Accord de sous-traitance des données personnelles (DPA)

Parties

Le commerçant qui utilise Avisfy (le « Responsable de traitement ») et [À COMPLÉTER : raison sociale], [À COMPLÉTER : SIREN / RCS] (le « Sous-traitant »). Cet accord complète les conditions générales d’utilisation et s’applique dès l’ouverture du compte.

1. Objet, durée, nature du traitement

Le Sous-traitant traite, pour le compte du Responsable de traitement, les données personnelles des clients de celui-ci afin de lui permettre de : envoyer des demandes d’avis par SMS, recueillir les oppositions, importer et suivre ses avis, recevoir les messages privés de ses clients. Le traitement dure aussi longtemps que le compte est ouvert, puis jusqu’à la restitution ou la suppression des données (article 8).

2. Données et personnes concernées

• Personnes : clients et anciens clients du Responsable de traitement ; auteurs d’avis publics importés par lui.
• Données : prénom (facultatif), numéro de téléphone, date de visite, base de contact et preuve de consentement, état des demandes d’avis, opposition, messages privés ; texte et nom d’auteur des avis importés.
• Aucune donnée sensible (au sens de l’article 9 du RGPD) n’est demandée. Le Responsable de traitement n’en saisit pas dans les champs libres.

3. Obligations du Sous-traitant

• Traiter les données uniquement sur instruction documentée du Responsable de traitement (ses actions dans le Service, et le présent accord).
• Garantir la confidentialité des personnes autorisées à traiter les données.
• Mettre en œuvre des mesures de sécurité appropriées : cloisonnement par commerce, chiffrement des échanges, secrets côté serveur, journaux sans numéro complet, sauvegardes du fournisseur de base de données.
• Notifier au Responsable de traitement toute violation de données le concernant dans les meilleurs délais [À COMPLÉTER : délai, par exemple 48 heures] après en avoir eu connaissance.
• L’aider, dans la mesure du possible, à répondre aux demandes d’exercice des droits des personnes et à ses obligations d’analyse d’impact et de consultation.
• Mettre à sa disposition les informations nécessaires pour démontrer le respect de ces obligations et permettre des audits raisonnables.

4. Sous-traitants ultérieurs

Le Responsable de traitement autorise de manière générale le recours aux sous-traitants ultérieurs ci-dessous. Le Sous-traitant l’informe de tout ajout ou remplacement, ce qui lui laisse la possibilité de s’y opposer ; il leur impose des obligations équivalentes.

5. Transferts hors de l’Union européenne

Les transferts vers des pays tiers reposent sur une décision d’adéquation ou sur des clauses contractuelles types. [À COMPLÉTER PAR UN JURISTE.]

6. Obligations du Responsable de traitement

• Disposer d’une base légale pour contacter chaque client et en conserver la preuve (le Service enregistre la base choisie et l’horodatage) ; la qualification d’une demande d’avis après prestation relève de sa responsabilité.
• Informer ses clients du traitement de leurs données et de leur droit de s’opposer.
• Ne solliciter que des clients qu’il a le droit de contacter, de la même manière pour tous, sans contrepartie.
• Répondre aux demandes d’exercice des droits de ses clients, avec l’aide du Sous-traitant.

7. Droits des personnes

Si le Sous-traitant reçoit directement une demande d’une personne concernée, il la transmet au Responsable de traitement sans y répondre, sauf instruction contraire. Les demandes peuvent être adressées à [À COMPLÉTER : adresse e-mail pour les demandes RGPD].

8. Sort des données à la fin du contrat

À la fin du contrat, le Responsable de traitement peut exporter ses données (avis et demandes, depuis le tableau de bord). Les données sont ensuite supprimées dans un délai de [À COMPLÉTER : par exemple 30 jours], à l’exception des preuves que la loi ou la défense de droits impose de conserver (preuves de consentement et listes d’opposition).