Annexe de sous-traitance des données personnelles

Cette annexe fait partie intégrante des conditions générales de vente et de service et complète leur article 14, consacré aux applications sur mesure. Elle s’applique dès lors que votre application traite des données personnelles.

Vous êtes le responsable du traitement : vous décidez des données que votre application collecte et de ce qu’elle en fait. Dynamic Partner Solutions en est le sous-traitant, au sens de l’article 28 du règlement (UE) 2016/679 du 27 avril 2016. Ces deux rôles ne se choisissent pas : ils se déduisent des faits. Celui qui décide est responsable, celui qui exécute est sous-traitant.

1. Ce que couvre cette annexe

• Objet : l’hébergement, le fonctionnement, la sauvegarde et la maintenance de l’application construite pour votre compte, ainsi que les développements qui la font évoluer.
• Nature des opérations : collecte, enregistrement, organisation, structuration, conservation, consultation, modification, extraction, effacement et mise à disposition, par des moyens automatisés.
• Finalités : vous permettre d’exploiter votre application dans le cadre de votre activité, et nous permettre d’en assurer le fonctionnement, la sécurité et l’évolution.
• Durée : la durée du contrat d’exploitation, prolongée du seul délai nécessaire à la restitution puis à la suppression des données.
• Données concernées : les données que votre application traite et que vous seul déterminez : identification et coordonnées, données de connexion et journaux techniques, contenus et documents que vous y déposez, et toute autre donnée décrite dans votre synthèse validée.
• Personnes concernées : vos utilisateurs, vos salariés, vos clients, vos prospects et vos fournisseurs, selon ce que votre application suit.

2. Nos engagements (article 28, paragraphe 3)

Les huit points ci-dessous reprennent, dans l’ordre, les lettres a) à h) de l’article 28, paragraphe 3, du règlement. Le renvoi figure devant chacun pour que la correspondance se vérifie ligne à ligne.

• a) Sur vos seules instructions — Les données sont traitées uniquement sur vos instructions documentées, y compris pour tout transfert hors de l’Union européenne. Si une obligation légale imposait un traitement que vous n’avez pas demandé, vous en seriez informé avant, sauf interdiction de cette même loi.
• b) Par des personnes tenues au secret — Seules les personnes qui en ont besoin pour exécuter le contrat accèdent aux données. Elles sont tenues à une obligation de confidentialité écrite, qui leur survit après leur départ.
• c) Avec les mesures de sécurité de l’article 32 — Les mesures techniques et organisationnelles listées plus bas sont mises en œuvre et tenues à jour. Elles sont décrites une par une, et non résumées en une formule générale qui ne se vérifie pas.
• d) Sans sous-traitant caché — Le recours à un sous-traitant ultérieur suppose votre autorisation écrite. Elle est donnée pour ceux qui sont nommés dans cette annexe ; tout ajout ou remplacement vous est annoncé à l’avance, et vous pouvez vous y opposer. Chacun est tenu par contrat aux mêmes obligations que celles-ci.
• e) En vous aidant à répondre aux personnes — Quand une personne exerce ses droits — accès, rectification, effacement, limitation, opposition, portabilité —, les moyens techniques nécessaires pour y répondre dans les délais sont mis à votre disposition. La demande qui nous parviendrait directement vous est transmise sans réponse de notre part.
• f) En vous aidant sur la sécurité et les violations — Vous êtes assisté pour tenir vos obligations des articles 32 à 36 du règlement : sécurité, notification d’une violation, analyse d’impact et consultation préalable. Une violation constatée vous est signalée dans les meilleurs délais, avec ce qui est connu de sa nature, de ses conséquences et des mesures prises.
• g) Rendues, puis effacées — Au terme du contrat, et selon votre choix, les données vous sont restituées dans un format ouvert et exploitable, ou effacées. Les copies existantes, sauvegardes comprises, sont détruites, sauf lorsque le droit de l’Union ou français impose de les conserver — auquel cas la durée et le motif vous sont indiqués.
• h) Vérifiables — Toutes les informations nécessaires pour démontrer le respect des obligations de l’article 28 vous sont mises à disposition. Vous pouvez faire réaliser un audit ou une inspection, par vous-même ou par un auditeur que vous mandatez, dans des conditions convenues à l’avance et sans arrêter le service.

3. Les mesures de sécurité (article 32)

L’article 32 du règlement impose des mesures adaptées au risque, et la charge d’en démontrer la réalité. Une formule générale ne se vérifie pas : voici la liste, mesure par mesure.

• Chiffrement en transit et au repos — Les échanges passent par des canaux chiffrés et authentifiés ; les données stockées et les sauvegardes le sont également.
• Cloisonnement de votre application — Votre application dispose de sa propre base de données, séparée de celles des autres clients. Aucune donnée n’est mise en commun.
• Accès restreint et tracé — Les accès techniques sont nominatifs, limités aux personnes qui en ont besoin, protégés par une authentification renforcée, et journalisés.
• Sauvegardes régulières et vérifiées — Les données sont sauvegardées de façon régulière, conservées chiffrées, et leur restauration est mise à l’épreuve, une sauvegarde jamais relue ne valant rien le jour de l’incident.
• Disponibilité et remise en marche — L’infrastructure est surveillée en continu, et une procédure écrite permet de rétablir l’accès aux données après un incident physique ou technique.
• Mises à jour de sécurité — Les composants de l’application et de son socle sont tenus à jour ; les correctifs de sécurité connus sont appliqués sans attendre la prochaine évolution.

En cas de violation de données. Toute violation constatée vous est signalée dans les meilleurs délais après en avoir pris connaissance, conformément à l’article 33, paragraphe 2 : sa nature, les catégories et le nombre approximatif de personnes touchées, ses conséquences probables et les mesures prises. La notification à la CNIL et, s’il y a lieu, aux personnes concernées, vous revient — c’est vous le responsable du traitement.

4. Le sous-traitant ultérieur autorisé

Vous autorisez le recours au prestataire ci-dessous, au sens de l’article 28, paragraphes 2 et 4. Il est tenu par contrat aux mêmes obligations que celles de la présente annexe. Tout ajout ou remplacement vous est annoncé avant sa mise en œuvre, et vous pouvez vous y opposer.

• Scaleway SAS — Hébergement de l’application et de sa base de données, stockage des fichiers et sauvegardes. Lieu des traitements : France (région de Paris).

Vos données ne quittent pas la France. Votre application, sa base de données et ses sauvegardes sont hébergées sur une infrastructure située en France. Aucun transfert vers un pays tiers n’est mis en œuvre pour ce service.

5. À la fin du contrat : restitution, puis suppression

Au terme du contrat d’exploitation, et selon le choix que vous exprimez, vos données vous sont restituées dans un format ouvert et exploitable, ou effacées. La restitution intervient dans un délai de 30 jours à compter de votre demande.

Passé un délai de 60 jours après la fin du contrat, les données sont supprimées définitivement, copies et sauvegardes comprises. Ce second délai est volontairement plus long que le premier : supprimer avant d’avoir rendu reviendrait à détruire ce que vous êtes venu chercher. Si une obligation légale imposait de conserver certaines données au-delà, sa durée et son motif vous seraient indiqués.

6. Le registre des traitements (article 30, paragraphe 2)

L’article 30, paragraphe 2, impose au sous-traitant de tenir le registre des traitements effectués pour le compte d’un responsable. Ses quatre rubriques sont publiées ici plutôt que rangées dans un classeur : ce que vous pouvez lire, vous n’avez pas à le demander.

• a) Qui traite, et pour qui — Dynamic Partner Solutions, SAS dont le siège est situé 119B rue de Colombes, 92600 Asnières-sur-Seine, agit pour le compte de chaque client titulaire d’un contrat d’exploitation, responsable du traitement. Le point de contact est contact@linealstart.fr.
• b) Quelles catégories de traitements — Hébergement et exécution de l’application, conservation et sauvegarde des données, maintenance corrective et évolutive, supervision technique, assistance à l’exercice des droits des personnes.
• c) Quels transferts hors de l’Union européenne — Aucun. Les données de votre application sont hébergées en France et n’en sortent pas. Aucun transfert vers un pays tiers n’est mis en œuvre pour ce service ; s’il devait l’être, il vous serait annoncé avant, avec les garanties qui l’encadrent.
• d) Quelles mesures de sécurité — Celles décrites au titre de l’article 32 : chiffrement en transit et au repos, base de données cloisonnée par client, accès nominatifs tracés, sauvegardes chiffrées et vérifiées, surveillance continue et mises à jour de sécurité.

7. Audit et preuve

Toutes les informations nécessaires pour démontrer le respect des obligations de l’article 28 vous sont mises à disposition sur demande adressée à contact@linealstart.fr. Vous pouvez faire réaliser un audit ou une inspection, par vous-même ou par un auditeur que vous mandatez, dans des conditions convenues à l’avance et sans interruption du service.

8. Les textes appliqués

Chaque règle énoncée ci-dessus vient d’un texte, et chaque texte porte ici sa date. Une affirmation juridique sans sa source ne se vérifie pas. Les autres textes qui encadrent votre application figurent à l’article 14 des conditions générales.

• Règlement général sur la protection des données, article 28, paragraphes 2, 3 et 4 (règlement (UE) 2016/679 du 27 avril 2016) — le contenu obligatoire de l’annexe de sous-traitance.
• Règlement général sur la protection des données, article 30, paragraphe 2 (règlement (UE) 2016/679 du 27 avril 2016) — le registre tenu par le sous-traitant.
• Règlement général sur la protection des données, article 32 (règlement (UE) 2016/679 du 27 avril 2016) — les mesures de sécurité, décrites et vérifiables.
• Règlement général sur la protection des données, article 33, paragraphe 2 (règlement (UE) 2016/679 du 27 avril 2016) — le signalement d’une violation de données dans les meilleurs délais.