Contrat de sous-traitance — article 28 du RGPD

Entre les soussignés

Le Responsable de traitement : le Client professionnel titulaire du compte Autogest concerné (dénomination, SIRET, adresse et représentant tels que renseignés dans son compte), ci-après « le Responsable » ou « le Client ».

Le Sous-traitant : COS Consulting (M. Sylvain Segura), entreprise individuelle, 11 rue de l'Hôpital, 07200 Aubenas — SIRET 947 627 998 00026 — cos.consulting@outlook.fr, ci-après « le Sous-traitant ».

Ci-après ensemble « les Parties ».

Article 1 — Objet

Le présent contrat a pour objet de définir les conditions dans lesquelles le Sous-traitant traite, pour le compte du Responsable, les données à caractère personnel nécessaires à la fourniture de l'application de gestion « Autogest » et de ses modules, conformément à l'article 28 du Règlement (UE) 2016/679 (RGPD). Il s'applique en complément des conditions générales régissant l'abonnement.

Article 2 — Description du traitement

Les caractéristiques du traitement confié au Sous-traitant sont décrites en Annexe 1 (objet, nature, finalité, durée, catégories de données et de personnes concernées).

Article 3 — Obligations du Sous-traitant

Le Sous-traitant s'engage à :

• Instructions documentées : traiter les données uniquement pour la ou les seules finalités objet du présent contrat et sur instruction documentée du Responsable, y compris pour les transferts hors de l'Union européenne ; s'il estime qu'une instruction constitue une violation du RGPD, il en informe le Responsable ;
• Confidentialité : veiller à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité ;
• Sécurité : mettre en œuvre les mesures techniques et organisationnelles appropriées décrites en Annexe 2, conformément à l'article 32 du RGPD ;
• Sous-traitance ultérieure : ne recourir qu'aux sous-traitants ultérieurs listés en Annexe 3, en leur imposant les mêmes obligations de protection des données ; informer le Responsable de tout changement envisagé, qui peut s'y opposer ;
• Assistance — droits des personnes : aider le Responsable, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, opposition, limitation, portabilité) ;
• Assistance — obligations de sécurité : aider le Responsable à respecter ses obligations en matière de sécurité, de notification des violations et, le cas échéant, d'analyse d'impact (articles 32 à 36 du RGPD) ;
• Notification des violations : notifier au Responsable toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, en lui fournissant les informations utiles ;
• Sort des données : au choix du Responsable, supprimer ou lui renvoyer toutes les données à la fin de la prestation, et détruire les copies existantes, sous réserve des obligations légales de conservation (voir Article 6) ;
• Documentation et audit : mettre à la disposition du Responsable la documentation nécessaire pour démontrer le respect de ses obligations et permettre la réalisation d'audits dans des conditions raisonnables.

Article 4 — Obligations du Responsable

Le Responsable s'engage à : fournir au Sous-traitant les instructions documentées ; veiller à disposer d'une base légale pour les traitements qu'il met en œuvre ; informer les personnes concernées ; et à garantir la licéité et l'exactitude des données qu'il saisit dans Autogest.

Article 5 — Transferts hors Union européenne

L'hébergement des données est assuré au sein de l'Union européenne. Tout transfert de données hors de l'Union européenne ne peut intervenir que sur instruction du Responsable ou lorsqu'il résulte du recours à un sous-traitant ultérieur listé en Annexe 3, et sous réserve de garanties appropriées (notamment clauses contractuelles types de la Commission européenne et/ou mécanisme d'adéquation applicable).

Article 6 — Sort des données en fin de contrat

À la fin de la prestation, le Responsable peut, pendant une durée de trente (30) jours, exporter ses données dans un format standard exploitable. À l'issue de ce délai, le Sous-traitant supprime les données de ses systèmes actifs, sous réserve des durées de conservation imposées par la loi. Il appartient au Responsable de conserver les documents relevant de ses propres obligations légales (notamment comptables et fiscales).

Article 7 — Responsabilité

Chaque Partie répond des dommages causés par le traitement lorsqu'elle a manqué aux obligations du RGPD qui lui incombent ou qu'elle a agi en dehors des instructions licites du Responsable ou contrairement à celles-ci, dans les conditions de l'article 82 du RGPD.

Article 8 — Durée

Le présent contrat prend effet à l'acceptation par le Responsable (création ou usage du compte Autogest) et demeure en vigueur pendant toute la durée de l'abonnement à Autogest. Les obligations de confidentialité et de sort des données lui survivent jusqu'à complète exécution.

Article 9 — Droit applicable

Le présent contrat est soumis au droit français. Tout litige relève des juridictions compétentes selon les règles de droit commun.

Annexe 1 — Description du traitement

• Objet : hébergement et fonctionnement de l'application de gestion Autogest pour le compte du Responsable.
• Nature des opérations : collecte, enregistrement, stockage, hébergement, consultation, sauvegarde et suppression des données saisies par le Responsable.
• Finalité : permettre au Responsable de gérer son activité (notamment devis, factures, clients, articles, suivi des recettes).
• Durée : durée de l'abonnement, puis fenêtre de réversibilité de 30 jours.
• Catégories de personnes concernées : clients, prospects et contacts du Responsable ; le cas échéant, ses éventuels collaborateurs.
• Catégories de données : données d'identification et de contact (nom, adresse, courriel, téléphone), données relatives aux prestations et à la facturation. Aucune donnée sensible n'est requise ; le Responsable s'engage à ne pas en saisir.

Annexe 2 — Mesures de sécurité

• Chiffrement des communications (HTTPS).
• Authentification par identifiants individuels ; mots de passe stockés sous forme hachée.
• Gestion des habilitations selon le principe du moindre accès.
• Sauvegardes régulières et hébergement au sein de l'Union européenne.
• Journalisation des accès et traçabilité.
• Procédure de gestion des violations de données.

Annexe 3 — Sous-traitants ultérieurs autorisés