Projet : ce texte n'a pas encore été vérifié par un juriste.
Accord de sous-traitance (DPA)
Cet accord de sous-traitance fait partie du contrat relatif à LTSD Desk. Le client est responsable du traitement. Angelista Enterprise B.V. est sous-traitant.
1. Objet et durée
Le sous-traitant traite des données personnelles uniquement pour fournir LTSD Desk, pendant la durée du contrat.
2. Nature, finalité et données
Demander, faire signer et conserver les déclarations du fournisseur d'origine préférentielle (règlement d'exécution (UE) 2015/2447, annexes 22-15 et 22-16).
- Adresse e-mail de l'utilisateur (connexion)
- Nom et adresse e-mail des exportateurs
- Nom, adresse e-mail et langue des fournisseurs, et les produits qu'ils livrent
- Contenu de la déclaration : nom et fonction du signataire, raison sociale et adresse, lieu, heure et adresse IP de la signature
Personnes concernées : salariés, clients ou relations du client, dans la mesure où ils figurent dans les fichiers du client.
3. Instructions
Le sous-traitant traite les données uniquement sur instruction documentée du client. L'utilisation du service conformément à sa destination vaut instruction.
4. Confidentialité
Toute personne ayant accès aux données chez le sous-traitant est tenue à la confidentialité.
5. Sécurité
Le sous-traitant prend des mesures appropriées (RGPD art. 32) : connexions chiffrées (HTTPS), accès uniquement après connexion, serveurs dans l'EEE, accès administrateur limité et sauvegardes.
6. Sous-traitants ultérieurs
Le client autorise de manière générale ces sous-traitants ultérieurs :
- OVHcloud SAS, Roubaix, France (hébergement du serveur et de la base de données)
- Heinlein Hosting GmbH (mailbox.org), Berlin, Allemagne (envoi et réception des e-mails)
- Mollie B.V., Amsterdam, Pays-Bas (paiements)
Le sous-traitant annonce tout nouveau sous-traitant ultérieur 30 jours à l'avance. Le client peut s'y opposer et, dans ce cas, résilier le contrat.
7. Assistance
Le sous-traitant aide le client à répondre aux demandes des personnes concernées et à respecter les obligations des articles 32 à 36 du RGPD.
8. Violations de données
Le sous-traitant notifie au client toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après sa découverte (RGPD art. 33).
9. Fin du contrat
Après la fin du contrat, le client peut exporter les données pendant 30 jours. Le sous-traitant les supprime ensuite, y compris des sauvegardes dans un délai de 30 jours, sauf si la loi impose leur conservation.
10. Audits
Le sous-traitant fournit au client toutes les informations nécessaires pour démontrer sa conformité et collabore à des audits raisonnables.
11. Transferts
Aucune donnée n'est transférée vers des pays situés hors de l'EEE.