Accord de sous-traitance des données (RGPD, art. 28)

Le Sous-traitant héberge et traite, pour le compte du Responsable de traitement, les données personnelles que celui-ci enregistre dans le Service, pour la seule finalité de lui fournir le Service (gestion commerciale, logistique, planification des équipes, facturation), pendant la durée du contrat.

•Clients et prospects, leurs contacts : identité, coordonnées, adresses, informations de facturation, échanges, signatures électroniques de devis.

•Membres des équipes (salariés, intermittents, prestataires) : identité, coordonnées, disponibilités, affectations, temps de travail, tarifs.

•Utilisateurs du Service : identité, coordonnées, journaux de connexion.

Le Responsable de traitement s'abstient d'enregistrer des données sensibles (santé, opinions…) ou des numéros d'identification non nécessaires.

•Traiter les données uniquement sur instruction documentée du Responsable de traitement (le contrat et l'usage du Service valent instructions) et l'informer si une instruction lui paraît contraire à la réglementation.

•Garantir la confidentialité : seules les personnes habilitées et tenues au secret accèdent aux données.

•Mettre en œuvre les mesures de sécurité de l'article 32 du RGPD : chiffrement des échanges, hachage des mots de passe, double authentification, contrôle d'accès par rôles, cloisonnement entre entreprises, journalisation, sauvegardes, tests de sécurité réguliers.

•Aider le Responsable de traitement à répondre aux demandes des personnes : le Service permet d'exporter et d'anonymiser les données d'un client ou d'un membre d'équipe.

•Notifier toute violation de données dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles à la notification à la CNIL.

•Aider à la réalisation d'analyses d'impact et tenir un registre des activités de traitement effectuées pour le compte de ses clients.

Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants : hébergement — [à compléter] ([à compléter]) ; envoi des emails — [à compléter] (sauf si le Client utilise son propre serveur d'envoi).

Tout changement est annoncé au moins 30 jours à l'avance ; le Client peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier le contrat. Les sous-traitants ultérieurs sont tenus aux mêmes obligations.

Les données sont hébergées : [à compléter]. Aucun transfert hors de l'Union européenne sans garanties appropriées (art. 44 et suivants du RGPD).

Il fournit les données de façon licite, informe les personnes concernées (ses clients, ses équipes), définit les durées de conservation dans le Service (Paramètres → Conformité) et traite leurs demandes.

Le Responsable de traitement exporte ses données (export complet disponible à tout moment). 30 jours après la clôture du compte, le Sous-traitant supprime toutes les données et leurs copies, sauf obligation légale contraire ; les sauvegardes sont effacées à l'expiration de leur cycle de rotation.

Le Sous-traitant met à disposition la documentation nécessaire pour démontrer le respect de ces obligations et permet des audits, dans des conditions raisonnables (préavis de 30 jours, une fois par an, aux frais du Client sauf manquement constaté).

Données personnelles : [à compléter].