Accord de traitement des données (article 28 RGPD)Accord de traitement des données (article 28 RGPD) 

1.1. Le présent accord (l'« Accord ») est conclu entre le Client, agissant en qualité de responsable du traitement (le « Responsable »), et ABC Exp SRL, Chaussée de Perwez 165, 5002 Namur, BCE BE 0758.735.384, agissant en qualité de sous-traitant (le « Sous-traitant »).

1.2. Il précise les conditions dans lesquelles le Sous-traitant traite des données à caractère personnel pour le compte du Responsable dans le cadre du Contrat, conformément à l'article 28 du règlement (UE) 2016/679 (« RGPD »). Il fait partie intégrante du Contrat et s'applique dès lors que de telles données sont traitées, sans signature séparée. Il prévaut sur les Conditions générales pour tout ce qui concerne la protection des données.

Les caractéristiques du traitement sont décrites à l'Annexe A ci-dessous et, le cas échéant, précisées dans l'Offre.

Le Sous-traitant s'engage à :

a) ne traiter les données que sur instruction documentée du Responsable, y compris en ce qui concerne les transferts hors de l'Espace économique européen (EEE), sauf obligation légale, auquel cas il en informe le Responsable avant le traitement, sauf interdiction légale. Le Contrat, l'Offre, le présent Accord et les demandes écrites du Responsable (y compris par e-mail ou ticket) constituent les instructions documentées. Le Sous-traitant informe immédiatement le Responsable si, selon lui, une instruction constitue une violation du RGPD, et peut en suspendre l'exécution ;

b) veiller à ce que les personnes autorisées à traiter les données s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée ;

c) mettre en œuvre les mesures de sécurité prévues à l'article 32 du RGPD, décrites à l'Annexe B ;

d) respecter les conditions de recours à d'autres sous-traitants (article 5 ci-dessous) ;

e) aider le Responsable, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à donner suite aux demandes d'exercice des droits des personnes concernées ; le Sous-traitant transmet sans délai au Responsable toute demande reçue directement et n'y répond pas lui-même, sauf instruction ;

f) aider le Responsable à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD (sécurité, notification des violations, analyse d'impact, consultation préalable), compte tenu de la nature du traitement et des informations dont il dispose ;

g) au terme des prestations, selon le choix du Responsable notifié par écrit dans les 30 jours de la fin du Contrat, supprimer ou restituer les données et en détruire les copies existantes, sauf obligation légale de conservation. À défaut de choix dans ce délai, le Sous-traitant supprime les données ; les copies figurant dans les sauvegardes sont effacées au terme de leur cycle normal de rotation ;

h) mettre à la disposition du Responsable les informations nécessaires pour démontrer le respect du présent article et permettre la réalisation d'audits selon l'article 7 ;

i) tenir un registre des catégories d'activités de traitement effectuées pour le compte du Responsable, lorsque l'article 30.2 du RGPD l'exige.

Le Responsable garantit que : (a) les traitements qu'il confie reposent sur une base légale valable et que les personnes concernées ont été informées conformément aux articles 13 et 14 du RGPD ; (b) ses instructions sont conformes au RGPD ; (c) il ne confie pas de données sensibles (art. 9 et 10 RGPD) sans en avoir informé préalablement et par écrit le Sous-traitant et convenu de mesures adaptées ; (d) il réalise lui-même, le cas échéant, l'analyse d'impact et tient son registre des traitements. Il demeure seul responsable du choix des finalités et des moyens essentiels du traitement, ainsi que de la configuration et de l'usage de sa solution par ses utilisateurs.

5.1. Le Responsable accorde au Sous-traitant une autorisation générale de recourir à d'autres sous-traitants. La liste des sous-traitants ultérieurs à la date de l'Accord figure à l'Annexe C.

5.2. Le Sous-traitant informe le Responsable par écrit (un e-mail suffit) de tout ajout ou remplacement envisagé, au moins 15 jours à l'avance. Le Responsable peut s'y opposer par écrit, pour des motifs raisonnables liés à la protection des données, dans ce délai. Si les parties ne trouvent pas de solution, le Responsable peut, comme seul recours, résilier le Service concerné sans indemnité de part et d'autre ; les sommes dues pour les prestations exécutées restent dues. À défaut d'opposition dans le délai, le changement est réputé accepté.

5.3. Le Sous-traitant impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données substantiellement équivalentes à celles du présent Accord. Il demeure responsable envers le Responsable de l'exécution par ces derniers de leurs obligations, dans les limites de l'article 9.

Le Sous-traitant notifie au Responsable toute violation de données à caractère personnel dans les meilleurs délais, et si possible dans les 48 heures après en avoir pris connaissance, par e-mail à l'adresse de contact du Responsable. La notification contient, dans la mesure où elles sont disponibles, les informations prévues à l'article 33.3 du RGPD, qui peuvent être communiquées de manière échelonnée. Il appartient au Responsable de notifier la violation à l'autorité de contrôle et, le cas échéant, aux personnes concernées. La notification par le Sous-traitant ne vaut pas reconnaissance de faute.

7.1. Le Sous-traitant fournit, sur demande écrite, la documentation raisonnablement nécessaire pour démontrer sa conformité (description des mesures de sécurité, liste des sous-traitants, attestations ou certifications de ses fournisseurs d'infrastructure).

7.2. Si cette documentation est insuffisante, le Responsable peut faire réaliser un audit, au maximum une fois par période de 12 mois (sauf violation de données avérée ou demande d'une autorité), moyennant un préavis de 30 jours, pendant les Jours ouvrables, sans perturbation excessive de l'activité du Sous-traitant, par lui-même ou par un auditeur indépendant non concurrent et tenu au secret. L'audit ne peut porter sur les infrastructures des sous-traitants ultérieurs au-delà de ce que leurs propres conditions permettent. Les coûts de l'audit sont à charge du Responsable, y compris le temps consacré par le Sous-traitant, facturé au tarif horaire du Contrat.

Le Sous-traitant ne transfère pas de données en dehors de l'EEE sans instruction ou autorisation du Responsable. Toute autorisation est réputée donnée pour les sous-traitants ultérieurs listés à l'Annexe C. Tout transfert est encadré par une décision d'adéquation ou par des garanties appropriées au sens de l'article 46 du RGPD (notamment les clauses contractuelles types de la Commission européenne).

Chaque partie est responsable des dommages causés par sa violation du RGPD ou du présent Accord, conformément à l'article 82 du RGPD. Dans les relations entre les parties, la responsabilité du Sous-traitant au titre du présent Accord est soumise aux exclusions et au plafond prévus par l'article 12 des Conditions générales, sauf dol, faute intentionnelle ou faute lourde. L'assistance fournie au titre des articles 3.e, 3.f, 3.g (au-delà d'un export standard) et 7 est facturée au tarif horaire du Contrat, sauf lorsqu'elle résulte d'un manquement du Sous-traitant.

Le présent Accord s'applique pendant toute la durée du traitement des données par le Sous-traitant pour le compte du Responsable et prend fin avec la suppression ou la restitution des données conformément à l'article 3.g.

Annexe A – Description du traitement

Annexe B – Mesures techniques et organisationnelles de sécurité

• Chiffrement des flux (HTTPS/TLS) et, le cas échéant, chiffrement des sauvegardes ;
• Hébergement sur une infrastructure professionnelle située dans l'UE, protégée par pare-feu ; accès administrateur par clé SSH ou authentification forte ;
• Gestion des accès selon le principe du moindre privilège ; comptes nominatifs ; mots de passe robustes stockés sous forme hachée ;
• Application régulière des mises à jour de sécurité du système et des dépendances ;
• Sauvegardes régulières, avec rétention limitée, et tests de restauration ponctuels ;
• Séparation des environnements de test et de production ; utilisation de données fictives ou minimisées pour les tests lorsque c'est possible ;
• Journalisation des accès techniques et surveillance de la disponibilité ;
• Confidentialité des personnes intervenantes et sensibilisation à la sécurité ;
• Procédure de gestion des incidents et des violations de données ;
• Suppression sécurisée des données en fin de contrat.

Annexe C – Sous-traitants ultérieurs autorisés

Les services souscrits directement par le Responsable (p. ex. Stripe, Google Analytics, outils d'e-mailing, nom de domaine) ne sont pas des sous-traitants ultérieurs du Sous-traitant ; le Responsable contracte directement avec leurs fournisseurs.