1. Objet et parties
Le présent accord (l'« Accord ») précise les conditions dans lesquelles Gestiway SAS (à compléter) (le « Sous-traitant ») traite des données personnelles pour le compte du client professionnel utilisateur de Gestiway (le « Responsable de traitement »), conformément à l'article 28 du règlement (UE) 2016/679 (« RGPD »).
L'Accord fait partie intégrante des conditions générales. Il est accepté lors de la création de l'espace et s'applique pendant toute la durée d'utilisation du service. En cas de contradiction, l'Accord prévaut pour ce qui concerne la protection des données.
2. Description du traitement
| Élément | Description |
|---|---|
| Nature et finalités | Hébergement et traitement des données nécessaires à la gestion commerciale du Responsable de traitement : gestion des prospects et clients, pipeline, devis, contrats et signature électronique, facturation et suivi des paiements, planning des événements, matériel, envoi d'e-mails et de relances, portail client, collecte d'avis, tableaux de bord. |
| Personnes concernées | Prospects et clients du Responsable de traitement (particuliers et contacts professionnels), contacts sur place lors des événements, utilisateurs habilités du Responsable de traitement. |
| Catégories de données | Identité et coordonnées (nom, e-mail, téléphone, adresse, SIREN, numéro de TVA), informations sur les événements (date, lieu, nombre d'invités, réponses au questionnaire), données contractuelles et financières (montants, factures, paiements), données de signature électronique (nom, e-mail, adresse IP, navigateur, horodatage, image de la signature, empreinte du document), contenu des e-mails, avis et notes. |
| Données sensibles | Aucune donnée sensible au sens de l'article 9 du RGPD n'est attendue ; le Responsable de traitement s'engage à ne pas en saisir sauf nécessité impérieuse et sous sa responsabilité. |
| Durée | Durée d'utilisation du service, puis restitution et suppression selon l'article « Sort des données ». |
| Localisation | Union européenne. |
3. Obligations du Sous-traitant
Le Sous-traitant s'engage à :
- traiter les données uniquement pour les finalités décrites et sur instruction documentée du Responsable de traitement, l'utilisation du service et ses paramétrages valant instructions ; il informe immédiatement le Responsable de traitement s'il estime qu'une instruction enfreint la réglementation ;
- garantir la confidentialité des données et veiller à ce que les personnes autorisées à les traiter soient soumises à une obligation de confidentialité et formées à la protection des données ;
- mettre en œuvre les mesures de sécurité décrites à l'article « Sécurité » ;
- ne pas utiliser les données pour son propre compte, ne pas les vendre ni les communiquer à des tiers hors des sous-traitants ultérieurs autorisés ;
- tenir un registre des traitements effectués pour le compte du Responsable de traitement (article 30.2 du RGPD).
4. Assistance au Responsable de traitement
Le service fournit au Responsable de traitement des outils lui permettant de répondre aux demandes des personnes concernées : consultation et rectification des fiches, export des données d'un contact (portabilité), anonymisation (droit à l'effacement, en conservant les pièces soumises à une obligation légale de conservation), suivi du consentement à la prospection et purge automatique des prospects inactifs.
Si une personne concernée s'adresse directement au Sous-traitant, celui-ci transmet la demande au Responsable de traitement sans délai et ne lui répond pas directement, sauf instruction contraire.
Le Sous-traitant fournit, sur demande, les informations utiles à la réalisation d'analyses d'impact et à la consultation de l'autorité de contrôle.
5. Sous-traitants ultérieurs
Le Responsable de traitement autorise de manière générale le recours aux sous-traitants ultérieurs listés sur la page Sous-traitants.
Le Sous-traitant informe le Responsable de traitement de tout ajout ou remplacement au moins 30 jours à l'avance. Le Responsable de traitement peut s'y opposer pour des motifs raisonnables liés à la protection des données ; à défaut d'accord, il peut résilier le service sans frais.
Le Sous-traitant impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent Accord et demeure responsable de leur respect.
6. Sécurité
Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées, notamment :
| Domaine | Mesures |
|---|---|
| Isolation des clients | Base de données partagée avec cloisonnement par politiques de sécurité au niveau des lignes (PostgreSQL Row Level Security) forcées sur toutes les tables métier ; chaque requête s'exécute dans le contexte d'une seule entreprise avec un rôle non privilégié. |
| Chiffrement | HTTPS/TLS pour tous les échanges ; secrets (double authentification, liens réaffichables) chiffrés en AES-256-GCM ; jetons publics stockés sous forme d'empreinte SHA-256 ; chiffrement au repos assuré par l'hébergeur. |
| Authentification | Mots de passe hachés (bcrypt), double authentification TOTP, verrouillage après échecs répétés, limitation du débit des tentatives, sessions révocables. |
| Contrôle d'accès | Rôles et permissions par espace (propriétaire, administrateur, membre, comptable) ; accès du personnel de l'éditeur limité au strict nécessaire. |
| Traçabilité | Journal d'audit des actions sensibles (connexions, exports, anonymisations, émission de factures, signatures). |
| Intégrité | Factures émises verrouillées en base et chaînées par empreinte ; dossier de preuve pour chaque signature électronique. |
| Application | En-têtes de sécurité (CSP, HSTS, protection contre le clickjacking), protections CSRF natives, validation systématique des entrées. |
| Continuité | Sauvegardes régulières chiffrées, hébergées dans l'Union européenne, et procédure de restauration. |
7. Violations de données
Le Sous-traitant notifie au Responsable de traitement toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, afin de lui permettre de respecter son propre délai de notification de 72 heures à la CNIL (article 33 du RGPD).
La notification précise, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou envisagées. Le Sous-traitant documente la violation et assiste le Responsable de traitement dans ses obligations d'information.
8. Transferts hors de l'Union européenne
Les données sont hébergées et traitées dans l'Union européenne. Aucun transfert vers un pays tiers n'est réalisé sans garanties appropriées (décision d'adéquation, clauses contractuelles types) et sans information préalable du Responsable de traitement.
9. Sort des données en fin de contrat
Le Responsable de traitement peut exporter l'intégralité de ses données à tout moment (export complet JSON, exports CSV, documents PDF et Factur-X). Après la fin de l'abonnement, l'espace demeure accessible en lecture seule afin de permettre cette récupération.
Sur demande de suppression de l'espace, les données sont définitivement effacées à l'issue d'un délai de 30 jours, puis disparaissent des sauvegardes au terme de leur cycle de rotation, au plus tard 90 jours après. Le Sous-traitant conserve uniquement les données qu'une obligation légale lui impose de garder.
Le Responsable de traitement reste tenu de ses propres obligations de conservation (notamment 10 ans pour les factures).
10. Documentation et audits
Le Sous-traitant met à disposition la documentation nécessaire pour démontrer le respect de ses obligations. Le Responsable de traitement peut, à ses frais et au plus une fois par an, faire réaliser un audit par un auditeur indépendant tenu au secret, moyennant un préavis de 30 jours et sans perturber le service ni compromettre la confidentialité des données des autres clients.
11. Obligations du Responsable de traitement
- disposer d'une base légale pour chaque traitement et informer les personnes concernées (le modèle de contrat fourni comporte une clause dédiée) ;
- ne collecter que les données nécessaires et fixer leurs durées de conservation ;
- documenter ses instructions et veiller au respect du RGPD par ses utilisateurs ;
- gérer les comptes et droits de ses utilisateurs, et activer la double authentification lorsque cela est approprié.
12. Contact
Délégué ou référent à la protection des données : dpo@gestiway.example.