Accord de sous-traitance des données personnelles (article 28 du RGPD)

Modèle à faire valider par un avocat. Cet accord fait partie intégrante des conditions générales d’OK-GRC. Il s’applique automatiquement à tout abonnement ; une version signée peut être fournie sur demande.

Le présent accord est conclu entre le Client, agissant en qualité de responsable de traitement (le « Client »), et ESERENIT, SAS, 16 rue Cuvier, 69006 Lyon, France, RCS Lyon 909 937 948, agissant en qualité de sous-traitant (« ESERENIT »), conformément à l’article 28 du règlement (UE) 2016/679 (RGPD).

1. Objet

Le présent accord définit les conditions dans lesquelles ESERENIT traite, pour le compte du Client, les données personnelles contenues dans les données que le Client et ses utilisateurs déposent dans la plateforme OK-GRC (le « Service »).

2. Description du traitement

3. Obligations d’ESERENIT

ESERENIT s’engage à :

1. traiter les données uniquement sur instruction documentée du Client, constituée par les conditions générales, le présent accord et l’utilisation des fonctionnalités du Service ; ESERENIT informe immédiatement le Client si une instruction lui paraît contraire à la réglementation ;
2. garantir que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité et formées à la protection des données ;
3. mettre en œuvre les mesures de sécurité décrites en annexe 2, adaptées au risque (article 32 du RGPD) ;
4. respecter les conditions de recours à des sous-traitants ultérieurs (article 5) ;
5. aider le Client à répondre aux demandes d’exercice des droits des personnes, notamment grâce aux fonctions d’export, de rectification et de suppression du Service ;
6. aider le Client à garantir le respect des obligations des articles 32 à 36 du RGPD (sécurité, violations, analyses d’impact, consultation préalable), compte tenu des informations dont ESERENIT dispose ;
7. notifier au Client toute violation de données personnelles dans les meilleurs délais et au plus tard quarante-huit (48) heures après en avoir pris connaissance, avec les informations disponibles (nature, catégories et volume approximatif, conséquences probables, mesures prises ou envisagées) ;
8. au terme du Service, permettre l’export puis supprimer les données dans les conditions de l’article 6 ;
9. mettre à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord et permettre les audits prévus à l’article 7 ;
10. tenir un registre des traitements effectués pour le compte de ses clients (article 30.2 du RGPD).

4. Obligations du Client

Le Client s’engage à disposer d’une base légale pour les traitements qu’il confie, à informer les personnes concernées, à ne déposer que les données nécessaires, à gérer les accès de ses utilisateurs et partenaires, et à choisir le paramétrage de l’assistant IA adapté à ses données (fournisseur, masquage des données personnelles, désactivation).

5. Sous-traitants ultérieurs

5.1. Le Client autorise ESERENIT à recourir aux sous-traitants ultérieurs listés sur la page Sous-traitants.

5.2. ESERENIT informe le Client de tout ajout ou remplacement d’un sous-traitant ultérieur au moins trente (30) jours à l’avance. Le Client peut s’y opposer pour un motif légitime lié à la protection des données ; à défaut de solution, il peut résilier le Service sans pénalité.

5.3. ESERENIT impose à chaque sous-traitant ultérieur des obligations équivalentes à celles du présent accord et reste responsable de leur exécution.

5.4. Le sous-traitant d’IA Anthropic n’est utilisé que si le Client choisit ce fournisseur ; le Client peut à tout moment désactiver l’IA ou choisir le modèle hébergé par ESERENIT.

6. Sort des données

Pendant l’abonnement et pendant quatre-vingt-dix (90) jours après son terme, le Client peut exporter ses données. Passé ce délai, ESERENIT les supprime définitivement, sauf obligation légale de conservation ; les sauvegardes sont effacées selon leur cycle de rotation, d’une durée maximale de [[À compléter : durée de rétention des sauvegardes]]. Sur demande, ESERENIT confirme la suppression par écrit.

7. Audits

Le Client peut demander les éléments démontrant le respect du présent accord (politiques de sécurité, rapports d’audit ou certifications disponibles). Il peut en outre faire réaliser, à ses frais et au plus une fois par an, un audit par un auditeur indépendant soumis à confidentialité, moyennant un préavis de trente (30) jours et selon des modalités convenues pour ne pas perturber le Service ni compromettre la sécurité des autres clients.

8. Transferts hors de l’Union européenne

Les données du Client sont hébergées dans l’Union européenne. Tout transfert vers un pays tiers par un sous-traitant ultérieur est encadré par un mécanisme prévu au chapitre V du RGPD (décision d’adéquation ou clauses contractuelles types, complétées si nécessaire de mesures supplémentaires).

9. Responsabilité et durée

Le présent accord suit le sort des conditions générales. Les limitations de responsabilité des conditions générales s’appliquent, dans les limites permises par le RGPD.

Annexe 1 — Coordonnées

• Sous-traitant : ESERENIT, 16 rue Cuvier, 69006 Lyon, France — contact : [[À compléter : adresse e-mail de contact]].
• Responsable de traitement : le Client, tel qu’identifié dans son Compte.

Annexe 2 — Mesures techniques et organisationnelles

• Hébergement dans l’Union européenne ; sauvegardes chiffrées ([[À compléter : fréquence et lieu des sauvegardes]]).
• Chiffrement : TLS pour tous les échanges ; chiffrement des fichiers au repos ; secrets des clients scellés en AES-256-GCM ; mots de passe hachés avec Argon2id.
• Isolation : sécurité au niveau des lignes de la base de données (Row Level Security PostgreSQL, forcée) sur toutes les tables des clients, clés étrangères composites empêchant tout lien entre clients, rôles de base de données séparés.
• Contrôle d’accès : rôles et permissions par organisation, double authentification, clés d’accès, SSO d’entreprise ; accès du support uniquement sur autorisation du Client, limitée dans le temps et tracée.
• Traçabilité : journal d’activité inaltérable de chaque modification, journal d’audit des actions du personnel d’ESERENIT.
• Fichiers : liste blanche de formats, vérification du contenu, analyse antivirus, téléchargement par liens signés de courte durée.
• Développement sécurisé : référentiel OWASP ASVS niveau 2, revue de code, tests automatisés, surveillance des dépendances.
• Organisation : personnel soumis à confidentialité, gestion des incidents et procédure de notification, plan de continuité ([[À compléter : objectifs de reprise RTO/RPO]]).

Annexe 3 — Sous-traitants ultérieurs

Voir la liste à jour sur la page Sous-traitants.