ANNEXE RELATIVE AU TRAITEMENT DES DONNÉES PERSONNELLES

Version du 2 novembre 2026

Cette annexe fait partie des Conditions Générales d’Utilisation et de Vente de Pulse.

Elle s’applique lorsque Mercier Conseil, dans le cadre de Pulse, traite des données personnelles pour le compte du Client.

1. Rôle des parties

Pour les traitements couverts par la présente annexe :

le Client agit en qualité de responsable du traitement lorsqu’il détermine les finalités et les moyens du traitement ;
Mercier Conseil agit en qualité de sous-traitant lorsqu’elle traite les données personnelles pour le compte du Client dans le cadre de Pulse.

Chaque partie respecte les obligations qui lui incombent au titre du RGPD et de la réglementation applicable.

2. Objet du traitement

Le traitement a pour objet de permettre la fourniture des fonctionnalités Pulse demandées par le Client, notamment :

analyse de sa visibilité locale ;
analyse et gestion des avis ;
préparation de réponses aux avis ;
génération de recommandations et contenus ;
préparation de campagnes marketing ;
publication de contenus après validation du Client lorsque la fonctionnalité est disponible ;
mesure et présentation de résultats ;
fonctionnement des connexions autorisées par le Client avec des services tiers.

À la date de la présente annexe, seule la lecture d’une fiche Google Business Profile et d’un compte Instagram professionnel est disponible, pour le calcul du Pulse Score. La gestion des avis, la génération de contenus, les campagnes, la publication et la connexion à Facebook ne sont pas encore disponibles.

3. Durée

Les traitements sont réalisés pendant la durée de la relation contractuelle et, pour certaines données, pendant la période nécessaire à leur restitution, à leur suppression, qui intervient trente (30) jours après une demande de suppression du compte, ou à leur conservation légalement obligatoire.

4. Nature des opérations

Selon les fonctionnalités utilisées, les opérations peuvent comprendre :

collecte ou réception ;
consultation ;
organisation ;
stockage ;
analyse ;
génération ou transformation ;
rapprochement ;
transmission aux services autorisés ;
publication sur instruction et après validation lorsque celle-ci est requise ;
suppression.

5. Finalités

Les données confiées par le Client sont traitées uniquement afin de fournir, sécuriser et maintenir les fonctionnalités Pulse demandées par celui-ci, conformément à ses instructions documentées.

Mercier Conseil ne réutilise pas pour ses propres finalités les données personnelles confiées exclusivement en qualité de sous-traitant, sauf autorisation du Client ou obligation légale.

6. Catégories de personnes concernées

Selon les services connectés et les usages du Client, les personnes concernées peuvent notamment être :

utilisateurs et collaborateurs du Client ;
clients ou prospects du Client ;
auteurs d’avis ;
utilisateurs interagissant avec les comptes professionnels ou publications du Client ;
autres personnes dont les données sont rendues accessibles par les services connectés.

7. Catégories de données

Les données peuvent notamment comprendre :

identité ou pseudonyme public ;
contenu d’un avis ou d’une interaction ;
réponses apportées ;
informations publiques associées à un profil ou une interaction ;
contenus et publications ;
données statistiques ou d’engagement ;
données professionnelles ;
informations nécessaires aux fonctionnalités demandées par le Client.

Pulse n’est pas destiné au traitement volontaire de catégories particulières de données sensibles au sens du RGPD.

Le Client s’engage à ne pas utiliser Pulse pour transmettre de telles données sauf nécessité identifiée, base juridique appropriée et accord préalable lorsque celui-ci est nécessaire.

8. Instructions du Client

Mercier Conseil traite les données uniquement sur instruction documentée du Client.

Constituent notamment des instructions documentées :

les présentes conditions et cette annexe ;
les paramètres configurés dans Pulse ;
les connexions activées par le Client ;
les actions et validations effectuées dans l’interface ;
les demandes écrites adressées à Mercier Conseil.

Si Mercier Conseil considère qu’une instruction constitue une violation de la réglementation applicable en matière de protection des données, elle en informe le Client dans les conditions prévues par le RGPD.

9. Confidentialité

Mercier Conseil veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation appropriée de confidentialité et n’accèdent aux données que dans la mesure nécessaire à leurs missions.

10. Sécurité

Mercier Conseil met en œuvre des mesures techniques et organisationnelles appropriées au risque.

Ces mesures peuvent notamment comprendre :

authentification des utilisateurs ;
contrôle des accès ;
isolation des données entre entreprises ;
limitation des droits techniques ;
utilisation de connexions sécurisées ;
gestion des secrets et identifiants techniques côté serveur ;
mécanismes de continuité proposés par les infrastructures utilisées (à ce jour, sans sauvegarde de la base de données) ;
journalisation et surveillance adaptées aux besoins du service ;
mises à jour et corrections de sécurité.

Les mesures évoluent avec l’architecture de Pulse et les risques identifiés.

11. Sous-traitants ultérieurs

Le Client autorise de manière générale Mercier Conseil à recourir à des sous-traitants ultérieurs lorsque cela est nécessaire à la fourniture de Pulse.

Ils peuvent notamment intervenir dans les domaines suivants :

hébergement et base de données ;
authentification ;
infrastructure applicative ;
e-mails transactionnels ;
intelligence artificielle ;
paiement ;
services connectés nécessaires aux fonctionnalités demandées.

Les sous-traitants ultérieurs actuellement utilisés sont Supabase (base de données et authentification, Irlande), Vercel (hébergement de l’application, Dublin) et Brevo (e-mails de compte, Union européenne). Google et Meta interviennent comme sources des données que le Client choisit de connecter. OpenAI est prévu mais n’est pas encore connecté ; le Client sera informé de son ajout selon les modalités ci-dessous.

Stripe, prestataire de paiement de Mercier Conseil, n’a pas accès aux données que Pulse traite pour le compte du Client. Il intervient uniquement pour le paiement des offres souscrites par le Client auprès de Mercier Conseil, traitement dans lequel il agit, selon les opérations, comme sous-traitant de Mercier Conseil ou comme responsable de traitement distinct, ainsi que le décrit la Politique de confidentialité Pulse.

Mercier Conseil veille à encadrer ses sous-traitants conformément aux exigences applicables.

Une liste à jour des principaux sous-traitants pourra être mise à disposition des Clients.

En cas d’ajout ou de remplacement significatif d’un sous-traitant ayant accès aux données traitées pour le compte du Client, Mercier Conseil informe le Client selon un moyen approprié afin de lui permettre de faire valoir, le cas échéant, une objection motivée liée à la protection des données.

12. Transferts hors Espace économique européen

Lorsque le recours à un prestataire entraîne un transfert de données personnelles hors de l’Espace économique européen, Mercier Conseil veille à l’existence d’un mécanisme juridique approprié conformément à la réglementation applicable.

À ce jour, les données sont hébergées dans l’Union européenne. Un accès depuis l’extérieur de l’Espace économique européen par Vercel Inc. (États-Unis) ou Supabase Pte. Ltd. (Singapour) reste possible ; il est encadré par les clauses contractuelles types adoptées par la Commission européenne et, pour Vercel Inc., par le Data Privacy Framework UE–États-Unis.

Les modalités correspondant aux prestataires effectivement utilisés sont documentées et mises à jour en fonction de l’architecture de Pulse.

13. Assistance au Client

Compte tenu de la nature du traitement et des informations dont elle dispose, Mercier Conseil assiste raisonnablement le Client afin de lui permettre de répondre à ses obligations en matière de protection des données, notamment concernant :

les demandes d’exercice de droits ;
la sécurité des traitements ;
les violations de données ;
les analyses d’impact lorsque celles-ci sont nécessaires ;
les demandes des autorités compétentes.

Lorsqu’une personne exerce auprès de Mercier Conseil un droit portant sur un traitement dont le Client est responsable, Mercier Conseil transmet la demande au Client ou l’assiste selon les circonstances, sans répondre à sa place sauf instruction ou obligation légale.

14. Violation de données personnelles

Mercier Conseil informe le Client dans les meilleurs délais après avoir pris connaissance d’une violation de données personnelles concernant les données traitées pour son compte, lorsque cette notification est requise.

Mercier Conseil fournit, dans la mesure des informations disponibles, les éléments utiles permettant au Client d’évaluer la violation et de respecter ses propres obligations.

15. Sort des données en fin de contrat

À l’issue de la prestation, Mercier Conseil supprime ou restitue les données personnelles traitées pour le compte du Client, selon les fonctionnalités disponibles, les instructions du Client et les obligations légales applicables.

Lorsque le Client demande la suppression de son compte, les données traitées pour son compte deviennent immédiatement inaccessibles, puis sont supprimées définitivement trente (30) jours plus tard, sauf annulation, sans possibilité de restauration. Avant cette suppression, le Client peut demander une copie de ses données en écrivant à pulse@mercier-conseil.fr.

16. Documentation et audit

Mercier Conseil tient à disposition du Client les informations raisonnablement nécessaires pour démontrer le respect de ses obligations en qualité de sous-traitant.

Lorsque la réglementation l’exige, le Client peut demander les informations nécessaires à la vérification de cette conformité.

Les modalités d’un éventuel audit sont convenues entre les parties de manière à ne pas compromettre la sécurité des autres Clients, les secrets d’affaires ou le fonctionnement de Pulse.

17. Obligations du Client

Le Client demeure responsable notamment :

de la licéité des données qu’il rend accessibles à Pulse ;
de la détermination des finalités et bases légales de ses traitements ;
de l’information des personnes lorsque celle-ci lui incombe ;
de la gestion des demandes de droits concernant ses propres traitements ;
des autorisations accordées à Pulse sur ses comptes externes ;
des instructions données à Mercier Conseil.

18. Contact

Les questions relatives à cette annexe peuvent être adressées à :

Mercier Conseil — Pulse
105B Avenue Thomas Decaroli
06700 Saint-Laurent-du-Var
France

pulse@mercier-conseil.fr