Accord de traitement des données personnelles

1. Description du traitement

2. Instructions

Le Sous-traitant traite les données uniquement pour la finalité ci-dessus et sur instructions documentées du Responsable de traitement : les conditions générales, cet accord et les réglages effectués dans le Service constituent ces instructions. Il informe immédiatement le Responsable de traitement s'il estime qu'une instruction est contraire au droit applicable.

3. Confidentialité et sécurité

Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité. Le Sous-traitant met en œuvre les mesures de l'annexe 1 pour garantir un niveau de sécurité adapté au risque (article 32 du RGPD).

4. Sous-traitants ultérieurs

Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs de l'annexe 2. Le Sous-traitant l'informe au moins 30 jours avant tout ajout ou remplacement ; le Responsable de traitement peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier sans frais. Le Sous-traitant impose à chacun des obligations équivalentes à celles du présent accord et reste responsable de leur exécution.

5. Transferts hors de l'Union européenne

La base de données est hébergée dans l'Union européenne (Irlande). Les transferts hors de l'Union, liés aux prestataires de l'annexe 2, sont encadrés par une décision d'adéquation (Data Privacy Framework UE–États-Unis) lorsque le prestataire y est certifié, ou à défaut par les clauses contractuelles types de la Commission européenne.

6. Assistance au Responsable de traitement

• Droits des personnes : le Sous-traitant transmet sans délai toute demande reçue et fournit les moyens d'y répondre (modification et suppression dans le Service, export sur demande).
• Analyse d'impact et consultation préalable : il fournit les informations dont il dispose.
• Démonstration de la conformité : il met à disposition les informations nécessaires et permet un audit par an, avec un préavis de 30 jours, aux frais du Responsable de traitement, par un auditeur tenu au secret et sans perturber le Service.

7. Violation de données

Le Sous-traitant notifie au Responsable de traitement toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec les informations prévues à l'article 33.3 du RGPD dont il dispose, afin que le Responsable de traitement puisse, le cas échéant, notifier la CNIL dans les 72 heures.

8. Fin du traitement

À la fin du contrat, le Sous-traitant restitue les données au Responsable de traitement qui en fait la demande dans les 30 jours (export dans un format courant), puis détruit toutes les copies au plus tard 60 jours après la fin du contrat, sauf obligation légale de conservation. Il confirme la suppression sur demande.

9. Obligations du Responsable de traitement

• disposer d'une base légale pour chaque traitement et ne fournir que des données nécessaires ;
• informer les personnes concernées (ouvriers, clients finaux, prospects) du traitement de leurs données et de leurs droits, par exemple : « Vos données sont enregistrées dans l'outil Le K Suivi pour le suivi du chantier, du temps de travail et des paiements. Vous pouvez y accéder ou les faire rectifier auprès de [nom de l'entreprise]. » ;
• pour ses salariés, respecter le Code du travail en matière de contrôle du temps de travail (information préalable, consultation du CSE le cas échéant) ;
• tenir son registre des activités de traitement.

10. Registre et responsabilité

Le Sous-traitant tient le registre des catégories d'activités de traitement effectuées pour le compte de ses clients (article 30.2 du RGPD). Chaque partie répond de ses manquements dans les conditions de l'article 82 du RGPD, dans les limites prévues aux conditions générales lorsque la loi le permet.

Annexe 1 : mesures de sécurité

• chiffrement des échanges (HTTPS / TLS) ;
• mots de passe chiffrés de façon irréversible par le service d'authentification ;
• cloisonnement des données par entreprise et par rôle appliqué dans la base de données (règles d'accès au niveau des lignes) ;
• accès par lien personnel complété d'un mot de passe, blocage temporaire après 5 essais ratés, désactivation des liens et réinitialisation des accès par l'entreprise ;
• clés d'administration conservées côté serveur uniquement, accès d'administration limité à l'Éditeur ;
• chiffrement des données au repos et sauvegardes assurés par l'hébergeur de base de données ;
• hébergement de la base de données dans l'Union européenne (Irlande).

Annexe 2 : sous-traitants ultérieurs autorisés