Accord de sous-traitance

Annexe aux conditions générales de service, dont elle fait partie intégrante. Elle est conclue en application de l'article 28 du règlement (UE) 2016/679 et est acceptée en même temps que celles-ci.

Article 1 — Rôles des parties

Pour les données personnelles que le Client dépose dans le service ou nous transmet à l'occasion de son utilisation, le Client est responsable de traitement et Olusio est sous-traitant.

Olusio demeure responsable de traitement pour ses propres traitements (gestion des comptes, facturation, sécurité, mesure d'audience du site public) décrits dans la politique de confidentialité et qui sortent du champ du présent accord.

Article 2 — Objet, durée et nature du traitement

Objet : héberger et afficher les informations de suivi de projet du Client, et les rendre accessibles aux destinataires qu'il désigne.

Durée : celle du contrat, prolongée des délais de conservation prévus à l'article 10.

Nature des opérations : collecte, enregistrement, stockage, consultation, transmission aux destinataires désignés, sauvegarde, effacement.

Catégories de personnes concernées :

les membres de l'organisation du Client ;
les destinataires des accès clients, c'est-à-dire les clients finaux du Client ;
les personnes citées dans le contenu déposé.

Catégories de données :

identité et coordonnées : nom, prénom, adresse électronique ;
données de consultation : date de première ouverture et date de dernière consultation de l'espace de suivi et de chacun des projets consultés ;
contenu déposé par le Client : textes, images, documents, fichiers, qui peuvent contenir des données personnelles de son fait.

Le service n'est pas conçu pour traiter des catégories particulières de données au sens de l'article 9 du RGPD, ni des données relatives à des condamnations pénales. Le Client s'engage à ne pas en déposer.

Article 3 — Instructions documentées

Olusio ne traite les données que sur instruction documentée du Client. Les présentes conditions, les fonctionnalités du service telles qu'elles sont décrites et les actions du Client dans l'interface constituent ces instructions.

Si Olusio estime qu'une instruction constitue une violation du règlement, il en informe le Client sans délai et peut suspendre son exécution.

Olusio informe le Client s'il est tenu de transférer des données en vertu du droit de l'Union ou d'un État membre, sauf si ce droit interdit une telle information pour des motifs importants d'intérêt public.

Article 4 — Confidentialité

Les personnes autorisées à traiter les données sont soumises à une obligation contractuelle de confidentialité et ne peuvent accéder aux données que dans la mesure strictement nécessaire à leurs fonctions.

Article 5 — Sécurité

Olusio met en œuvre les mesures techniques et organisationnelles appropriées prévues à l'article 32 du règlement, notamment :

chiffrement des communications en transit ;
cloisonnement strict des données entre organisations, couvert par des tests automatisés exécutés à chaque modification du code ;
stockage des jetons d'accès aux pages de suivi sous forme d'empreinte cryptographique uniquement, une compromission de la base de données ne permettrait de reconstituer aucun lien utilisable ;
expiration automatique des accès clients au bout de 90 jours ;
hébergement de l'application, des fichiers et des courriels en France ;
suppression automatique des jetons d'accès dans les rapports d'erreur transmis à l'outil de supervision ;
sauvegardes régulières et procédures de restauration.

Article 6 — Sous-traitance ultérieure

Le Client autorise Olusio à recourir aux sous-traitants ultérieurs listés dans la politique de confidentialité, qui vaut annexe au présent accord.

Olusio informe le Client par courrier électronique de tout ajout ou remplacement de sous-traitant ultérieur au moins trente jours avant sa mise en œuvre. Le Client peut s'y opposer, pour des motifs raisonnables tenant à la protection des données, dans ce délai ; à défaut d'accord, il peut résilier le contrat sans frais et obtenir le remboursement de la période payée d'avance et non consommée.

Olusio impose à ses sous-traitants ultérieurs les mêmes obligations que celles qui lui incombent et demeure pleinement responsable de leur exécution.

Article 7 — Accès de l'équipe support

Pour diagnostiquer un incident, un membre habilité de l'équipe d'Olusio peut se connecter à l'espace de travail du Client en se substituant à l'un de ses utilisateurs. Cette faculté est réservée aux administrateurs techniques d'Olusio et limitée à ce que nécessite le diagnostic.

Olusio s'interdit d'y recourir à toute autre fin, notamment commerciale ou d'analyse. Le Client peut demander à être informé des accès support intervenus sur son organisation.

Article 8 — Assistance aux droits des personnes

Les demandes d'exercice de droits émanant des personnes concernées relèvent du Client. Olusio l'assiste dans la mesure du possible par des mesures techniques et organisationnelles appropriées.

Si une personne concernée s'adresse directement à Olusio, celui-ci ne répond pas au fond et transmet la demande au Client dans les meilleurs délais.

Olusio assiste également le Client dans le respect des articles 32 à 36 du règlement (sécurité, notification de violation, analyse d'impact) compte tenu de la nature du traitement et des informations dont il dispose.

Article 9 — Violation de données

Olusio notifie au Client toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans les quarante-huit heures.

La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Lorsque ces informations ne peuvent être fournies d'emblée, elles le sont de manière échelonnée.

Il appartient au Client, en sa qualité de responsable de traitement, de décider de la notification à l'autorité de contrôle et, le cas échéant, de l'information des personnes concernées.

Article 10 — Sort des données en fin de contrat

À la fin du contrat, les données sont traitées selon le cycle décrit à l'article 11 des conditions générales de service : maintien à l'identique des pages de suivi pendant 90 jours, conservation sans accès public ensuite, puis effacement définitif 365 jours plus tard.

Pendant toute cette période, le Client conserve l'accès à ses données et peut les exporter. Il peut également demander à tout moment leur suppression anticipée.

Sont exclues de l'effacement les données qu'Olusio est légalement tenu de conserver, notamment les pièces comptables. Celles-ci sont conservées pour la seule durée imposée par la loi et pour cette seule finalité.

Article 11 — Audit

Olusio met à la disposition du Client les informations nécessaires pour démontrer le respect des obligations du présent accord.

Le Client peut réaliser un audit, par lui-même ou par un auditeur indépendant qu'il mandate et qui n'est pas un concurrent d'Olusio, une fois par an au maximum, moyennant un préavis raisonnable et pendant les heures ouvrées. L'audit ne doit pas compromettre la sécurité ni la confidentialité des données des autres clients. Les frais sont à la charge du Client, sauf si l'audit révèle un manquement substantiel.

Article 12 — Transferts hors de l'Union européenne

Le contenu des projets, les fichiers déposés et l'identité des destinataires des accès clients sont hébergés en France et ne font l'objet d'aucun transfert hors de l'Union européenne.

Les transferts limités qui interviennent au titre du paiement, de la protection anti-robot et de l'affichage des photos de profil sont décrits dans la politique de confidentialité et encadrés par les clauses contractuelles types de la Commission européenne.