Parties : (1) le client, responsable du traitement (le « Responsable du traitement »), et (2) PASO CLEANING EOOD, exerçant sous le nom IT bugsolutions, ul. Musala 8, 5138 Polikraishte, Bulgarie, BG202091716, contact@itbugsolutions.com (le « Sous-traitant »). Les termes tels que « données à caractère personnel », « traitement » et « violation de données à caractère personnel » ont le sens que leur donne le RGPD. Le présent contrat satisfait aux exigences de l'article 28, § 3, du RGPD.
1. Objet, durée, nature et finalité
1.1 Le Sous-traitant traite des données à caractère personnel pour le compte du Responsable du traitement dans la mesure nécessaire à l'exécution de la mission ou du forfait de maintenance : diagnostic et réparation du site web ou du logiciel, création et conservation de sauvegardes, mises à jour, surveillance et contrôles de sécurité (annexe 1).
1.2 Durée : celle de la mission ou du forfait de maintenance, majorée du délai nécessaire à la restitution ou à la suppression (article 9).
1.3 Le Sous-traitant ne détermine pas les finalités et les moyens du traitement au-delà de ce qui est nécessaire pour fournir la prestation. S'il le fait, il devient lui-même responsable du traitement pour ce traitement.
2. Instructions
2.1 Le Sous-traitant ne traite les données à caractère personnel que sur instruction documentée du Responsable du traitement : le devis, les conditions générales, le présent contrat et les instructions ultérieures données par écrit (un e-mail suffit).
2.2 Le Sous-traitant informe sans délai le Responsable du traitement s'il estime qu'une instruction constitue une violation du RGPD ou d'autres dispositions, et peut suspendre l'exécution de cette instruction jusqu'à ce que la question soit clarifiée.
2.3 Traitement imposé par la loi : le Sous-traitant en informe préalablement le Responsable du traitement, sauf si la loi l'interdit.
2.4 Le Responsable du traitement veille à disposer d'une base légale, des informations éventuellement nécessaires à destination des personnes concernées et du droit de donner accès au Sous-traitant.
3. Confidentialité
Les personnes agissant pour le compte du Sous-traitant et ayant accès aux données à caractère personnel sont tenues à la confidentialité (par contrat ou par la loi) et n'y ont accès que dans la mesure nécessaire à la mission.
4. Sécurité
Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées (art. 32 RGPD), au minimum celles de l'annexe 2, et les tient à jour. Le Responsable du traitement demeure responsable de la sécurité de ses propres systèmes et des identifiants qu'il fournit (article 6 des conditions générales).
5. Sous-traitants ultérieurs
5.1 Le Responsable du traitement donne une autorisation générale de recourir aux sous-traitants ultérieurs énumérés à l'annexe 3 ou ajoutés conformément au présent article.
5.2 Le Sous-traitant annonce les ajouts ou remplacements envisagés au moins 14 jours à l'avance (par e-mail ou dans la liste figurant sur le site web). Dans ce délai, le Responsable du traitement peut s'y opposer par écrit, en indiquant ses motifs. À défaut de solution, le Responsable du traitement peut mettre fin gratuitement à la prestation concernée pour la période restante.
5.3 Le Sous-traitant impose au sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles prévues par le présent contrat et demeure responsable envers le Responsable du traitement de l'exécution par le sous-traitant ultérieur.
6. Assistance
Compte tenu de la nature du traitement et des informations dont il dispose, le Sous-traitant assiste le Responsable du traitement pour : (a) les demandes des personnes concernées (accès, effacement, etc.) : lorsque le Sous-traitant reçoit une telle demande, il la transmet sans délai et n'y répond pas lui-même ; (b) la sécurité, la notification des violations de données à caractère personnel, les analyses d'impact relatives à la protection des données et la consultation préalable (art. 32 à 36 RGPD). Une assistance raisonnable est comprise ; une assistance importante peut être facturée à un tarif convenu au préalable.
7. Violations de données à caractère personnel
7.1 Le Sous-traitant notifie au Responsable du traitement toute violation de données à caractère personnel affectant les données de ce dernier sans délai et s'efforce de le faire dans les 48 heures suivant sa constatation, par e-mail.
7.2 La notification comprend, dans la mesure où ces éléments sont connus : la nature de la violation, les catégories et le nombre de personnes concernées, les conséquences probables, les mesures prises et proposées, un interlocuteur. Les informations manquantes suivent dès que possible.
7.3 Le Responsable du traitement décide de la notification à l'autorité de contrôle (art. 33 RGPD) et aux personnes concernées (art. 34 RGPD). Le Sous-traitant y apporte son concours.
8. Transferts en dehors de l'EEE
8.1 Le Sous-traitant et ses sous-traitants ultérieurs traitent de préférence les données à caractère personnel au sein de l'EEE. Un transfert vers un pays situé en dehors de l'EEE n'a lieu qu'au moyen d'un mécanisme approprié : une décision d'adéquation ou les clauses contractuelles types (CCT) de la Commission européenne, assorties de mesures complémentaires lorsque c'est nécessaire. Pour la liste des sous-traitants ultérieurs et des lieux : annexe 3.
8.2 Si le Responsable du traitement est établi en dehors de l'EEE, les parties coopèrent pour mettre en place un mécanisme de transfert valable et signent, lorsque c'est nécessaire, les CCT. Si le Responsable du traitement est établi en Suisse, les dispositions du présent contrat s'appliquent par analogie, aux fins de la loi fédérale suisse sur la protection des données (nLPD), dans la mesure où celle-ci est applicable.
9. Restitution et suppression
9.1 À la fin de la mission ou du forfait, le Sous-traitant supprime les données à caractère personnel ou les restitue à la demande du Responsable du traitement, comme suit : identifiants d'accès dans les 7 jours ; fichiers de travail et copies dans les 30 jours ; sauvegardes dans les 30 jours suivant la fin (ou l'échéance antérieure du forfait), sauf si le Responsable du traitement demande une restitution plus tôt ou si la loi impose la conservation.
9.2 Sur demande, le Sous-traitant confirme la suppression par écrit.
9.3 Les données que le Sous-traitant conserve en tant que responsable du traitement (comme le dossier et les factures) relèvent de la politique de confidentialité.
10. Preuves et vérifications
10.1 Le Sous-traitant met à disposition, sur demande, les informations nécessaires pour démontrer le respect de ses obligations et permet la réalisation d'audits (y compris des inspections) par le Responsable du traitement ou par un auditeur mandaté par lui.
10.2 Les audits sont annoncés au moins 30 jours à l'avance, ont lieu pendant les heures ouvrables, au plus une fois par an (sauf après une violation ou sur injonction d'une autorité de contrôle), sans perturbation excessive de la prestation, dans le respect de la confidentialité et aux frais du Responsable du traitement. Le Sous-traitant peut proposer au préalable un questionnaire ou ses propres rapports.
11. Responsabilité
La responsabilité découlant du présent contrat est régie par l'article 16 des conditions générales, dans la mesure permise par la loi et sans préjudice des droits des personnes concernées ni de la répartition légale de la responsabilité (art. 82 RGPD).
12. Dispositions finales
12.1 En cas de contradiction entre le présent contrat et les conditions générales, le présent contrat prévaut pour ce qui concerne les données à caractère personnel.
12.2 Droit applicable et juridiction compétente : comme dans les conditions générales (article 22), sans préjudice des dispositions impératives.
12.3 Le présent contrat s'applique à compter de l'acceptation du devis et prend fin avec les obligations prévues à l'article 9.
Annexe 1 - Description du traitement
| Point | Description |
|---|---|
| Objet | Prestations techniques sur les sites web, applications et logiciels du client |
| Nature du traitement | Consultation, lecture, copie (sauvegarde), enregistrement, modification et restauration de fichiers et de bases de données ; analyse de journaux ; surveillance |
| Finalité | Diagnostic, réparation, maintenance, sauvegarde et sécurité des systèmes du client |
| Catégories de personnes concernées | Utilisateurs et visiteurs du site web ; (clients) finaux, acheteurs de la boutique en ligne, abonnés, collaborateurs et administrateurs du client, dans la mesure où ils figurent dans les systèmes |
| Catégories de données à caractère personnel | Données de contact et de compte (nom, e-mail, adresse, nom d'utilisateur, mots de passe hachés), données de commande, adresses IP et journaux, contenu de formulaires et de commentaires, autres données que le client conserve dans ses systèmes |
| Catégories particulières / données pénales | Non prévues. Le client nous informe au préalable si ses systèmes en contiennent. Nous ne demandons pas de données de carte ; les données de paiement sont normalement gérées par le prestataire de paiement du client. |
| Durée | Voir l'article 1.2 |
| Lieu du traitement | À distance depuis la Bulgarie et depuis d'autres lieux où travaillent nos collaborateurs, ainsi que chez les sous-traitants ultérieurs de l'annexe 3 |
Annexe 2 - Mesures techniques et organisationnelles (art. 32 RGPD)
- Contrôle d'accès : droits minimaux, clés d'accès distinctes par client, authentification à deux facteurs lorsque c'est possible, comptes nominatifs, accès retiré après la fin de la mission.
- Identifiants : uniquement dans un gestionnaire de mots de passe chiffré ; jamais dans le chat ou par simple e-mail ; supprimés dans les 7 jours suivant la fin de la mission.
- Chiffrement : connexions via TLS/SSH/SFTP ; les sauvegardes sont stockées chiffrées.
- Sauvegardes : avant toute modification et (forfait de maintenance) chaque jour ; contrôle de lisibilité ; conservation selon le forfait ; stockage auprès d'un prestataire de stockage de sauvegardes situé dans l'EEE.
- Appareils : chiffrement du disque, verrouillage de l'écran, systèmes d'exploitation et logiciels de sécurité à jour sur les appareils des collaborateurs.
- Journalisation : qui, quand, quel contrôle et quelle modification pour chaque mission ; conservée à titre de preuve.
- Séparation : les données des clients ne sont pas utilisées pour d'autres clients ni à nos propres fins ; pas de données de production dans les environnements de test sans nécessité.
- Outils d'IA : la communication avec les clients et l'analyse initiale peuvent être assistées par l'IA (Anthropic Claude) ; le travail est automatisé autant que possible dans le cadre de règles fixées par des personnes ; une personne peut intervenir et examine les exceptions ; pas de mots de passe, pas de données à caractère personnel des utilisateurs finaux et le moins de données possible ; masquage lorsque c'est possible ; prestataire lié par contrat.
- Collaborateurs et sous-traitants : confidentialité, sensibilisation à la protection des données.
- Procédure en cas d'incident : détection, évaluation, notification avec un objectif de 48 heures (article 7), rétablissement, retour d'expérience.
- Suppression : suppression sécurisée des fichiers de travail et des copies à la fin (article 9).
- Réexamen régulier de ces mesures, au moins une fois par an.
Annexe 3 - Sous-traitants ultérieurs (autorisation générale, article 5)
| Sous-traitant ultérieur | Prestation / finalité | Lieu | Mécanisme de transfert | Statut |
|---|---|---|---|---|
| Hébergeur et prestataire de messagerie d'IT bugsolutions (hébergement du site web : Namecheap, web-hosting.com) | Stockage des fichiers de travail, e-mail | Selon le prestataire ; détails sur demande | Décision d'adéquation ou CCT, lorsque des données quittent l'EEE | Notre propre gestion et notre site web |
| Prestataire de stockage de sauvegardes dans l'EEE | Stockage des sauvegardes | EEE | Sans objet (EEE) | Forfaits de maintenance |
| Anthropic (Claude) | Assistance par IA pour la communication avec les clients et l'analyse initiale | États-Unis, éventuellement d'autres lieux | Décision d'adéquation (par exemple le cadre de protection des données UE-États-Unis, EU-US Data Privacy Framework) ou CCT, selon le cas | Uniquement sans mots de passe et sans données à caractère personnel inutiles ; voir l'article 19 des conditions générales |
| Tawk.to | Chat (uniquement les messages que le visiteur écrit lui-même dans le chat) | Selon le prestataire | Décision d'adéquation ou CCT, selon le cas | Uniquement notre propre canal de contact avec les prospects, aucun système de client |
| Google (Tag Manager, Analytics) | Statistiques de notre propre site web | États-Unis et ailleurs | Décision d'adéquation (par exemple le cadre de protection des données UE-États-Unis, EU-US Data Privacy Framework) ou CCT, selon le cas | Uniquement notre propre site web, aucune donnée de client |
| Stripe / PayPal | Paiements | Selon le prestataire | Décision d'adéquation ou CCT, selon le cas | Données de paiement, aucune donnée issue des systèmes des clients |
| Service externe de surveillance de la disponibilité et d'analyses, lorsqu'il est utilisé | Contrôles de disponibilité et de sécurité | Selon le prestataire | Décision d'adéquation ou CCT, selon le cas | Lorsqu'il est utilisé |
Tawk.to, Google et Stripe/PayPal traitent des données issues de nos propres échanges avec le client (nous sommes alors responsable du traitement), et non des données issues des systèmes des clients. Ils sont indiqués par souci de transparence. Nous fournissons la liste à jour sur demande.