Accord de sous-traitance des données (DPA)

1.1 Le présent accord de sous-traitance des données personnelles (le « DPA ») est annexé aux Conditions Générales d'Utilisation (« CGU ») de usegaby.com et en fait partie intégrante. Il est conclu entre l'Utilisateur (le « Responsable de traitement » ou « Client ») et Theo MARCHI, entrepreneur individuel (micro-entrepreneur), SIREN 108 089 814, 7 rue Lucien Bonmarchand, 92370 Chaville (le « Sous-traitant » ou « Éditeur »). Il est conclu conformément à l'article 28 du Règlement (UE) 2016/679 (« RGPD »), pour la fourniture du Service défini dans les CGU.

1.2 Il est réputé accepté par l'acceptation des CGU et prend effet à la création du Compte. Il demeure en vigueur pendant toute la durée d'utilisation du Service et jusqu'à la restitution ou la suppression des données conformément à l'article « Sort des données ». En cas de contradiction sur le traitement des données personnelles, le DPA prévaut sur les CGU.

1.3 Le DPA ne s'applique qu'aux données personnelles contenues dans les Données Utilisateur pour lesquelles l'Utilisateur est responsable de traitement. Pour ses propres traitements (gestion du Compte, sécurité, facturation de l'abonnement), l'Éditeur est responsable de traitement, comme indiqué dans la Politique de confidentialité.

2.1 Le Sous-traitant traite les données pour le compte du Client aux seules fins de fournir le Service de gestion et de transmission électronique de factures. Les caractéristiques du traitement sont les suivantes :

3.1 Le Sous-traitant s'engage à :

• traiter les données uniquement sur instruction documentée du Client, les CGU et le DPA valant instructions. Si une instruction lui semble contraire au RGPD, il en informe le Client dans les meilleurs délais ;
• ne pas vendre, louer, céder ni utiliser les données à ses propres fins commerciales ou pour entraîner des services tiers, sauf usage de données anonymisées et agrégées à des fins de fonctionnement et d'amélioration du Service ;
• garantir la confidentialité des données et veiller à ce que les personnes autorisées à les traiter soient tenues à une obligation de confidentialité et formées à la protection des données ;
• mettre en œuvre les mesures de sécurité décrites en Annexe 1, appropriées au risque, au sens de l'article 32 du RGPD ;
• tenir un registre des catégories d'activités de traitement effectuées pour le compte du Client, conformément à l'article 30.2 du RGPD.

4.1 Le Client donne une autorisation générale au Sous-traitant de recourir à des sous-traitants ultérieurs, dont la liste figure en Annexe 2, en particulier Cloudflare (hébergement), SUPER PDP et Resend (envoi de courriels), nécessaires à la fourniture du Service.

4.2 Le Sous-traitant informe le Client de tout ajout ou remplacement de sous-traitant ultérieur au moins 15 jours avant sa mise en œuvre (courriel ou notification dans le Service). Le Client peut s'y opposer par écrit, pour des motifs raisonnables et documentés tenant à la protection des données, pendant ce délai ; à défaut d'accord, le Client peut résilier le Service sans pénalité, sa seule voie de recours étant cette résiliation.

4.3 Le Sous-traitant impose à ses sous-traitants ultérieurs des obligations équivalentes à celles du DPA et demeure responsable à l'égard du Client de l'exécution de leurs obligations, dans les limites de l'article « Responsabilité ». L'Utilisateur reconnaît que SUPER PDP peut, pour les traitements réalisés en exécution de ses obligations légales à l'égard de l'administration fiscale, agir en qualité de responsable de traitement distinct.

5.1 Le Sous-traitant assiste le Client, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, pour répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition). Lorsqu'une personne s'adresse directement au Sous-traitant, celui-ci la redirige vers le Client sans y répondre lui-même, sauf instruction contraire.

5.2 Le Client dispose des outils d'export, de modification et de suppression du Service. Toute assistance dépassant ce périmètre pourra faire l'objet d'une facturation au tarif en vigueur.

6.1 Le Sous-traitant notifie au Client toute violation de données personnelles affectant les données du Client, dans les meilleurs délais après en avoir pris connaissance, par courriel à l'adresse du Compte. La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables et les mesures prises ou proposées. Il appartient au Client d'évaluer la nécessité de notifier l'autorité de contrôle et les personnes concernées.

7.1 Le Sous-traitant assiste le Client, dans la mesure de ses moyens et compte tenu de la nature du traitement, pour la réalisation d'analyses d'impact et de consultations préalables de l'autorité de contrôle (art. 35 et 36 du RGPD).

7.2 Le Sous-traitant met à la disposition du Client les informations nécessaires pour démontrer le respect de ses obligations (documentation, attestations, rapports de certification tels que ISO 27001 lorsqu'ils existent). Si ces éléments sont insuffisants, le Client peut réaliser un audit une fois par an au maximum, avec un préavis écrit de trente (30) jours, pendant les heures ouvrées, sans perturber l'activité du Sous-traitant, aux frais du Client, par un auditeur tenu à la confidentialité et non concurrent du Sous-traitant, et dans le respect de la confidentialité des données des autres clients.

8.1 Le Client reconnaît que certains sous-traitants ultérieurs (notamment Cloudflare et Resend) sont établis aux États-Unis ou y stockent des données. Ces transferts sont encadrés par des garanties appropriées au sens du chapitre V du RGPD (participation au cadre de protection des données UE–États-Unis, clauses contractuelles types, autres garanties). Tout autre transfert hors de l'Espace économique européen suppose des garanties équivalentes et une information préalable du Client dans les conditions de l'article « Sous-traitants ultérieurs ».

9.1 À la fin du Service, le Sous-traitant met à disposition du Client un outil d'exportation de ses données pendant 30 jours. Passé ce délai, il supprime ou anonymise les données de manière irréversible, ainsi que leurs copies, sauf obligation légale de conservation à sa charge ou à celle de la plateforme agréée partenaire, et sauf, pour le Client abonné à la Formule Groupe, les archives de Factures conservées jusqu'à dix (10) ans à compter de leur validation, qui demeurent soumises au DPA. Le Client peut à tout moment demander la suppression de ses données ou de ses archives par écrit à support@usegaby.com ; le Sous-traitant y procède dans un délai de trente (30) jours. Une attestation de suppression peut être délivrée sur demande écrite.

9.2 Les données présentes dans les sauvegardes sont supprimées selon le cycle normal de rotation des sauvegardes.

10.1 Le Client garantit que le traitement qu'il confie au Sous-traitant est licite, qu'il dispose d'une base légale et a informé les personnes concernées conformément aux articles 13 et 14 du RGPD, que ses instructions sont conformes à la réglementation et que les données sont adéquates, exactes et limitées à ce qui est nécessaire. Il est responsable du choix de ses durées de conservation et de la conservation des documents qui lui incombent légalement.

10.2 Le Client peut, sous sa responsabilité, activer la transmission des données à la plateforme agréée SUPER PDP, et reconnaît en avoir été informé.

11.1 Sans préjudice des droits des personnes concernées (art. 82 du RGPD), la responsabilité de chaque partie à l'égard de l'autre au titre du DPA est soumise aux exclusions et plafonds prévus à l'article « Exclusion et limitation de responsabilité » des CGU, dans les limites permises par la loi. Le Sous-traitant n'est pas responsable des dommages résultant d'instructions illicites du Client, du non-respect par celui-ci de ses obligations ou de l'intervention de SUPER PDP en qualité de responsable de traitement distinct.

12.1 Le DPA est soumis au droit français et aux stipulations de règlement des litiges des CGU.

Le Sous-traitant met en œuvre, au minimum, les mesures suivantes :

• chiffrement des données en transit (TLS) et, lorsque c'est pertinent, au repos ;
• authentification des accès, gestion des droits selon le principe du moindre privilège, mots de passe stockés sous forme hachée ;
• cloisonnement logique des données de chaque client ;
• journalisation des accès et des opérations, surveillance et détection des anomalies ;
• sauvegardes régulières et procédures de restauration ;
• mises à jour de sécurité, gestion des vulnérabilités, environnements de test distincts de la production ;
• politique de gestion des incidents et des violations de données ;
• confidentialité et sensibilisation des personnes habilitées, contrôle des sous-traitants ;
• hébergement sur l'infrastructure de Cloudflare, prestataire offrant des garanties de sécurité physique et logique reconnues.