personnel. Si les parties ont signé les clauses contractuelles types de la décision d'exécution (UE) 2021/915, ces clauses prévalent et les Annexes du présent document valent comme complément des Annexes II à IV de celles-ci.

Article 2 – Définitions

2.1 « Services » : les services que JAAN BV fournit au Client, notamment l'hébergement web, les serveurs virtuels (VPS) et les serveurs dédiés, les services de messagerie Smsbox (SMS, WhatsApp Business et messages vocaux par synthèse vocale – text-to-speech), les services e-mail 2mail (e-mail marketing et relais SMTP) et le développement sur mesure.

2.2 « Données à caractère personnel du Client » : toutes les données à caractère personnel que JAAN BV traite pour le compte du Client afin de fournir les Services.

2.3 « Sous-traitant ultérieur » : tout tiers auquel JAAN BV fait appel pour traiter des Données à caractère personnel du Client aux fins de la fourniture des Services.

2.4 « Service de transmission » : tout service d'un opérateur télécom, d'un agrégateur SMS, d'une plateforme de messagerie d'un tiers ou d'un serveur de messagerie destinataire qui sert exclusivement à acheminer des messages vers ou depuis le destinataire. Les fournisseurs de Services de transmission ne sont des Sous-traitants ultérieurs ni de JAAN BV ni du Client (voir l'article 7.6 et l'Annexe D).

2.5 « Violation de données » : une violation de données à caractère personnel au sens de l'article 4, point 12), du RGPD.

2.6 Les notions telles que « responsable du traitement », « sous-traitant », « personne concernée », « traitement » et « autorité de contrôle » ont la signification que leur donne le RGPD.

Article 3 – Rôles des parties

3.1 Le Client est responsable du traitement des Données à caractère personnel du Client ; JAAN BV est sous-traitant. Si le Client agit lui-même en tant que sous-traitant pour le compte d'un tiers, JAAN BV est sous-traitant ultérieur et le Client garantit que son propre contrat de sous-traitance autorise le recours à JAAN BV.

3.2 JAAN BV est responsable du traitement à titre autonome pour les données qu'elle traite aux fins de la gestion de la relation client : données de compte, personnes de contact, facturation, support, sécurité et prévention de la fraude sur sa propre infrastructure, ainsi que respect des obligations légales. Ce traitement relève de la déclaration de confidentialité de JAAN BV.

3.3 Le Client garantit qu'il dispose d'une base juridique pour le traitement, qu'il informe correctement les personnes concernées et qu'il ne fait pas traiter par JAAN BV de données contraires à la loi, à la fair use policy ou aux conditions spécifiques de JAAN BV. Pour les messages commerciaux envoyés via Smsbox ou 2mail, le Client dispose du consentement requis des destinataires et en fournit la preuve à la demande de JAAN BV.

Article 4 – Instructions

4.1 JAAN BV traite les Données à caractère personnel du Client exclusivement sur instruction documentée du Client et aux fins de la fourniture des Services. Le Contrat principal, le présent Contrat de sous-traitance, la configuration des Services par le Client (panneau de contrôle, API, paramètres) et les demandes de support écrites valent instructions.

4.2 Si JAAN BV estime qu'une instruction est contraire au RGPD ou à une autre législation applicable, elle en informe immédiatement le Client et peut en suspendre l'exécution jusqu'à ce que l'instruction soit adaptée.

4.3 Si JAAN BV est légalement tenue de procéder à un traitement, elle informe préalablement le Client de cette obligation, sauf si la loi l'interdit pour des motifs importants d'intérêt public.

Article 5 – Confidentialité

5.1 L'obligation de confidentialité prévue à l'article 14 des conditions générales de JAAN BV s'applique. JAAN BV veille à ce que seuls les collaborateurs dûment autorisés aient accès aux Données à caractère personnel du Client, dans la mesure nécessaire à la fourniture des Services, et à ce qu'ils soient tenus par une obligation de confidentialité contractuelle ou légale.

Article 6 – Sécurité

6.1 JAAN BV prend des mesures techniques et organisationnelles appropriées au sens de l'article 32 du RGPD, telles que décrites à l'Annexe B. JAAN BV peut adapter ces mesures, à condition que le niveau de sécurité ne diminue pas.

6.2 Le Client reste responsable de la sécurité de son côté : la gestion de ses mots de passe, clés API et utilisateurs, la sécurité des logiciels et des données qu'il place sur un compte d'hébergement, un VPS ou un serveur dédié (en cas de gestion managed : les applications et les données au-dessus du système d'exploitation), ainsi que le choix d'envoyer ou non des données sensibles via les Services.

Article 7 – Sous-traitants ultérieurs

7.1 Le Client accorde à JAAN BV une autorisation écrite générale de faire appel à des Sous-traitants ultérieurs. Les Sous-traitants ultérieurs utilisés lors de la conclusion du présent Contrat de sous-traitance sont repris par Service à l'Annexe C.

7.2 JAAN BV informe le Client au moins trente (30) jours à l'avance, par e-mail à l'adresse de contact enregistrée auprès de JAAN BV, de l'ajout ou du remplacement d'un Sous-traitant ultérieur. La liste à jour figure toujours à l'Annexe C du présent Contrat de sous-traitance.

7.3 Le Client peut, dans les dix (10) jours ouvrables suivant cette notification, formuler une objection pour des motifs raisonnables et justifiés. Les parties recherchent alors de bonne foi une solution. À défaut, le Client peut résilier la partie concernée des Services sans indemnité de rupture.

7.4 JAAN BV impose par écrit à chaque Sous-traitant ultérieur des obligations au moins équivalentes à celles du présent Contrat de sous-traitance et demeure pleinement responsable envers le Client de l'exécution par ses Sous-traitants ultérieurs.

7.5 Les fournisseurs de logiciels dont JAAN BV revend ou utilise des licences (tels que Microsoft SPLA) ne traitent pas de Données à caractère personnel du Client et ne sont pas des Sous-traitants ultérieurs.

7.6 Les fournisseurs de Services de transmission ne sont pas des Sous-traitants ultérieurs. Ils se bornent à acheminer le contenu d'un message vers le réseau ou la boîte mail du destinataire, sans traitement de son contenu, et sont tenus par le secret des télécommunications ou agissent en tant que responsables du traitement autonomes pour leur propre réseau. JAAN BV choisit et modifie librement ces fournisseurs en fonction de la destination, de la disponibilité et de la qualité de remise ; les routes utilisées relèvent des secrets d'affaires de JAAN BV et ne sont pas communiquées. L'Annexe D apporte des précisions à ce sujet.

Article 8 – Transfert hors de l'EEE

8.1 JAAN BV traite les Données à caractère personnel du Client en Belgique. Elle ne transfère aucune Donnée à caractère personnel du Client vers des pays situés en dehors de l'Espace économique européen, sauf lorsque l'Annexe C le mentionne pour un Service spécifique et moyennant les garanties appropriées qui y sont indiquées (décision d'adéquation, EU-U.S. Data Privacy Framework ou clauses contractuelles types).

8.2 Le Client reconnaît que le destinataire d'un message peut se trouver en dehors de l'EEE et que la remise de ce message implique dans ce cas un transfert dont le Client, en tant que responsable du traitement, détermine la base juridique.

Article 9 – Assistance concernant les droits des personnes concernées

9.1 JAAN BV aide le Client, compte tenu de la nature du traitement, à donner suite aux demandes des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition). Le Client peut traiter lui-même la plupart des demandes via le panneau de contrôle ou l'API du Service ; pour le surplus, JAAN BV lui prête assistance dans les dix (10) jours ouvrables suivant la demande.

9.2 Si JAAN BV reçoit directement d'une personne concernée une demande relative à des Données à caractère personnel du Client, elle la transmet au Client sans retard injustifié et n'y répond pas elle-même, sauf si le Client le demande.

Article 10 – Violations de données

10.1 JAAN BV notifie toute Violation de données affectant des Données à caractère personnel du Client sans retard injustifié et au plus tard dans les vingt-quatre (24) heures après en avoir pris connaissance, par e-mail à l'adresse de contact du Client enregistrée auprès de JAAN BV.

10.2 La notification contient, dans la mesure où ces éléments sont connus : la nature de la Violation de données, les catégories et le nombre approximatif de personnes concernées et de données concernées, les conséquences probables, les mesures prises ou proposées et un point de contact. Les informations qui ne sont pas encore disponibles sont communiquées ultérieurement de manière échelonnée.

10.3 JAAN BV ne notifie pas elle-même une Violation de données à l'autorité de contrôle ou aux personnes concernées au nom du Client, sauf si le Client le demande par écrit ou si la loi l'y oblige.

Article 11 – Analyse d'impact relative à la protection des données

11.1 JAAN BV prête au Client, sur demande, une assistance raisonnable lors d'une analyse d'impact relative à la protection des données (AIPD/DPIA) et d'une éventuelle consultation préalable de l'autorité de contrôle, dans la mesure où celles-ci portent sur les Services et sur la base des informations dont JAAN BV dispose.

Article 12 – Information et audit

12.1 JAAN BV met à la disposition du Client, sur demande, toutes les informations raisonnablement nécessaires pour démontrer le respect de l'article 28 du RGPD et du présent Contrat de sous-traitance, y compris la description des mesures figurant à l'Annexe B et, le cas échéant, des certificats ou rapports d'audit de tiers.

12.2 Si ces informations ne suffisent raisonnablement pas, le Client, ou un auditeur indépendant désigné par lui et tenu au secret, peut réaliser un audit au maximum une fois par an, moyennant une notification écrite préalable d'au moins trente (30) jours, pendant les heures de bureau et sans perturber la prestation de services aux autres clients ni accéder à leurs données. En cas de suspicion de Violation de données ou sur injonction de l'autorité de contrôle, un délai plus court s'applique.

12.3 Chaque partie supporte ses propres frais. Si l'audit requiert plus d'un jour ouvrable de la part de JAAN BV, JAAN BV peut facturer le temps supplémentaire à son tarif horaire habituel, sauf si l'audit révèle un manquement de JAAN BV.

Article 13 – Restitution et effacement

13.1 Pendant la durée du contrat, le Client peut à tout moment exporter lui-même ses données via le Service (sauvegardes, dumps de bases de données, exportations de listes de contacts et de journaux de messages) ou demander une exportation au tarif en vigueur.

13.2 Après la fin du Contrat principal, ou du Service concerné, JAAN BV efface toutes les Données à caractère personnel du Client, y compris les sauvegardes selon leur rotation normale, dans un délai de quatre-vingt-dix (90) jours, sauf si le Client en demande la restitution par écrit avant cette date ou si une obligation légale de conservation s'applique. Sur demande, JAAN BV confirme l'effacement par écrit.

Article 14 – Responsabilité

14.1 Le régime de responsabilité du Contrat principal s'applique au présent Contrat de sous-traitance, sans préjudice de l'article 82 du RGPD et des dispositions impératives du RGPD auxquelles il ne peut être dérogé contractuellement.

Article 15 – Durée

15.1 Le présent Contrat de sous-traitance s'applique aussi longtemps que JAAN BV traite des Données à caractère personnel du Client et prend fin automatiquement après l'effacement ou la restitution visés à l'article 13.

Article 16 – Droit applicable et juridiction compétente

16.1 Le présent Contrat de sous-traitance est régi par le droit belge. Les tribunaux de l'arrondissement de Flandre orientale, division de Gand, sont exclusivement compétents, sans préjudice du droit du Client et des personnes concernées d'introduire une réclamation auprès de l'Autorité de protection des données (APD).

Annexe A – Description du traitement par Service

Commun à tous les Services : la durée du traitement correspond à la durée du Contrat principal, augmentée du délai d'effacement prévu à l'article 13 ; le traitement comprend le stockage, la transmission, la sauvegarde et la gestion technique ; aucune catégorie particulière de données à caractère personnel n'est attendue, sauf si le Client en traite lui-même via le Service, auquel cas il en assume lui-même la responsabilité.

Annexe B – Mesures techniques et organisationnelles

B.1 Généralités (tous les Services)

• Sites : tous les systèmes se trouvent en Belgique, dans le LCL Datacenter à Diegem et dans le datacenter de JAAN BV à Zelzate. Le datacenter de JAAN BV à Zelzate est sécurisé par un contrôle d'accès limité au personnel autorisé, une vidéosurveillance et un système d'alarme. Le LCL Datacenter à Diegem est un centre de colocation professionnel doté d'une surveillance 24/7, d'un contrôle d'accès, d'une protection incendie ainsi que d'une alimentation électrique et d'un refroidissement redondants.
• Réseau : pare-feu au niveau de l'infrastructure et de l'hyperviseur ; isolation réseau entre les environnements clients (Proxmox VE) ; trafic d'administration séparé du trafic client ; trafic vers et depuis les Services chiffré par TLS.
• Gestion des accès : comptes personnels avec des droits minimaux ; accès d'administration exclusivement via VPN et clés SSH ; révision périodique des droits d'accès ; retrait immédiat en cas de départ d'un collaborateur ; monitoring antifraude et anti-abus continu sur la passerelle Smsbox avec blocage des accès suspects.
• Continuité : bases de données en réplication master-master sur deux sites ; sauvegardes quotidiennes avec un délai de conservation de quatorze (14) jours sur un serveur de sauvegarde distinct.
• Gestion des correctifs : les mises à jour de sécurité des systèmes d'exploitation et des logiciels de plateforme sont appliquées chaque semaine ; les vulnérabilités critiques immédiatement dès qu'un correctif est disponible.
• Journalisation et monitoring : les journaux système, d'accès et d'application sont limités, par application, à ce qui est nécessaire pour la sécurité, le dépannage et les obligations légales (voir l'Annexe E) ; monitoring de la disponibilité et des comportements anormaux.
• Malware et spam : filtrage antivirus et antispam sur l'infrastructure de messagerie ; prévention automatisée des intrusions au moyen d'un pare-feu, de fail2ban et de la détection de fraude ; JAAN BV met en œuvre tous les moyens raisonnables pour assurer une sécurité maximale de son infrastructure et, pour des raisons de sécurité, ne rend pas publics les moyens de détection concrets.
• Personnel : obligation de confidentialité dans les contrats de travail et de prestation de services ; principe du besoin d'en connaître (need-to-know).
• Gestion des incidents : procédure documentée pour la détection, la limitation et la notification des incidents de sécurité (voir l'article 10) ; les incidents significatifs sont notifiés au Centre pour la Cybersécurité Belgique conformément à la loi NIS2 du 26 avril 2024 ; mécanisme de signalement des contenus illicites conformément au règlement sur les services numériques (Digital Services Act).
• Effacement : effacement sécurisé des supports de données lors de leur mise hors service ; effacement des données des clients conformément à l'article 13.

B.2 Hébergement web

• Séparation des comptes clients au niveau du système d'exploitation et du serveur web (comptes SiteWorx avec utilisateur propre).
• Trafic e-mail sécurisé par TLS, prise en charge de SPF/DKIM/DMARC ; détection automatisée de malware et de scripts malveillants dans les comptes clients, avec notification au Client en cas de constatation.

B.3 VPS et serveurs dédiés

• VPS : isolation complète des machines virtuelles sur l'hyperviseur. Serveur dédié : serveur physique exclusivement réservé au Client, dans le datacenter de JAAN BV.
• Unmanaged : le Client gère lui-même le système d'exploitation et les données et est responsable de la sécurité au sein du VPS.
• Managed : JAAN BV gère le système d'exploitation selon les mesures du point B.1 (mises à jour de sécurité hebdomadaires, pare-feu, fail2ban, monitoring, accès d'administration via VPN et clés SSH). L'accès d'administration est utilisé uniquement pour la maintenance, la sécurité et le support à la demande du Client ; le Client reste responsable de ses applications et de ses données.
• Les sauvegardes du serveur complet (quotidiennes ou hebdomadaires, sur un serveur de sauvegarde distinct) et, pour les VPS, les snapshots de disque (1× ou 2× par jour, sur l'hyperviseur) sont des options distinctes pour les serveurs managed et unmanaged ; les quatre (4) dernières versions sont chaque fois conservées. Sans ces options, le Client assure lui-même ses sauvegardes.

B.4 Smsbox

• Connexion au moyen de comptes personnels ; prise en charge des passkeys/WebAuthn ; sessions sécurisées ; accès API au moyen de clés par compte.
• Content Security Policy avec nonces ; toutes les connexions via HTTPS.
• Messages vocaux : uniquement sortants, générés à partir du texte au moment de l'envoi ; aucun enregistrement audio du destinataire n'est réalisé et aucun fichier audio n'est conservé ; seuls le texte, le numéro et le statut de l'appel sont conservés, selon le même délai que les SMS.
• La désinscription par STOP n'est possible que lorsque le Client a activé la possibilité de réponse ; l'envoi s'effectue alors via le shortcode 8676 (Belgique) loué par JAAN BV et les réponses STOP sont automatiquement placées sur une liste de blocage par compte. Dans tous les autres cas, les demandes STOP sont traitées et gérées par l'opérateur mobile du destinataire lui-même, pour autant que celui-ci le permette ; ces listes ne sont pas accessibles à JAAN BV. Le Client prévoit en outre lui-même une possibilité de désinscription dans ses messages. Minimisation des données : seuls le numéro, le contenu, le statut et l'horodatage sont conservés.
• Le contenu des messages, les rapports de remise et les journaux associés sont conservés treize (13) mois, puis automatiquement effacés ou anonymisés (voir l'Annexe E) ; la conservation auprès des Services de transmission est fixée au plus court possible.

B.5 2mail

• Envoi via l'infrastructure Postfix propre de JAAN BV avec TLS ; limitation du débit par domaine (rate limiting) et montée en charge progressive des IP (IP warm-up) ; SPF, DKIM et DMARC.
• Traitement automatique des bounces et des plaintes ; les désinscriptions sont immédiatement placées sur une liste de blocage synchronisée vers les serveurs de messagerie.
• Les données de suivi (ouvertures, clics) sont conservées conformément à l'Annexe E ; les listes de contacts sont effacées dès que le Client les supprime ou conformément à l'article 13.

Annexe C – Sous-traitants ultérieurs

Cette liste reprend les Sous-traitants ultérieurs au sens de l'article 2.3. Les fournisseurs de Services de transmission (articles 2.4 et 7.6) et les concédants de licences logicielles (article 7.5) n'y figurent pas. Cette liste constitue une information commerciale confidentielle et ne peut être utilisée que pour le respect du RGPD par le Client.

Les fournisseurs de connectivité des datacenters (Destiny, Telenet) fournissent exclusivement le transport internet et ne sont pas des Sous-traitants ultérieurs. Google Analytics est utilisé uniquement sur les sites web publics de JAAN BV, pour lesquels JAAN BV est elle-même responsable du traitement, et non dans les portails clients. Dernière mise à jour : 24 octobre 2026.

Annexe D – Explication concernant les Services de transmission

Pourquoi les opérateurs télécoms, les agrégateurs SMS et les serveurs de messagerie destinataires ne figurent-ils pas sur la liste des Sous-traitants ultérieurs ?

Un message que le Client envoie via Smsbox ou 2mail doit être physiquement remis sur le réseau mobile ou dans la boîte mail du destinataire. Pour ce faire, le message transite par des réseaux de tiers : les opérateurs télécoms et leurs agrégateurs pour les SMS, la plateforme de Meta pour WhatsApp, et le serveur de messagerie du destinataire (par exemple Microsoft, Google ou le serveur de messagerie propre d'une entreprise) pour les e-mails.

Ces parties ne traitent pas le contenu du message pour le compte du Client. Elles se bornent à l'acheminer, comme la poste distribue une lettre. Les opérateurs télécoms sont en outre tenus par le secret des télécommunications et ne peuvent pas consulter le contenu. Les serveurs de messagerie destinataires sont gérés par le destinataire ou par son propre fournisseur, en dehors de toute instruction du Client ou de JAAN BV. Ils agissent dès lors en tant que simple intermédiaire de transmission ou en tant que responsable du traitement autonome pour leur propre réseau, et non en tant que sous-traitant ou sous-traitant ultérieur au sens de l'article 28 du RGPD. Cette approche est courante dans le secteur des services de communication.

Meta (WhatsApp Business Platform) constitue une exception : Meta conserve et traite les messages sur sa plateforme pour le compte de l'utilisateur professionnel et est donc bien mentionnée comme Sous-traitant ultérieur à l'Annexe C.

Le choix des routes de transmission par destination est un secret d'affaires de JAAN BV et ne fait pas partie des informations fournies au titre du présent Contrat de sous-traitance. JAAN BV garantit que chaque fournisseur utilisé est tenu par le secret des télécommunications ou par des obligations contractuelles de confidentialité, et que les messages destinés à des destinataires situés dans l'EEE sont remis via des fournisseurs établis dans l'EEE.

Annexe E – Délais de conservation

Ces délais s'appliquent aux Données à caractère personnel du Client pendant la durée du contrat. Après la fin du Service, l'article 13 s'applique (effacement dans les 90 jours). Les mêmes délais figurent sur jaan.be/data-retentie.