Accord de sous-traitance des données (DPA)

Le contrat qui encadre le traitement des données de vos clients par Cime.

Version de travail. Ce texte est un projet de rédaction, préparé à partir de sources officielles et des faits connus du produit : il n'a pas été relu par un juriste. Les passages entre crochets (« [À COMPLÉTER] ») attendent une information de l'éditeur. Il ne constitue pas un engagement avant sa validation.

1. Objet, durée, nature du traitement

Le présent accord complète les CGU et les CGV. L'entreprise cliente (le « Responsable de traitement ») confie à l'éditeur (le « Sous-traitant ») le traitement des données personnelles nécessaires au fonctionnement de Cime : hébergement et traitement des données de ses clients, prospects, intervenants et utilisateurs, saisies dans l'application.

Nature du traitement : stockage, consultation, mise en forme (devis, factures, fiches, rapports), envoi d'e-mails à la demande, export et suppression. Finalité : permettre à l'entreprise de gérer son activité. Personnes concernées : clients et prospects de l'entreprise, ses salariés et intervenants, ses utilisateurs. Durée : celle du contrat d'abonnement ou de la version de test.

2. Obligations de Cime

Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable de traitement (l'usage normal de l'application vaut instruction) ; garantit la confidentialité des personnes autorisées ; met en oeuvre les mesures de sécurité décrites dans la politique de confidentialité ; n'engage un sous-traitant ultérieur qu'avec l'autorisation préalable du Responsable de traitement ; l'aide à répondre aux demandes d'exercice de droits (export et anonymisation d'un client depuis l'application) ; l'avertit sans délai injustifié d'une violation de données ; à la fin du contrat, restitue ou supprime les données selon son choix, sous réserve des obligations légales de conservation ; met à sa disposition les informations nécessaires pour démontrer le respect de ces obligations (article 28 du RGPD).

Le Responsable de traitement reste responsable de la licéité des données saisies et de l'information de ses clients (mention du traitement sur ses devis et sur sa page de demande de devis).

3. Sous-traitants ultérieurs

Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants. [À COMPLÉTER : nom, rôle, pays pour chacun.]

Hébergeur de l'application et des données : [À COMPLÉTER]. Service d'envoi d'e-mails (invitations, devis, relances) : [À COMPLÉTER]. Accès sécurisé au service (tunnel) : [À COMPLÉTER, par exemple Cloudflare]. Paiement en ligne : aucun à ce jour ; un prestataire de paiement agréé sera ajouté et annoncé avant tout usage.

Recherche d'adresse : le texte de l'adresse saisie (et lui seul) est envoyé au service public de géocodage de l'IGN (Géoplateforme, France).

Tout changement est notifié au Responsable de traitement, qui peut s'y opposer pour un motif légitime dans un délai de [À COMPLÉTER : par exemple 30 jours].

4. Audit et contrôle

Le Responsable de traitement peut demander la documentation relative aux mesures de sécurité et faire réaliser un audit, à ses frais, par un auditeur tenu à la confidentialité, avec un préavis de [À COMPLÉTER : par exemple 30 jours] et sans perturber le service ni accéder aux données d'autres entreprises.