Mentions légales
Contrat de sous-traitance
Ceci est un brouillon, pas encore relu par un juriste
Ce texte décrit aussi précisément que possible ce que Nermio fait réellement des données, pour qu’un juriste ait quelque chose sur quoi s’appuyer. Il est sans valeur juridique et n’est pas destiné à être invoqué. Là où une décision doit être prise, vous trouverez un emplacement signalé contenant la question, plutôt qu’une clause inventée.
Brouillon du 4 novembre 2026. Tant que ce statut vaut, la page figure dans le pied de page mais pas dans le plan du site, et demande aux moteurs de recherche de l’ignorer. Si vous avez besoin d’un contrat de sous-traitance dès maintenant, demandez-le-nous à info@nermio.com.
Le texte néerlandais fait foi
Nermio est une entreprise néerlandaise, le contrat est soumis au droit néerlandais, et la version néerlandaise est le texte qu’un juriste relit. Cette version française est une traduction fournie pour votre commodité. En cas de divergence entre les deux, le texte néerlandais prévaut.
Si vous mettez dans Nermio des données de vos relations, nous traitons des données à caractère personnel pour votre compte. Vous trouverez ci-dessous ce que nous en faisons et ce que nous n’en faisons pas, comment elles sont cloisonnées et ce qui reste à convenir.
Parties et statut
Le présent contrat de sous-traitance se rattache aux conditions générales. C’est vous qui décidez quelles données vous enregistrez sur vos relations et pourquoi ; vous êtes donc le responsable du traitement. Nermio ne traite ces données que pour faire fonctionner le logiciel et en est de ce fait le sous-traitant.
Pour les données de votre propre compte, la répartition est autre : c’est Nermio qui décide de ce qui en est fait. Cette partie figure dans la politique de confidentialité, pas ici.
À trancher par un juriste
Quelle personne morale est le sous-traitant (dénomination, forme juridique, numéro au registre du commerce néerlandais, adresse), et comment un client reçoit-il et accepte-t-il ce contrat ?
Deux trous qui vont ensemble. La personne morale n’est fixée nulle part — le même trou que dans la politique de confidentialité, à l’article 1 des conditions générales et dans les mentions légales. Et il n’y a pas de processus : la page d’accueil dit qu’un contrat de sous-traitance accompagne votre compte, mais personne ne le reçoit, ne l’accepte à l’inscription ni ne le signe. Tant qu’il en est ainsi, cette promesse n’est pas tenue — l’existence de cette page n’y suffit pas.
Article 1. Objet et instructions
Nermio traite des données à caractère personnel exclusivement pour le compte du client et aux fins de l’annexe 1. Le traitement a lieu sur instruction du client ; l’utilisation du service, les réglages choisis par le client et le présent contrat valent ensemble instruction. Nermio ne traite pas les données clients à ses propres fins.
Concrètement, cela signifie que nous ne les vendons pas, ne les transmettons pas à des tiers à des fins publicitaires et ne les utilisons pas pour entraîner des modèles. Si Nermio estime qu’une instruction paraît contraire à la loi, il en informe le client avant de l’exécuter.
Article 2. Confidentialité
Toute personne pouvant accéder aux données clients au nom de Nermio est tenue à la confidentialité, et l’accès reste limité à ce qui est nécessaire au travail. Aujourd’hui, Nermio est petit : en pratique, il s’agit de la personne qui construit le produit. C’est plus honnête à dire qu’une formule générale sur du « personnel autorisé ».
À trancher par un juriste
Comment formalisons-nous la confidentialité pour les futurs salariés et pour les prestataires externes ?
À trancher par un juriste
HORS DU DROIT NÉERLANDAIS — faut-il un engagement de confidentialité propre au titre de l’article 226-13 du Code pénal, et comment un expert-comptable ou un avocat l’obtient-il ?
La page d’accueil s’adresse explicitement aux experts-comptables, et c’est pour eux que la question se pose. L’article 226-13 du Code pénal punit la révélation d’une information à caractère secret par celui qui en est dépositaire par état, par profession, ou en raison d’une fonction ou d’une mission temporaire ; l’article 21 de l’ordonnance n° 45-2138 du 19 septembre 1945 vise nommément les experts-comptables, et l’article 66-5 de la loi du 31 décembre 1971 vise les avocats. Un contrat de sous-traitance au titre de l’article 28 du RGPD ne couvre pas cela : le RGPD est du droit administratif, le secret professionnel est du droit pénal. Deux questions en découlent, et c’est un juriste qui les tranche. Un prestataire informatique est-il, au regard de ce texte, dépositaire « en raison d’une mission » ? Et si oui, quelle forme doit prendre l’engagement pour qu’un ordre professionnel l’accepte ? Tant que ce n’est pas réglé, l’article « Rôles et droits » du guide dit au lecteur ce qu’il doit DEMANDER à son prestataire, et non ce que Nermio promet — cette franchise doit rester en place.
Article 3. Sécurité
Nermio prend des mesures techniques et organisationnelles appropriées, décrites à l’annexe 2. Ces mesures peuvent être adaptées tant que le niveau de protection n’en est pas abaissé.
À trancher par un juriste
Les données sont-elles aussi chiffrées au repos, et à quel niveau ?
Le trafic sur une connexion chiffrée, nous pouvons le confirmer, et les clés d’IA, nous les chiffrons nous-mêmes (AES-GCM, avec un secret hors base de données). Le chiffrement du stockage de la base relève du fournisseur de base de données ; cela doit être vérifié auprès de lui avant de figurer à l’annexe 2 comme un engagement.
À trancher par un juriste
Qui peut se connecter à l’environnement de production du fournisseur de base de données et de l’hébergeur, et avec quelle sécurité ?
Dans le logiciel, le second facteur est obligatoire et c’est vérifiable. Qui peut entrer dans le tableau de bord de Supabase ou de Vercel ne figure pas dans ce code — c’est un réglage chez ces prestataires et cela doit être consigné ici comme un fait, pas supposé.
Article 4. Sous-traitants ultérieurs
Le client autorise les sous-traitants ultérieurs figurant à l’annexe 3. Si Nermio souhaite en ajouter ou en remplacer un, il en informe le client au moins trente jours à l’avance. Le client peut s’y opposer ; si les parties ne s’accordent pas, le client peut résilier l’abonnement à la date de prise d’effet du changement. Nermio impose à un sous-traitant ultérieur les mêmes obligations que celles du présent contrat.
Article 5. Transferts hors de l’EEE
Un transfert vers un pays situé hors de l’Espace économique européen n’a lieu que sur un fondement valable : une décision d’adéquation ou des clauses contractuelles types assorties des mesures supplémentaires nécessaires.
À trancher par un juriste
Quel mécanisme de transfert s’applique à chaque sous-traitant de l’annexe 3, et des données clients sortent-elles de l’EEE chez l’un d’eux ?
Trois des quatre prestataires sont des sociétés américaines disposant de régions européennes. Pour chacun, il faut établir où se trouvent les données, si leur support peut y accéder et sur quel fondement. Sans cette réponse, le présent contrat ne peut pas être proposé ; la même question figure dans la politique de confidentialité. Point français à prendre en compte : la CNIL examine aussi l’accès possible du support depuis un pays tiers, et pas seulement le lieu de stockage.
Article 6. Les fournisseurs d’IA du client
Si le client connecte sa propre clé d’API d’un fournisseur d’IA, ce fournisseur n’est pas un sous-traitant ultérieur de Nermio. Le client a son propre contrat avec lui et lui paie l’usage directement. Nermio n’envoie de données à ce fournisseur que lorsqu’un utilisateur le demande dans le logiciel, transmet alors une sélection fixe de champs du dossier, et ne conserve pas la réponse.
Article 7. Assistance en cas de demande d’une personne concernée
Si l’une de vos relations demande l’accès, la rectification ou l’effacement, c’est vous qui y répondez ; ce sont vos données dans votre environnement, et vous pouvez les y consulter, les modifier, les exporter et les supprimer vous-même. Si les écrans existants ne le permettent pas, Nermio vous aide. Si une demande nous parvient par erreur, nous vous la transmettons et n’y répondons pas nous-mêmes.
Article 8. Violations de données
Si Nermio constate que des données de votre environnement ont été consultées ou se sont échappées, il vous en informe sans retard injustifié, avec ce qui est connu à ce moment-là : ce qui s’est passé, quelles catégories de données et combien de personnes concernées environ, les conséquences probables et les mesures prises.
La notification à l’autorité de contrôle ou aux personnes concernées est votre décision, puisque vous êtes le responsable du traitement ; nous fournissons les informations qui vous sont nécessaires. Si vous êtes établi en France, cette autorité est la CNIL — c’est la vôtre, pas la nôtre, et c’est la raison pour laquelle cette décision vous revient.
À trancher par un juriste
Dans quel délai signalons-nous une violation de données, et que doit contenir au minimum ce signalement ?
Le jeu de clauses fourni propose quarante-huit heures à compter de la découverte. C’est l’usage, et c’est le client qui est tenu aux soixante-douze heures de l’article 33 du RGPD, donc il doit lui rester de la marge. Que nous puissions tenir quarante-huit heures avec une équipe d’une personne est une appréciation réaliste et pas une formalité — et un délai qu’on ne tient pas est pire qu’un délai plus large qu’on tient.
Article 9. Assistance pour les autres obligations
Nermio aide le client, dans la mesure du raisonnable et du nécessaire, pour une analyse d’impact relative à la protection des données (AIPD) et pour une éventuelle consultation préalable de l’autorité de contrôle, en fournissant des informations sur le traitement et sur les mesures.
Article 10. Contrôle
Nermio fournit au client, sur demande, les informations nécessaires pour apprécier le respect du présent contrat. Si le client souhaite davantage, il peut faire réaliser un audit par un expert indépendant tenu au secret, avec un préavis de quatre semaines, au plus une fois par an — sauf motif concret — et à ses frais.
Il n’existe pas d’attestation ISO 27001 ou SOC 2, pas de qualification SecNumCloud et pas de rapport de test d’intrusion externe ; ce qui existe figure sur la page sécurité et à l’annexe 2.
Article 11. Durée et fin
Le présent contrat court aussi longtemps que Nermio traite des données à caractère personnel pour le client. Si l’abonnement prend fin, il doit y avoir un moment clair auquel les données clients sont supprimées, et auparavant la possibilité d’en obtenir une copie. Les données que Nermio doit conserver en vertu de la loi — factures et paiements — restent en place, indépendamment du présent contrat.
Voici comment cela fonctionne aujourd’hui : la purge automatique ne touche pas aux données clients, donc rien ne disparaît de soi-même après la fin. La suppression est chez nous un acte avec motif obligatoire, que seul un super-administrateur peut effectuer et qui reste inscrit dans le journal de sécurité. L’export, lui, continue de fonctionner pendant trente jours après l’arrêt de l’organisation, imposé dans la base de données et non dans l’écran ; une organisation bloquée n’a pas cette fenêtre, et obtient une copie sur demande.
À trancher par un juriste
Combien de temps les données restent-elles après la fin, sous quelle forme une copie est-elle fournie, et quand ont-elles aussi disparu des sauvegardes ?
La fenêtre de récupération de trente jours est construite et imposée dans la base (migrations 0034 et 0053), donc cette partie de la question est réglée. Ce qui reste est un vrai trou, et pas une affaire de formulation : il n’existe aucune durée de conservation après la fin, donc les données restent jusqu’à ce que quelqu’un les supprime à la main. S’y ajoute la question des sauvegardes : leur rythme appartient au fournisseur de base de données et détermine quand une donnée a réellement disparu. L’arrangement et la technique doivent être faits ensemble ; la même question figure dans la politique de confidentialité et à l’article 8 des conditions générales.
Article 12. Responsabilité
La responsabilité au titre du présent contrat est régie par l’article 11 des conditions générales. Cet article y est encore une proposition assortie d’une question ouverte ; tant qu’il en est ainsi, cette incertitude vaut également ici. Pour un client français, l’emplacement qui s’y trouve est l’un des plus lourds de l’ensemble : en droit français, une clause limitative non négociée peut être réputée non écrite.
Annexe 1. Le traitement
| Objet | Ce qui est convenu |
|---|---|
| Finalité | La fourniture d’un CRM : gestion des relations, un pipeline commercial, des tâches et des relances, et l’assistance du client sur ces points. |
| Nature du traitement | Conserver, organiser, afficher, modifier, exporter et supprimer. À la demande d’un utilisateur : transmission d’une sélection de champs au fournisseur d’IA du client (article 6), et réception d’un e-mail que l’utilisateur a lui-même envoyé à l’adresse en copie cachée de son organisation. |
| Personnes concernées | Les interlocuteurs chez les relations du client, et les utilisateurs que le client invite lui-même. |
| Données sur les relations | Raison sociale, ville, pays, secteur, taille, site web, numéro d’immatriculation, numéro de client et délai de paiement ; par interlocuteur, le nom, la fonction, l’adresse e-mail et le numéro de téléphone ; des affaires avec un intitulé, un montant et une étape ; des tâches avec une date ; des activités telles qu’un appel ou un envoi ; des notes libres ; et — si le client utilise l’adresse en copie cachée de son organisation — l’objet d’un tel message, ses deux premières phrases, les adresses e-mail concernées et l’horodatage. |
| Données sur les utilisateurs | Nom, adresse e-mail, rôle et statut, ainsi que la consignation de leurs actions dans le journal d’audit, avec l’adresse IP et des informations sur le navigateur. Si quelqu’un envoie un message à l’adresse en copie cachée du client depuis une adresse qui n’en relève pas, seule cette adresse est conservée avec un horodatage (90 jours), pour que le client puisse voir pourquoi le message n’est pas arrivé. |
| Données sensibles | Il n’existe aucun champ pour des données sensibles ou relatives à des condamnations pénales, et le service n’est pas fait pour cela. Les champs de notes sont du texte libre, donc techniquement le client peut y taper n’importe quoi ; il n’est pas censé le faire et cela relève de sa propre responsabilité au titre de l’article 8 des conditions générales. Pour un lecteur français, un rappel : des données de santé hébergées pour le compte d’un professionnel de santé relèvent de l’article L.1111-8 du Code de la santé publique et exigent un hébergeur certifié HDS. Nermio ne l’est pas et ne doit pas être utilisé pour cela. |
| Durée | Tant que l’abonnement court. Ce qui vaut ensuite est la question ouverte de l’article 11. |
Annexe 2. Mesures de sécurité
Voici la partie qui est construite aujourd’hui et que vous pouvez vérifier. La description développée figure sur la page sécurité.
- Séparation par organisation dans la base de données elle-même. Pas dans les écrans, mais dans Postgres avec une sécurité au niveau des lignes sur chaque table : la base détermine à chaque requête quelles lignes un compte connecté peut voir. Une erreur dans l’application ne peut donc pas livrer les données d’une autre organisation, et une suite de tests démontre cet isolement.
- Rôles et droits par utilisateur, de l’accès complet à la simple consultation, imposés eux aussi dans la base de données.
- Un journal d’audit qui ne fait que s’allonger. Modifier ou effacer une ligne a été rendu impossible, y compris pour notre rôle d’administration le plus élevé, avec exactement une exception nommée pour la purge automatique.
- Un accès du support avec motif et durée limitée. Quinze, trente ou soixante minutes et jamais davantage, toujours avec un motif indiqué, en lecture seule par défaut, jamais avec la possibilité de supprimer, et relisible par le propriétaire de l’organisation.
- Double authentification pour tout le monde. Pas seulement pour notre portail d’administration mais pour chaque utilisateur du CRM, sans exception. En outre, le logiciel déconnecte après huit heures sans activité.
- Connexions chiffrées avec HSTS, et une politique de sécurité du contenu avec un nonce par requête.
- Des mots de passe que nous ne pouvons pas lire — ils sont hachés chez le service d’authentification — avec une politique de douze caractères minimum et un contrôle face aux mots de passe connus comme compromis. Les clés d’API des fournisseurs d’IA sont chiffrées (AES-GCM), le secret étant conservé hors de la base de données.
- Un frein sur les tentatives de connexion qui se ferme s’il échoue lui-même, un journal de sécurité avec une alerte en cas de tentatives répétées, et la possibilité de bloquer une adresse IP.
À trancher par un juriste
À quelle fréquence le fournisseur de base de données réalise-t-il des sauvegardes, combien de temps sont-elles conservées, et le client peut-il s’en prévaloir ?
Sans ce chiffre, l’annexe 2 est incomplète et l’article 11 reste sans réponse. Le rythme appartient au fournisseur de base de données ; nous ne le réglons pas.
À trancher par un juriste
Tenons-nous cette annexe à jour dès que la technique change, et comment éviter qu’elle vieillisse ?
Une annexe de mesures est contractuellement contraignante. Si le logiciel change, cette liste doit suivre — sinon nous promettrons bientôt quelque chose qui ne fonctionne plus ainsi, ou nous tairons quelque chose qui s’est amélioré.
Annexe 3. Sous-traitants ultérieurs
Nermio ne tourne pas sur ses propres serveurs. Ces prestataires traitent des données clients parce que le service ne fonctionne pas sans eux.
| Prestataire | Service | Ce qui se passe avec les données clients |
|---|---|---|
| Supabase | Base de données et authentification | La base Postgres dans laquelle se trouvent toutes les données clients, et la connexion des utilisateurs. |
| Vercel | Hébergement | L’exécution de l’application ; les données clients y transitent à chaque requête et n’y sont pas stockées séparément. |
| Resend | E-mails transactionnels | Invitations et réinitialisation de mot de passe : l’adresse e-mail et le nom d’un utilisateur. Aucune donnée des relations du client. |
| Cloudflare | Contrôle anti-abus sur les formulaires | L’adresse IP et des caractéristiques du navigateur de celui qui envoie un formulaire. Aucun contenu du CRM. |
À trancher par un juriste
Pour chaque prestataire : quelle personne morale, quel pays d’établissement, dans quelle région se trouvent les données, et quel mécanisme de transfert ?
La région de la base est connue : Supabase est sur eu-central-1 (Francfort), confirmé par le propriétaire qui y a créé le projet. Restent ouverts la personne morale de chaque prestataire, l’endroit où tourne l’environnement Vercel et le mécanisme de transfert applicable. C’est l’annexe qu’un client professionnel regarde en premier, donc aucune supposition ne doit y figurer. Si un prestataire de paiement s’ajoute, il doit y entrer aussi.
Rapport avec les conditions générales
Si le présent contrat et les conditions générales se contredisent sur un point touchant aux données à caractère personnel, le présent contrat prévaut. La manière dont l’accord est recueilli est la question ouverte en tête de cette page.