Showupro — Contrat de sous-traitance des données personnelles (DPA)

Contrat type entre le client de Showupro et TRK IMPACT, pour les données des prospects du client. Il fait partie des Conditions générales d'utilisation et de vente (article 15).

Textes de référence : règlement (UE) 2016/679 (RGPD), article 28 ; loi marocaine n° 09-08, articles 1er (définition du sous-traitant), 23 et 25 (sous-traitance, sécurité, instructions) et 43-44 (transferts).

Les parties

• Le Client, responsable du traitement : la personne ou l'entreprise titulaire d'un compte Showupro, identifiée dans son compte.
• TRK IMPACT SARL AU, sous-traitant : Lot Sahli, Lot 10 Rue J N°12, 1er étage N°1, Tanger 90000, Maroc — RC Tanger 161847 — ICE 003723191000084 — contact@trkimpact.com.

Le Client accepte ce contrat en créant son compte Showupro. Une version signée peut être demandée à contact@trkimpact.com.

Article 1 — Objet

Ce contrat fixe les conditions dans lesquelles TRK IMPACT traite, pour le compte du Client, les données personnelles des prospects du Client, afin de fournir le service Showupro (confirmations et rappels de rendez-vous par e-mail, et par WhatsApp lorsque ce canal sera en service ; suivi des présences).

Article 2 — Durée

Ce contrat s'applique pendant toute la durée d'utilisation de Showupro par le Client (essai et abonnement), puis jusqu'à la suppression ou la restitution complète des données (article 11).

Article 3 — Description du traitement

Article 4 — Instructions du Client

1. TRK IMPACT traite les données uniquement sur instruction documentée du Client. Les instructions sont : ce contrat, les Conditions générales, et les réglages faits par le Client dans Showupro (séquences, canaux, closers).
2. Si TRK IMPACT est obligé par la loi de traiter des données autrement, il en informe le Client avant le traitement, sauf si la loi l'interdit.
3. TRK IMPACT informe immédiatement le Client s'il estime qu'une instruction est contraire au RGPD, à la loi 09-08 ou à une autre règle de protection des données.
4. TRK IMPACT n'utilise jamais les données des prospects pour son propre compte : ni prospection, ni revente, ni entraînement d'un outil d'intelligence artificielle, ni profilage en dehors du score de risque demandé par le Client.

Article 5 — Confidentialité

TRK IMPACT veille à ce que toute personne autorisée à accéder aux données (aujourd'hui : le fondateur ; demain : tout salarié ou prestataire) soit soumise à une obligation de confidentialité, et ne les traite que sur instruction du Client (loi 09-08, articles 25 et 26).

Article 6 — Sécurité

TRK IMPACT met en œuvre les mesures techniques et organisationnelles décrites en annexe 1, adaptées au risque (RGPD, article 32 ; loi 09-08, article 23). Ces mesures peuvent évoluer, sans jamais baisser le niveau de protection.

Article 7 — Sous-traitants ultérieurs

1. Le Client donne une autorisation générale à TRK IMPACT de recourir aux sous-traitants ultérieurs listés en annexe 2.
2. TRK IMPACT informe le Client par e-mail au moins 30 jours avant l'ajout ou le remplacement d'un sous-traitant ultérieur. Le Client peut s'y opposer pour un motif raisonnable lié à la protection des données. Si aucune solution n'est trouvée, le Client peut cesser d'utiliser Showupro et demander la suppression de ses données.
3. TRK IMPACT impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes. Il reste responsable envers le Client de leur respect.

Article 8 — Transferts hors de l'Union européenne et du Maroc

1. Les données principales sont stockées dans l'Union européenne (Belgique). Certaines opérations ont lieu hors de l'UE et du Maroc (annexe 2).
2. Client établi dans l'Union européenne : le Maroc ne bénéficie pas d'une décision d'adéquation de la Commission européenne. L'accès de TRK IMPACT (Maroc) aux données doit donc être encadré par les clauses contractuelles types de la décision d'exécution (UE) 2021/914, module 2 (responsable du traitement vers sous-traitant), à reproduire en annexe 3. Cette annexe n'est pas encore jointe. En cas de contradiction, les clauses contractuelles types l'emportent.
3. Transferts depuis le Maroc : les transferts vers des pays qui ne figurent pas sur la liste de la CNDP (notamment les États-Unis) relèvent de l'article 44 de la loi 09-08, qui prévoit notamment une autorisation de la CNDP fondée sur des clauses contractuelles. Cette demande n'est pas encore déposée : les formalités sont en cours de préparation.
4. Les transferts vers les sous-traitants ultérieurs situés aux États-Unis reposent sur leurs propres clauses contractuelles types (constatées dans les DPA de Vercel, Resend et Google) ou sur le cadre de protection des données UE–États-Unis lorsqu'ils y adhèrent.

Article 9 — Aide au Client pour les droits des personnes

1. Showupro permet au Client de consulter et d'exporter (CSV) les rendez-vous et les données de ses prospects. La correction et la suppression d'un rendez-vous ou d'un prospect se font aujourd'hui sur demande à contact@trkimpact.com. Lorsque WhatsApp sera en service, un « STOP » bloquera tout envoi WhatsApp vers le numéro concerné.
2. Si un prospect s'adresse directement à TRK IMPACT, TRK IMPACT transmet la demande au Client sous 3 jours ouvrés et ne répond pas lui-même sur le fond, sauf instruction du Client.
3. Pour une demande d'effacement transmise par le Client, TRK IMPACT supprime les données sous 10 jours (délai de la loi 09-08, article 8, pour la rectification et l'effacement).

Article 10 — Violation de données

1. TRK IMPACT notifie au Client toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir eu connaissance, par e-mail à l'adresse du compte.
2. La notification décrit, autant que possible : la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables, les mesures prises ou proposées, et un contact. Les informations manquantes sont transmises dès qu'elles sont connues.
3. Le Client reste responsable de la notification éventuelle à l'autorité de contrôle et aux personnes concernées. Pour rappel, le RGPD (article 33) impose au responsable du traitement de notifier l'autorité dans les 72 heures si la violation présente un risque. La loi 09-08 ne contient pas, à notre lecture, d'obligation explicite de notification des violations.
4. TRK IMPACT tient un registre interne des violations.

Article 11 — Fin du contrat : suppression ou restitution

1. Le Client peut exporter ses données (CSV) tant que son compte existe.
2. Il n'existe pas aujourd'hui de suppression automatique à la fin de l'essai ou de l'abonnement (les données des prospects sont en tout état de cause effacées automatiquement 18 mois après chaque rendez-vous). TRK IMPACT supprime les données des prospects du Client à sa demande, adressée à contact@trkimpact.com, sauf obligation légale de conservation. Il n'existe pas de sauvegarde automatique des données : il n'y a donc pas de copie de sauvegarde à effacer.
3. Sur demande, TRK IMPACT confirme la suppression par écrit.

Article 12 — Documentation et audit

1. TRK IMPACT met à disposition du Client les informations nécessaires pour démontrer le respect de ce contrat (description des mesures de sécurité, liste des sous-traitants, registre des traitements effectués pour le compte du Client).
2. Le Client peut réaliser un audit, à ses frais, une fois par an au plus (sauf violation de données), avec un préavis de 30 jours, par un auditeur tenu au secret, sans accès aux données des autres clients ni aux secrets de sécurité. Un questionnaire écrit est privilégié.
3. Les audits des grands prestataires (Google, Vercel, Resend, Meta) s'exercent selon leurs propres règles (rapports de certification).

Article 13 — Aide à la conformité

TRK IMPACT aide le Client, dans la mesure du raisonnable, pour la sécurité, les analyses d'impact et la consultation de l'autorité (RGPD, articles 32 à 36), en lui donnant les informations dont il dispose.

Article 14 — Obligations du Client

Le Client :

• définit les finalités du traitement et donne des instructions licites ;
• informe ses prospects et recueille leur accord avant tout message WhatsApp, en nommant clairement son entreprise (Politique de messagerie WhatsApp Business de Meta ; voir le document « Consentement WhatsApp et désinscription ») ;
• ne choisit le réglage « Par une mention claire sur mon formulaire (j'en atteste) » que s'il peut le prouver ;
• n'utilise pas Showupro pour de la prospection sans accord (loi 09-08, article 10) ;
• accomplit ses propres formalités (par exemple la déclaration de son traitement à la CNDP s'il est établi au Maroc) ;
• ne transmet aucune donnée sensible.

Article 15 — Responsabilité

Chaque partie est responsable de ses propres manquements. Les limites de responsabilité des Conditions générales s'appliquent, sauf lorsque la loi l'interdit (notamment les droits des personnes concernées selon l'article 82 du RGPD).

Article 16 — Droit applicable

Le même droit et les mêmes juridictions que les Conditions générales (article 20), sauf pour les clauses contractuelles types de l'annexe 3, régies par le droit qu'elles désignent.

Annexe 1 — Mesures techniques et organisationnelles

État au 13/10/2026. Ce qui n'est pas encore en place est indiqué explicitement.

A. Chiffrement

• Toutes les connexions passent en HTTPS (Firebase Hosting, Vercel, API Meta, Resend). Firebase indique chiffrer les données en transit en HTTPS.
• Les données stockées dans Google Cloud (Firestore) sont chiffrées au repos par défaut par Google, selon sa documentation.
• Les secrets d'intégration du Client (jetons Calendly et Cal.com) sont stockés dans un espace privé du compte (comptes/{uid}/prive/integrations), lisible uniquement par le propriétaire du compte et par le serveur.

B. Isolement par compte et contrôle d'accès

• Authentification par Firebase Authentication (e-mail et mot de passe ; mot de passe jamais stocké en clair par TRK IMPACT).
• Règles de sécurité Firestore strictes : chaque compte ne lit que ses propres données ; un closer ne lit que ses rendez-vous ; testées avec l'émulateur Firebase avant chaque mise en ligne.
• Le navigateur ne peut ni créer ni supprimer de rendez-vous, et ne peut écrire ni les messages, ni le journal, ni l'abonnement : seul le serveur (bibliothèque firebase-admin) y écrit. Sur un rendez-vous, le navigateur ne peut modifier que la présence, l'issue de l'appel, les notes et le closer attribué.
• Droits d'accès (essai, actif, expiré) calculés côté serveur, et vérifiés avant l'envoi de chaque message de séquence à un prospect.
• Accès administrateur limité au fondateur.

C. Sécurité des webhooks et des liens

• Signature HMAC vérifiée pour chaque webhook (Calendly, Cal.com, Paddle, Meta), avec refus systématique si la signature est absente ou fausse (« échec fermé ») ; l'horodatage est contrôlé contre le rejeu pour Calendly et Paddle.
• Une URL et un secret par client pour Calendly et Cal.com : une réservation ne peut jamais être attribuée à un autre compte.
• Webhook universel (Make, Zapier, formulaires) : jeton aléatoire d'au moins 32 octets, stocké haché, révocable et régénérable depuis les réglages, sans lien avec l'identifiant du compte ; limite de débit par jeton.
• Idempotence : un même événement reçu deux fois ne crée qu'un rendez-vous (index global écrit en transaction).
• Pages prospect (confirmer, décaler, retard) accessibles par lien signé, propre au rendez-vous.

D. Fiabilité et intégrité des envois

• Verrou transactionnel par message (en_attente → en_cours) : jamais deux envois du même message.
• Revérification, juste avant l'envoi, du statut du rendez-vous, de l'accord WhatsApp et de l'absence de « STOP ».
• Échappement systématique des variables dans les e-mails (protection contre l'injection de liens trompeurs).
• Normalisation des numéros au format international (E.164).

E. Traçabilité

• Journal de chaque message (envoyé, ignoré, en échec, avec la raison), visible par le client, sans donnée d'un autre compte.
• Enregistrement de l'accord WhatsApp de chaque rendez-vous (oui ou non), avec les réponses du formulaire de réservation, et de chaque « STOP ».

F. Minimisation et conservation

• Seules les données utiles sont collectées : nom, e-mail, téléphone, fuseau, réponses du formulaire.
• Suppression automatique des données des prospects 18 mois après chaque rendez-vous (contrôle toutes les heures) ; avant ce délai, suppression sur demande.
• Données de test : uniquement fictives (noms inventés, numéros de test).

G. Organisation

• Dépendances du serveur auditées (npm audit) avant chaque mise en ligne.
• Deux relectures de sécurité menées les 12 et 13/10/2026 par des relecteurs distincts de l'auteur du code, et non par un cabinet extérieur (corrections en cours) ; vérification des règles Firestore à chaque ajout de collection.
• Pas de sauvegarde automatique des données aujourd'hui.
• Pas de surveillance automatique de l'envoi aujourd'hui : aucune alerte n'est émise si l'envoi des rappels s'arrête.
• Rotation des secrets en cas de doute et au moins une fois par an.
• Procédure de réponse à incident : identification, confinement, information du client (article 10), correction, retour d'expérience.

Annexe 2 — Sous-traitants ultérieurs autorisés

Paddle n'est pas un sous-traitant pour les données des prospects : il ne traite que les données de paiement des clients, en tant que vendeur.

Annexe 3 — Clauses contractuelles types (clients établis dans l'UE)

Cette annexe n'est pas encore jointe. Elle doit reprendre les clauses de la décision d'exécution (UE) 2021/914, module 2, avec les annexes I (parties, description du transfert), II (mesures techniques = annexe 1 ci-dessus) et III (sous-traitants = annexe 2 ci-dessus).