DOCUMENTS
Documents pour l’examen
Contrat de sous-traitance, mesures techniques et organisationnelles, sous-traitants ultérieurs et politique d’effacement — sans demande, sans formulaire.
01 / POURQUOI ICI
Parce que la question vient de toute façon.
Tout délégué à la protection des données réclame ces quatre documents avant qu’on installe quoi que ce soit. Les cacher derrière un entretien commercial coûte deux semaines aux deux parties et répond au bout du compte à la même question.
02 / LES DOCUMENTS
Quatre documents.
Contrat de sous-traitance (art. 28 RGPD)
Objet, durée, nature et finalité du traitement, catégories de personnes concernées, droit d’instruction, sous-traitance ultérieure, restitution et effacement. Il se conclut par voie électronique et sans papier, séparément pour chaque client : dans le portail client, sous « Protection des données », ou lors de la configuration via l’app Shopify. Ses trois annexes sont les documents ci-dessous dans la même version. La preuve avec le texte convenu est conservée dans le portail.
Mesures techniques et organisationnelles (art. 32 RGPD)
Accès aux locaux, accès aux systèmes, droits d’utilisation, transmission, saisie, contrôle du sous-traitant, disponibilité et séparation — avec ce que ce logiciel met concrètement en œuvre.
Annexe au contrat de sous-traitance : autres sous-traitants
Qui traite pour notre compte au titre de l’art. 28 RGPD, à quelle fin, où, et sur quelle base en cas de transfert hors de l’UE. Les destinataires agissant en qualité de responsable de traitement y figurent séparément.
Politique d’effacement
Quelles données restent et combien de temps, ce qui se passe lors de l’effacement d’une personne et pourquoi une liste de blocage en naît.
03 / PRESTATAIRES ET DESTINATAIRES
Qui reçoit des données — et à quel titre.
Cette vue d’ensemble nomme chaque destinataire, quel que soit son rôle. Ce n’est pas une annexe contractuelle : l’annexe au contrat de sous-traitance ne reprend que ceux qui traitent pour notre compte au titre de l’art. 28 RGPD et présente les autres séparément. Pour savoir qui reçoit vos données, lisez ce tableau ; pour savoir ce dont nous répondons en tant que sous-traitant, lisez l’annexe.
Les indications de ce tableau existent en allemand et en anglais. Cette page les affiche en anglais.
| Entreprise | Finalité | Rôle | Lieu du traitement | Base en cas de pays tiers |
|---|---|---|---|---|
| Google Cloud EMEA Limited | Operation of the application, database, secret management, scheduling, load balancing and TLS | Sous-traitant | EU – europe-west3 (Frankfurt); separately, administration and system logs of the cloud platform in global logging buckets of the provider that cannot be moved to a region (up to 400 days; a further global bucket with seven days, to which the application logs are not written) | EU–US adequacy decision (EU-US Data Privacy Framework) to the extent of the recipient’s certification; in addition, and for companies that are not certified, EU standard contractual clauses. A copy of the safeguards is available via privacy@metrunio.com |
| Google Cloud – BigQuery | Analytics mirror of the measurement data of all tenants in the same environment, separated per tenant; a tenant’s reports are calculated from it once data volumes are larger or retention exceeds 180 days | Sous-traitant | EU – europe-west3 (Frankfurt) | EU–US adequacy decision (EU-US Data Privacy Framework) to the extent of the recipient’s certification; in addition, and for companies that are not certified, EU standard contractual clauses. A copy of the safeguards is available via privacy@metrunio.com |
| Google Cloud – Vertex AI | Language model behind the data assistant in the portal; receives the question, metrics and, where the question calls for it, individual conversions and journeys | Sous-traitant | EU – europe-west3 (Frankfurt) | EU–US adequacy decision (EU-US Data Privacy Framework) to the extent of the recipient’s certification; in addition, and for companies that are not certified, EU standard contractual clauses. A copy of the safeguards is available via privacy@metrunio.com |
| Google Workspace | Mailbox for support, contract and data-subject requests; sending of system mails, including reports and alerts containing client data in the body and as attachments, with a copy under “Sent”; measurement data only where it appears in that correspondence or in those mails | Sous-traitant | Data region Europe, set by policy on 18 September 2026; exceptions for logs and cache and the migration status remain to be evidenced | EU–US adequacy decision (EU-US Data Privacy Framework) to the extent of the recipient’s certification; in addition, and for companies that are not certified, EU standard contractual clauses. A copy of the safeguards is available via privacy@metrunio.com |
| Brevo (Brevo GmbH / Sendinblue SAS) | Sending our newsletter; for a transition period, receiving inbound support mail. System and support e-mails have been sent via Google Workspace since 1 October 2026 | Sous-traitant | EU – France and Germany (OVH), Belgium (Google Cloud) | EU standard contractual clauses with supplementary measures; for the US additionally the EU–US adequacy decision (Data Privacy Framework); for Canada the adequacy decision |
| Stripe Payments Europe, Ltd. | Payment processing: billing address, payment method, invoice and subscription status. No measurement data | Double rôle | EU – Ireland | EU–US adequacy decision (EU-US Data Privacy Framework) to the extent of the recipient’s certification; in addition, and for companies that are not certified, EU standard contractual clauses. A copy of the safeguards is available via privacy@metrunio.com |
04 / CHANGEMENTS
Ce qui se passe en cas de changement.
PRÉAVIS
Nous annonçons ici un nouveau sous-traitant direct au moins 30 jours avant son intervention et le communiquons par e-mail à l’adresse enregistrée sur le compte. Si l’un d’eux fait appel à un nouveau sous-traitant ultérieur, nous transmettons son annonce au plus tard cinq jours ouvrés après réception. Vous pouvez vous y opposer ; la section 7 du contrat de sous-traitance régit la suite.