Accord de sous-traitance

Cette annexe fait partie des conditions générales et s'applique aussi longtemps que je travaille sur ou entretiens un de vos sites dans lequel des données personnelles sont traitées. Pensez à un formulaire de contact, une inscription à une newsletter, un système de réservation ou une boutique en ligne.

Pour les données que je traite à votre sujet en tant que client, comme vos données de facturation et nos messages, je suis moi-même responsable du traitement. C'est la politique de confidentialité qui s'y applique, pas cette annexe.

Si nous convenons autre chose par écrit, ou si un client demande son propre accord de sous-traitance signé, celui-ci prime sur cette annexe.

Je ne traite ces données que pour faire ce que vous m'avez demandé, et pas à mes propres fins. Je ne les utilise jamais pour mon propre marketing et je ne les revends jamais.

Si j'estimais qu'une instruction est contraire à la législation sur la vie privée, je vous en informerais avant de l'exécuter.

Je ne consulte pas les données sauf si j'en ai besoin pour le travail, par exemple pour repérer une erreur dans un formulaire. Ce que je vois alors, je le garde pour moi.

Je prends des mesures techniques et organisationnelles appropriées : une connexion chiffrée, un accès réservé à qui en a besoin, des mots de passe conservés sous forme de hachage irréversible, et je maintiens à jour les logiciels que j'utilise.

Avec un abonnement comprenant des sauvegardes, je réalise une sauvegarde quotidienne conservée sept jours, afin qu'une erreur puisse être annulée.

Je garde les données de votre site séparées de celles des autres clients.

Je garde confidentiel ce que je vois sur vos instructions, également après la fin du travail. Si je travaille avec un tiers qui peut accéder aux données, je le lie à la même confidentialité.

Pour l'hébergement, l'e-mail et les paiements, je travaille avec des prestataires. Pour les données qui transitent par votre site, il s'agit surtout de l'hébergeur et du fournisseur d'e-mail. Vous m'autorisez à y faire appel.

Si je souhaite faire appel à un nouveau prestataire qui peut accéder à vos données, je vous en informe à l'avance. Si vous avez une objection que vous pouvez motiver, nous cherchons ensemble une solution de remplacement ; si ce n'est pas possible, vous pouvez mettre fin à l'entretien sans frais pour la durée restante.

Je lie ces prestataires à des obligations qui ne sont pas moins strictes que ce qui figure ici, et je reste responsable envers vous de ce qu'ils font.

Les données se trouvent sur des serveurs situés dans l'Espace économique européen. Si un traitement en dehors de l'EEE était nécessaire, il n'aurait lieu que sous un mécanisme de transfert valable et je vous en informerais à l'avance.

Si un visiteur ou un client à vous demande l'accès, la rectification ou l'effacement, c'est à vous d'y répondre : vous êtes responsable du traitement.

Si une telle demande me parvient, je vous la transmets et je n'y réponds pas moi-même. Si vous avez besoin de mon aide pour l'exécuter, par exemple pour extraire une soumission de la base de données, je vous aide. Si cela prend plus d'une demi-heure, nous convenons d'abord du coût.

Je vous aide également pour une analyse d'impact relative à la protection des données ou pour des questions de l'autorité de contrôle, dans la mesure où cela concerne ma partie.

Si je constate une fuite de données touchant vos données, je vous en informe dans les 48 heures suivant ce constat, et en tout cas suffisamment vite pour que vous puissiez respecter le délai légal de 72 heures.

Je vous dis ce qui s'est passé, quelles données et combien de personnes sont concernées pour autant que je le sache, ce que j'ai fait et ce que je recommande. Je ne le signale pas moi-même à l'autorité de contrôle : c'est votre décision en tant que responsable du traitement.

Je consigne ce qui s'est passé et ce qui a été fait, afin que vous puissiez le montrer à l'autorité de contrôle.

Lorsque le travail ou votre abonnement s'arrête, je vous remets les données et les fichiers dans un format courant. Ensuite, je supprime ce que je détiens encore, sauf ce que je dois conserver légalement ou ce qui se trouve dans une sauvegarde qui expire d'elle-même selon le calendrier ci-dessus.

Si vous demandez une attestation de suppression, vous l'obtenez.

Vous pouvez me demander de démontrer que je respecte ceci. Je réponds à vos questions et je montre ce que j'ai mis en place. Si vous souhaitez un contrôle sur place ou par un tiers, nous convenons ensemble du moment et des frais, et cela se déroule d'une manière qui n'affecte pas mes autres clients.

La limitation de responsabilité des conditions générales s'applique également à cette annexe. Ce que le RGPD impose de manière contraignante à un sous-traitant continue par ailleurs de s'appliquer intégralement : un contrat ne peut pas écarter ces règles, et ce n'est pas non plus l'intention.