Contrat de sous-traitance

Parties

• Responsable du traitement : [NOM DE L ORGANISATION CLIENTE], établie à [LIEU D ETABLISSEMENT], numéro de chambre de commerce [NUMERO DE CHAMBRE DE COMMERCE] (le « Responsable »).
• Sous-traitant : AGENTICA, établie Langeland 18, 2548 WE La Haye, numéro de chambre de commerce 94577056, numéro de TVA NL005093484B44 (le « Sous-traitant »).

Article 1: Définitions

• RGPD : Règlement général sur la protection des données.
• Données à caractère personnel : toute information concernant une personne physique identifiée ou identifiable, traitée dans le cadre du présent Contrat.
• Traitement : toute opération portant sur des Données à caractère personnel, telle que la collecte, la conservation, la consultation et l'effacement.
• Sous-traitant ultérieur : un tiers auquel le Sous-traitant fait appel pour effectuer (une partie du) Traitement.

Article 2: Objet et durée

Le Sous-traitant traite les Données à caractère personnel uniquement pour le compte et sur instruction du Responsable, dans le cadre de l'utilisation de TelMaar. Le présent Contrat suit le contrat principal et prend fin de plein droit à la cessation de celui-ci, sans préjudice des dispositions qui, par leur nature, restent en vigueur après la cessation (dont l'article 10 relatif à la restitution et à l'effacement).

Article 3: Nature et finalité du traitement

Le Traitement comprend la conservation, la gestion et le traitement des Données à caractère personnel des relations (clients, fournisseurs et leurs personnes de contact) du Responsable, aux fins de la comptabilité, de la facturation et de la gestion de la relation client, telles que décrites plus en détail dans la déclaration de confidentialité du Responsable. Les catégories de personnes concernées et de Données à caractère personnel correspondent aux articles 2 et 4 de cette déclaration.

Article 4: Obligations du Sous-traitant

• Le Sous-traitant traite les Données à caractère personnel uniquement sur la base d'instructions écrites du Responsable, sauf si une obligation légale en dispose autrement.
• Le Sous-traitant veille à ce que les personnes autorisées à traiter les Données à caractère personnel se soient engagées à la confidentialité.
• Le Sous-traitant apporte une assistance raisonnable aux demandes d'accès, de rectification ou d'effacement des personnes concernées, dans les limites de l'obligation légale de conservation.
• Le Sous-traitant informe le Responsable sans délai si, selon lui, une instruction constitue une violation du droit applicable.
• Le Sous-traitant n'utilise pas les Données à caractère personnel pour entraîner ou améliorer ses propres modèles ou ceux de tiers, et impose la même obligation aux Sous-traitants ultérieurs auxquels il fait appel.

Article 5: Mesures de sécurité

Le Sous-traitant prend des mesures techniques et organisationnelles appropriées, notamment :

• Chiffrement des données en transit au moyen de TLS 1.3.
• Chiffrement des données au repos au moyen d'AES-256, avec un chiffrement par enveloppe supplémentaire (une clé de chiffrement par organisation, chiffrée par une clé maîtresse) pour les identifiants des prestataires de paiement et d'autres champs particulièrement sensibles.
• Gestion des accès fondée sur les rôles (RBAC) et sécurité au niveau des lignes (Row Level Security) dans la base de données, de sorte que les données d'une organisation ne soient jamais accessibles à une autre.
• Authentification à deux facteurs (2FA) obligatoire pour les utilisateurs disposant d'un accès en écriture aux données financières.
• Un journal d'audit en ajout seul des modifications apportées aux données financières, avec l'horodatage, l'adresse IP et l'utilisateur.
• Des sauvegardes périodiques et chiffrées, conservées au moins 7 jours et au plus 30 jours, de sorte qu'aucune copie ne subsiste après un effacement au titre de l'article 10.

Article 6: Sous-traitants ultérieurs

Le Responsable du traitement autorise le Sous-traitant à faire appel aux sous-traitants ultérieurs suivants : Supabase (base de données, authentification, stockage), Vercel (hébergement), Resend (e-mail), Stripe et Mollie (traitement des paiements), Cloudflare (sécurité et diffusion de contenu), Anthropic (traitement des questions et documents que le Responsable soumet via l'assistant), Sentry (rapports d'erreur de l'application, expurgés des données personnelles), Expo, Google et Apple (envoi de notifications sur le téléphone), Google ML Kit (reconnaissance de texte sur l'appareil lors de la photo d'un reçu), Mapbox (affichage de carte pour une adresse), overheid.io (recherches dans le registre du commerce) et postcode.tech (adresse à partir du code postal). L'assistant n'est disponible que pour les utilisateurs ayant un rôle financier et ne traite que ce que l'utilisateur soumet lui-même ; les données soumises ne servent pas à entraîner des modèles. Le Sous-traitant impose à chaque sous-traitant ultérieur des obligations comparables à celles du présent Contrat et informe le Responsable de toute modification de cette liste, avec possibilité d'objection.

Article 7: Transferts en dehors de l'EEE

Le Traitement a en principe lieu au sein de l'Espace économique européen. Dans la mesure où un Sous-traitant ultérieur traite des Données à caractère personnel en dehors de l'EEE, cela repose uniquement sur une décision d'adéquation de la Commission européenne ou sur les clauses contractuelles types (CCT) de la Commission européenne, complétées par des mesures supplémentaires appropriées telles que le chiffrement des données en transit et au repos. Sur demande, le Sous-traitant communique au Responsable la base de transfert applicable à chaque Sous-traitant ultérieur.

Article 8: Violations de données et délai de notification

Le Sous-traitant notifie au Responsable toute violation de données à caractère personnel constatée sans retard injustifié et au plus tard dans les 48 heures suivant sa découverte, afin que celui-ci puisse satisfaire en temps utile à sa propre obligation de notification (dans les 72 heures) auprès de l'autorité néerlandaise de protection des données. La notification porte au moins sur la nature de la violation, les catégories et le nombre de personnes concernées, ainsi que les mesures prises ou proposées.

Article 9: Audits

Le Responsable a le droit, après notification écrite préalable dans un délai raisonnable d'au moins quatre semaines, de faire réaliser des audits sur le respect du présent Contrat, ou de s'informer au moyen d'un rapport d'un tiers indépendant mis à disposition par le Sous-traitant. Les frais d'un audit réalisé par le Responsable sont à la charge de ce dernier, sauf si des manquements sont constatés.

Article 10: Restitution et effacement après la fin du contrat

À la fin du contrat principal, le Sous-traitant met à disposition, à la demande du Responsable, l'ensemble des Données à caractère personnel dans un format d'export courant, puis efface toutes les Données à caractère personnel, à l'exception de celles qui doivent être conservées en vertu d'une obligation légale de conservation (dont l'obligation fiscale de sept ans). L'effacement a lieu dans les 30 jours suivant la demande.

Article 11: Responsabilité

La responsabilité des parties au titre du présent Contrat est régie par le contrat principal conclu entre les parties, à savoir l'article 11 des conditions générales.

Article 12: Droit applicable

Le présent Contrat est régi par le droit néerlandais. Les litiges sont soumis au tribunal compétent de l'arrondissement de La Haye, sauf disposition impérative contraire.

Article 13 : Annexe pour les Responsables du traitement aux Émirats arabes unis

Le présent article s'applique uniquement lorsque le Responsable du traitement est établi aux Émirats arabes unis. En cas de divergence avec les articles précédents, le présent article prévaut.

Cadre applicable. Le traitement est soumis au décret-loi fédéral n° 45 de 2021 relatif à la protection des données personnelles (PDPL). Lorsque le présent Contrat renvoie au RGPD, les dispositions correspondantes de la PDPL s'appliquent au Responsable du traitement.

Transfert. Le Sous-traitant traite les données personnelles sur des serveurs situés dans l'Union européenne. Le Responsable du traitement ordonne ce transfert ; il est nécessaire à l'exécution du Contrat et le territoire de destination assure un niveau de protection au moins équivalent à celui de la PDPL.

Violations de données. Le Sous-traitant notifie au Responsable du traitement toute violation de données personnelles sans retard injustifié, afin que celui-ci puisse satisfaire à ses obligations de notification auprès de l'UAE Data Office et des personnes concernées.

Droits des personnes concernées. Le Sous-traitant apporte au Responsable du traitement une assistance raisonnable pour les demandes d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition au titre de la PDPL.

Durée de conservation. Par dérogation à l'article 10, les documents fiscaux sont conservés aussi longtemps que la loi émirienne l'exige : cinq ans après la fin de la période d'imposition pour la TVA et quinze ans pour les documents relatifs aux biens immobiliers.

Droit applicable. Par dérogation à l'article 12, les litiges découlant de la présente annexe sont soumis au tribunal compétent de Dubaï et régis par le droit des Émirats arabes unis.

Signature

Ainsi convenu et signé par les deux parties :