Contrat de sous-traitance (article 28 RGPD)

L’objet est la mise à disposition et l’exploitation du logiciel Quotrail en tant que service. Le contrat s’applique pendant la durée du contrat principal et prend fin avec la suppression complète des données du client selon la section 10.

Enregistrement, lecture, rapprochement et affichage des demandes de prix, des données de catalogue, de clients et de conditions ; production de projets de devis ; le cas échéant, relève d’une boîte aux lettres configurée par le client ; export ; journalisation des validations. La seule finalité est l’exécution du service convenu.

Données : noms, coordonnées professionnelles et fonctions des interlocuteurs, contenu des demandes et e-mails avec pièces jointes, données de devis, de prix et de conditions, données des utilisateurs et entrées de journal.

Personnes concernées : salariés du client, interlocuteurs chez les clients et fournisseurs du client et autres personnes dont les données figurent dans les demandes.

Les instructions, y compris celles relatives aux transferts internationaux, peuvent être adressées par écrit au contact des mentions légales. Si le droit de l’Union ou d’un État membre impose un autre traitement, nous en informons préalablement le client, sauf interdiction légale pour des motifs importants d’intérêt public.

Le sous-traitant ne traite les données que sur instruction documentée du client ; les instructions résultent du contrat principal, du présent contrat et de l’utilisation du logiciel par le client. S’il estime qu’une instruction est illicite, il en informe immédiatement le client.

Les personnes ayant accès aux données sont tenues à la confidentialité. Le sous-traitant est une entreprise individuelle ; son exploitant traite les données lui-même.

Le sous-traitant prend notamment les mesures suivantes au sens de l’article 32 du RGPD :

• Hébergement en Allemagne (netcup GmbH, centre de données de Nuremberg) ; le serveur n’est pas directement accessible de l’extérieur, les requêtes ne l’atteignent que par un tunnel chiffré.
• Chiffrement TLS de toutes les connexions ; mots de passe enregistrés uniquement sous forme d’empreinte, identifiants des boîtes aux lettres chiffrés (AES-256-GCM).
• Accès administratif au serveur uniquement par clé, sans connexion par mot de passe.
• Séparation stricte des clients : tout accès aux données est lié au compte du client.
• Journalisation des connexions, des événements de sécurité et des validations de devis.
• Sauvegarde quotidienne chiffrée, écrasée après 14 jours.
• Concept de suppression : export et suppression par le client lui-même, suppression au plus tard 30 jours après la fin du contrat.

Chaque sous-traitant ultérieur est soumis par écrit à des obligations de protection des données équivalentes ; le sous-traitant reste responsable envers le client de leur exécution.

Le client consent au recours aux sous-traitants ultérieurs suivants :

Le sous-traitant annonce toute modification envisagée au moins 30 jours à l’avance par e-mail. Le client peut s’y opposer pour un motif important de protection des données ; à défaut d’accord, il peut résilier le contrat à la date d’effet de la modification.

Ne sont pas des sous-traitants pour les données de l’application, mais des destinataires de données contractuelles : Stripe Payments Europe, Limited (1 Grand Canal Street Lower, Dublin, Irlande) traite, pour les commandes en ligne, le paiement en tant que responsable autonome ; Haufe-Lexware GmbH & Co. KG (Munzinger Straße 9, 79111 Fribourg-en-Brisgau, Allemagne) sert à la facturation et à la comptabilité du prestataire et ne reçoit que des données de facturation.

• netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Allemagne — serveur, base de données et sauvegardes dans le centre de données de Nuremberg, Allemagne.
• Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, États-Unis — DNS, protection contre les attaques, tunnel chiffré ; EU-US Data Privacy Framework et clauses contractuelles types.
• Plus Five Five, Inc. (« Resend »), 2261 Market Street #5039, San Francisco, CA 94114, États-Unis — envoi des e-mails système via la région UE (Irlande) ; EU-US Data Privacy Framework et clauses contractuelles types.

Le sous-traitant aide le client, par des mesures appropriées, à répondre aux demandes des personnes concernées (articles 15 à 22 du RGPD) et à respecter les obligations des articles 32 à 36 du RGPD. L’accès et l’export sont possibles dans le logiciel lui-même.

Le sous-traitant notifie au client toute violation de données à caractère personnel dans les meilleurs délais, au plus tard 48 heures après en avoir pris connaissance, avec les informations dont il dispose au sens de l’article 33, paragraphe 3, du RGPD.

Le client peut à tout moment exporter ses données sous forme d’archive ZIP. Après la fin du contrat, le sous-traitant supprime toutes les données du client dans un délai de 30 jours, sauf obligation légale de conservation ; les données contenues dans les sauvegardes sont écrasées lors de leur rotation, au plus tard après 14 jours.

Le préavis raisonnable, les heures ouvrées et les modalités de coûts ne doivent ni empêcher ni retarder les contrôles exigés par la loi ou justifiés par un soupçon concret, une violation de données ou une demande de l’autorité de contrôle. Le sous-traitant permet ces contrôles, y compris les inspections à bref délai, et y contribue ; les droits légaux de contrôle ne sont pas subordonnés à un paiement préalable.

Le sous-traitant met à disposition les informations nécessaires pour démontrer le respect de ses obligations (documentation des mesures, présent contrat, liste des sous-traitants ultérieurs). Les contrôles réguliers sont organisés avec un préavis raisonnable pendant les heures ouvrées ; les parties conviennent préalablement de coûts raisonnables sans restreindre les droits légaux de contrôle. Demandes à [email protected].

Pour le surplus, les conditions générales s’appliquent. En cas de contradiction, le présent contrat prévaut pour les questions de protection des données.