Accord de sous-traitance des données

1. Objet et parties

Le présent accord, annexé aux conditions générales de vente et d’utilisation, encadre le traitement de données personnelles que l’éditeur de LQS, Maxime FRECH, entrepreneur individuel (nom commercial Qualimus), sous-traitant, réalise pour le compte de l’entreprise cliente, responsable du traitement, conformément à l’article 28 du règlement général sur la protection des données. Il dure autant que le contrat.

2. Nature, finalité et données traitées

Le sous-traitant héberge et traite les données que le client saisit, importe ou dépose, à la seule fin de lui fournir les fonctions du service : gammes, carnets de soudures, programmes et suivis de contrôle, ordres de réparation, procédures, qualifications, articles, et les fichiers qui s’y rattachent.

Les personnes concernées sont les utilisateurs du client et les personnes que ses données désignent, notamment les soudeurs et les contrôleurs cités par ses qualifications ; les données sont celles que le client y place, dont des noms, des numéros de qualification et des documents.

Quand le client ajoute des membres à son effectif, le sous-traitant traite aussi, pour son compte, les données de ces personnes : leur trigramme, leur nom, leur prénom et, si l’administrateur la saisit, une adresse électronique de contact, qui ne sert ni à la connexion ni à l’envoi d’un courrier ; leur date d’entrée dans l’entreprise et l’ancienneté qui s’en déduit ; leur photo, leur curriculum vitae et leur contrat de travail, si l’administrateur les dépose ; leur état, actif ou désactivé ; la date et l’heure de chacune de leurs connexions ; la trace de chaque écriture faite dans l’espace — par quel utilisateur ou par quel traitement automatique, dans quelle table, sur quelle ligne, quels champs et à quelle date et heure, les noms des champs et jamais leurs valeurs ni un mot de passe — ; et les comptes qui s’en déduisent : « Dernière connexion », « Connexions — 30 j », « Données », « Fichiers », « Dernière intervention », et les fichiers déposés et les formulaires édités par période. Ces éléments forment la fiche de chaque membre.

Ces données ne sont montrées qu’à l’administrateur de l’entreprise : la page « Pilotage des effectifs », la fiche de chaque membre et ses pièces, l’histogramme des performances, et l’auteur et la date de chaque valeur dans les pages « Voir » et leur impression lui sont réservés ; un membre de l’effectif n’y a accès ni pour lui-même ni pour les autres.

3. Les instructions du client

Le sous-traitant ne traite les données que sur instruction documentée du client, que constituent le contrat et l’usage que le client fait des fonctions du service. Il informe le client si une instruction lui paraît contraire à la réglementation.

Le client, employeur des membres de son effectif et responsable de ce traitement, les informe avant de leur ouvrir un compte de ce que le service enregistre d’eux, à quelle fin et qui y accède, et accomplit les formalités que le droit du travail lui impose, notamment l’information et la consultation des représentants du personnel ; il ne dépose que les pièces nécessaires à la gestion de son effectif. Les membres exercent leurs droits auprès de lui ; le sous-traitant l’y aide, notamment par l’export des données.

4. La confidentialité

Les personnes autorisées à traiter les données sont tenues à la confidentialité. L’accès de l’assistance aux données d’un client ne se fait que depuis l’espace d’administration, protégé par une double authentification ; chaque consultation y est journalisée.

L’éditeur ne voit pas l’effectif d’un client depuis son espace d’administration : ni trigramme, ni nom, ni pièce d’un membre ; les mesures d’usage de l’entreprise additionnent l’activité de tous ses utilisateurs sans dire lequel. Une session d’assistance entre dans l’espace comme son administrateur, jamais comme un membre ; elle voit alors ce qu’il voit, et son ouverture est journalisée.

5. La sécurité

Le sous-traitant met en œuvre les mesures suivantes : cloisonnement des données de chaque entreprise au niveau de la base de données, chiffrement des échanges, mots de passe conservés sous forme d’empreinte, vérification du contenu réel de chaque fichier déposé, verrouillage progressif de la connexion après des échecs répétés, journal des actions sensibles.

6. Les sous-traitants ultérieurs

Le client autorise le recours aux sous-traitants suivants : Vercel, pour l’exécution de l’application ; Neon, pour la base de données, hébergée à Francfort ; Cloudflare, pour le stockage des fichiers, dans l’Union européenne ; Brevo, pour les courriers électroniques du service. Le sous-traitant informe le client de tout changement de cette liste avant qu’il prenne effet, et le client peut s’y opposer en résiliant.

7. L’assistance au client

Le sous-traitant aide le client à répondre aux demandes d’exercice des droits des personnes concernées, notamment par l’export des données, et à respecter ses obligations de sécurité, d’analyse d’impact et de consultation de l’autorité de contrôle.

Le sous-traitant notifie au client toute violation de données personnelles sans délai injustifié après en avoir pris connaissance ; il est joignable à qualimus.fhm@gmail.com.

8. Le sort des données à la fin du contrat

À la fin du contrat, le client peut exporter ses données ; elles sont ensuite effacées, fichiers compris, 30 jours après la fin d’un abonnement, ou à la fin d’un essai non converti, après les avertissements prévus aux conditions générales.

Les données d’un membre de l’effectif sont conservées tant que l’espace existe : un membre désactivé garde sa fiche, ses pièces, ses connexions et la trace de ses écritures, pour que la traçabilité demeure ; une pièce que l’administrateur remplace est effacée ; tout est effacé avec l’espace, dans les délais ci-dessus. Les pièces des membres figurent dans l’export des données ; la trace des écritures et les connexions n’y figurent pas.

9. La documentation et les audits

Le sous-traitant met à la disposition du client les informations nécessaires pour démontrer le respect du présent accord, et permet les audits qui en découlent, dans des conditions convenues entre les parties.