ACCORD DE TRAITEMENT DES DONNÉES À CARACTÈRE PERSONNEL (art. 28 RGPD)
Entre :
[RAISON SOCIALE DE L'ORGANISATION CLIENTE], [SIRET CLIENT], [ADRESSE CLIENT], représentée par [NOM, QUALITÉ] (« le Responsable de traitement » ou « le Client »),
et :
Florent Douteau (éditeur de TEK-edit), entrepreneur individuel, SIRET 519 356 661 00057, 109 Impasse des Essarts, 69400 Porte des Pierres Dorées (France), représenté par Florent Douteau (« le Sous-traitant » ou « l'Éditeur »),
il est convenu ce qui suit :
Préambule
L'Éditeur fournit au Client l'application TEK-edit (génération de rapports d'intervention, devis, signatures électroniques, hébergement documentaire). À cette fin, il traite des données à caractère personnel pour le compte du Client, en qualité de sous-traitant au sens de l'article 28 du Règlement (UE) 2016/679 (RGPD).
Article 1 — Objet et périmètre du traitement
| Rubrique | Description |
|---|---|
| Durée du traitement | Durée de l'abonnement du Client, puis [30/60/90] jours d'accès d'export |
| Nature des opérations | Collecte, enregistrement, stockage, consultation, génération de documents, apposition de signatures et preuves, sauvegarde, hébergement, suppression |
| Finalités | Fourniture de l'application TEK-edit conformément aux CGU/CGV |
| Types de données | Identité et coordonnées des clients finaux et contacts ; données des équipements ; photos d'intervention ; données de signature (nom, image de signature, horodatage, empreinte du document, adresse IP, géolocalisation de preuve) ; contenus des rapports et devis |
| Catégories de personnes concernées | Clients et contacts des Organisations ; signataires des rapports/devis ; toute personne figurant sur les photos d'intervention |
Article 2 — Instructions du Responsable de traitement
Le Sous-traitant traite les données uniquement sur instruction documentée du Client (paramétrage de l'Application). Il informe immédiatement le Client si une instruction lui paraît violer le RGPD ou le droit de l'Union ou des États membres ; en cas de persistance, le Sous-traitant peut suspendre l'exécution de l'instruction litigieuse.
Article 3 — Confidentialité et personnel
Le Sous-traitant s'engage à :
- garantir la confidentialité des données traitées, y compris après la fin de la relation ;
- limiter l'accès aux données au personnel habilité, soumis à une obligation de confidentialité et formé à la sécurité de l'information ;
- encadrer les accès de ses propres prestataires de support technique.
Article 4 — Mesures de sécurité
Le Sous-traitant met en œuvre les mesures de l'article 32 RGPD, notamment : chiffrement des communications (TLS) ; cloisonnement des données par Organisation avec sécurité au niveau des lignes ; authentification et gestion des rôles ; journalisation des accès ; hachage et scellement des documents signés ; sauvegardes régulières ; gestion des vulnérabilités ; procédure de gestion des incidents.
Article 5 — Sous-traitants ultérieurs (sous-traitance ultime)
Le Client autorise expressément le recours aux sous-traitants ultimes suivants :
| Sous-traitant | Traitement | Localisation |
|---|---|---|
| Base44 / Wix.com Ltd. | Hébergement de l'application et des données | [PAYS / UE] |
| [STRIPE] | Traitement des paiements (données limitées) | [PAYS] |
Le Sous-traitant informe le Client de tout changement envisagé au titre d'un nouveau sous-traitant, en lui laissant la possibilité de s'y opposer dans un délai de [30] jours. Les sous-traitants ultimes sont soumis aux mêmes obligations de protection des données que le Sous-traitant, qui en demeure responsable envers le Client.
Article 6 — Transferts hors Union européenne
Le Sous-traitant s'engage à ne transférer les données hors UE que sur la base de garanties appropriées (décision d'adéquation ou clauses contractuelles types de la Commission européenne), en informant préalablement le Client. Une copie des garanties peut être obtenue sur demande.
Article 7 — Assistance au Client
Dans la mesure du possible, le Sous-traitant assiste le Client pour :
- la réponse aux demandes d'exercice de droits des personnes concernées (accès, rectification, effacement...) ;
- les analyses d'impact relatives à la protection des données (AIPD) et la consultation préalable de la CNIL ;
- la notification des violations de données : le Sous-traitant informe le Client sans délai indu, et au plus tard dans [48 heures] après en avoir pris connaissance, de toute violation de données à caractère personnel, en fournissant les éléments de l'article 33 § 3 du RGPD ;
- les audits de sécurité et de conformité.
Article 8 — Registre et documentation
Le Sous-traitant tient à la disposition du Client la documentation relative au traitement, notamment les registres de ses sous-traitants et, sur demande, les mesures de sécurité et certifications applicables.
Article 9 — Sort des données à la fin du contrat
À la résiliation ou expiration de l'abonnement, le Sous-traitant :
- met les données à disposition du Client pendant [30/60/90] jours (export) ;
- supprime ensuite l'ensemble des données personnelles, sauf obligation légale de conservation, et en certifie la suppression sur demande.
Article 10 — Droit applicable
Accord soumis au droit français. Litiges selon les règles de compétence des CGV.
Fait à [VILLE], le [DATE]
Le Responsable de traitement Le Sous-traitant [NOM, signature] [NOM, signature]