Version du 4 octobre 2026
Annexe de sous-traitance des données
Cette annexe organise les traitements que MOOD GROUP réalise pour le compte du client professionnel, conformément à l’article 28 du RGPD.
1. Parties, objet et durée
Le client identifié par son compte et sa commande agit comme responsable de traitement pour les données qu’il confie à Cooum. MOOD GROUP, identifié dans les mentions légales, agit comme sous-traitant pour fournir le bureau, héberger les contenus, organiser les réunions et transmettre les invitations selon les instructions du client. Les traitements propres de gestion du compte, de facturation et de sécurité restent décrits dans la politique de confidentialité.
La présente annexe s’applique pendant la fourniture du service, la réversibilité et les opérations d’effacement. Elle prévaut sur une clause contradictoire des conditions concernant la protection des données personnelles.
2. Nature du traitement
| Élément | Description |
|---|---|
| Opérations | Collecte sur instruction, enregistrement, organisation, stockage, consultation autorisée, transmission des invitations et médias, export, correction et effacement. |
| Finalités | Fourniture du bureau professionnel, gestion des dossiers et rendez-vous, communication entre les participants et assistance au client. |
| Personnes | Client et ses utilisateurs, collaborateurs, partenaires, clients, prospects invités à un rendez-vous et personnes présentes dans les contenus déposés. |
| Données | Identité professionnelle, coordonnées, présence, contenus de dossiers, rendez-vous, messages de service, fichiers, notes de réunion et flux audio/vidéo/écran activés. |
| Données particulières | Aucune catégorie particulière n’est requise. Le client doit vérifier la licéité et l’adéquation du service avant tout dépôt de données sensibles ; aucun hébergement certifié de santé n’est proposé. |
3. Instructions et confidentialité
MOOD GROUP ne traite les données que sur les instructions documentées du client, constituées par le contrat, ses réglages et actions dans le service, et les demandes écrites acceptées dans son périmètre. Toute obligation légale imposant un autre traitement est signalée avant celui-ci, sauf interdiction légale. MOOD GROUP informe le client si une instruction paraît contraire au droit de la protection des données.
Les personnes autorisées à accéder aux données sont soumises à une obligation de confidentialité et leurs accès sont limités à leur besoin. Les données ne peuvent pas être vendues, utilisées pour une publicité propre ou envoyées à un modèle d’IA pour entraîner celui-ci sur la seule base de cette annexe. Le client reste responsable du fondement légal, de l’information des personnes et de la licéité de ses instructions.
4. Mesures de sécurité
Ces mesures sont adaptées aux risques du service et peuvent évoluer sans réduire globalement la protection. Elles ne constituent pas une certification de sécurité, une promesse de risque nul ou de chiffrement audiovisuel de bout en bout. MOOD GROUP documente et réévalue les mesures, y compris celles de ses prestataires, et met les informations pertinentes à disposition du client.
- Authentification par compte ; contrôle de propriété des bureaux et des documents ; politiques d’accès aux fichiers privés.
- Connexions réseau sécurisées ; secrets d’administration conservés côté serveur ; liens d’invitation personnels, limités et révocables.
- Vérification des signatures des notifications de paiement et d’email, contrôle des origines et prévention des traitements en double.
- Accès des invités limités aux réunions ; visibilité annuaire et présence paramétrables ; absence d’enregistrement audiovisuel automatique dans cette version.
- Export et fermeture de compte par étapes vérifiées, avec suivi des échecs et reprise.
5. Sous-traitants ultérieurs et transferts
Le client autorise de manière générale les prestataires nécessaires décrits ci-dessous, sous réserve de garanties conformes à l’article 28 du RGPD. MOOD GROUP reste responsable envers le client de l’exécution des obligations confiées à ses sous-traitants ultérieurs. Stripe agit aussi en qualité de responsable distinct pour certaines obligations de paiement ; ces traitements ne sont pas assimilés à un simple hébergement sur instruction.
MOOD GROUP informe le client par email au moins trente jours avant l’ajout ou le remplacement d’un prestataire directement choisi par MOOD GROUP. Pour une évolution de la chaîne propre à un fournisseur, sa notification est relayée sans délai indu, avec le préavis effectivement prévu par ce fournisseur et une possibilité effective de formuler une objection avant le changement. Le client peut formuler une objection motivée liée à la protection des données pendant le délai communiqué. Les parties recherchent une solution ; en l’absence de solution acceptable, le client peut mettre fin à la fonction concernée ou au service avant ce changement et récupérer ses données.
Un transfert hors EEE ne peut être réalisé que conformément au chapitre V du RGPD, avec un mécanisme d’adéquation applicable ou des garanties appropriées et les mesures complémentaires nécessaires. Les informations utiles sur les garanties sont communiquées au client sur demande. Une simple localisation du projet à Paris ne vaut pas garantie d’absence de transfert.
| Prestataire / chaîne de service | Objet | Localisation indiquée |
|---|---|---|
| Supabase | Comptes, données métier, fichiers | Projet Paris ; prestations et sous-traitants internationaux possibles |
| OpenAI Ireland Ltd / ChatGPT Sites, avec Cloudflare | Application et données techniques de réunion | Infrastructure internationale, sans engagement de résidence EU propre à Sites |
| Resend | Emails transactionnels et pièces jointes | Traitement principal aux États-Unis selon son DPA |
| Mood Meeting, avec LiveKit | Réunions et transmission audiovisuelle | Routage et infrastructure dépendant de la configuration du service |
6. Droits, incidents et coopération
MOOD GROUP assiste le client, compte tenu de la nature du traitement et des informations disponibles, pour répondre aux demandes de droits, évaluer les risques, réaliser une analyse d’impact lorsque nécessaire et satisfaire aux obligations de sécurité. Une demande reçue directement concernant les données du client lui est transmise sans délai indu ; aucune réponse de fond contraire à ses instructions n’est faite, sauf obligation légale.
Une violation de données personnelles affectant les données confiées est notifiée au client sans délai indu après que MOOD GROUP en a pris connaissance. Les informations disponibles comprennent la nature et la portée, les catégories et volumes estimés de personnes et de données, les conséquences probables, les mesures prises ou proposées et un contact de suivi. Les compléments sont communiqués progressivement si nécessaire.
Le client décide des notifications à l’autorité et aux personnes pour les traitements dont il est responsable ; MOOD GROUP lui fournit l’assistance nécessaire. Cette disposition n’empêche pas MOOD GROUP de remplir ses propres obligations pour ses traitements distincts.
7. Information et audit
MOOD GROUP met à disposition les informations raisonnablement nécessaires pour démontrer le respect de cette annexe et permet les audits, y compris inspections, réalisés par le client ou son auditeur indépendant soumis à confidentialité.
Les modalités pratiques sont convenues de bonne foi, en privilégiant d’abord la documentation disponible et sans exposer les données d’autres clients ni les secrets de sécurité. Un préavis raisonnable est prévu sauf incident, demande d’une autorité ou urgence justifiée. Les modalités convenues ne peuvent vider le droit d’audit de sa substance.
8. Restitution et fin du traitement
À la fin de la prestation, MOOD GROUP restitue ou supprime les données selon le choix du client et les modalités de réversibilité des conditions. La suppression des copies suit également ces instructions, sauf obligation légale de conservation ; les données conservées à ce titre sont isolées de l’usage courant et limitées à cette finalité.
Le client peut exporter le bureau et les fichiers et demander un complément au support. Une suppression de compte expressément confirmée constitue une instruction d’effacement ; l’arrêt du renouvellement, seul, n’en constitue pas une. Les échéances des copies de sauvegarde ou journaux fournisseurs sont précisées sur demande et ne sont pas présentées comme un effacement instantané.