Accord de sous-traitance

Article 28 du RGPD · Version du 24 octobre 2026

Les règles que suit PIXSELL quand elle traite des données personnelles pour les photographes, sur leurs instructions, avec un appendice par service.

Objet, parties et version

Qui est responsable, qui est sous-traitant, et comment l'Accord évolue.

RGPD · art. 28

Le présent accord (l'« Accord ») encadre les traitements de données à caractère personnel que KROZEE SAS, éditrice de Pixsell (« PIXSELL »), réalise en qualité de sous-traitant pour le compte du Responsable, conformément à l'article 28 du règlement (UE) 2016/679 (le « RGPD »).

Le « Responsable » est la personne, physique ou morale, qui exerce l'activité du Compte : son Entreprise déclarée, lorsque le Compte en a une ; sinon, l'Utilisateur qui a créé le Compte. Il détermine les finalités des traitements décrits dans les appendices et en est le responsable de traitement. Les Membres du Compte agissent sous son autorité. Les autres termes qui commencent par une majuscule ont le sens que leur donnent les conditions générales d'utilisation et de vente des services Pixsell (les « CGU/V »).

L'Accord fait partie des CGU/V. Il est accepté avec elles, à l'inscription, et suit leur version : il porte la même date, et toute nouvelle version est notifiée et prend effet dans les conditions de l'article 15 des CGU/V. Aucun appendice ne demande d'acceptation séparée : chacun s'applique dès que le Responsable utilise le service qu'il décrit, et tant que des données de ce service restent traitées pour son compte.

En cas de contradiction sur la protection des données traitées pour le compte du Responsable, l'Accord prévaut sur les CGU/V et sur les Annexes.

Périmètre

Les traitements que l'Accord couvre, et ceux dont PIXSELL répond seule.

L'Accord couvre les traitements décrits dans ses appendices :

Appendice A. Galeries, commandes et Companion
Appendice B. Pixsell Print
Appendice C. Pixsell Share
Appendice D. CRM
Appendice E. Boutique
Appendice F. Site
Appendice G. Comptabilité

Il ne couvre pas les traitements dont PIXSELL est responsable, décrits dans la politique de confidentialité :

la gestion des Utilisateurs, des Membres et des Comptes, et le journal des acceptations ;
la vérification dans VIES du numéro de TVA du Compte ;
la facturation de PIXSELL : commissions calculées sur les montants des commandes, Pixsell Print et abonnements Pixsell Stand. La facture Print porte le nom et l'adresse de livraison de chaque envoi (appendice B) ;
les déclarations que PIXSELL dépose au titre de DAC7 sur les ventes des Vendeurs, décrites à l'article 9 de l'annexe Boutique ;
la sécurité de la Plateforme, dont la protection des formulaires contre les envois automatisés et l'enregistrement des téléchargements Pixsell Share, décrit à l'article 6.3 de la politique de confidentialité, et le traitement des signalements de contenus illicites ;
la Progression du Compte, calculée à partir de compteurs agrégés à l'échelle du Compte (nombres et montants), qui ne permettent d'identifier aucun Acheteur, contact ou Destinataire.

La collecte des données de l'Acheteur dans le tunnel de commande relève de l'accord de responsabilité conjointe (article 26 du RGPD), rattaché à l'annexe Boutique. Une fois la commande passée, ses données sont traitées pour le compte du Vendeur selon les appendices A, B, D, E et G.

Les paiements des Acheteurs passent par Stripe, avec lequel le Vendeur contracte directement : Stripe n'est pas un sous-traitant ultérieur de PIXSELL pour ces paiements (article 5).

Pixsell Stand fait l'objet d'un contrat séparé et n'entre pas dans l'Accord. L'application Companion est couverte par l'appendice A.

Instructions et obligations générales

PIXSELL n'agit que sur les instructions du Responsable.

PIXSELL ne traite les données à caractère personnel que sur instruction documentée du Responsable. L'Accord, les CGU/V, les Annexes et l'usage que le Responsable et ses Membres font des réglages et des fonctionnalités de la Plateforme constituent ses instructions documentées.

PIXSELL informe le Responsable si une instruction lui paraît contraire au RGPD ou à une autre règle de protection des données. Si le droit de l'Union ou d'un État membre l'oblige à un traitement, elle en informe le Responsable avant de le réaliser, sauf si ce droit l'interdit pour des motifs importants d'intérêt public.

PIXSELL n'utilise les données traitées pour le compte du Responsable à aucune autre fin que la fourniture des Services, en dehors des traitements dont elle est responsable, listés à l'article 2. Si elle déterminait elle-même les finalités et les moyens d'un autre traitement, elle en serait responsable.

Le Responsable garantit que les données qu'il confie à PIXSELL sont traitées licitement et qu'il a informé les personnes concernées, notamment les personnes photographiées, ses contacts et les Destinataires de ses transferts. Il respecte les règles de la prospection commerciale : consentement lorsqu'il est requis, preuve de ce consentement et prise en compte du retrait.

PIXSELL veille à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité, par engagement ou par une obligation légale, et reçoivent la formation nécessaire.

Sécurité et violations de données

Les mesures mises en œuvre, et ce qui se passe en cas d'incident.

RGPD · art. 32 à 34

PIXSELL met en œuvre les mesures techniques et organisationnelles appropriées au sens de l'article 32 du RGPD, compte tenu de l'état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des personnes concernées. Ces mesures sont décrites dans la section sécurité des mentions légales.

PIXSELL notifie au Responsable toute violation de données à caractère personnel qui le concerne dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans les quarante-huit (48) heures. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou envisagées pour y remédier.

Il appartient au Responsable de notifier la violation à l'autorité de contrôle et, le cas échéant, aux personnes concernées. PIXSELL l'assiste raisonnablement à cette fin.

Sous-traitants ultérieurs et autres destinataires

Qui intervient derrière PIXSELL, et comment le Responsable est prévenu d'un changement.

RGPD · art. 28.2 et 28.4

Le Responsable autorise PIXSELL à faire appel aux sous-traitants ultérieurs listés ci-dessous. PIXSELL leur impose par contrat les mêmes obligations de protection des données que celles de l'Accord, et reste pleinement responsable devant le Responsable de leur exécution. Le tableau indique aussi les autres destinataires des données, qui ne sont pas des sous-traitants ultérieurs de PIXSELL.

Prestataire	Qualité	Mission	Appendices	Localisation
Scaleway SAS	Sous-traitant ultérieur	Hébergement de la Plateforme et des bases de données, stockage des fichiers, acheminement des e-mails	Tous	France
Mapbox, Inc.	Sous-traitant ultérieur	Suggestions d'adresses pendant la saisie d'un contact. Reçoit le texte de l'adresse en cours de saisie	D	États-Unis
Spatie (Flare)	Sous-traitant ultérieur	Suivi des erreurs et des performances de la Plateforme. Un rapport d'erreur peut contenir les données de la requête en cause, dont l'adresse IP, mais ni les mots de passe ni les cookies	Tous	Union européenne
Stripe	Prestataire du Vendeur, sous contrat direct	Paiements et remboursements des ventes de la Boutique	E	Selon le contrat Stripe du Vendeur
La Poste	Responsable de traitement distinct	Acheminement des Tirages expédiés par Pixsell Print	B	France
Commission européenne (VIES)	Destinataire	Vérification des numéros de TVA des contacts. Reçoit le numéro à vérifier	D	Union européenne
Intuition Machines, Inc. (hCaptcha)	Prestataire de PIXSELL, pour la sécurité de la Plateforme	Protection du formulaire de contact du Site contre les envois automatisés. Le contrôle a lieu dans le navigateur du visiteur, puis PIXSELL vérifie le jeton obtenu. Le contenu du message n'est pas transmis	F	États-Unis

Stripe intervient au titre du contrat que le Vendeur conclut directement avec lui pour son compte connecté. PIXSELL transmet à Stripe la référence de chaque commande, affiche au Vendeur les informations de paiement de son compte Stripe et y déclenche les remboursements qu'il demande.

Tout ajout ou remplacement d'un sous-traitant ultérieur fait l'objet d'une nouvelle version de l'Accord, notifiée par e-mail et par un panneau du tableau de bord au moins quinze (15) jours avant sa prise d'effet, comme toute modification des CGU/V. Pendant ce délai, le Responsable peut s'y opposer de manière motivée en écrivant au support. Si l'opposition ne peut pas être levée, il peut cesser d'utiliser le service concerné, ou fermer son Compte sans frais, avant la prise d'effet.

Transferts hors de l'Union européenne

Où sont les données, et ce qui en sort.

RGPD · chap. V

Les données traitées pour le compte du Responsable sont hébergées en France, chez Scaleway. Dans le périmètre de l'Accord, un seul traitement transmet des données hors de l'Union européenne : les suggestions d'adresses du CRM, qui envoient à Mapbox, Inc., aux États-Unis, le texte de l'adresse en cours de saisie (appendice D). Les données que reçoit Mapbox sont détaillées dans la politique de confidentialité.

PIXSELL encadre tout transfert vers un pays tiers par l'une des garanties appropriées prévues au chapitre V du RGPD.

Assistance et droits des personnes

Comment PIXSELL aide le Responsable à répondre aux demandes et à ses obligations.

RGPD · art. 28.3

Le Responsable peut répondre lui-même à la plupart des demandes depuis son Compte :

supprimer une photographie ou une Galerie, retirer une information d'indexation, protéger une Galerie par un code ;
modifier ou supprimer un contact, et retirer son accord de prospection. Un contact qui a des commandes ne peut pas être supprimé, car ses commandes et ses documents comptables lui restent rattachés. Pour répondre à une demande d'effacement, le Responsable écrit alors au support : sur sa demande, PIXSELL anonymise les données de ce contact qui ne sont pas nécessaires à la comptabilité ;
télécharger les factures et avoirs de la Comptabilité, un par un ou regroupés par période.

La Plateforme ne propose pas d'export des commandes ni des contacts. Lorsqu'une demande d'accès ou de portabilité exige une extraction, le Responsable écrit au support, et PIXSELL lui remet les données concernées sur demande.

Lorsqu'une personne adresse directement à PIXSELL une demande qui relève du Responsable, PIXSELL la lui transmet dans les meilleurs délais et l'aide, dans la mesure du possible, à y répondre. Elle n'y donne pas suite sans son instruction, sauf obligation légale ou contenu manifestement illicite.

PIXSELL apporte au Responsable l'assistance raisonnable nécessaire au respect de ses obligations prévues aux articles 32 à 36 du RGPD : sécurité, notification des violations, analyse d'impact et consultation préalable de l'autorité de contrôle.

Restitution et suppression

Ce que deviennent les données à la fin d'un service ou du Compte.

RGPD · art. 28.3 g

Le Responsable obtient la restitution des données traitées pour son compte sur demande adressée au support, à tout moment, et en particulier avant la fin d'un service ou la fermeture de son Compte. PIXSELL les lui remet dans un format couramment utilisé. En dehors du téléchargement des factures et avoirs de la Comptabilité, la Plateforme n'offre pas d'export en libre-service.

La fermeture du Compte se demande au support, dans les conditions de l'article 14 des CGU/V. À la fin d'un service ou à la fermeture du Compte, PIXSELL supprime les données traitées pour le compte du Responsable selon les durées indiquées dans les appendices et dans la politique de confidentialité, sauf lorsque la loi lui impose de les conserver, notamment au titre de ses obligations comptables ou de ses obligations d'hébergeur.

La conservation des factures et avoirs émis au nom du Responsable relève de ses propres obligations fiscales et comptables : il les télécharge avant la fermeture de son Compte, comme le prévoit l'article 8.2 de l'annexe Boutique.

Information et audits

Comment le Responsable vérifie que PIXSELL respecte l'Accord.

RGPD · art. 28.3 h

PIXSELL met à la disposition du Responsable les informations nécessaires pour démontrer le respect de l'Accord et pour permettre des audits, y compris des inspections. Ces audits sont réalisés aux frais du Responsable, avec un préavis d'au moins trente (30) jours, au plus une fois par an sauf incident de sécurité avéré, et dans des conditions qui préservent la confidentialité des données des autres Comptes et le secret des affaires.

Durée, responsabilité et litiges

L'Accord dure autant que les traitements, et suit les règles des CGU/V.

L'Accord s'applique tant que PIXSELL traite des données pour le compte du Responsable, y compris après la fermeture du Compte pour les données encore conservées.

Chaque partie répond de ses manquements à l'Accord dans les conditions de l'article 13 des CGU/V. Ces règles ne privent pas les personnes concernées du droit à réparation que leur donne l'article 82 du RGPD.

Les litiges relatifs à l'Accord suivent l'article 17 des CGU/V.

Appendice A. Galeries, commandes et Companion

Les photographies, les commandes passées dans les Galeries et l'application Companion.

Application S'applique dès que le Responsable met des photographies en ligne, reçoit une commande ou utilise Companion, réservée aux titulaires d'un abonnement Pixsell Stand actif.

Objet: Hébergement des photographies et de leurs informations d'indexation, publication dans les Galeries, suivi des commandes passées par les Acheteurs et mise à disposition des fichiers achetés. Synchronisation des informations saisies dans Companion.
Nature et finalité: Stockage, conversions techniques (formats, aperçus, filigranes), archivage des originaux et restauration quand ils sont demandés, indexation et recherche par les visiteurs, accès aux Galeries protégées par un code, alerte par e-mail à l'ouverture d'une Galerie annoncée, favoris et paniers des visiteurs, statistiques de fréquentation agrégées présentées au Responsable, suivi des commandes, mise à disposition des fichiers par lien de téléchargement, recueil de la note de satisfaction de l'Acheteur sur sa commande.
Types de données: Images pouvant représenter des personnes identifiables. Informations d'indexation saisies par le Responsable ou dans Companion : noms, numéros de dossard, épreuves, catégories et autres étiquettes. Adresse e-mail des visiteurs inscrits à une alerte. Identifiant aléatoire attribué au navigateur du visiteur, avec ses favoris, son panier et son nombre de visites. Données des commandes : nom, e-mail, téléphone, adresses de facturation et de livraison, dénomination, SIREN et numéro de TVA de l'Acheteur professionnel, remarques, réponse à la case de prospection, produits, montants et statut du paiement. Note de satisfaction laissée par l'Acheteur.
Catégories de personnes concernées: Personnes photographiées, notamment les participants aux événements et leurs accompagnants. Visiteurs des Galeries. Acheteurs et destinataires des livraisons.
Durée: Photographies : jusqu'à leur suppression par le Responsable ou la fermeture du Compte. Les fichiers d'une photographie supprimée sont effacés du stockage dix (10) jours après sa suppression. Alerte d'ouverture : l'inscription est supprimée dès l'envoi de l'alerte. Liens de téléchargement : valables un (1) an après la mise à disposition des fichiers. Commandes et autres données : pendant l'utilisation du service, puis selon les durées de la politique de confidentialité.
Sous-traitants ultérieurs: Scaleway SAS (hébergement, stockage, e-mails). Flare, de Spatie (suivi des erreurs).

Appendice B. Pixsell Print

La production et l'expédition des Tirages confiés à Print.

Application S'applique dès que le Vendeur confie une commande à Print. PIXSELL y est sous-traitant pour la production et la livraison, et responsable de traitement pour la facture qu'elle adresse au Vendeur.

Objet: PIXSELL vend les Tirages au Vendeur et les livre directement à l'Acheteur, selon l'annexe Pixsell Print. Pour cette livraison, elle traite les données de l'Acheteur pour le compte du Vendeur, qui reste le seul vendeur face à l'Acheteur.
Nature et finalité: Réception et préparation des fichiers d'impression, impression dans l'atelier de PIXSELL, conditionnement, étiquette d'expédition, remise au transporteur, avis d'expédition envoyé par e-mail à l'Acheteur.
Types de données: Fichiers des photographies à imprimer. Nom du destinataire, adresse de livraison et téléphone, exigé pour un envoi en colis. Adresse e-mail de l'Acheteur pour l'avis d'expédition. Références de la commande et numéro de suivi.
Catégories de personnes concernées: Acheteurs et destinataires des livraisons. Personnes figurant sur les Tirages.
Durée: Le fichier d'impression est supprimé quatre-vingt-dix (90) jours après son import ou sa copie dans la production. Les données de livraison restent sur la commande du Vendeur (appendice A). La facture que PIXSELL adresse au Vendeur porte, pour chaque envoi, le nom et l'adresse de livraison : PIXSELL la conserve en tant que responsable de traitement, pendant la durée de ses obligations comptables.
Sous-traitants ultérieurs: Aucun pour l'impression, réalisée par PIXSELL. Scaleway SAS (hébergement, e-mails). Flare, de Spatie (suivi des erreurs). La Poste achemine les envois en tant que responsable de traitement distinct.

Appendice D. CRM

Le carnet de contacts du Responsable.

Application S'applique dès que le Compte a un contact, créé à la main ou à partir d'une commande payée.

Objet: Tenue du carnet de contacts du Responsable : ses Acheteurs et ses autres contacts.
Nature et finalité: Création ou mise à jour d'un contact à chaque commande payée, à partir de son adresse e-mail. Saisie, modification et suppression à la main. Notes. Enregistrement de l'accord de prospection, avec sa date et son origine, et de son retrait. Vérification du numéro de TVA dans VIES, à titre d'information. Suggestions d'adresses pendant la saisie (Mapbox). Affichage des commandes, factures et avoirs du contact. La Plateforme n'envoie aucun message de prospection aux contacts.
Types de données: Nom, e-mail, téléphone et notes. Société, SIREN, numéro de TVA et résultat de sa vérification. Adresses de facturation et de livraison, avec le destinataire. Date et origine (commande ou saisie à la main) de l'accord de prospection. Commandes et documents rattachés.
Catégories de personnes concernées: Acheteurs, clients, prospects et autres contacts du Responsable.
Durée: Jusqu'à la suppression du contact par le Responsable ou la fermeture du Compte, puis selon les durées de la politique de confidentialité. Un contact qui a des commandes ne peut pas être supprimé, car ses commandes et ses documents comptables lui restent rattachés. Sur demande du Responsable au support, PIXSELL anonymise les données de ce contact qui ne sont pas nécessaires à la comptabilité.
Sous-traitants ultérieurs: Scaleway SAS (hébergement). Mapbox, Inc. (suggestions d'adresses, États-Unis), qui reçoit le texte de l'adresse en cours de saisie. Flare, de Spatie (suivi des erreurs). La Commission européenne (VIES) reçoit, en tant que destinataire, le numéro de TVA à vérifier.

Appendice E. Boutique

Les factures et avoirs émis au nom du Vendeur, les e-mails aux Acheteurs et les remboursements.

Application S'applique dès l'activation de la Boutique. La collecte des données au moment de la commande relève de l'accord de responsabilité conjointe.

Objet: Émission des factures et des avoirs au nom et pour le compte du Vendeur, au titre du mandat de facturation de l'annexe Boutique. Envoi des e-mails liés aux commandes. Remboursements.
Nature et finalité: Création d'une facture à chaque commande payée et d'un avoir à chaque remboursement, avec la numérotation propre au Vendeur. Génération du PDF et envoi à l'Acheteur. E-mails de confirmation de commande, de mise à disposition des fichiers, d'expédition et de remboursement. Journal des e-mails (destinataire, objet, statut de remise), consultable par le Vendeur. Affichage des informations de paiement tirées du compte Stripe du Vendeur, et exécution des remboursements qu'il demande.
Types de données: Nom, e-mail, téléphone et adresses de l'Acheteur. Dénomination, SIREN et numéro de TVA de l'Acheteur professionnel. Produits, montants, taxes et références de paiement. Statut de remise des e-mails.
Catégories de personnes concernées: Acheteurs.
Durée: Les factures et avoirs restent dans la Comptabilité du Vendeur (appendice G). Le journal des e-mails est conservé selon les durées de la politique de confidentialité.
Sous-traitants ultérieurs: Scaleway SAS (hébergement, e-mails). Flare, de Spatie (suivi des erreurs). Stripe exécute les paiements et les remboursements au titre du contrat que le Vendeur a conclu directement avec lui, et non comme sous-traitant ultérieur de PIXSELL.

Appendice F. Site

Les messages envoyés par le formulaire de contact du Site.

Application S'applique dès que le Site est actif (CGU/V, article 6.5), ce qui suppose une Entreprise déclarée.

Objet: Transmission au Responsable des messages que les visiteurs lui adressent par le formulaire de contact de son Site.
Nature et finalité: Envoi du message par e-mail à l'adresse de notification du Compte, et accusé de réception au visiteur. PIXSELL n'enregistre pas le message dans la base de données de la Plateforme. Un message que le visiteur classe comme signalement de contenu illicite est adressé à PIXSELL, qui le traite en tant qu'hébergeur, sous sa propre responsabilité.
Types de données: Nom et adresse e-mail du visiteur, sujet choisi, message.
Catégories de personnes concernées: Visiteurs du Site.
Durée: Le temps d'acheminer l'e-mail. Le Responsable conserve ensuite le message dans sa propre messagerie, sous sa responsabilité.
Sous-traitants ultérieurs: Scaleway SAS (acheminement des e-mails). Flare, de Spatie (suivi des erreurs). Le formulaire est protégé contre les envois automatisés par hCaptcha (Intuition Machines, Inc., États-Unis), que PIXSELL emploie pour la sécurité de la Plateforme, sous sa propre responsabilité.

Appendice G. Comptabilité

La conservation, la consultation et l'envoi des factures et avoirs émis au nom du Responsable.

Application S'applique dès qu'un document est enregistré dans la Comptabilité.

Objet: Conservation, consultation, téléchargement et envoi des factures et avoirs émis au nom du Responsable.
Nature et finalité: Stockage des documents et de leur PDF. Liste, recherche et affichage sur la fiche du contact. Téléchargement d'un document, ou de tous les documents d'une période. Envoi d'un document par e-mail à l'adresse que le Responsable indique.
Types de données: Données des destinataires figurant sur les documents : nom, adresses, e-mail, téléphone, société, SIREN et numéro de TVA. Lignes, montants et taxes. Adresses e-mail d'envoi.
Catégories de personnes concernées: Acheteurs et autres destinataires des documents.
Durée: Pendant la vie du Compte. Le Responsable télécharge ses documents avant la fermeture : leur conservation au titre de ses obligations fiscales et comptables lui incombe.
Sous-traitants ultérieurs: Scaleway SAS (hébergement, e-mails). Flare, de Spatie (suivi des erreurs).