Mis à jour le 5 octobre 2026

Accord de sous-traitance (DPA)

Version applicable à la période de bêta privée.

Le présent accord de sous-traitance (« DPA ») est conclu, conformément à l'article 28 du RGPD, entre le Client, responsable de traitement de la mesure d'audience et, le cas échéant, de l'analyse SEO de ses sites, et Alexandre Ribes EI (La Boîte à Code), éditeur de Quiet Metrics, agissant en qualité de sous-traitant (voir mentions légales).

1. Objet, durée, nature et finalité du traitement

Le sous-traitant réalise, pour le compte du Client, la mesure d'audience sans cookie d'identification ni de traçabilité des sites que le Client déclare dans son compte : collecte des hits, calcul d'empreintes pseudonymes éphémères, sessionisation, agrégation statistique, restitution (tableaux de bord, API, rapports, exports). Le traitement dure aussi longtemps que l'abonnement du Client, réversibilité comprise (§ 9).

Lorsque le Client autorise l'analyse SEO d'un site en y publiant la preuve de possession prévue à l'article 5 bis des CGU, le sous-traitant visite en outre les pages publiques de ce site au moyen de son robot, QuietMetricsBot, pour en relever les caractéristiques techniques de référencement, les croiser avec la mesure d'audience et les restituer au Client (tableaux de bord, rapports, serveur MCP).

2. Données traitées et personnes concernées

Personnes concernées : les visiteurs des sites du Client et, pour l'analyse SEO, les personnes dont le Client publie lui-même des données sur les pages publiques de ses sites (voir ci-dessous).

Le Client s'engage à ne pas transmettre de données directement identifiantes ou sensibles dans les événements personnalisés (CGU, art. 4). Le service ne permet pas de suivi inter-sites ni inter-jours des visiteurs.

Stockage terminal. Les outils de collecte n'écrivent sur l'appareil du visiteur aucun identifiant, ni aucune valeur permettant de le reconnaître d'une visite à l'autre. Deux valeurs, et deux seulement, peuvent y être écrites :

• le marqueur d'exclusion qm_ignore, écrit à la demande expresse du visiteur et pour faire cesser la mesure : cookie propriétaire du site du Client doublé d'une entrée de stockage local, d'une durée de 5 ans. Il n'est jamais transmis au sous-traitant et n'est traité par lui d'aucune manière ;
• le cookie de continuité de visite qm_visit, écrit par la mesure afin qu'un changement de réseau survenu pendant une visite ne fasse pas compter deux fois la même personne : cookie propriétaire du site du Client, d'une durée glissante de 10 minutes, sans doublure dans le stockage local. Sa seule présence, et jamais son contenu, est signalée au sous-traitant pour rattacher la page vue à la visite en cours. Il n'est pas écrit chez un visiteur porteur du marqueur d'exclusion, la mesure étant alors interrompue avant toute écriture.

Aucune de ces deux valeurs ne contient d'identifiant, leur contenu étant le même chez tous les visiteurs. Le Client, responsable du terminal des visiteurs de son site, en trouve la description complète dans la politique de cookies.

Analyse SEO. Elle ne vise pas les visiteurs : le robot ne lit que les pages publiques du site, accessibles sans authentification, et n'y soumet aucun formulaire. Seules peuvent être concernées, incidemment, les personnes dont le Client publie lui-même des données sur ces pages, par exemple le nom d'un auteur dans un titre.

Le code HTML des pages n'est pas conservé. Le robot se limite au périmètre dont la possession est prouvée. Il respecte le fichier robots.txt du site, tel qu'il est lu au début de chaque analyse, pour toute adresse, sitemaps et redirections comprises ; seules l'adresse de la preuve de possession et celle du fichier robots.txt sont demandées en toute hypothèse. Il n'est pas compté dans la mesure d'audience.

3. Instructions documentées

Le sous-traitant traite les données uniquement sur instruction documentée du Client, constituée par : le présent DPA, les CGV/CGU, et les réglages effectués par le Client dans son compte (sites déclarés, exclusions, rétention du plan, objectifs, campagnes et événements personnalisés) ; pour l'analyse SEO, la preuve de possession publiée sur le site, les chemins que le Client en retire et la cadence du rapport SEO. Il informe immédiatement le Client si une instruction lui paraît contraire au RGPD ou au droit applicable et peut suspendre son exécution dans l'attente d'une instruction licite.

4. Confidentialité et personnel

Toute personne autorisée à traiter les données est soumise à une obligation de confidentialité. L'accès aux systèmes de production est restreint, nominatif et journalisé.

5. Sécurité (art. 32 RGPD)

Les mesures techniques et organisationnelles figurent en annexe du présent DPA.

6. Sous-traitance ultérieure

Le Client autorise de manière générale le recours aux sous-traitants ultérieurs suivants :

L'analyse SEO est réalisée depuis la même infrastructure, sans sous-traitant ultérieur supplémentaire.

Toute évolution de cette liste est notifiée au Client (e-mail ou espace membre) au moins 30 jours avant, avec faculté d'objection ; en cas d'objection légitime non résolue, le Client peut résilier avec la réversibilité du § 9. Les sous-traitants ultérieurs sont liés par des obligations équivalentes au présent DPA ; le sous-traitant demeure pleinement responsable de leur exécution.

Les éventuelles fonctionnalités d'assistance par IA ou serveurs MCP du Service ne traitent pas de données à caractère personnel des visiteurs : elles ne portent que sur des résultats agrégés, sur les caractéristiques techniques des pages publiques relevées par l'analyse SEO et sur les messages du titulaire de compte. Les prestataires d'IA correspondants ne constituent donc pas des sous-traitants ultérieurs au sens du présent DPA et sont décrits dans la politique de confidentialité.

Quatre prestataires figurent au tableau du § 4 de la politique de confidentialité sans constituer des sous-traitants ultérieurs au sens du présent DPA, faute d'intervenir dans la mesure d'audience réalisée pour le compte du Client : Stripe (paiement et facturation de l'abonnement), Spirion (service-smtp.fr : acheminement des e-mails de service adressés au titulaire du compte), Proton (réception des messages de contact et de support) et Cloudflare (protection anti-robot des formulaires de contact et d'inscription). Les données correspondantes sont celles du titulaire du compte ou d'un visiteur du site quietmetrics.dev, pour lesquelles l'éditeur agit en qualité de responsable de traitement, et non celles des visiteurs des sites du Client. Les rapports périodiques acheminés par Spirion ne portent que des résultats agrégés et, pour le rapport SEO, les constats techniques relevés sur les pages publiques du site et la tendance d'audience de certaines pages ; aucun ne contient de donnée personnelle de visiteur au sens du § 2. Recourir à l'un de ces prestataires pour traiter des données de visiteurs des sites du Client supposerait son ajout préalable au tableau ci-dessus, selon le préavis prévu au présent article.

7. Assistance au Client

Le sous-traitant assiste le Client, compte tenu de la nature du traitement :

• Droits des personnes : la conception du service rend le sous-traitant généralement incapable d'identifier un visiteur (art. 11 RGPD : aucune donnée identifiante conservée, empreintes non réversibles). Il fournit au Client toute information utile pour répondre à une demande, notamment la page publique comment nous comptons.
• Demandes reçues directement : toute demande manifestement relative aux traitements du Client reçue par Quiet Metrics est transmise au Client sans y répondre sur le fond, sauf instruction documentée ou obligation légale contraire.
• Analyses d'impact (AIPD) et consultations préalables : documentation technique et coopération sur demande.
• Sécurité : coopération raisonnable en cas d'audit ou d'incident.

8. Notification des violations de données

Le sous-traitant notifie au Client toute violation de données à caractère personnel sans délai indu et au plus tard dans les 48 heures après en avoir pris connaissance, à l'adresse administrative du compte et par tout canal d'urgence communiqué par le Client. La notification initiale peut être complétée progressivement et comprend, dans la mesure disponible, la nature de la violation, les catégories et volumes concernés, les conséquences probables, les mesures prises ou proposées et un point de contact.

9. Sort des données en fin de contrat

À la fin de l'abonnement et au choix du Client :

• les données personnelles encore détenues pour son compte lui sont restituées, ou sont transmises à un autre sous-traitant désigné, dans un format structuré couramment utilisé, puis supprimées avec les copies restantes ;
• ou elles sont supprimées sans restitution préalable.

Sauf demande de suppression immédiate, les statistiques disponibles restent exportables en CSV pendant une période de réversibilité de 30 jours. L'accès par API reste soumis aux conditions du plan, qui le réserve aux plans Pro et Agence : il n'est donc pas garanti pendant la réversibilité, et l'export CSV est la voie qui l'est. Durant cette période, le Client peut demander à legal@quietsystems.dev une restitution structurée des données encore détenues et des réglages de son compte. À son expiration, les données du compte sont supprimées, sous réserve des seules obligations légales de conservation ; les données archivées à cette fin sont isolées et ne sont plus utilisées pour fournir le Service. Une attestation de suppression est fournie sur demande. Les sels de hachage sont, en toute hypothèse, détruits selon leur rotation quotidienne.

10. Audit et documentation

Le sous-traitant met à disposition la documentation nécessaire pour démontrer le respect du présent DPA (documentation technique, registre, description des mesures). Le Client peut réaliser ou mandater un audit par période de 12 mois, à ses frais, sur préavis de 30 jours, pendant les jours ouvrés, sans accès aux données des autres clients et sous accord de confidentialité.

11. Registre et coopération avec l'autorité de contrôle

Le sous-traitant tient le registre des catégories d'activités de traitement (art. 30.2 RGPD) et coopère, sur demande, avec la CNIL.

Annexe : mesures techniques et organisationnelles

• Pseudonymisation dès l'ingestion : empreinte = hachage à sel secret quotidien de (réseau de l'abonné, navigateur, site), le réseau de l'abonné étant l'adresse entière en IPv4 et le seul préfixe /64 en IPv6. La journée s'entend dans le fuseau horaire du Site, celui-là même dans lequel ses statistiques sont présentées ; le sel d'une journée J est propre à ce fuseau et détruit au plus tard 6 heures après minuit J+1 dans ce fuseau. Les empreintes deviennent alors définitivement non réversibles et non recoupables.
• Transit chiffré et borné : l'adresse IP et le User-Agent ne sont jamais écrits dans les tables de mesure ; le payload de file est chiffré, purgé toutes les 5 minutes au-delà de 15 minutes, et les échecs sont purgés en moins de 2 heures.
• Chiffrement : TLS en transit ; clés secrètes des sites chiffrées au repos ; mots de passe hachés (algorithme adaptatif).
• Cloisonnement : empreintes propres à chaque site (pas de recoupement inter-sites) ; accès aux données limité au compte propriétaire (contrôles d'autorisation systématiques).
• Hébergement UE : plateforme et données hébergées en France (OVH). Sauvegarde quotidienne de la base, chiffrée, conservée 30 jours dans l'outil de supervision de l'Éditeur, hébergé sur la même infrastructure. L'ouverture commerciale est conditionnée à une copie supplémentaire hors serveur et à un test de restauration documenté.
• Rapports d'erreur : les requêtes de collecte sont exclues des rapports d'erreur de l'application ; aucune donnée de visiteur des sites du Client n'y figure.
• Accès et journalisation : accès de production nominatifs, principe du moindre privilège, journalisation des accès administratifs.
• Gestion des incidents : procédure d'escalade, qualification des violations, conservation d'un registre d'incidents et notification contractuelle au Client.
• Limitation par conception : payload de collecte limité (4 Ko), plafonds de cardinalité, filtrage des robots, suppression de la query string et masquage des e-mails, UUID et tokens opaques dans les chemins d'URL.
• Robot d'analyse SEO : aucune page demandée sans preuve de possession du site, vérifiée au début de chaque analyse (en son absence, seule l'adresse de la preuve est demandée) ; respect du fichier robots.txt pour toute adresse, sitemaps et redirections comprises ; une page par seconde au plus ; aucune connexion à une adresse privée ou réservée ; taille des réponses bornée ; code HTML non conservé.
• Rétention bornée : purge automatique quotidienne des événements détaillés et des agrégats statistiques au-delà de la rétention du plan ; les agrégats sont en outre dépourvus de données personnelles.