Accord de sous-traitance

Parties

Entre : MargiPro, SAS immatriculée au R.C.S. de Romans sous le numéro 102 903 713, dont le siège social est situé 55 Rue du Clos des Lys, 26750 Génissieux, France, ci-après « le Sous-traitant ».

Et : le client professionnel souscripteur du Service, tel qu’identifié aux Conditions Générales de Vente, ci-après « le Responsable de traitement » ou « le Client ».

Article 1 — Objet

Le présent accord définit les conditions dans lesquelles le Sous-traitant traite, pour le compte du Responsable de traitement, les données à caractère personnel nécessaires à l’exécution du Service MargiPro.

Il fait partie intégrante des Conditions Générales de Vente. En cas de contradiction entre les deux documents s’agissant de la protection des données personnelles, le présent accord prévaut.

Il s’applique aux traitements pour lesquels le Client est responsable de traitement : les documents qu’il importe dans le Service, les données métier qui en découlent, et les données des utilisateurs qu’il désigne, en tant que ces données sont traitées aux fins de lui fournir le Service.

Les données d’identification et de connexion des utilisateurs font par ailleurs l’objet de traitements dont MargiPro est responsable, pour ses finalités propres de facturation, de sécurité, de lutte contre la fraude et de gestion de la relation contractuelle. Ces traitements, ainsi que ceux relatifs aux prospects, au contenu des échanges avec le support et à la mesure d’audience, relèvent de la Politique de confidentialité et sont exclus du champ du présent accord.

Article 2 — Description du traitement

L’objet, la durée, la nature, la finalité du traitement, les types de données à caractère personnel et les catégories de personnes concernées sont décrits en Annexe 1.

Article 3 — Instructions documentées

Le Sous-traitant ne traite les données à caractère personnel que sur instruction documentée du Responsable de traitement, y compris en ce qui concerne les transferts vers un pays tiers.

Les Conditions Générales de Vente, le présent accord et l’utilisation du Service conforme à sa documentation constituent les instructions documentées du Responsable de traitement.

Le Sous-traitant informe immédiatement le Responsable de traitement s’il considère qu’une instruction constitue une violation du RGPD ou de toute autre disposition applicable en matière de protection des données.

Le Sous-traitant ne traite les données pour aucune finalité qui lui serait propre. Par exception, il peut produire des statistiques agrégées et anonymisées aux fins d’amélioration du Service, sous réserve que l’anonymisation soit irréversible et qu’aucune réidentification ne soit possible.

Article 4 — Confidentialité

Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s’engagent à en respecter la confidentialité, par contrat ou en vertu d’une obligation légale appropriée.

L’accès aux données du Client par le personnel du Sous-traitant est limité aux personnes habilitées et aux seules finalités de support technique, de supervision du Service et de suivi d’activité.

Article 5 — Sécurité

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées décrites en Annexe 2, conformément à l’article 32 du RGPD.

Ces mesures sont susceptibles d’évoluer, sous réserve de ne pas réduire le niveau de sécurité global du Service.

Article 6 — Sous-traitants ultérieurs

Le Responsable de traitement autorise le Sous-traitant à recourir aux sous-traitants ultérieurs listés en Annexe 3.

Le Sous-traitant informe le Responsable de traitement de tout ajout ou remplacement de sous-traitant ultérieur avec un préavis de trente (30) jours, par courrier électronique ou notification dans le Service. Le Responsable de traitement peut s’y opposer pour un motif légitime et documenté dans ce délai. À défaut d’accord entre les parties, le Responsable de traitement peut résilier le contrat sans pénalité.

Le Sous-traitant impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent accord. Il s’assure notamment qu’aucun sous-traitant ultérieur n’utilise les données pour une finalité propre, y compris l’entraînement de modèles d’intelligence artificielle.

Le Sous-traitant demeure pleinement responsable devant le Responsable de traitement de l’exécution par les sous-traitants ultérieurs de leurs obligations.

Article 7 — Localisation et transferts

Les données applicatives sont hébergées dans l’Union européenne, en région Paris.

Certains sous-traitants ultérieurs peuvent réaliser des transferts vers des pays tiers. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne ou par tout autre mécanisme prévu au chapitre V du RGPD. Les modalités applicables à chaque sous-traitant ultérieur figurent en Annexe 3.

Article 8 — Droits des personnes concernées

Le Responsable de traitement est seul chargé de répondre aux demandes d’exercice des droits des personnes concernées portant sur les données objet du présent accord.

Le Sous-traitant l’assiste par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, pour lui permettre de satisfaire à cette obligation. Il met à disposition les fonctionnalités du Service permettant l’accès et la rectification des données concernées.

Les utilisateurs ne disposent pas, dans le Service, de la faculté de supprimer leur compte : cette opération relève de l’administrateur. Le Sous-traitant traite les demandes de suppression de compte utilisateur qui lui sont adressées par le Responsable de traitement dans un délai maximal de trente (30) jours à compter de leur réception, à l’adresse contact@margipro.com.

Si une demande est adressée directement au Sous-traitant, celui-ci s’abstient d’y répondre et la transmet au Responsable de traitement dans les meilleurs délais.

Article 9 — Violations de données

Le Sous-traitant notifie au Responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais et au plus tard quarante-huit (48) heures après en avoir pris connaissance.

La notification comprend, dans la mesure des informations disponibles : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables, les mesures prises ou proposées pour y remédier, et les coordonnées du point de contact.

Le Sous-traitant assiste le Responsable de traitement dans ses obligations de notification à l’autorité de contrôle et, le cas échéant, aux personnes concernées.

Article 10 — Analyse d’impact

Le Sous-traitant assiste le Responsable de traitement, compte tenu de la nature du traitement et des informations à sa disposition, dans la réalisation d’une analyse d’impact relative à la protection des données et dans la consultation préalable de l’autorité de contrôle, lorsque celles-ci sont requises.

Article 11 — Sort des données en fin de prestation

À l’expiration ou à la résiliation du contrat, le Sous-traitant notifie par écrit au Responsable de traitement la date limite de restitution de ses données.

Les documents importés par le Responsable de traitement demeurent accessibles au format d’origine, à des fins de restitution, pendant trente (30) jours à compter de la notification. Les données produites par le Service à partir de ces documents — calculs de marge, historiques de prix, données de production — sont accessibles via les fonctionnalités de consultation du Service pendant cette même période. À l’issue de ce délai, le Sous-traitant supprime l’ensemble des données à caractère personnel objet du présent accord, y compris les copies, sauf obligation légale de conservation.

Par exception, MargiPro conserve, en qualité de responsable de traitement et pour ses seules finalités propres mentionnées à l’article 1, les données d’identification des comptes utilisateurs pendant une durée maximale de trois (3) mois à compter de la fin du contrat. Les documents importés, les données métier et les résultats d’analyse sont supprimés à l’échéance du délai de trente (30) jours.

Le Responsable de traitement est expressément informé qu’il lui appartient de récupérer ses documents dans ce délai afin de satisfaire à ses propres obligations légales de conservation, les factures fournisseurs devant notamment être conservées dix (10) ans par l’entreprise qui les reçoit.

Le Sous-traitant atteste par écrit de la suppression sur demande du Responsable de traitement.

Article 12 — Documentation et audit

Le Sous-traitant met à la disposition du Responsable de traitement toutes les informations nécessaires pour démontrer le respect des obligations du présent accord.

Le Responsable de traitement peut réaliser un audit, y compris une inspection, une fois par période de douze (12) mois, sous réserve d’un préavis écrit de trente (30) jours, pendant les heures ouvrées, sans perturbation disproportionnée du Service et dans le respect de la confidentialité des données des autres clients. Les frais d’audit sont à la charge du Responsable de traitement, sauf si l’audit révèle un manquement substantiel du Sous-traitant.

Article 13 — Registre

Chaque partie tient le registre des activités de traitement qui lui incombe au titre de l’article 30 du RGPD.

Article 14 — Durée

Le présent accord prend effet à la date de souscription du Service et demeure en vigueur pendant toute la durée du contrat, ainsi que jusqu’à la suppression complète des données conformément à l’article 11.

Article 15 — Langue

Le présent accord est rédigé en français. Toute traduction, notamment la version anglaise, est fournie à titre d’information. En cas de divergence d’interprétation, la version française prévaut.

Annexe 1 — Description du traitement

Objet : fourniture du Service MargiPro d’analyse automatisée de documents d’achat et de calcul de marges.

Nature du traitement : collecte, enregistrement, structuration, extraction automatisée par reconnaissance optique de caractères, conservation, consultation, mise à disposition et suppression.

Finalités : import et analyse des documents d’achat du Client ; calcul et suivi des marges par produit ; suivi de l’évolution des prix d’achat ; gestion des recettes et productions ; traçabilité des approvisionnements.

Catégories de personnes concernées :

• Les utilisateurs désignés par le Client, salariés ou collaborateurs.
• Les fournisseurs du Client lorsqu’ils sont des personnes physiques ou des entrepreneurs individuels.

Types de données à caractère personnel :

• Données d’identification des utilisateurs : nom, prénom, adresse électronique professionnelle, numéro de téléphone, rôle, site de rattachement.
• Données de connexion : date de dernière connexion, journaux techniques.
• Données figurant sur les documents importés : dénomination, adresse, numéro SIRET et coordonnées téléphoniques des fournisseurs.
• Résultats bruts de l’analyse automatisée de ces documents.

Aucune catégorie particulière de données au sens de l’article 9 du RGPD n’est traitée. Aucune décision individuelle automatisée au sens de l’article 22 n’est mise en œuvre.

Durées de conservation :

• Comptes utilisateurs : durée du contrat ; supprimés avec les autres données objet du présent accord à l’issue du délai de restitution de trente (30) jours, sous réserve de la conservation de trois (3) mois par MargiPro en qualité de responsable de traitement (article 11).
• Documents importés et données métier : durée du contrat, puis trente (30) jours de restitution, puis suppression.
• Résultats bruts d’analyse : cinq (5) ans à compter de l’import, dans la limite de la durée du contrat, aux fins de preuve et de traçabilité du traitement automatisé.
• Journaux de connexion : six (6) mois.

Annexe 2 — Mesures techniques et organisationnelles

• Chiffrement des communications par protocole HTTPS.
• Chiffrement des données au repos assuré par l’hébergeur.
• Cloisonnement logique des données par société cliente et par site, appliqué au niveau du moteur de base de données.
• Contrôle d’accès par rôles, chaque utilisateur n’accédant qu’aux sites qui lui sont assignés.
• Authentification par identifiant et mot de passe, stocké sous forme de condensat cryptographique.
• Politique de mot de passe conforme à l’état de l’art, combinant une exigence de longueur minimale et de complexité, associée à une limitation du nombre de tentatives d’authentification.
• Accès aux fichiers importés par liens temporaires signés à durée de validité limitée.
• Hébergement des données dans l’Union européenne, en région Paris.
• Sauvegardes régulières assurées par l’hébergeur.
• Limitation des accès du personnel aux seules personnes habilitées, soumises à une obligation contractuelle de confidentialité.

Annexe 3 — Sous-traitants ultérieurs autorisés