Annexe de sous-traitance des données

1. Parties, objet et durée

Cette annexe doit être intégrée à un accord contraignant entre l’organisation abonnée, responsable du traitement, et l’éditeur de Piqora, sous-traitant. Elle ne devient pas un accord signé par sa seule mise en ligne.

Responsable du traitement : [À compléter : identité, adresse et représentant habilité de l’organisation]. Sous-traitant : [À compléter : identité de l’éditeur conformément aux mentions légales]. Contacts pour les instructions et incidents : [À compléter : contacts des deux parties].

Objet : fournir le logiciel de gestion d’atelier, l’hébergement, la maintenance et les notifications activées. Durée : celle du contrat, augmentée de la période de restitution et de suppression convenue ci-dessous.

2. Traitements confiés et instructions

• Personnes concernées : clients de l’atelier, membres de son équipe et contacts professionnels enregistrés.
• Données : identité et coordonnées, informations nécessaires aux dépôts et retouches, prix, échéances, messages et événements de gestion ; aucune catégorie particulière de données n’est prévue.
• Opérations : collecte par saisie, enregistrement, organisation, consultation, mise à jour, hébergement, sauvegarde, export et suppression ; envoi de notifications selon les instructions de l’atelier.
• Instructions documentées : contrat, fonctions activées et demandes écrites de personnes habilitées. Piqora traite les données uniquement sur ces instructions, y compris pour les transferts, sauf obligation légale ; il informe alors l’atelier sauf interdiction légale.
• Piqora signale immédiatement une instruction qu’il estime contraire au RGPD ou au droit applicable de la protection des données. L’atelier reste responsable de la licéité des données, de l’information des personnes et de ses propres durées de conservation.

3. Confidentialité et sécurité

Le sous-traitant s’engage à limiter l’accès aux personnes habilitées soumises à une obligation de confidentialité et à mettre en œuvre des mesures adaptées aux risques conformément à l’article 32 du RGPD.

Le logiciel prévoit une authentification, une séparation des organisations, des droits par rôle et une traçabilité. [À compléter : mesures effectivement déployées, chiffrement en transit et au repos, gestion des secrets, contrôles d’accès du personnel, sauvegardes, restauration, tests réguliers et gestion des vulnérabilités]. Cette liste doit être vérifiée techniquement avant signature.

4. Sous-traitants ultérieurs et transferts

[À compléter : liste initiale des sous-traitants ultérieurs effectivement autorisés, identité juridique, fonction, données concernées, pays de stockage et d’accès]. Les intégrations prévues dans le code ne constituent pas à elles seules une autorisation de recourir à un prestataire.

[À compléter : autorisation spécifique ou générale écrite, délai d’information préalable des ajouts ou remplacements, mécanisme d’objection et solution en cas d’objection fondée]. Le sous-traitant impose des obligations de protection équivalentes à ses prestataires et demeure responsable de leurs obligations envers le responsable du traitement.

Tout transfert hors EEE doit respecter le chapitre V du RGPD. [À compléter : pays, fondement du transfert, garanties contractuelles, analyse et mesures complémentaires nécessaires].

5. Droits, violations et coopération

Compte tenu de la nature du traitement et des informations à sa disposition, Piqora assiste l’atelier pour les demandes d’exercice des droits, la sécurité, les analyses d’impact et les consultations préalables. Il transmet les demandes reçues pour le compte de l’atelier et ne répond pas en son nom sans instruction, sauf obligation légale.

Piqora informe l’atelier d’une violation de données dans les meilleurs délais après en avoir pris connaissance. Il communique progressivement la nature de l’incident, les données et personnes concernées, ses conséquences probables, les mesures prises et un contact de suivi. [À compléter : canal d’urgence et délai opérationnel convenu]. Le délai de 72 heures applicable, dans les cas prévus par le RGPD, à la notification de l’autorité par le responsable du traitement ne constitue pas un délai d’attente pour le sous-traitant.

6. Fin du contrat et contrôle

Au choix du responsable du traitement, Piqora restitue ou supprime les données et détruit les copies, sauf conservation imposée par le droit de l’Union ou d’un État membre. [À compléter : format d’export, procédure, délai de restitution, purge de la base, rotation des sauvegardes et confirmation de suppression]. Le seul changement de statut de l’abonnement ne réalise pas ces opérations.

Piqora met à disposition les informations nécessaires pour démontrer le respect de l’article 28 et permet les audits et inspections du responsable du traitement ou de son auditeur mandaté, en y contribuant. [À compléter : procédure, préavis raisonnable et modalités pratiques sans vider le droit d’audit de sa substance].

[À compléter : date d’effet, version contractuelle, représentants habilités et preuve d’acceptation des deux parties].