BâltioAccord de sous-traitance RGPD (DPA)
Annexe aux Conditions Générales de Vente. Accepté conjointement avec les CGV lors de la souscription à l'abonnement, sans nécessiter de signature séparée.
1. Objet
Le présent Accord de sous-traitance (« DPA ») formalise les conditions dans lesquelles Bâltio (ci-après « le Sous-traitant ») traite, pour le compte du client professionnel (ci-après « le Responsable de traitement »), les données à caractère personnel relatives aux propres clients du Responsable de traitement, lorsque celui-ci les introduit dans le Service (par exemple : noms, adresses de chantiers, coordonnées).
Il s'applique en complément des CGV et de la Politique de confidentialité, conformément à l'article 28 du RGPD.
2. Rôles des parties
Le Responsable de traitement détermine les finalités et les moyens du traitement des données de ses propres clients qu'il introduit dans le Service. Le Sous-traitant traite ces données uniquement sur instruction documentée du Responsable de traitement, telle qu'exprimée par l'usage normal du Service.
3. Nature, finalité et durée du traitement
- Nature : hébergement, stockage et mise à disposition des données via le Service.
- Finalité : permettre la planification de chantiers par le Responsable de traitement.
- Durée : pendant toute la durée de l'abonnement, puis pendant la durée de conservation post-résiliation prévue à la Politique de confidentialité, sauf demande de suppression anticipée.
- Catégories de données : nom, adresse, coordonnées de contact des clients du Responsable de traitement, informations relatives aux chantiers (adresse, phases, observations).
- Personnes concernées : clients et prospects du Responsable de traitement.
4. Obligations du Sous-traitant
Le Sous-traitant s'engage à :
- ne traiter les données que sur instruction du Responsable de traitement ;
- garantir la confidentialité des données traitées ;
- mettre en œuvre les mesures de sécurité décrites à l'article 6 ;
- ne pas utiliser les données traitées pour entraîner des modèles d'intelligence artificielle ;
- assister raisonnablement le Responsable de traitement dans le respect de ses obligations (réponse aux demandes d'exercice des droits, notification de violations de données) ;
- notifier le Responsable de traitement dans les meilleurs délais en cas de violation de données affectant les données traitées ;
- supprimer ou restituer les données à l'issue de la relation contractuelle, dans les conditions prévues à la Politique de confidentialité.
5. Sous-traitants ultérieurs
La liste complète et à jour des sous-traitants ultérieurs auxquels le Sous-traitant recourt (finalité, données concernées, localisation et garanties applicables, pour chacun) est publiée sur la page Sous-traitants, qui fait référence.
Le Responsable de traitement est informé de tout ajout de sous-traitant ultérieur via cette page ou par email, et dispose d'un délai de 15 jours à compter de cette information pour s'y opposer pour un motif légitime lié à la protection des données.
6. Sécurité
Le Sous-traitant met en œuvre : chiffrement des communications (HTTPS/TLS), authentification sécurisée, cloisonnement des données par compte (Row Level Security). Ces mesures correspondent à l'état de l'art pour un service de cette nature, sans constituer une certification formelle (ISO, SOC 2 ou équivalent).
7. Transferts hors Union européenne
Lorsqu'un transfert de données hors de l'Union européenne a lieu, il est encadré par une garantie appropriée au sens du chapitre V du RGPD : maintien des données dans l'UE, décision d'adéquation (dont l'EU-U.S. Data Privacy Framework) ou clauses contractuelles types de la Commission européenne. Le détail, sous-traitant par sous-traitant, figure sur la page Sous-traitants.
8. Responsabilité
Chaque partie est responsable des dommages causés par un traitement effectué en violation du RGPD dans le cadre de ses obligations respectives, conformément à l'article 82 du RGPD.
9. Durée et sort des données
Le présent DPA s'applique pendant toute la durée de l'abonnement du Responsable de traitement au Service. À son terme, les données sont supprimées ou restituées dans les conditions prévues à la Politique de confidentialité.