Accord de sous-traitance des données (DPA)

Au sens de l'article 28 du Règlement (UE) 2016/679 (RGPD)

Version : 1.1 — Entrée en vigueur : 23 juin 2026 — Dernière mise à jour : 28 août 2026

Service concerné : Léyon, agent d'assistance aux devis et à la facturation

Cet accord fait partie intégrante des conditions d'utilisation du service Léyon. En activant
le service et en connectant ses comptes (Qonto, Gmail), le Client accepte le présent
accord. Il encadre le traitement, par YARMA VIDEOS, des données personnelles pour le compte
du Client.

1. Parties

Le Responsable de traitement (ci-après « le Client ») : la personne physique ou

morale abonnée au service Léyon, qui détermine les finalités et les moyens du traitement de

ses propres données et de celles de ses prospects et clients.

Le Sous-traitant (ci-après « YARMA VIDEOS ») :

2. Objet

Le présent accord définit les conditions dans lesquelles YARMA VIDEOS traite, **pour le

compte et sur les instructions** du Client, les données personnelles nécessaires à la

fourniture du service Léyon.

Le présent accord ne couvre que le rôle de YARMA VIDEOS en tant que sous-traitant.
Pour les données dont YARMA VIDEOS est elle-même responsable (compte, abonnement,
facturation), c'est la Politique de confidentialité qui s'applique.

3. Description du traitement (annexe art. 28.3)

4. Instructions documentées (art. 28.3.a)

YARMA VIDEOS traite les données personnelles uniquement sur instruction documentée du

Client. Constituent de telles instructions : le présent accord, les paramètres et actions du

Client dans le service, et toute consigne écrite ultérieure.

YARMA VIDEOS informe le Client si une instruction lui paraît constituer une violation du RGPD

ou d'une autre disposition applicable.

YARMA VIDEOS n'utilise jamais les données à ses propres fins, ne les vend pas, et ne les

exploite pas pour entraîner des modèles d'IA généraux.

5. Confidentialité (art. 28.3.b)

YARMA VIDEOS garantit que toute personne autorisée à traiter les données est soumise à une

obligation de confidentialité (contractuelle ou légale).

6. Sécurité (art. 28.3.c renvoyant à l'art. 32)

YARMA VIDEOS met en œuvre des mesures techniques et organisationnelles appropriées,

notamment :

• chiffrement au repos des jetons OAuth et secrets sensibles ;
• chiffrement en transit (TLS) ;
• cloisonnement des données par Client ;
• contrôle d'accès restreint et authentification forte ;
• journalisation des accès et actions sensibles ;
• sauvegardes chiffrées et procédure de restauration ;
• principe du moindre privilège sur les scopes demandés (Gmail : lecture pour détecter,

envoi uniquement après confirmation).

7. Sous-traitants ultérieurs (art. 28.2 et 28.4)

Le Client autorise YARMA VIDEOS à recourir aux sous-traitants ultérieurs suivants, chacun

lié par des obligations de protection équivalentes à celles du présent accord :

Qonto et Google (Gmail) sont des services connectés à l'initiative du Client sur ses
propres comptes, par le protocole OAuth : YARMA VIDEOS ne détient à aucun moment
l'identifiant ou le mot de passe du Client, et le Client en accepte les conditions
directement auprès d'eux. Ce n'est pas le cas de Pennylane à ce jour : Pennylane ne
propose pas encore de partenariat OAuth ouvert aux intégrateurs comme Léyon (seuil annoncé
par Pennylane : environ 100 clients Léyon connectés, avant réévaluation). En attendant, le
Client saisit lui-même sa clé API Pennylane dans Léyon, laquelle est **chiffrée au
repos (même mécanisme que les jetons OAuth Qonto et Gmail, §6) et jamais réaffichée en
clair**. Cette clé donnant à YARMA VIDEOS un accès qu'elle ne détient pas pour Qonto ou
Google, Pennylane figure ici comme sous-traitant ultérieur à part entière, et non parmi
les services connectés à l'initiative du Client. Il s'agit d'une exception temporaire,
levée dès l'ouverture du partenariat OAuth Pennylane. **Statut au 28 août 2026 : l'accord de
sous-traitance avec Pennylane est en cours de formalisation ; sa signature est requise avant
toute ouverture de la bêta Pennylane en production**, conformément au présent accord.

YARMA VIDEOS informe le Client de tout ajout ou remplacement de sous-traitant ultérieur

au moins 30 jours à l'avance, lui permettant de s'y opposer pour un motif légitime. En

cas d'opposition non résolue, le Client peut résilier le service.

8. Assistance au Client (art. 28.3.e et 28.3.f)

YARMA VIDEOS aide le Client, dans la mesure du possible et compte tenu de la nature du

traitement :

• à répondre aux demandes d'exercice de droits des personnes concernées (accès,

rectification, effacement, portabilité, opposition) ;

• à assurer le respect des obligations de sécurité, de notification de violation et,

le cas échéant, d'analyse d'impact (AIPD).

Toute demande d'une personne concernée reçue directement par YARMA VIDEOS est **transmise

sans délai** au Client, qui en est responsable.

9. Notification des violations (art. 28.3.f renvoyant à l'art. 33)

YARMA VIDEOS notifie au Client toute violation de données personnelles le concernant

sans délai injustifié après en avoir pris connaissance, avec les informations utiles pour

permettre au Client de remplir ses propres obligations (notamment la notification à la CNIL

sous 72 h). La procédure interne figure dans la Politique de gestion des incidents.

10. Sort des données en fin de contrat (art. 28.3.g)

Au terme de la prestation, au choix du Client, YARMA VIDEOS supprime ou restitue

l'ensemble des données personnelles traitées pour son compte, et détruit les copies

existantes, sauf obligation légale de conservation. À défaut d'instruction du Client dans un

délai de 30 jours après la fin du contrat, les données sont supprimées par défaut,

conformément à la Politique de suppression des données.

11. Audit et démonstration de conformité (art. 28.3.h)

YARMA VIDEOS met à la disposition du Client les informations nécessaires pour démontrer le

respect des obligations du présent article et permet la réalisation d'audits, dans la

limite d'une fois par an, sur préavis raisonnable, ou à la suite d'un incident de sécurité

avéré. Les audits s'exercent dans le respect de la confidentialité des autres clients et de

la sécurité de l'infrastructure.

12. Transferts hors Union européenne

Tout transfert de données hors de l'UE par un sous-traitant ultérieur est encadré par les

Clauses Contractuelles Types de la Commission européenne (art. 46 RGPD) et, le cas

échéant, par le Data Privacy Framework. YARMA VIDEOS minimise en amont les données

transmises.

13. Durée

Le présent accord prend effet à l'activation du service et demeure en vigueur tant que YARMA

VIDEOS traite des données personnelles pour le compte du Client. Les obligations de

confidentialité et de sort des données survivent à la fin du contrat.

14. Hiérarchie et droit applicable

En cas de contradiction entre le présent accord et les conditions générales du service sur

la protection des données, le présent accord prévaut. Il est régi par le **droit

français** et soumis, en cas de litige, aux juridictions compétentes françaises.

Acceptation : l'activation du service Léyon et la connexion d'un compte Qonto ou Gmail

valent acceptation du présent accord par le Client.