Accord de sous-traitance

Le présent accord complète les conditions générales et régit les traitements de données personnelles que EVENSY (le « Sous-traitant ») réalise pour le compte du Client (le « Responsable de traitement »), conformément à l'article 28 du RGPD.

1. Objet, durée, nature et finalité

2. Données et personnes concernées

Types de données : contenus éditoriaux et documents fournis par le Client pouvant contenir des données personnelles ; identifiants et jetons d'accès aux comptes sociaux ; identité des utilisateurs de l'espace de travail ; statistiques de diffusion agrégées.

Catégories de personnes : collaborateurs et représentants du Client ; personnes mentionnées dans les contenus qu'il dépose.

Le Client s'interdit de déposer des données relevant de l'article 9 du RGPD (santé, opinions, orientation, convictions) ou des données relatives à des infractions. Le Service n'est pas conçu pour de tels traitements.

3. Obligations du Sous-traitant

1. Traiter sur instruction documentée. Les données ne sont traitées que pour exécuter le service et selon les instructions du Client. Si une instruction paraît constituer une violation du RGPD, le Sous-traitant en informe le Client.
2. Confidentialité. Toute personne autorisée à traiter les données est tenue à une obligation de confidentialité.
3. Sécurité. Mise en œuvre des mesures de l'article 32 : chiffrement des jetons au repos, chiffrement en transit, cloisonnement par espace de travail, hachage des mots de passe, journalisation des actions sensibles, sauvegardes.
4. Sous-traitance ultérieure. Le Client autorise de façon générale le recours aux sous-traitants listés ci-dessous. Tout ajout ou remplacement est notifié au Client trente jours à l'avance ; le Client peut s'y opposer pour motif légitime et, à défaut d'accord, résilier sans frais. Les sous-traitants ultérieurs sont tenus aux mêmes obligations, et le Sous-traitant demeure pleinement responsable de leur exécution.
5. Droits des personnes. Assistance au Client pour répondre aux demandes d'exercice de droits. Toute demande reçue directement est transmise au Client sans délai, sans y répondre à sa place.
6. Violations de données. Notification au Client dans les 48 heures suivant la prise de connaissance, avec les éléments permettant au Client de respecter son propre délai de 72 heures.
7. Analyses d'impact. Assistance au Client pour la réalisation d'une AIPD et, le cas échéant, la consultation préalable de la CNIL.
8. Sort des données. À la fin du contrat, et au choix du Client, restitution ou suppression de l'ensemble des données, selon les durées indiquées ci-dessous. Les copies sont détruites, sauf conservation imposée par la loi.

4. Sous-traitants ultérieurs autorisés

5. Transferts hors Union européenne

Les transferts vers les États-Unis sont encadrés par les clauses contractuelles types de la Commission européenne, complétées des mesures techniques décrites à l'article 3 : chiffrement en transit, minimisation des données transmises, et exclusion des secrets d'authentification.

6. Audit

Le Client peut demander, une fois par an et moyennant un préavis raisonnable, les éléments justifiant du respect du présent accord. Un audit sur site peut être conduit en cas de motif sérieux, aux frais du Client et sans perturber l'exploitation.

7. Registre et durées

Le Sous-traitant tient le registre des catégories d'activités de traitement prévu à l'article 30.2. Les durées de conservation appliquées sont les suivantes :

8. Contact

Toute question relative au présent accord : steeven@evensy.fr.