Accord de sous-traitance des données

Cet accord fait partie des conditions générales de vente et d’abonnement. Il s’applique dès que le Client confie au Prestataire des données personnelles, notamment en utilisant le logiciel en ligne ou un système livré et hébergé par le Prestataire. Il répond à l’article 28 du règlement européen sur la protection des données (RGPD).

• Responsable de traitement : le Client, qui décide pourquoi et comment ses données sont utilisées.
• Sous-traitant : Tom Berthoud, entrepreneur individuel (EI), nom commercial TBCD, SIREN 130 807 480, 13 impasse de la Gironde, 35740 Pacé — tomberthoud@tbcd.fr.

1. Ce qui est traité

Objet et finalité. Héberger les données que le Client dépose ou produit, et les traiter par les fonctions qu’il utilise : analyse des offres, comptes rendus, suivi financier, pièces des entreprises, réception, honoraires, tri des mails, classement des documents, relances, dépôt des offres en ligne, signature en ligne, espace du maître d’ouvrage. Pour un système livré : les traitements décrits au devis.

Personnes concernées. Collaborateurs du Client ; représentants des entreprises consultées, candidates, titulaires ou sous-traitantes ; maîtres d’ouvrage et leurs représentants ; autres intervenants des opérations ; correspondants dont le Client dépose les messages ; signataires de documents.

Données. Identité, fonction et coordonnées professionnelles ; contenu des documents déposés (offres, mémoires, comptes rendus, procès-verbaux, factures, attestations, photos) ; messages déposés ; pour la signature en ligne : nom saisi, tracé, date et heure, adresse IP, navigateur, empreinte du document ; pour les utilisateurs : identifiant, journal des actions.

Le logiciel n’est pas conçu pour des données sensibles (santé, opinions, infractions…). Le Client s’abstient d’en déposer.

Durée. Celle du contrat, puis le délai de restitution prévu au point 7.

2. Instructions du Client

Le Prestataire ne traite les données que sur instruction documentée du Client. Les présentes conditions, le devis et l’usage que le Client fait des fonctions du logiciel constituent ces instructions. Si une instruction lui paraît contraire au RGPD, le Prestataire en informe le Client. Il n’utilise les données à aucune autre fin, ne les vend pas, ne les cède pas et ne s’en sert pas pour améliorer d’autres produits.

Le Prestataire ne consulte les données du Client que pour l’assistance demandée par le Client, la correction d’un incident ou une obligation légale.

3. Confidentialité

Le Prestataire travaille seul. Toute personne qu’il autoriserait un jour à accéder aux données serait tenue par écrit à la confidentialité.

4. Sécurité

Le Prestataire met en œuvre notamment les mesures suivantes :

• chaque cabinet dispose d’un espace cloisonné dans la base de données ; les droits sont contrôlés par la base elle-même, pas seulement par les écrans ;
• échanges chiffrés (HTTPS) ; données et fichiers chiffrés au repos par l’hébergeur ;
• mots de passe jamais stockés en clair ; un identifiant n’est ouvert que sur un appareil à la fois ;
• accès d’administration réservé au Prestataire, protégé par une double authentification ;
• sauvegarde quotidienne de la base, conservée sept jours ;
• pages publiques (dépôt, signature, espace du maître d’ouvrage) accessibles uniquement par un lien personnel, impossible à deviner, que le Client peut fermer ;
• journal des actions consultable par le Client.

5. Sous-traitants ultérieurs

Le Client autorise le Prestataire à recourir aux prestataires suivants pour le logiciel en ligne :

Prestataire	Rôle	Lieu de traitement
Supabase Pte. Ltd.	Base de données, fichiers, comptes des utilisateurs et e-mails de connexion	Union européenne (Francfort, Allemagne)
IONOS SE	Exécution de l’application (serveur)	Union européenne (Allemagne)

Pour les offres livrées dans l’espace client (espace-client.tbcd.fr) : IONOS SE, hébergement du serveur, en Allemagne. Si un devis prévoit un autre service, il l’indique.

Ces prestataires sont tenus, par contrat, à des obligations de protection des données équivalentes à celles du présent accord. Lorsqu’un transfert hors de l’Union européenne peut avoir lieu (par exemple pour l’assistance technique de ces sociétés, établies hors de l’Union), il est encadré par les garanties prévues au chapitre V du RGPD (clauses contractuelles types de la Commission européenne ou cadre de protection des données UE–États-Unis).

Le Prestataire informe le Client par e-mail de tout ajout ou remplacement d’un sous-traitant, au moins 30 jours à l’avance. Le Client peut s’y opposer pour un motif légitime ; à défaut de solution, il peut arrêter le forfait sans frais et obtenir le remboursement de la part non servie.

6. Assistance au Client

Le Prestataire aide le Client, dans la mesure du possible et sans frais pour un usage normal :

• à répondre aux demandes des personnes concernées (accès, rectification, effacement, opposition, portabilité). Si une telle demande lui parvient directement, il la transmet au Client sans y répondre lui-même ;
• à réaliser, si elle est nécessaire, une analyse d’impact, en lui fournissant les informations utiles sur le logiciel.

Violation de données. Le Prestataire prévient le Client sans délai, et au plus tard 48 heures après en avoir eu connaissance, de toute violation de données le concernant : nature, données et personnes touchées si elles sont connues, conséquences probables, mesures prises. Il l’aide à notifier la CNIL et, si nécessaire, les personnes concernées.

7. Fin du contrat

À la fin du contrat, le Client peut demander pendant 60 jours une copie de ses documents et données, remise dans un format courant (fichiers d’origine, Word, PDF, tableur). Le Prestataire supprime ensuite les données, sauvegardes comprises dans un délai d’un mois, sauf obligation légale de conservation, et le confirme au Client sur demande.

8. Contrôle

Le Prestataire tient à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord, et répond à ses questions écrites. Le Client peut faire réaliser un audit, une fois par an, par un auditeur tenu au secret et non concurrent du Prestataire, en le prévenant 30 jours à l’avance ; l’audit est à la charge du Client.

9. Registre et contact

Le Prestataire tient un registre des traitements qu’il réalise pour le compte de ses clients. Pour toute question sur les données : tomberthoud@tbcd.fr.