Cet accord (« DPA ») encadre les traitements de données personnelles que [à compléter : raison sociale] (« le Sous-traitant ») réalise pour le compte de ses clients (« le Responsable du traitement ») dans le cadre des Services, conformément à l'article 28 du RGPD. Il fait partie intégrante des CGV.
1. Objet et description des traitements
- Nature et finalité : hébergement, stockage, consultation, modification et suppression des données saisies par le Responsable du traitement dans ses workspaces, et exécution des automatisations qu'il configure.
- Durée : la durée du contrat, puis la période de restitution.
- Catégories de personnes : clients, prospects, contacts, salariés, candidats, fournisseurs et utilisateurs du Responsable du traitement.
- Catégories de données : identité, coordonnées, données professionnelles, données commerciales et de facturation, et toute donnée que le Responsable du traitement choisit d'y enregistrer.
2. Instructions documentées
Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable du traitement — le contrat et le paramétrage des Services valent instructions — y compris pour les transferts hors de l'Union. Il l'informe immédiatement si une instruction lui paraît contraire à la réglementation.
3. Confidentialité
Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité et n'y accèdent que dans la mesure nécessaire à leurs missions.
4. Sécurité (article 32)
- Chiffrement des flux (HTTPS / TLS) ;
- Isolation des données de chaque workspace dans un espace dédié ;
- Authentification centralisée et habilitations par rôle ;
- Hébergement dans l’Union européenne, sauvegardes régulières et journalisation des accès ;
- Procédures de gestion des incidents et de mise à jour de sécurité.
5. Sous-traitants ultérieurs
Le Responsable du traitement autorise de manière générale le recours aux sous-traitants ultérieurs ci-dessous. Le Sous-traitant l'informe de tout ajout ou remplacement au moins 30 jours à l'avance ; le Responsable du traitement peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier les Services concernés. Chaque sous-traitant ultérieur est soumis aux mêmes obligations.
| Sous-traitant | Prestation | Localisation |
|---|---|---|
| Google Cloud France SARL (Google Cloud Platform) | Hébergement de l’infrastructure et des bases de données | Paris (région Google Cloud europe-west9), Union européenne |
| [à compléter : prestataire] | [à compléter : envoi des e-mails transactionnels, paiement…] | [à compléter] |
6. Assistance au Responsable du traitement
Le Sous-traitant aide le Responsable du traitement, par des mesures appropriées, à répondre aux demandes d'exercice des droits des personnes, à garantir la sécurité des traitements, à réaliser des analyses d'impact et à consulter l'autorité de contrôle. Il lui transmet sans délai toute demande reçue directement d'une personne concernée.
7. Violations de données
Le Sous-traitant notifie au Responsable du traitement toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles à la notification à l'autorité de contrôle.
8. Sort des données
Au terme des Services, le Sous-traitant met les données à disposition du Responsable du traitement pendant 30 jours dans un format structuré et lisible par machine, puis les supprime, ainsi que leurs copies, sauf obligation légale de conservation. Les sauvegardes sont effacées selon leur cycle de rotation.
9. Documentation et audits
Le Sous-traitant met à disposition les informations nécessaires pour démontrer le respect de ses obligations et permet la réalisation d'audits, sur préavis raisonnable de 30 jours, par le Responsable du traitement ou un auditeur indépendant tenu au secret, au plus une fois par an sauf violation avérée.