Accord de traitement des données personnelles

1. Parties et objet

Le présent accord est conclu entre le Client, abonné au service Oliro, agissant en qualité de responsable de traitement, et AGENCE M COM, SARL immatriculée au RCS de Marseille sous le numéro 852 298 298, au capital de 100 000 €, dont le siège est 7 rue Gaston de Flotte, Immeuble Le Quadra, 13012 Marseille, représentée par Nassim Maresni, gérant, agissant en qualité de sous-traitant (le « Sous-traitant »).

Il précise les conditions dans lesquelles le Sous-traitant traite, pour le compte du Client, les données personnelles nécessaires à la fourniture du service Oliro (le « Service »). Il fait partie intégrante du contrat Oliro et suit sa durée.

2. Description du traitement

3. Instructions du Client

Le Sous-traitant traite les données uniquement sur instruction documentée du Client, que constituent le contrat, le présent accord et l'utilisation du Service par le Client. Si le Sous-traitant estime qu'une instruction constitue une violation du RGPD ou du droit applicable, il en informe immédiatement le Client.

4. Confidentialité

Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité. Son personnel n'accède aux données du Client que lorsque c'est nécessaire à l'assistance, à la maintenance ou au respect d'une obligation légale.

5. Sécurité

Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées au sens de l'article 32 du RGPD, décrites en annexe A, et les fait évoluer selon l'état de l'art sans en diminuer le niveau global de protection.

6. Sous-traitants ultérieurs

Le Client donne une autorisation générale au Sous-traitant de recourir aux sous-traitants ultérieurs listés en annexe B. Le Sous-traitant informe le Client de tout ajout ou remplacement au moins trente (30) jours à l'avance ; le Client peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier le contrat sans frais. Le Sous-traitant impose à ses sous-traitants ultérieurs des obligations de protection des données équivalentes et reste responsable envers le Client de leur respect.

Les données sont hébergées dans l'Union européenne. Aucun transfert hors de l'Union européenne n'est réalisé sans garanties appropriées au sens du chapitre V du RGPD (décision d'adéquation ou clauses contractuelles types) et sans information préalable du Client.

7. Droits des personnes et assistance

Le Service permet au Client de consulter, corriger, exporter et supprimer les données de ses contacts, et de marquer un contact comme refusant la prospection. Si une personne s'adresse directement au Sous-traitant, celui-ci transmet sa demande au Client dans les meilleurs délais, sans y répondre lui-même sauf instruction.

Le Sous-traitant aide le Client, dans la mesure du possible, à respecter ses obligations relatives à la sécurité, aux analyses d'impact et à la consultation préalable de l'autorité de contrôle, compte tenu de la nature du traitement et des informations dont il dispose.

8. Violation de données

Le Sous-traitant notifie au Client toute violation de données personnelles dans les meilleurs délais et au plus tard quarante-huit (48) heures après en avoir pris connaissance, avec les informations utiles pour permettre au Client, le cas échéant, de la notifier à la CNIL et d'en informer les personnes concernées. Il prend sans délai les mesures nécessaires pour en limiter les effets.

9. Fin du contrat : restitution et suppression

À la fin du contrat, le Client dispose de trente (30) jours pour exporter ses données depuis le Service. Le Sous-traitant supprime ensuite les données du Client, y compris les copies de sauvegarde à l'issue de leur cycle de rotation, au plus tard dans un délai de quatre-vingt-dix (90) jours, sauf obligation légale de conservation, et confirme la suppression par écrit sur demande.

10. Documentation et audit

Le Sous-traitant met à la disposition du Client les informations nécessaires pour démontrer le respect de ses obligations, et permet la réalisation d'audits par le Client ou un auditeur indépendant tenu au secret, avec un préavis de trente (30) jours, au plus une fois par an sauf violation de données, aux frais du Client et sans perturber le fonctionnement du Service. Il tient un registre des traitements effectués pour le compte de ses clients.

11. Obligations du Client

• disposer d'une base légale pour chaque traitement et informer les personnes concernées ;
• ne saisir que des données pertinentes et nécessaires, sans donnée sensible ;
• respecter les règles de prospection commerciale (accord préalable lorsqu'il est exigé) ;
• gérer les accès de ses Utilisateurs et retirer ceux qui quittent son entreprise.

Annexe A : Mesures de sécurité

• Connexions chiffrées (HTTPS) entre les appareils des Utilisateurs et le Service.
• Mots de passe des Utilisateurs conservés sous forme hachée ; sessions signées et limitées dans le temps ; lien d'invitation personnel, valable 48 heures et utilisable une seule fois, avec lequel l'Utilisateur choisit lui-même son mot de passe.
• Mots de passe des boîtes mail reliées chiffrés au repos (AES-256-GCM), utilisés uniquement pour relever et envoyer les mails du Client.
• Cloisonnement des données : chaque Client dispose d'un espace séparé, et chaque action contrôle que l'Utilisateur connecté appartient bien à cet espace.
• Signatures enregistrées sous forme de tracé, avec la date, l'heure et l'adresse IP du signataire ; devis signé conservé en l'état.
• Sauvegarde quotidienne hors du serveur principal, conservée trente (30) jours, avec test régulier de restauration.
• Accès du personnel du Prestataire limité aux besoins d'assistance et de maintenance.

Annexe B : Sous-traitants ultérieurs

Le prestataire de paiement de l'abonnement (Stripe) traite les données de facturation du Client pour le compte du Prestataire, en qualité de responsable ou de sous-traitant du Prestataire : il n'a pas accès aux données des clients et prospects du Client.