Accord de traitement des données

1. Objet et définitions

L’Accord fixe les conditions dans lesquelles le Sous-traitant traite, pour le compte et sur instruction du Responsable de traitement, les données personnelles saisies, importées ou générées dans le Service (les « Données »). Les termes « donnée personnelle », « traitement », « personne concernée », « violation de données » ont le sens du RGPD.

En cas de contradiction entre l’Accord et les autres documents contractuels sur le traitement de données personnelles, l’Accord prévaut.

2. Description du traitement

3. Instructions du Responsable de traitement

Le Sous-traitant traite les Données uniquement sur instruction documentée du Responsable de traitement, y compris pour les transferts hors de l’Union. Le contrat, la documentation du Service, les paramétrages du Client et ses actions dans le Service constituent ses instructions.

Si le Sous-traitant estime qu’une instruction viole le RGPD ou une autre disposition de protection des données, il en informe immédiatement le Responsable de traitement et peut suspendre l’exécution de cette instruction.

4. Confidentialité du personnel

Le Sous-traitant veille à ce que les personnes autorisées à traiter les Données soient tenues à une obligation de confidentialité, par contrat ou par obligation légale, et n’y accèdent que dans la mesure nécessaire à leur mission.

5. Mesures de sécurité

Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées, compte tenu de l’état de l’art, des coûts, de la nature des Données et des risques, notamment :

• hébergement en France chez un prestataire de premier plan ;
• chiffrement des communications (TLS) et chiffrement par établissement des secrets et identifiants ;
• cloisonnement logique des données de chaque Responsable de traitement ;
• authentification à deux facteurs disponible, sessions révocables, gestion des droits par utilisateur ;
• accès internes limités au strict nécessaire, journalisés ;
• sauvegardes régulières, procédure de restauration ;
• procédure de gestion des incidents de sécurité.

Le Sous-traitant réévalue ces mesures périodiquement. Le Responsable de traitement reste tenu de sécuriser ses propres accès (identifiants, appareils, comptes tiers connectés).

6. Sous-traitants ultérieurs

Le Responsable de traitement donne une autorisation générale de recourir aux sous-traitants ultérieurs suivants, nécessaires au Service :

Certains de ces services (messagerie, calendrier, paiement) sont activés et administrés par le Responsable de traitement lui-même, qui les relie à son propre compte ; il est alors directement lié par leurs conditions.

La lecture et la reconnaissance d’images et de documents (extraction de texte par reconnaissance optique de caractères) sont assurées par un service développé et exploité par Séjoria au sein de sa propre infrastructure d’hébergement. Ces opérations ne sont confiées à aucun sous-traitant ultérieur : les images et documents déposés ne sont transmis à aucun tiers pour leur analyse.

Le Sous-traitant informe le Responsable de traitement de tout ajout ou remplacement envisagé, par écrit, au moins trente (30) jours à l’avance. Le Responsable de traitement peut s’y opposer de manière motivée dans ce délai ; à défaut d’accord, il peut résilier le contrat sans frais pour la partie concernée. Le Sous-traitant impose à chaque sous-traitant ultérieur des obligations équivalentes à celles de l’Accord et demeure responsable envers le Responsable de traitement de leur exécution.

7. Droits des personnes et assistance

Compte tenu de la nature du traitement, le Sous-traitant aide le Responsable de traitement, par des mesures appropriées (export, rectification, suppression dans le Service), à répondre aux demandes d’exercice des droits des personnes concernées. Il lui transmet sans délai toute demande qu’il reçoit directement, sans y répondre lui-même.

Il l’assiste également, dans la mesure de ses moyens et sur demande raisonnable, pour la sécurité du traitement, les analyses d’impact et les consultations préalables de l’autorité de contrôle.

8. Violation de données

Le Sous-traitant notifie au Responsable de traitement toute violation de données le concernant dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans les quarante-huit (48) heures. La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et de données, les conséquences probables et les mesures prises ou proposées.

Il coopère avec le Responsable de traitement, qui décide de la notification à l’autorité de contrôle et aux personnes concernées.

9. Transferts hors de l’Union européenne

Les Données sont hébergées dans l’Union européenne. Un transfert hors de l’Union ne peut intervenir que dans le respect du chapitre V du RGPD : décision d’adéquation, ou clauses contractuelles types accompagnées de mesures complémentaires lorsque nécessaire.

Lorsque le Responsable de traitement relie lui-même un service tiers établi hors de l’Union (messagerie, calendrier, paiement), le transfert qui en résulte découle de son choix et de ses instructions.

10. Audit et documentation

Le Sous-traitant met à la disposition du Responsable de traitement les informations nécessaires pour démontrer le respect de l’Accord. Le Responsable de traitement peut, une fois par an et sauf incident avéré, faire réaliser un audit, par lui-même ou par un tiers soumis à confidentialité et non concurrent du Sous-traitant, sur préavis écrit d’au moins trente (30) jours, pendant les heures ouvrées et sans perturber l’exploitation.

L’audit se limite aux éléments pertinents pour les Données du Responsable de traitement et exclut l’accès aux données d’autres clients. Les frais d’audit sont à la charge du Responsable de traitement ; le temps passé par le Sous-traitant au-delà d’une journée est facturé sur devis.

11. Fin du contrat : restitution et suppression

Au terme du contrat, le Responsable de traitement dispose de trente (30) jours pour exporter les Données. À l’issue de ce délai, le Sous-traitant supprime les Données de ses systèmes de production, puis des sauvegardes selon leur cycle de rotation, qui ne dépasse pas quatre-vingt-dix (90) jours, sauf conservation exigée par la loi.

Sur demande écrite, le Sous-traitant atteste de la suppression.

12. Concierge IA et répartition des rôles

Le Responsable de traitement détermine les finalités et les moyens du traitement réalisé par le Concierge IA : il choisit les capacités activées, leur niveau d’autorisation (autorisé, confirmation requise, interdit) et les canaux. Le Sous-traitant exécute le traitement dans ce périmètre.

Le Responsable de traitement veille à informer les personnes concernées, lorsque la loi l’exige, qu’elles interagissent avec un système automatisé.

13. Obligations du Responsable de traitement

Le Responsable de traitement garantit que les Données ont été collectées licitement, qu’il a informé les personnes concernées et disposé d’une base légale, que ses instructions sont conformes au RGPD, et qu’il tient son propre registre des traitements. Il informe le Sous-traitant de toute évolution de ses instructions susceptible d’affecter le traitement.

14. Responsabilité, durée et droit applicable

La responsabilité des parties au titre de l’Accord est régie par les conditions générales de vente, sans préjudice des droits que les personnes concernées tiennent de l’article 82 du RGPD. L’Accord prend effet à l’activation du compte et dure tant que le Sous-traitant traite des Données.

Il est soumis au droit français. Pour toute question relative à l’Accord : contact@sejoria.com.