Accord de sous-traitance (art. 28 RGPD)

1. Objet et durée

Le sous-traitant traite des données à caractère personnel pour le compte du responsable uniquement pour fournir InstallCue : demandes de préparation de site, réponses clients, mesures, photos facultatives, relances et décisions de validation. Le présent accord reste applicable pendant le contrat principal et jusqu’à la restitution ou suppression complète des données traitées pour le responsable.

2. Nature et finalité

Collecte, conservation, structuration, transmission par lien client sécurisé, affichage dans l’espace de travail, envoi de relances, génération de dossiers d’installation, suppression à l’issue de la durée de conservation. Aucun traitement à des fins propres, aucun profilage, aucun entraînement de modèles d’IA avec les données clients.

3. Type de données

Coordonnées des contacts sur site (nom, société, e-mail, téléphone le cas échéant), adresse d’installation, réponses et mesures, photos facultatives du lieu, données techniques de connexion (adresse IP, horodatages) et journaux d’envoi, d’ouverture, de soumission et de validation.

4. Catégories de personnes concernées

Les clients du responsable et leurs collaborateurs ou contacts sur site, ainsi que les salariés du responsable utilisant l’espace de travail.

5. Instructions

Le sous-traitant ne traite les données que sur instruction documentée du responsable. La configuration de l’espace — modèles, seuils, durée de conservation, déclaration client, destinataires — constitue l’instruction permanente. Il informe sans délai le responsable s’il estime qu’une instruction viole le droit applicable. Les instructions, y compris celles relatives aux transferts internationaux, peuvent être adressées par écrit au contact des mentions légales. Si le droit de l’Union ou d’un État membre impose un autre traitement, nous en informons préalablement le client, sauf interdiction légale pour des motifs importants d’intérêt public.

6. Confidentialité

Le sous-traitant soumet à une obligation de confidentialité toute personne autorisée à traiter les données. L’accès est limité à ce qui est nécessaire à l’exploitation et au support.

7. Mesures techniques et organisationnelles (art. 32)

Cloisonnement des locataires par row-level security et clés étrangères composites ; liens clients à jetons de 256 bits dont seuls les condensats SHA-256 sont conservés ; stockage d’objets privé accessible uniquement par URL signées à courte durée ; cookies de session HTTP-only ; hachage des mots de passe ; limitation de débit sur les points d’entrée publics ; validation humaine avant qu’un site soit déclaré prêt ; journal d’audit en ajout seul ; chiffrement en transit (TLS) ; sauvegardes chiffrées (age) de la base de données toutes les heures vers Cloudflare R2. Détails sur la page sécurité.

8. Sous-traitants ultérieurs

Le responsable donne une autorisation générale écrite pour les sous-traitants listés ci-dessous. Tout changement envisagé est annoncé en temps utile et peut faire l’objet d’une objection motivée. Chaque sous-traitant est lié par les mêmes obligations. Les changements sont annoncés par e-mail au moins 30 jours avant l’intervention prévue. Le client peut s’y opposer avant celle-ci pour des motifs légitimes de protection des données. Nous examinons une solution raisonnable ; à défaut d’accord, le contrat concerné peut prendre fin avant l’intervention sans frais supplémentaires de résiliation. Chaque sous-traitant ultérieur est soumis par écrit à des obligations équivalentes ; nous restons responsables envers le client de leur exécution.

9. Transferts hors UE

Lorsqu’un sous-traitant traite des données hors UE/EEE, le transfert repose sur une décision d’adéquation (EU-US Data Privacy Framework) ou sur les clauses contractuelles types, assorties de mesures complémentaires. Copies sur demande.

10. Assistance

Le sous-traitant aide le responsable à répondre aux demandes des personnes concernées et à respecter les art. 32 à 36 RGPD. Il notifie toute violation de données sans délai après en avoir pris connaissance. La première notification intervient au plus tard dans les 48 heures après la prise de connaissance et comprend les informations disponibles au titre de l’article 33, paragraphe 3, du RGPD ; les compléments sont transmis sans retard injustifié.

11. Suppression et restitution

Les photos et les données d’intervention sont supprimées automatiquement à l’expiration de la durée de conservation configurée. À la fin du contrat, le responsable peut exporter ses données ; le reste est supprimé dans les 30 jours suivant la demande, sauf obligation légale de conservation.

12. Preuve et audits

Le sous-traitant met à disposition toute information nécessaire pour démontrer le respect de l’art. 28 RGPD et permet les audits, y compris les inspections, réalisés par le responsable ou un auditeur mandaté, pendant les heures ouvrées et avec un préavis raisonnable. Le préavis raisonnable, les heures ouvrées et les modalités de coûts ne doivent ni empêcher ni retarder les contrôles exigés par la loi ou justifiés par un soupçon concret, une violation de données ou une demande de l’autorité de contrôle. Le sous-traitant permet ces contrôles, y compris les inspections à bref délai, et y contribue ; les droits légaux de contrôle ne sont pas subordonnés à un paiement préalable.

13. Responsabilité et forme

La responsabilité suit l’art. 82 RGPD et les conditions générales. Toute modification requiert un écrit. Questions : support@installcue.com.

Sous-traitants ultérieurs autorisés

• netcup GmbH, Allemagne — hébergement de l’application et de sa base de données sur un serveur dédié dans le centre de données de Nuremberg
• Cloudflare, Inc., États-Unis — protection du réseau et des connexions (tunnel, DNS ; Turnstile uniquement si activé) et stockage d’objets R2 pour les photos et les sauvegardes chiffrées
• Resend (Plus Five Five Inc.), États-Unis — envoi d’e-mails transactionnels
• Stripe Inc. / Stripe Payments Europe Ltd. — traitement des paiements et factures des offres commandées en ligne
• Expo (650 Industries Inc.), États-Unis — notifications push, uniquement si activées