Accord de sous-traitance

Cet accord s’applique dès la souscription, sans signature. Pour un exemplaire signé ou votre propre modèle : contact@microflows.fr.

1. Objet et portée

Le présent accord (l’« Accord ») encadre le traitement des données à caractère personnel effectué par Seif Boubaker — Entrepreneur individuel (EI), exerçant sous le nom commercial « Microflows », 252 rue de Créqui, 69003 Lyon, France (le « Sous-traitant »), pour le compte du client (le « Responsable de traitement »), dans le cadre de la fourniture des services Microflows.

Il fait partie intégrante des conditions générales de vente et s’applique automatiquement dès la souscription à un module, sans formalité supplémentaire. En cas de contradiction, il prévaut sur les CGV pour tout ce qui touche aux données personnelles.

Il est établi en application de l’article 28 du règlement (UE) 2016/679 (RGPD) et ne couvre que les données traitées pour le compte du Responsable de traitement. Les données que Microflows traite pour son propre compte (compte utilisateur, demandes de contact, mesure d’audience) relèvent de sa politique de confidentialité, au titre de laquelle il agit en qualité de responsable de traitement.

2. Objet, nature et durée du traitement

• Nature et finalité : hébergement, stockage, structuration, analyse et restitution des données que le Responsable de traitement importe ou saisit dans les modules qu’il a activés, aux seules fins de lui fournir le service souscrit.
• Catégories de personnes concernées : les utilisateurs désignés par le Responsable de traitement, ainsi que les personnes physiques figurant dans les documents qu’il importe ou les données qu’il saisit (interlocuteurs de ses fournisseurs et de ses clients, clients particuliers, salariés, mandataires).
• Catégories de données : données d’identification et de contact (nom, fonction, adresse e-mail, téléphone, adresse postale), données de la relation commerciale et comptable (références de commande, numéros et montants de factures, échéances, coordonnées bancaires figurant sur les pièces), et le contenu des documents importés. Aucune catégorie particulière de données au sens de l’article 9 du RGPD, ni donnée relative à des condamnations ou infractions, n’est requise par le service. Le Responsable de traitement s’engage à ne pas en importer.
• Envoi de courriels au nom du Responsable de traitement : lorsqu’il active l’envoi automatique d’un module, comme celui des relances de factures impayées, le Sous-traitant envoie en son nom, aux adresses qu’il a saisies, les courriels que le module rédige, et suit leur remise. Sont alors traités l’adresse e-mail de ses clients, le contenu de ces courriels (numéro, date, montant et échéance de la facture, coordonnées du Responsable de traitement) et les événements de leur remise (envoi, remise, rebond, plainte). Les réponses des destinataires parviennent directement au Responsable de traitement.
• Durée : le traitement dure aussi longtemps que le module concerné est actif, puis se poursuit le temps strictement nécessaire aux opérations de restitution et de suppression décrites à l’article 9.

3. Obligations du Sous-traitant

• Traiter sur instruction documentée. Les données ne sont traitées que sur instruction documentée du Responsable de traitement, y compris en cas de transfert hors de l’Union européenne. Ces instructions sont constituées de l’Accord, des CGV et de l’usage fait des fonctionnalités du service. Aucun traitement n’est effectué pour une finalité propre au Sous-traitant, notamment à des fins statistiques commerciales, d’entraînement de modèles ou de cession à des tiers.
• Alerter. Si une instruction paraît constituer une violation du RGPD ou d’une autre disposition relative à la protection des données, le Sous-traitant en informe le Responsable de traitement sans délai et peut en suspendre l’exécution.
• Garantir la confidentialité. Les personnes autorisées à traiter les données sont limitativement désignées, tenues à une obligation contractuelle ou légale de confidentialité et informées des exigences applicables. À la date de l’Accord, l’éditeur est seul habilité.
• Assurer la sécurité du traitement. Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées prévues à l’article 32 du RGPD, détaillées à l’article 4.
• Encadrer les sous-traitants ultérieurs. Le recours à des sous-traitants ultérieurs intervient dans les conditions prévues à l’article 5, sur autorisation générale du Responsable de traitement et sous réserve de son droit d’opposition.
• Assister le Responsable de traitement dans sa réponse aux personnes concernées. Le service met à sa disposition les fonctionnalités permettant d’accéder aux données, de les rectifier, de les exporter et de les supprimer. Saisi directement par une personne concernée, le Sous-traitant s’abstient de répondre sur le fond et transmet la demande sans délai.
• Assister le Responsable de traitement au titre des articles 32 à 36 du RGPD, en lui fournissant les informations nécessaires à la sécurité des traitements, à la notification des violations et, le cas échéant, à la réalisation d’une analyse d’impact et à la consultation préalable de l’autorité de contrôle.
• Restituer ou supprimer les données en fin de contrat, selon les modalités prévues à l’article 9 « Sort des données en fin de contrat ».
• Démontrer sa conformité. Le Sous-traitant met à disposition, sur demande, toute information nécessaire pour établir le respect de l’article 28 du RGPD et permettre la réalisation d’audits, dans les conditions prévues à l’article 8 « Audit ».

4. Mesures de sécurité

• Isolation des données par client au niveau de la base de données elle-même : chaque table portant une donnée client est protégée par une politique de sécurité au niveau des lignes, appliquée par le moteur de base de données et non par le code applicatif. Une requête ne peut pas atteindre les lignes d’un autre client, même en cas de défaut applicatif.
• Authentification nominative, gestion des rôles par espace client, et absence de compte partagé.
• Chiffrement des échanges en transit (TLS), chiffrement des données au repos par l’hébergeur, et chiffrement applicatif des identifiants de connexion aux services tiers que le Responsable de traitement confie au Sous-traitant.
• Journalisation des accès administrateur : toute action et toute consultation du contenu d’un client par l’éditeur est inscrite dans un journal d’audit conservé 3 ans. L’extrait concernant le Responsable de traitement lui est communicable sur demande.
• Sauvegardes régulières de la base de données par l’hébergeur, et purge des fichiers stockés lors de la suppression d’un espace client.
• Revue de sécurité systématique du code avant mise en production, et tests automatisés vérifiant l’étanchéité entre clients.

5. Sous-traitants ultérieurs

Le Responsable de traitement autorise de façon générale le recours aux sous-traitants ultérieurs listés dans la politique de confidentialité, section « Sous-traitants ». Chacun est lié par des obligations de protection des données au moins équivalentes à celles du présent Accord ; le Sous-traitant demeure pleinement responsable de leur exécution devant le Responsable de traitement.

Tout ajout ou remplacement de sous-traitant ultérieur est notifié au Responsable de traitement au moins 30 jours avant sa mise en service. Ce dernier peut s’y opposer pendant ce délai, pour un motif légitime tenant à la protection des données.

À défaut de solution alternative raisonnable permettant de lever l’opposition, le Responsable de traitement peut résilier le module concerné sans frais ni pénalité, avec remboursement au prorata de la période déjà réglée.

6. Transferts hors de l’Union européenne

Les données applicatives du Responsable de traitement sont stockées dans l’Union européenne (région eu-west-1, en Irlande).

Les courriels envoyés au nom du Responsable de traitement partent d’Irlande. Leur prestataire d’envoi, Resend, conserve toutefois aux États-Unis, quelle que soit la région d’envoi, les données du compte du Sous-traitant, dont les métadonnées des courriels, les journaux et l’historique des requêtes.

Certains sous-traitants ultérieurs sont établis hors de l’Union européenne. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne (décision d’exécution (UE) 2021/914), complétées le cas échéant par des mesures supplémentaires et, pour certains prestataires, par une certification au titre du cadre de protection des données UE–États-Unis.

La liste à jour et une copie des garanties applicables sont communiquées au Responsable de traitement sur demande.

7. Violations de données

Le Sous-traitant notifie au Responsable de traitement toute violation de données à caractère personnel le concernant, sans délai injustifié après en avoir pris connaissance et au plus tard dans les 48 heures.

La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises ou proposées pour y remédier. Lorsque toutes ces informations ne sont pas disponibles immédiatement, elles sont communiquées au Responsable de traitement de manière échelonnée.

Il appartient au Responsable de traitement de notifier, le cas échéant, l’autorité de contrôle et les personnes concernées. Le Sous-traitant lui apporte son assistance à cette fin.

8. Audit

Le Sous-traitant met à disposition, sur demande, la documentation permettant de démontrer le respect de ses obligations.

Le Responsable de traitement peut réaliser un audit, y compris une inspection, une fois par an ou à la suite d’une violation de données le concernant, moyennant un préavis de 30 jours, pendant les heures ouvrées, sans perturber l’exploitation du service et sous réserve d’un engagement de confidentialité. L’auditeur ne peut être un concurrent du Sous-traitant.

Les frais d’audit sont à la charge du Responsable de traitement, sauf si l’audit révèle un manquement substantiel du Sous-traitant.

9. Sort des données en fin de contrat

À la désactivation d’un module ou à la fin du contrat, le Responsable de traitement dispose de 30 jours pour exporter ses données depuis le service, dans un format structuré et couramment utilisé.

À l’expiration de ce délai, les données concernées et les fichiers associés sont supprimés des systèmes actifs dans les 30 jours, sauf obligation légale de conservation, dont le fondement et la durée sont alors communiqués au Responsable de traitement. Les sauvegardes existantes s’effacent à l’issue de leur durée de conservation, 14 jours, et ne sont pas réutilisées dans l’intervalle.

La suppression est confirmée par écrit sur demande.

10. Obligations du Responsable de traitement

En qualité de responsable de traitement, il appartient au Responsable de traitement de disposer d’une base légale pour les traitements qu’il confie au Sous-traitant, d’informer les personnes concernées, de recueillir les consentements nécessaires et de tenir son registre des traitements.

Il s’engage à ne transmettre que les données nécessaires au service souscrit, à n’y inclure aucune catégorie particulière de données et à gérer les accès de ses propres utilisateurs.

Les instructions données doivent être licites. Le Sous-traitant n’est pas responsable de la licéité des traitements décidés par le Responsable de traitement.

11. Contact

Toute demande relative au présent Accord (exemplaire signé, copie des garanties de transfert, extrait du journal d’audit, exercice d’un droit, notification) est adressée à contact@microflows.fr ou, par courrier, à Seif Boubaker — Entrepreneur individuel (EI), 252 rue de Créqui, 69003 Lyon, France.