Accord de sous-traitance des données (RGPD)

Article 1 — Objet et durée

L’Éditeur traite les données personnelles décrites en annexe 1, pour la seule fourniture de la solution GODAC, pendant la durée du contrat puis jusqu’à la restitution et à la suppression des données prévues à l’article 9.

Article 2 — Instructions du Client

L’Éditeur ne traite les données que sur instruction documentée du Client : le contrat, le paramétrage de la solution et l’activation des modules par le Client valent instructions. Si une instruction lui paraît contraire au RGPD, l’Éditeur en informe immédiatement le Client. L’Éditeur n’utilise pas les données pour son propre compte ; il peut produire des statistiques anonymes d’usage et, pour l’assistant, une foire aux questions à partir de questions rendues anonymes, sans lien possible avec le Client ou ses salariés.

Article 3 — Confidentialité

Les personnes autorisées à traiter les données chez l’Éditeur sont soumises à une obligation de confidentialité et n’y accèdent que dans la mesure nécessaire (support, maintenance, incident).

Article 4 — Sécurité

L’Éditeur met en œuvre les mesures techniques et organisationnelles décrites en annexe 2, adaptées au risque, et les fait évoluer avec l’état de l’art.

Article 5 — Sous-traitants ultérieurs

Le Client autorise l’Éditeur à recourir aux sous-traitants listés en annexe 3. L’Éditeur informe le Client par écrit de tout ajout ou remplacement au moins trente (30) jours à l’avance ; le Client peut s’y opposer pour un motif légitime et, à défaut d’accord, résilier le contrat sans frais. L’Éditeur impose à chaque sous-traitant ultérieur les mêmes obligations de protection des données et reste responsable de leur respect.

Article 6 — Transferts hors de l’Union européenne

Les données sont hébergées en France. Les transferts éventuels vers un pays tiers (annexe 3) sont encadrés par une décision d’adéquation, notamment le cadre de protection des données UE–États-Unis (Data Privacy Framework), ou par les clauses contractuelles types de la Commission européenne.

Article 7 — Droits des personnes

La solution permet au Client de consulter, corriger, exporter et supprimer les données de ses salariés. Si une personne s’adresse directement à l’Éditeur, celui-ci transmet sa demande au Client sans délai et l’aide à y répondre dans le délai légal d’un mois.

Article 8 — Violation de données

L’Éditeur notifie au Client toute violation de données personnelles le concernant dans un délai maximal de quarante-huit (48) heures après en avoir pris connaissance, avec les informations disponibles (nature, catégories et nombre approximatif de personnes et de données concernées, conséquences probables, mesures prises), afin de permettre au Client de notifier l’autorité de contrôle dans les 72 heures.

Article 9 — Fin du contrat

À la fin du contrat, l’Éditeur met les données à disposition du Client pour export pendant trente (30) jours, puis les supprime, y compris des sauvegardes, dans un délai de trois (3) mois, sauf obligation légale de conservation. Il en atteste par écrit sur demande.

Article 10 — Assistance et audit

L’Éditeur aide le Client, dans la mesure de ses moyens, à réaliser ses analyses d’impact et à respecter ses obligations de sécurité. Il met à sa disposition les informations nécessaires pour démontrer le respect du présent accord et permet un audit, une fois par an, à la charge du Client, avec un préavis de trente (30) jours, par un auditeur tenu au secret et sans accès aux données des autres clients.

Article 11 — Obligations du Client

• Disposer d’une base légale pour chaque traitement et informer ses salariés et, le cas échéant, ses propres clients (destinataires de colis).
• Tenir son registre des traitements et, si nécessaire, consulter ses instances représentatives du personnel (pointage, géolocalisation au pointage).
• Ne saisir dans la solution que des données pertinentes et nécessaires.
• Choisir l’activation des modules d’intelligence artificielle en connaissance de cause.