Accord de sous-traitance

Le client est responsable de traitement. Il détermine les finalités et les moyens des traitements qu’il met en œuvre au moyen du service. L’éditeur agit exclusivement sur son instruction documentée, matérialisée par les présentes et par l’usage du service.

• Nature : hébergement, enregistrement, consultation, mise à jour et suppression de données de gestion de stock.
• Finalité : fournir le service souscrit — suivi des stocks, des dates de péremption et des réapprovisionnements.
• Catégories de personnes : utilisateurs du service désignés par le client (propriétaire, gérants, salariés).
• Catégories de données : identité professionnelle (adresse électronique, rôle), et traces d’activité liées aux contrôles de péremption (auteur du contrôle, date, décision).
• Durée : celle du contrat, prolongée de 30 jours pour permettre la restitution.

Aucune donnée relevant de l’article 9 du RGPD (données dites sensibles) n’est requise par le service. Le client s’engage à ne pas en déposer.

• ne traiter les données que sur instruction documentée du client ;
• garantir la confidentialité, les personnes habilitées étant tenues à une obligation de discrétion ;
• mettre en œuvre les mesures techniques et organisationnelles décrites à l’article 5 ;
• assister le client, compte tenu de la nature du traitement, dans ses réponses aux demandes d’exercice de droits et dans ses analyses d’impact éventuelles ;
• à la fin du contrat, restituer les données dans un format structuré puis les supprimer, copies comprises, dans le délai indiqué ci-dessus ;
• mettre à disposition les informations nécessaires pour démontrer le respect de l’article 28 et permettre la réalisation d’audits, dans des conditions raisonnables convenues entre les parties.

Le client autorise le recours aux sous-traitants ultérieurs listés dans la politique de confidentialité (hébergement, acheminement des messages et conservation des sauvegardes chiffrées). Tout changement lui est notifié par courrier électronique avec un préavis de trente jours, pendant lequel il peut s’y opposer pour un motif légitime ; à défaut d’accord, il peut résilier sans frais.

L’éditeur demeure responsable devant le client de l’exécution par ces prestataires de leurs obligations.

• chiffrement des échanges en transit ;
• mots de passe conservés sous forme de condensats à sel unique ;
• cloisonnement des données de chaque client au niveau de la base, contrôlé automatiquement au démarrage du service et à chaque exécution des tests ;
• contrôle des accès par rôle, fermé par défaut : une fonctionnalité non explicitement ouverte reste réservée au propriétaire du compte ;
• révocation immédiate des sessions d’un compte lors du changement de son mot de passe ;
• limitation du débit des appels et verrouillage temporaire après échecs répétés ;
• hébergement en région européenne.

L’éditeur notifie au client toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance, et au plus tard sous quarante-huit heures. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises.

La notification à l’autorité de contrôle et, le cas échéant, aux personnes concernées incombe au client, en sa qualité de responsable de traitement.

Toute question relative au présent accord peut être adressée à À COMPLÉTER.