Annexe : Accord de Traitement des Données Personnelles

ENTRE :

Le Client, tel que défini dans les Conditions Générales de Vente, agissant en qualité de Responsable de Traitement.

ET :

ALTOBOG SYSTÈMES, tel que défini dans les Conditions Générales de Vente, agissant en qualité de Sous-traitant.

Il est convenu ce qui suit :

Article 1 : Définitions

Les termes utilisés dans le présent Accord ont le sens que leur donne le Règlement (UE) 2016/679 (RGPD). Les termes "Données Personnelles", "Traitement", "Personne Concernée", "Violation de Données", "Responsable de Traitement" et "Sous-traitant" s'entendent selon les définitions de l'article 4 du RGPD.

Article 2 : Objet et Nature du Traitement

Le présent Accord a pour objet de définir les conditions dans lesquelles le Sous-traitant s'engage à effectuer pour le compte du Responsable de Traitement les opérations de traitement de données personnelles décrites ci-après.

• Nature des opérations : Hébergement, sauvegarde, maintenance, infogérance, support technique, et toute autre prestation de service informatique impliquant un accès ou un traitement de données personnelles.

• Finalité du Traitement : Permettre l'exécution des Prestations commandées par le Client et assurer le bon fonctionnement de son système d'information.

• Catégories de Données Personnelles : Données d'identification (nom, email, téléphone), données professionnelles, données de connexion (logs, adresses IP), et toute autre donnée que le Client stocke ou traite via les services du Sous-traitant (ex: données de ses propres clients, employés, fournisseurs).

• Catégories de Personnes Concernées : Les employés, clients, partenaires commerciaux et utilisateurs du Responsable de Traitement.

• Durée du Traitement : La durée du Contrat principal liant les Parties.

Article 3 : Obligations du Sous-traitant

Le Sous-traitant s'engage à :

1. Instruction : Traiter les données uniquement sur instruction documentée du Responsable de Traitement, y compris en ce qui concerne les transferts de données hors de l'Union Européenne.

2. Confidentialité : Veiller à ce que les personnes autorisées à traiter les données s'engagent à respecter la confidentialité.

3. Sécurité : Mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD (pseudonymisation, chiffrement, tests réguliers, etc.).

4. Sous-traitance ultérieure : Ne pas recruter un autre sous-traitant ("sous-traitant ultérieur") sans l'autorisation écrite, préalable et spécifique ou générale, du Responsable de Traitement. En cas d'autorisation générale, le Sous-traitant informe le Responsable de Traitement de tout changement prévu. Le sous-traitant ultérieur est tenu de respecter les mêmes obligations que celles fixées dans le présent Accord.

5. Assistance et Droits des Personnes : Aider le Responsable de Traitement, dans la mesure du possible, à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, etc.).

6. Notification de Violation de Données : Notifier au Responsable de Traitement toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance, et au plus tard sous 72 heures.

7. Aide et Analyse d'Impact : Aider le Responsable de Traitement à garantir le respect de ses obligations en matière de sécurité, de notification de violation et d'analyse d'impact relative à la protection des données (AIPD).

8. Sort des Données : Selon le choix du Responsable de Traitement, supprimer toutes les données personnelles ou les lui renvoyer au terme du contrat, et détruire les copies existantes, sauf si le droit de l'Union ou le droit français exige leur conservation.

Article 4 : Obligations du Responsable de Traitement

Le Responsable de Traitement s'engage à :

1. Fournir au Sous-traitant les données nécessaires à l'exécution des Prestations.

2. Documenter par écrit toute instruction concernant le traitement des données.

3. Respecter, en sa qualité, l'ensemble des obligations prévues par le RGPD.

4. Superviser le traitement, y compris en menant des audits ou des inspections.

Article 5 : Audits

Le Sous-traitant met à la disposition du Responsable de Traitement toutes les informations nécessaires pour démontrer le respect de ses obligations. Il autorise les audits, y compris les inspections, menés par le Responsable de Traitement ou un auditeur qu'il a mandaté, et y contribue. Ces audits se dérouleront pendant les heures ouvrées, avec un préavis raisonnable et à la charge du Responsable de Traitement.