Accord de sous-traitance des données

1. Objet et parties

Le présent accord, annexé aux conditions générales de vente et d’utilisation, encadre le traitement de données personnelles que l’éditeur de LQS, [à compléter par le Directeur : le nom de l’éditeur et son statut juridique], sous-traitant, réalise pour le compte de l’entreprise cliente, responsable du traitement, conformément à l’article 28 du règlement général sur la protection des données. Il dure autant que le contrat.

2. Nature, finalité et données traitées

Le sous-traitant héberge et traite les données que le client saisit, importe ou dépose, à la seule fin de lui fournir les fonctions du service : gammes, carnets de soudures, programmes et suivis de contrôle, ordres de réparation, procédures, qualifications, articles, et les fichiers qui s’y rattachent.

Les personnes concernées sont les utilisateurs du client et les personnes que ses données désignent, notamment les soudeurs et les contrôleurs cités par ses qualifications ; les données sont celles que le client y place, dont des noms, des numéros de qualification et des documents.

3. Les instructions du client

Le sous-traitant ne traite les données que sur instruction documentée du client, que constituent le contrat et l’usage que le client fait des fonctions du service. Il informe le client si une instruction lui paraît contraire à la réglementation.

4. La confidentialité

Les personnes autorisées à traiter les données sont tenues à la confidentialité. L’accès de l’assistance aux données d’un client ne se fait que depuis l’espace d’administration, protégé par une double authentification ; chaque consultation y est journalisée.

5. La sécurité

Le sous-traitant met en œuvre les mesures suivantes : cloisonnement des données de chaque entreprise au niveau de la base de données, chiffrement des échanges, mots de passe conservés sous forme d’empreinte, vérification du contenu réel de chaque fichier déposé, verrouillage progressif de la connexion après des échecs répétés, journal des actions sensibles.

6. Les sous-traitants ultérieurs

Le client autorise le recours aux sous-traitants suivants : Vercel, pour l’exécution de l’application ; Neon, pour la base de données, hébergée à Francfort ; Cloudflare, pour le stockage des fichiers, dans l’Union européenne ; Brevo, pour les courriers électroniques du service. Le sous-traitant informe le client de tout changement de cette liste avant qu’il prenne effet, et le client peut s’y opposer en résiliant.

7. L’assistance au client

Le sous-traitant aide le client à répondre aux demandes d’exercice des droits des personnes concernées, notamment par l’export des données, et à respecter ses obligations de sécurité, d’analyse d’impact et de consultation de l’autorité de contrôle.

Le sous-traitant notifie au client toute violation de données personnelles sans délai injustifié après en avoir pris connaissance ; il est joignable à [à compléter par le Directeur : l’adresse électronique de contact de l’éditeur].

8. Le sort des données à la fin du contrat

À la fin du contrat, le client peut exporter ses données ; elles sont ensuite effacées, fichiers compris, 2 mois après la fin d’un abonnement, ou à la fin d’un essai non converti, après les avertissements prévus aux conditions générales.

9. La documentation et les audits

Le sous-traitant met à la disposition du client les informations nécessaires pour démontrer le respect du présent accord, et permet les audits qui en découlent, dans des conditions convenues entre les parties.