Accord de sous-traitance de données
DPA simplifié pour traitements opérés par Acquisition pour le compte du client.
Version modèle
Ce DPA est un modèle simplifié à faire valider juridiquement. Il ne remplace pas un contrat signé adapté au client et aux traitements réels.
Rôles
Le client agit en principe comme responsable de traitement pour les données qu'il configure, importe, exploite ou contacte.
Acquisition agit comme sous-traitant lorsqu'il héberge et traite ces données selon les instructions du client.
Instructions documentées
Acquisition traite les données pour fournir le service, maintenir la sécurité, réaliser les opérations demandées et respecter le contrat.
Toute instruction incompatible avec la loi doit être signalée au client.
Sécurité et confidentialité
Acquisition limite l'accès aux personnes habilitées, applique des mesures techniques raisonnables et protège les secrets serveur.
Les utilisateurs du client restent responsables de la confidentialité de leurs comptes et contenus.
Sous-traitants ultérieurs
Les sous-traitants ultérieurs sont listés dans la page Sous-traitants et peuvent dépendre des services activés.
Le client doit être informé des changements selon les modalités contractuelles à valider.
Assistance
Acquisition fournit une assistance raisonnable pour les demandes d'exercice de droits, analyses, exports, suppression ou anonymisation selon les fonctionnalités disponibles.
Les demandes doivent être qualifiées par le client responsable de traitement.
Violation de données
Acquisition doit notifier le client dans les meilleurs délais raisonnables après confirmation d'une violation de données personnelles affectant le service.
Le contenu, délai et processus de notification doivent être validés contractuellement.
Suppression ou restitution
À la fin du contrat, les données peuvent être exportées, supprimées ou anonymisées selon les modalités techniques disponibles et les obligations légales.
Les backups peuvent être purgés selon leur cycle de rétention.
Audits
Des informations d'audit raisonnables peuvent être fournies. Les audits intrusifs doivent être encadrés pour préserver la sécurité, la confidentialité et la disponibilité du service.