Contrat de sous-traitance

1. Parties et application

Le présent contrat régit le traitement de données à caractère personnel par evioe · Web & IT Studio, titulaire Mahsum Kavak, Schwarzwaldstr. 61, 79539 Lörrach, Allemagne (« sous-traitant »), pour le compte du client (« responsable du traitement ») conformément à l’art. 28 RGPD. Il fait partie intégrante des conditions générales et s’applique dès leur acceptation lors de l’inscription. Sur demande adressée à hey@evioe.de, nous envoyons une version signée.

2. Objet, nature et finalité

3. Instructions

Nous traitons les données uniquement sur instruction documentée du responsable du traitement, y compris en ce qui concerne les transferts vers des pays tiers, sauf si nous y sommes tenus par la loi ; dans ce cas, nous l’en informons au préalable, dans la mesure où la loi le permet. Constituent des instructions les paramètres du Dashboard (par exemple durée de conservation, pause, suppression) ainsi que les instructions sous forme textuelle. Si nous estimons qu’une instruction est illicite, nous le signalons sans délai.

Le responsable du traitement nous donne instruction d’établir, à partir des données traitées pour son compte, des indicateurs anonymisés et agrégés, dans la mesure où cela est nécessaire aux statistiques anonymes prévues par les conditions générales. L’anonymisation est réalisée de telle sorte que le lien avec une personne ne puisse pas être rétabli. Les indicateurs ainsi obtenus ne constituent pas des données à caractère personnel et ne sont pas soumis aux obligations de suppression et de restitution du présent contrat.

4. Obligations du sous-traitant

• Toutes les personnes ayant accès aux données sont tenues à la confidentialité.
• Nous prenons les mesures prévues à l’art. 32 RGPD décrites à l’annexe 1 et les adaptons à l’état de la technique sans abaisser le niveau de protection.
• Nous n’utilisons pas les données à nos propres fins et n’entraînons pas de modèles d’IA avec elles.
• Nous aidons le responsable du traitement pour les analyses d’impact relatives à la protection des données et les consultations préalables (art. 35 et 36 RGPD).

5. Sous-traitants ultérieurs

Le responsable du traitement autorise le recours aux sous-traitants ultérieurs mentionnés à l’annexe 2. Nous annonçons tout sous-traitant ultérieur nouveau ou remplacé au moins 30 jours à l’avance par e-mail ou dans le Dashboard. Le responsable du traitement peut s’y opposer dans ce délai pour un motif important lié à la protection des données ; si nous ne pouvons pas lever l’objection, il peut résilier le contrat avec effet à la date de prise d’effet du changement. Nous imposons contractuellement aux sous-traitants ultérieurs un niveau de protection équivalent.

6. Transferts vers des pays tiers

La base de données et les sauvegardes sont situées à Francfort. Certains sous-traitants ultérieurs sont des entreprises américaines ou traitent une partie des données aux États-Unis (annexe 2). Le fondement est la décision d’adéquation relative au cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework), lorsque le fournisseur est certifié, et en complément les clauses contractuelles types de l’UE (art. 45 et 46 RGPD).

7. Droits des personnes concernées

Nous aidons le responsable du traitement à répondre aux demandes fondées sur les art. 15 à 22 RGPD. Le Dashboard permet de consulter, d’exporter et de supprimer les conversations et les demandes. Si des personnes concernées s’adressent directement à nous, nous transmettons la demande au responsable du traitement sans délai.

8. Violations de données à caractère personnel

Nous notifions au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais, si possible dans les 48 heures après en avoir pris connaissance, avec les informations prévues à l’art. 33, paragraphe 3, RGPD, dans la mesure où elles sont disponibles, et nous l’aidons à remplir ses obligations de notification et de communication.

9. Suppression et restitution

Le responsable du traitement peut exporter ses données à tout moment. Après la fin du contrat, nous supprimons toutes les données au bout de 30 jours, ou immédiatement si le responsable du traitement supprime son établissement dans le Dashboard. Les sauvegardes chiffrées sont écrasées au bout de 30 jours ; d’ici là, les données supprimées n’en sont pas restaurées, sauf pour un rétablissement après une panne. Les obligations légales de conservation ne sont pas affectées.

10. Preuves et audits

Sur demande, nous mettons à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues à l’art. 28 RGPD. Des audits sur place sont possibles après une annonce en temps utile, pendant les heures ouvrables habituelles et sans perturber l’activité ; en priorité, des informations écrites et les justificatifs des sous-traitants ultérieurs suffisent.

11. Responsabilité et dispositions finales

La responsabilité est régie par l’art. 82 RGPD ; pour le reste, les conditions générales s’appliquent. En cas de contradiction, le présent contrat prévaut sur les conditions générales pour ce qui concerne la protection des données à caractère personnel. Le droit allemand s’applique.

Annexe 1 : Mesures techniques et organisationnelles (art. 32 RGPD)

La séparation des établissements est vérifiée automatiquement. Plus d’informations sur les mesures dans la rubrique Sécurité.

Annexe 2 : Sous-traitants ultérieurs

La liste à jour, avec siège, finalité, lieu et base contractuelle, est publiée sous Sous-traitants ultérieurs. Elle fait partie intégrante du présent contrat.