Accord de sous-traitance des données personnelles

1. Parties et objet

Le présent accord est conclu entre l'entreprise cliente abonnée au service Cléa (« le Responsable de traitement ») et [à compléter : prénom et nom], entrepreneur individuel (EI) (« le Sous-traitant »). Il fait partie intégrante des conditions générales de vente et définit les conditions dans lesquelles le Sous-traitant traite des données personnelles pour le compte du Responsable de traitement, conformément à l'article 28 du règlement (UE) 2016/679 (« RGPD »).

2. Description du traitement

• Nature et finalité : réception et analyse des e-mails adressés au Responsable de traitement, préparation de propositions de réponse, envoi des réponses validées, tenue du planning, des contacts, du suivi des réservations et des campagnes de prospection.
• Personnes concernées : clients, prospects, contacts et correspondants du Responsable de traitement ; utilisateurs désignés par lui.
• Données : identité et coordonnées professionnelles, contenu des e-mails et pièces d'information associées, demandes et réservations (dates, effectifs, besoins particuliers tels que mobilité ou allergies signalés par le contact), historique des échanges.
• Durée : la durée de l'abonnement, puis le délai de restitution prévu à l'article 9. Les durées de conservation sont réglées par le Responsable de traitement dans l'écran « Données & RGPD ».

Le Responsable de traitement s'engage à ne pas confier au service de catégories particulières de données (article 9 du RGPD) au-delà de ce qu'exige l'accueil des personnes concernées. [à vérifier : mentions d'allergies ou de handicap — base légale et information des personnes]

3. Instructions

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement : les présentes, les réglages effectués dans le service et les actions de ses utilisateurs. Il l'informe immédiatement si une instruction lui paraît contraire au RGPD.

4. Confidentialité

Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité. Elles n'accèdent aux contenus du Responsable de traitement que pour le support demandé par lui ou pour la sécurité du service.

5. Sécurité

Le Sous-traitant met en œuvre les mesures décrites en annexe 1, qu'il peut faire évoluer sans en réduire le niveau.

6. Sous-traitants ultérieurs

Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs listés en annexe 2. Le Sous-traitant l'informe de tout ajout ou remplacement au moins [à compléter : délai, ex. 30 jours] à l'avance ; le Responsable de traitement peut s'y opposer pour un motif légitime et, à défaut de solution, résilier sans pénalité. Le Sous-traitant impose à chaque sous-traitant ultérieur des obligations équivalentes et reste responsable de leur respect.

7. Droits des personnes et assistance

Le service fournit au Responsable de traitement les moyens de répondre aux demandes des personnes (accès, rectification, export, effacement, opposition à la prospection). Le Sous-traitant transmet sans délai toute demande reçue directement et l'assiste, dans la mesure du possible, pour les analyses d'impact et la consultation de l'autorité de contrôle.

8. Violation de données

Le Sous-traitant notifie au Responsable de traitement toute violation de données personnelles dans un délai maximal de [à compléter : délai, ex. 48 heures] après en avoir pris connaissance, avec les informations disponibles pour lui permettre de satisfaire à ses propres obligations (articles 33 et 34 du RGPD).

9. Fin du traitement

À la fin de l'abonnement, le Responsable de traitement peut exporter ses données pendant [à compléter : délai, ex. 30 jours]. Le Sous-traitant supprime ensuite les données et leurs copies, sauf obligation légale de conservation, et le confirme sur demande. Les sauvegardes sont effacées à l'expiration de leur cycle de rotation de [à compléter : durée].

10. Audit

Le Sous-traitant met à disposition les informations nécessaires pour démontrer le respect du présent accord et permet des audits, sur préavis de [à compléter : délai], aux frais du Responsable de traitement, au plus une fois par an sauf violation avérée.

Annexe 1 — Mesures techniques et organisationnelles

• Isolement des données de chaque entreprise jusque dans la base : règles d'accès par ligne sur toutes les tables portant des données d'entreprise, et contrôle interdisant qu'une donnée pointe vers celle d'une autre entreprise.
• Rôles (responsable, éditeur, lecteur) appliqués par l'application et par la base ; le personnel d'accueil n'accède ni aux e-mails ni au fichier de contacts.
• Jetons d'accès aux boîtes de messagerie chiffrés (AES-256-GCM) ; clés de service conservées côté serveur uniquement.
• Connexions chiffrées (HTTPS) ; confirmation de l'adresse e-mail des comptes.
• Journal horodaté des actions, avec leur auteur ; corrections de montants tracées avec l'ancienne valeur.
• Aucun contenu d'e-mail n'est conservé dans les journaux de consommation de l'IA, qui ne gardent que des compteurs.
• Validation humaine avant tout envoi, sauf envoi automatique activé expressément par le Responsable de traitement.
• Limitation du nombre de requêtes par utilisateur et par adresse IP ; adresses IP conservées sous forme d'empreinte non réversible, un jour au plus.
• [à compléter : sauvegardes, fréquence et lieu ; gestion des accès de l'équipe de l'éditeur ; double authentification]

Annexe 2 — Sous-traitants ultérieurs