Accord de traitement des données (article 28 du RGPD)

1. Parties et acceptation

Cet accord est conclu entre l’utilisateur de l’application SuitBadge qui recueille des contacts avec un formulaire (le responsable du traitement) et la société indiquée ci-dessus (le sous-traitant). Il est annexé aux conditions d’utilisation et accepté avec elles dans l’application.

2. Objet, durée, nature et finalité

Le sous-traitant conserve les réponses envoyées avec les formulaires du responsable et les met à sa disposition dans l’application, avec notes, export et suppression. Le traitement dure aussi longtemps que le compte du responsable. Sa seule finalité est de fournir cette fonction.

3. Données et personnes concernées

Personnes concernées : celles qui remplissent un formulaire sur la page du responsable. Données : les champs choisis par le responsable (par exemple nom, e-mail, téléphone, entreprise, message, un choix), le texte de consentement accepté et la date. Le responsable ne recueille ni catégories particulières de données (article 9 du RGPD) ni données de mineurs.

4. Instructions

Le sous-traitant ne traite les données que sur instruction documentée du responsable : ces conditions, les réglages des formulaires et les actions dans l’application. Si une instruction semble contraire au droit de la protection des données, il en informe le responsable.

5. Confidentialité

Les personnes autorisées à accéder aux données sont tenues à la confidentialité. L’accès est limité au nécessaire pour faire fonctionner et sécuriser le service.

6. Sécurité (article 32 du RGPD)

• réponses et notes chiffrées champ par champ avec AES-256-GCM, clé conservée séparément dans un coffre de secrets ;
• pseudonymisation du compte du responsable par identifiant interne aléatoire et empreinte à clé ;
• chiffrement au repos de la base et des fichiers et chiffrement en transit (TLS) ;
• chaque requête autorisée par le jeton de connexion du responsable ; aucun accès aux données d’autres utilisateurs ;
• accès à l’infrastructure selon le moindre privilège, aucune conservation des adresses IP des visiteurs ;
• données stockées dans l’Union européenne (AWS, Francfort) ; sauvegardes de 7 jours.

7. Sous-traitants ultérieurs

Le responsable donne une autorisation générale de recourir à des sous-traitants ultérieurs. Actuellement : Amazon Web Services EMEA SARL (hébergement, base de données, fichiers, diffusion ; Francfort, avec le réseau CloudFront). Google Ireland Ltd et Google LLC (Firebase Authentication) ne traitent que les données de connexion du responsable, pas les contacts. Le sous-traitant informe le responsable dans l’application au moins 30 jours avant tout ajout ou remplacement ; le responsable peut s’y opposer et, à défaut de solution, supprimer son compte. Les sous-traitants ultérieurs sont soumis aux mêmes obligations.

8. Assistance

Le sous-traitant aide le responsable à répondre aux demandes des personnes concernées (l’application permet de consulter, exporter et supprimer chaque contact) et, si nécessaire, pour la sécurité, les notifications de violation, les analyses d’impact et les consultations préalables. Les demandes reçues des personnes concernées sont transmises sans délai au responsable.

9. Violations de données

Le sous-traitant notifie le responsable dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles, et l’assiste dans ses obligations.

10. Fin du traitement

Lorsque le responsable supprime un contact ou son compte, les données sont effacées immédiatement de la base active ; les sauvegardes sont écrasées sous 7 jours. Avant suppression, le responsable peut exporter les contacts en CSV ou JSON.

11. Audits

Le sous-traitant met à disposition les informations nécessaires pour démontrer sa conformité et permet des audits du responsable ou d’un auditeur mandaté, avec un préavis raisonnable et sans compromettre la sécurité et la confidentialité des autres utilisateurs. Les certifications des sous-traitants ultérieurs peuvent servir de preuve.

12. Transferts internationaux

Les contacts sont stockés dans l’UE. Tout transfert hors de l’EEE n’aurait lieu qu’avec des garanties appropriées au sens du chapitre V du RGPD (décision d’adéquation ou clauses contractuelles types).

13. Obligations du responsable

Le responsable veille à la licéité de la collecte : finalité claire, texte de consentement correct, usage des contacts limité à cette finalité et lien vers l’information destinée aux visiteurs, affiché par le sous-traitant sous chaque formulaire.

Documents liés

Politique de confidentialité de l’application SuitBadge · Conditions d’utilisation de l’application SuitBadge · Information pour les visiteurs des pages SuitBadge · Confidentialité et cookies