Annexe RGPD — Accord de sous-traitance

Le présent accord s'applique uniquement lorsque le devis ou la prestation prévoit qu'ADN36 traite des données personnelles pour le compte du client et selon ses instructions documentées.

Il ne s'applique donc pas à l'ensemble des prestations. Il ne concerne pas les traitements que réalise ADN36 pour ses propres besoins (demandes reçues via le site, gestion de la relation client, devis et facturation) : pour ceux-là, ADN36 agit en qualité de responsable du traitement et sa politique de confidentialité s'applique.

• Responsable du traitement : le client, identifié dans l'annexe et dans le devis auquel le présent accord est annexé. Il détermine les finalités et les moyens du traitement.
• Sous-traitant : ADN36 — Angèle-Lino Clouet, entrepreneur individuel, 1 Gâtine, 36210 Chabris, SIRET 10571187300015, gestion@adn36.org.

L'objet, la nature, les finalités, la durée du traitement, les catégories de personnes concernées et les catégories de données sont décrits dans l'annexe, complétée par le client pour chaque prestation.

ADN36 ne traite les données personnelles que sur la base des instructions documentées du client, y compris pour d'éventuels transferts de données.

Si une obligation légale impose à ADN36 de traiter des données au-delà de ces instructions, ADN36 en informe le client avant le traitement, sauf lorsque le droit applicable interdit cette information.

Si ADN36 estime qu'une instruction constitue une violation du RGPD ou d'une autre règle applicable à la protection des données, elle en informe le client.

Les données ne sont accessibles qu'aux personnes autorisées pour l'exécution de la prestation. Ces personnes sont tenues à une obligation de confidentialité.

En pratique, les prestations d'ADN36 sont réalisées personnellement par Angèle-Lino Clouet ; toute personne qui serait ponctuellement associée à une prestation serait soumise aux mêmes engagements de confidentialité.

ADN36 met en œuvre des mesures techniques et organisationnelles adaptées aux risques de la prestation, notamment :

• Accès limité aux seules données nécessaires à la réalisation de la prestation (principe du besoin d'en connaître) ;
• Confidentialité des informations vues, entendues ou manipulées pendant la prestation ;
• Travail sur le matériel et les outils du client par défaut, sans copie des données ;
• Transfert temporaire de données sur un support d'ADN36 uniquement si cela est nécessaire à la prestation et explicitement convenu avec le client ;
• Suppression des copies temporaires, ou restitution au client, dès qu'elles ne sont plus nécessaires à la prestation ;
• Absence de conservation des mots de passe et identifiants du client après la prestation ;
• Signalement au client de tout incident ou anomalie de sécurité constaté pendant la prestation.

Le client reste responsable des mesures de sécurité de ses propres systèmes, comptes et sauvegardes.

ADN36 n'utilise pas les données confiées pour son propre compte, à ses propres fins, ni à des fins commerciales ou de prospection. Aucune donnée n'est vendue, louée ni cédée.

Le client donne à ADN36 une autorisation générale de recourir aux sous-traitants ultérieurs listés ci-dessous pour l'exécution de la prestation. ADN36 informe le client préalablement à tout ajout ou remplacement de sous-traitant ultérieur, afin de lui permettre de s'y opposer lorsque le cadre contractuel applicable le permet. En cas d'opposition motivée, les parties recherchent une solution alternative raisonnable ; à défaut, la prestation concernée peut être adaptée ou interrompue.

Sous-traitants ultérieurs auxquels ADN36 peut recourir :

• Google (Google Workspace) : Gmail, Google Drive et Google Agenda, utilisés via le compte professionnel gestion@adn36.org — messagerie, stockage des documents de travail et organisation des interventions.
• Google (infrastructure de sauvegarde) : sauvegarde des données professionnelles d'ADN36 dans l'environnement Google prévu à cet effet, en complément d'un disque externe chiffré.
• Lovable (Lovable Labs) : création, hébergement et fonctionnement technique du site ADN36, y compris le formulaire de contact, la base de données et l'espace de stockage privé des pièces jointes.
• Indy : gestion comptable, facturation et gestion bancaire et administrative de l'activité (données de facturation et pièces comptables).
• OpenAI (ChatGPT) : outil d'assistance utilisé par ADN36. Les données personnelles ne lui sont transmises que lorsque c'est nécessaire, autorisé par le client et compatible avec la prestation concernée. ADN36 limite la transmission au strict nécessaire, privilégie des données anonymisées ou minimisées et n'utilise pas les données du client à des fins étrangères à la prestation.

Tout sous-traitant ultérieur est soumis à des obligations de protection des données équivalentes à celles du présent accord. Certains de ces prestataires peuvent recourir à leurs propres infrastructures ou sous-traitants situés hors de l'Espace économique européen : voir la clause 11.

À distinguer — fournisseurs de services qui n'agissent pas comme sous-traitants d'ADN36 pour les données du client :

• Orange : fournisseur d'accès Internet et de services télécom utilisés pour l'activité. Il n'intervient pas dans le traitement des données du client pour le compte d'ADN36 et agit selon son propre cadre légal (notamment les obligations applicables aux opérateurs).
• Google Maps et Google Business Profile : utilisés pour la cartographie, la localisation et la présence professionnelle d'ADN36. Aucune donnée personnelle confiée par le client n'y est traitée pour son compte.

À distinguer également — destinataires imposés par la loi : certains organismes, notamment l'URSSAF et l'administration fiscale, peuvent être destinataires de données dans le cadre des obligations légales, sociales et fiscales propres à ADN36. Ces organismes ne sont pas des sous-traitants d'ADN36 et agissent dans le cadre de leurs propres missions et responsabilités.

Compte tenu de la nature du traitement et des informations dont elle dispose, ADN36 apporte au client une assistance raisonnable pour :

• Répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, opposition, portabilité) ;
• Assurer la sécurité du traitement ;
• Gérer les violations de données personnelles ;
• Réaliser, le cas échéant, une analyse d'impact relative à la protection des données ;
• Mener, le cas échéant, une consultation préalable de l'autorité de contrôle.

Lorsqu'une personne concernée s'adresse directement à ADN36, sa demande est transmise au client sans réponse sur le fond, celui-ci étant responsable du traitement.

ADN36 notifie au client, sans retard injustifié après en avoir pris connaissance, toute violation de données personnelles concernant le traitement réalisé pour son compte, en lui communiquant les informations dont elle dispose (nature de l'incident, données et personnes potentiellement concernées, mesures prises).

Les notifications à l'autorité de contrôle et, le cas échéant, aux personnes concernées relèvent du client, en sa qualité de responsable du traitement.

Certains prestataires techniques utilisés par ADN36 peuvent être amenés à traiter des données personnelles en dehors de l'Espace économique européen. Lorsque de tels transferts sont nécessaires, ADN36 veille à ce qu'ils soient encadrés par un mécanisme de transfert conforme au RGPD, notamment une décision d'adéquation ou des clauses contractuelles types de la Commission européenne, lorsque ces mécanismes sont applicables.

Par défaut, les prestations sont réalisées en France, sur les outils et le matériel du client. Lorsqu'un service utilisé dans le cadre de la prestation implique un transfert hors EEE, ce transfert n'a lieu que sur instruction documentée du client, le choix des services utilisés relevant du client en sa qualité de responsable du traitement.

À la fin de la prestation, ADN36 restitue les données au client ou les supprime, au choix du client, ainsi que les copies temporaires existantes, sauf lorsque le droit applicable impose leur conservation.

À défaut d'instruction contraire du client, les copies temporaires éventuelles sont supprimées.

ADN36 met à la disposition du client les informations nécessaires pour démontrer le respect des obligations du présent accord et contribue aux audits raisonnables, y compris aux inspections, réalisés par le client ou un auditeur qu'il mandate, dans des conditions et un délai convenus entre les parties.

Plus généralement, ADN36 coopère de manière raisonnable avec le client, et le cas échéant avec l'autorité de contrôle, pour tout ce qui concerne le traitement réalisé pour son compte.