Accord de traitement des données

Parties

Le client de Nobil qui traite avec Nobil des données personnelles de ses propres clients, visiteurs ou contacts (« le Responsable »), et Damiën Sluijter, agissant sous le nom Versa Web Solutions, Sint-Luciestraat 5, 3631 Uikhoven (Maasmechelen), Belgique, numéro d'entreprise et de TVA BE 1027.741.625, exploitant de Nobil (« le Sous-traitant »).

Article 1 · Objet et durée

Le Sous-traitant traite des données personnelles pour le compte du Responsable afin de fournir les services de Nobil, tels que décrits à l'Annexe 1. Cet accord s'applique tant que le Responsable utilise Nobil, puis jusqu'à ce que toutes les données aient été supprimées ou restituées.

Article 2 · Instructions

Le Sous-traitant traite les données personnelles uniquement sur instruction documentée du Responsable. L'utilisation de Nobil telle que le Responsable la configure vaut instruction. Le Sous-traitant n'utilise pas les données à ses propres fins. S'il estime qu'une instruction viole le RGPD, il le signale immédiatement.

Article 3 · Confidentialité

Seules les personnes qui ont besoin des données pour le service (maintenance, support, sécurité) y ont accès, et elles sont tenues à la confidentialité. La consultation d'un compte pour le support est journalisée.

Article 4 · Sécurité

Le Sous-traitant prend des mesures techniques et organisationnelles appropriées, décrites à l'Annexe 2, et les maintient à jour selon l'état de la technique.

Article 5 · Sous-traitants ultérieurs

Le Responsable donne une autorisation générale pour recourir aux sous-traitants ultérieurs de l'Annexe 3. Le Sous-traitant annonce tout nouveau sous-traitant ou changement au moins 30 jours à l'avance par e-mail ; dans ce délai, le Responsable peut s'y opposer de manière motivée et, à défaut de solution, résilier le service. Le Sous-traitant impose à chaque sous-traitant ultérieur les mêmes obligations que dans cet accord.

Article 6 · Transferts hors de l'EEE

Les données ne sont traitées en dehors de l'Espace économique européen que sur une base valable, comme le Cadre transatlantique de protection des données UE–États-Unis ou les clauses contractuelles types de la Commission européenne (voir l'Annexe 3).

Article 7 · Droits des personnes concernées

Le Sous-traitant aide le Responsable à répondre aux demandes des personnes concernées (accès, rectification, effacement, portabilité, opposition), notamment grâce aux fonctions de Nobil permettant de consulter, modifier, exporter et supprimer des données. Une demande qui parvient directement au Sous-traitant est transmise au Responsable.

Article 8 · Violations de données

Le Sous-traitant notifie une violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après l'avoir découverte, avec les informations nécessaires pour l'évaluer et, si nécessaire, la notifier à l'Autorité de protection des données et aux personnes concernées. Il prend immédiatement des mesures pour en limiter les conséquences.

Article 9 · Assistance

Le Sous-traitant aide le Responsable, dans la mesure du raisonnable, pour une analyse d'impact relative à la protection des données et une consultation préalable de l'autorité de contrôle.

Article 10 · Fin

À la fin du service, le Responsable peut exporter ses données. Le Sous-traitant les supprime ensuite dans les 30 jours, sauf ce que la loi l'oblige à conserver. Les copies dans les sauvegardes disparaissent selon les délais de l'Annexe 2.

Article 11 · Contrôle

Sur demande, le Sous-traitant fournit au Responsable les informations nécessaires pour démontrer qu'il respecte cet accord. Un audit sur place est possible après un préavis raisonnable, au plus une fois par an, aux frais du Responsable, sauf s'il est imposé par une autorité de contrôle.

Article 12 · Responsabilité et droit applicable

La responsabilité suit l'article sur la responsabilité des conditions générales de Nobil, sauf là où le RGPD ne le permet pas. Cet accord est régi par le droit belge.

Annexe 1 · Traitement

Annexe 2 · Mesures de sécurité

• Connexions chiffrées (TLS) pour tout le trafic.
• Serveurs dans l'UE (Hetzner, Allemagne), avec mises à jour de sécurité.
• Mots de passe hachés ; connexion en deux étapes disponible ; limitation des tentatives de connexion.
• Clés des services connectés (SumUp, Sendcloud) stockées chiffrées.
• Accès aux comptes clients pour le support réservé aux administrateurs, et journalisé.
• Sauvegardes quotidiennes vers un stockage séparé dans un autre centre de données de l'UE, avec des instantanés qui ne peuvent pas être supprimés depuis le serveur. Conservation : 7 jours pour les copies quotidiennes, 14 jours pour les instantanés, 12 mois pour les copies mensuelles.
• Les erreurs et pannes sont surveillées.

Annexe 3 · Sous-traitants ultérieurs

Stripe, SumUp et Sendcloud fonctionnent avec le propre compte de la boutique : la boutique conclut elle-même un contrat avec eux.