--- title: "Vos données d'abonnés vous appartiennent" description: "RGPD presse : l'éditeur est responsable de traitement, le prestataire sous-traitant. Export, portabilité, hébergement UE. Position Prism' documentée." canonical: "https://www.editeurprism.fr/donnees-abonnes-appartiennent-editeur.html" type: article audience: editeurs-presse updated: 2026-07-14 author: Morgan Cayre organization: "Prism'" --- Accueil › Gestion abonnés › Données abonnés RGPD · 5 min # Vos données d'abonnés vous appartiennent Nom, adresse, historique d'achats, moyens de paiement tokenisés : c'est votre actif. Le RGPD le dit clairement. Pourtant beaucoup d'éditeurs découvrent qu'ils ne peuvent pas exporter leur base sans attendre des semaines, ni payer un supplément. Par Morgan Cayre Art.28 sous-traitant Art.20 portabilité CSV export Prism' Guide Qualification ## Responsable vs sous-traitant : qui reste garant ? L'éditeur détermine les finalités (expédition, facturation, marketing) : c'est le responsable de traitement. Le gestionnaire d'abonnements exécute sur instruction documentée : c'est le sous-traitant. Externaliser la gestion d'abonnés ne transfère jamais cette responsabilité, même si le prestataire héberge et manipule l'intégralité de la base au quotidien. L'article 29 du RGPD interdit au sous-traitant d'utiliser les données à ses propres fins ou de les retenir pour forcer un renouvellement. En pratique, cela signifie que l'éditeur doit garder la main : accès aux logs, droit d'audit et capacité d'exporter sa base à tout moment, pas seulement en cas de contentieux. Benchmark marché Un export complet de base abonnés peut prendre plusieurs semaines et coûter jusqu'à environ 5 000 € sur deux mois chez certains prestataires historiques. Prism' inclut les exports dans le tarif unique. ## Check-list DPA et due diligence avant signature Ces points doivent figurer dans votre contrat, pas seulement dans une politique de confidentialité générique. DPA conforme art. 28 avec liste des sous-traitants ultérieurs Localisation des données (UE, idéalement France) Modalités d'export (format, délai, coût en cours de contrat et en fin) Droit de portabilité art. 20 (format structuré, lisible par machine) Clause de réversibilité sans pénalité abusive Procédure de notification de violation sous 72 h Droit d'audit annuel du responsable de traitement, accès aux logs ## Portabilité et export courant L'article 20 du RGPD donne aux personnes le droit de récupérer leurs données dans un format structuré. Pour l'éditeur, l'enjeu est aussi opérationnel : campagnes, réconciliation ACPM, audits CNIL. Un export CSV complet ne devrait pas coûter plusieurs milliers d'euros ni prendre deux mois. - Identité et coordonnées (postal, e-mail, téléphone) - Statut abonnement (actif, suspendu, impayé) - Historique des paiements et modes d'encaissement - Dates anniversaire et préavis (pour les relances Chatel) - Consentements marketing et traces de contact ## RGPD : les articles clés pour un contrat presse Cinq articles à connaître avant de signer ou de renouveler un contrat de gestion d'abonnés. ArticleCe qu'il change pour l'éditeur Art. 20Droit à la portabilité : export structuré, lisible par machine Art. 28Encadrement du sous-traitant, liste des sous-traitants ultérieurs Art. 29Interdiction d'utiliser les données à des fins propres Art. 32Obligation de sécurité du traitement (accès, chiffrement) Art. 33Notification d'une violation de données sous 72 h à la CNIL ## Sécurité et hébergement Ce qu'un éditeur peut exiger de vérifier chez son prestataire. 🇫🇷 ### Hébergement France/UE Infrastructure cloud en région Paris, sur des datacenters certifiés. Aucun transfert hors UE sans garanties contractuelles documentées. 📄 ### Sous-traitance contractualisée Chaque sous-traitant ultérieur (hébergeur, paiement, e-mail) est encadré par un DPA à jour et listé pour l'éditeur. 🔐 ### Authentification forte Accès administrateurs protégés par authentification forte ; certifications applicatives (ex. SOC 2) communicables sous NDA en due diligence. 💳 ### Aucune carte en clair Seuls des identifiants techniques tokenisés transitent via le prestataire de paiement ; aucune donnée bancaire n'est conservée en clair côté gestionnaire d'abonnements. ## Retours documentés du marché et réversibilité Trois constats qui montrent pourquoi la propriété des données ne se règle pas seulement en interne. Délais longs Retours du marché Des éditeurs comme Fou de Pâtisserie ou Tchoupi ont parfois constaté des délais d'export longs ou des formats peu exploitables pour leurs campagnes saisonnières. Ce n'est pas qu'un sujet informatique : c'est un frein réel pour le marketing relationnel et la réactivité commerciale. 0,50 € HT Exports inclus chez Prism' Exports dans le tarif unique par abonné et par parution, documentation de sécurité et d'hébergement disponible pour vos audits (DPA, registre des sous-traitants). 30 jours Réversibilité continue La réversibilité ne devrait pas être une clause activée au contentieux. Restitution standard sous 30 jours, cible 7 jours en offre entreprise. Voir Data Act et loi SREN et la leçon GLI 2016. En savoir plus sur le périmètre complet du service : Gestion abonnés presse → Information générale. Cet article ne constitue pas un conseil juridique. Pour votre situation précise, consultez un avocat ou votre service juridique. ## Sources - Règlement (UE) 2016/679 (RGPD) (EUR-Lex) - Responsable de traitement (CNIL) - Sous-traitant au sens du RGPD (CNIL) - Le droit à la portabilité des données (CNIL) ## Voir aussi Gestion abonnés pressePérimètre service. Migration sans coupureMéthode 4 phases. Data Act & SRENDroit de partir gratuitement. Déclaration ACPMDes données propres, certifiables. ## Questions fréquentes Qui est responsable de traitement des données abonnés ? L'éditeur de presse. Le prestataire de gestion d'abonnements n'est qu'un sous-traitant au sens de l'article 28 du RGPD. Le prestataire peut-il facturer chaque export ? En fin de contrat, il doit restituer ou détruire les données sur instruction du responsable de traitement (art. 28.3.g). Conditionner l'accès courant à des frais disproportionnés contrevient à l'esprit du RGPD. Comment Prism' traite les données hébergées ? Données hébergées en France et dans l'Union européenne (infrastructure cloud, région Paris). Sous-traitants listés dans le DPA ; datacenters certifiés ; certifications des prestataires disponibles en due diligence. Accès administrateurs protégés par authentification forte. Aucune carte bancaire stockée en clair. Export CSV ou JSON. Que doit contenir un DPA conforme ? Finalités, durées, mesures de sécurité, liste des sous-traitants, procédure de violation, restitution ou destruction en fin de contrat, assistance aux droits des personnes. Peut-on exporter pendant le contrat sans frais ? Le RGPD n'interdit pas tous les frais, mais conditionner l'accès courant à des montants disproportionnés contrevient à l'esprit de la portabilité et de la réversibilité. Qu'est-ce qu'un sous-traitant ultérieur ? Un prestataire technique auquel votre gestionnaire d'abonnements délègue une partie du traitement (hébergement, envoi d'e-mails, paiement). Il doit être listé dans le DPA et approuvé par l'éditeur, responsable de traitement. ## Audit données & contrat On regarde votre DPA actuel et votre capacité d'export réelle. Prendre rendez-vous Nous écrire