Accord de sous-traitance des données

Version du [À COMPLÉTER : date de publication]. Cet accord fait partie des conditions d'utilisation. Il est conclu entre l'atelier, responsable du traitement des données de ses clients, et l'éditrice de GlossProof (voir les mentions légales), son sous-traitant, comme le prévoit l'article 28 du règlement général sur la protection des données (RGPD).

1. Objet et durée

L'éditrice héberge et traite, pour le compte de l'atelier, les données personnelles de ses clients nécessaires à l'application : états des lieux, devis, suivi de chantier, rappels, pages envoyées aux clients et sauvegarde en ligne. L'accord dure aussi longtemps que le compte de l'atelier.

2. Ce qui est traité

• Personnes concernées : les clients de l'atelier, et le cas échéant les employés de l'atelier qui utilisent l'application.
• Données : nom et prénom, téléphone, e-mail, adresse pour une prestation à domicile, véhicule (marque, modèle, immatriculation, kilométrage), photos du véhicule et lieu où elles ont été prises, défauts relevés, signatures, choix et réponses donnés sur les pages envoyées, rendez-vous, devis et factures, accord ou refus de recevoir des rappels et des offres.
• Opérations : enregistrement, hébergement, sauvegarde, mise à disposition du client par un lien, envoi de messages lorsque l'atelier l'a réglé, effacement.
• Finalité : seulement le fonctionnement de l'application pour l'atelier. Aucune donnée n'est vendue, prêtée, ni utilisée par l'éditrice pour son propre compte ou pour de la publicité.

3. Les engagements de l'éditrice

• Elle ne traite les données que sur les instructions de l'atelier, telles qu'elles résultent de son usage de l'application et de ces conditions. Si une instruction lui semble contraire à la loi, elle le lui signale.
• Les personnes qui ont accès aux données sont tenues à la confidentialité.
• Sécurité : accès aux données réservé au compte de l'atelier (règles d'accès au niveau de chaque ligne de la base), connexions chiffrées, mots de passe gardés chiffrés, pages clients ouvertes seulement par un lien difficile à deviner et fermées au bout d'une durée fixée, photos des états des lieux scellées par une empreinte.
• Elle aide l'atelier à répondre aux demandes de ses clients (consultation, correction, effacement, copie) et à mener, si besoin, une analyse d'impact.
• Elle informe l'atelier dans les meilleurs délais, et au plus tard 48 heures après en avoir eu connaissance, de toute violation de données qui le concerne, avec ce qu'elle sait et ce qu'elle fait.
• Elle met à sa disposition les informations nécessaires pour vérifier le respect de cet accord.

4. Sous-traitants ultérieurs

L'atelier autorise l'éditrice à faire appel aux sous-traitants suivants, qui sont tenus aux mêmes obligations :

• Supabase : base de données, comptes et stockage des photos, serveurs dans l'Union européenne ;
• Vercel : hébergement de l'application ;
• [À COMPLÉTER : service d'e-mail retenu, par exemple Brevo] : e-mails de service ;
• [À COMPLÉTER au lot 4 : service d'envoi de SMS] : SMS automatiques, si l'atelier les active ;
• Stripe : paiements de l'atelier, s'il règle un abonnement (aucune donnée de ses clients).

L'éditrice prévient l'atelier de tout ajout ou remplacement d'un sous-traitant au moins un mois à l'avance ; l'atelier peut s'y opposer et résilier.

5. Les engagements de l'atelier

• Il informe ses clients du traitement de leurs données (la page que voit le client le rappelle) et recueille leur accord quand la loi le demande : rappels et offres commerciales, publication de photos.
• Il n'enregistre que les données utiles à sa prestation.
• Il garde secrets ses identifiants et les codes de son équipe.

6. Fin de l'accord

À la fin du compte, l'atelier peut exporter toutes ses données, photos comprises. Les données en ligne sont ensuite effacées sous 30 jours, sauf obligation légale de conservation. Les données gardées dans le téléphone de l'atelier restent sous son seul contrôle.

7. Transferts hors de l'Union européenne

Les données des clients sont stockées dans l'Union européenne. Un transfert éventuel hors de l'Union, par un sous-traitant, est encadré par le cadre de protection des données UE-États-Unis ou par les clauses contractuelles types de la Commission européenne.