Accord de sous-traitance de données personnelles — DPA

1. Parties et rôles

Le client agit comme responsable de traitement pour les données confiées au service. CREANGA Radu-Cristian, entrepreneur individuel (EI), C.R.C. Pro, agit comme sous-traitant dans la mesure où il traite ces données sur instruction du client.

Les traitements pour la gestion du compte, la facturation, la sécurité propre de C.R.C. Pro et la défense de ses droits relèvent de la politique de confidentialité en qualité de responsable de traitement.

2. Objet et durée

Le présent accord encadre les opérations nécessaires à la fourniture du service décrit dans le bon de commande et l'annexe produit. Il s'applique pendant le contrat et jusqu'à la restitution ou suppression des données, sous réserve des archives légales.

3. Description du traitement

L'annexe de traitement précise pour chaque produit :

• finalités ;

• opérations ;

• catégories de personnes ;

• catégories de données ;

• données sensibles éventuelles ;

• fréquence ;

• durée ;

• lieux ;

• instructions documentées ;

• sous-traitants ultérieurs.

Aucun traitement non décrit n'est autorisé sans instruction ou avenant.

4. Instructions

C.R.C. Pro traite les données uniquement sur instruction documentée, y compris pour les transferts. Il informe le client lorsqu'une instruction lui paraît constituer une violation, sauf interdiction légale.

5. Confidentialité

Les personnes autorisées sont soumises à une obligation de confidentialité et n'accèdent qu'aux données nécessaires.

6. Sécurité

C.R.C. Pro applique les mesures de l'annexe TOMs en tenant compte du risque : contrôle d'accès, isolation, chiffrement, gestion des secrets, journalisation, sauvegardes chiffrées, correctifs, tests et réponse aux incidents.

7. Sous-traitants ultérieurs

Le client donne une autorisation générale pour les fournisseurs listés. C.R.C. Pro l'informe d'un ajout ou remplacement avant sa prise d'effet selon le délai contractuel, afin de permettre une objection motivée.

C.R.C. Pro impose des obligations équivalentes au fournisseur concerné et reste responsable de ses obligations envers le client.

8. Assistance aux droits

C.R.C. Pro met à disposition les fonctions raisonnablement nécessaires à l'accès, la rectification, l'export, l'effacement, la limitation et l'opposition. Il transmet au client toute demande reçue concernant les données du client, sauf instruction contraire.

9. AIPD et consultation

Compte tenu des informations disponibles, C.R.C. Pro assiste raisonnablement le client pour les analyses d'impact, la sécurité et les consultations d'autorité. Les prestations dépassant l'assistance standard peuvent être facturées lorsqu'elles résultent d'un besoin spécifique du client.

10. Violation de données

C.R.C. Pro notifie au client sans délai indu toute violation concernant les données du client dont il a connaissance. La notification contient les informations disponibles : nature, catégories, volume, conséquences probables, mesures prises et contact.

C.R.C. Pro ne notifie pas automatiquement la CNIL pour le compte du client, sauf mandat écrit spécifique. Le client demeure responsable de sa qualification et de ses notifications.

11. Sort des données

À la fin, le client choisit, dans les limites du service et de la loi, la restitution puis la suppression ou la suppression directe. Les sauvegardes suivent leur cycle protégé et ne sont utilisées qu'aux fins de restauration et sécurité.

Les données soumises à une obligation propre de conservation sont isolées et ne sont plus utilisées à d'autres fins.

12. Transferts internationaux

Tout transfert hors EEE est documenté et repose sur un mécanisme valide. Le client est informé des fournisseurs et pays pertinents.

13. Documentation et audit

C.R.C. Pro tient les informations nécessaires à la démonstration de ses obligations et accepte un audit raisonnable, proportionné, soumis à confidentialité et ne compromettant pas les autres clients ou la sécurité.

Un audit sur site n'intervient qu'en l'absence de preuve équivalente et selon des modalités convenues. Les coûts peuvent être à la charge du client sauf non-conformité significative imputable à C.R.C. Pro.

14. Registre

C.R.C. Pro tient un registre des catégories de traitements effectués pour le compte de ses clients.

15. Priorité

En cas de contradiction sur la protection des données, le présent DPA prévaut sur les CGV, sous réserve d'une annexe produit plus protectrice.