BROUILLON À FAIRE RELIRE PAR UN JURISTE. Ce document ne constitue pas un avis juridique.

Version : [VERSION] · Date : [DATE]

Accord de sous-traitance de données personnelles (article 28 du RGPD)

Entre

• [RAISON SOCIALE DU CLIENT], entrepreneur individuel, SIREN [SIREN CLIENT], siège [ADRESSE CLIENT], représentée par [NOM ET FONCTION], ci-après « le Responsable de traitement » ;
• Axel Guillouard EI, entrepreneur individuel, SIREN 953 002 508, siège 16 rue Saint-Saëns, 77300 Fontainebleau, France, représentée par Axel Guillouard, entrepreneur individuel, ci-après « le Sous-traitant » (ou « MoverTrace »).

Cet accord fait partie du contrat conclu par acceptation des CGV/CGU (le « Contrat »). En cas de contradiction sur la protection des données, il prévaut.

1. Objet, nature et finalité du traitement

Le Sous-traitant fournit le logiciel MoverTrace et traite, pour le compte du Responsable de traitement, les données des dossiers de déménagement : création et suivi des dossiers, étiquetage et scan des colis, photos, listes de colisage et signatures, garde-meuble, portail client, journal de traçabilité, dossier de preuve, API et intégrations.

Opérations : hébergement, enregistrement, organisation, consultation, mise à disposition (portail, export), conservation, anonymisation, suppression. Finalité : permettre au Responsable de traitement d'exécuter et de justifier ses opérations de déménagement. Le Sous-traitant n'utilise pas les données à ses propres fins.

2. Durée

La durée du Contrat, puis la période de restitution et de suppression (art. 11).

3. Personnes concernées et catégories de données

Personnes concernées : clients finaux du Responsable de traitement (particuliers, représentants d'entreprises) ; ses salariés et collaborateurs utilisateurs ; personnes visibles sur des photos.

Données :

• clients finaux : nom, prénom, société, téléphone, e-mail, adresses de départ et d'arrivée, images de signature, photos de colis et de lieux, remarques libres, fiche d'accès (étage, ascenseur, stationnement), commune déduite d'une position arrondie à environ 1 km ;
• utilisateurs : identité, e-mail, téléphone, rôle, identifiants, mot de passe haché, clé publique d'appareil, adresse IP et navigateur, pointages ;
• journal de traçabilité : identifiants internes, nom figé du salarié, remarques de constat, empreintes ; ni nom, ni téléphone, ni adresse du client final ;
• données issues d'un CRM si l'intégration LINA est activée (référence, code d'accès, instantané des données du CRM).

Aucune donnée sensible (art. 9) n'est demandée. Le Responsable de traitement s'interdit d'en saisir dans les champs libres ou les photos lorsqu'il peut l'éviter.

4. Instructions

Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable de traitement : le Contrat, le présent accord et l'usage du service (y compris les fonctions d'export et d'anonymisation). Il l'informe immédiatement s'il estime qu'une instruction viole le RGPD.

5. Confidentialité

Le personnel autorisé du Sous-traitant est tenu à la confidentialité. Les accès aux données de production sont limités à ce qui est nécessaire à l'exploitation, au support et à la sécurité. [À COMPLÉTER : qui a accès, journalisation des accès internes, engagements de confidentialité signés.]

6. Mesures de sécurité (art. 32)

Mesures vérifiées dans le code à la date de ce brouillon :

• Isolation entre entreprises : sécurité au niveau des lignes (RLS) de la base PostgreSQL, forcée ; connexion applicative par un rôle sans droit d'administration.
• Fichiers privés : stockage non public, servi seulement par des routes authentifiées.
• Chiffrement en transit : https.
• Authentification : mots de passe hachés (bcrypt) ; sessions limitées à 12 heures ; limitation des tentatives de connexion et de débit de l'API.
• Clés d'intégration (CRM, webhooks) chiffrées en AES-256-GCM dans la base ; jamais renvoyées par l'API.
• Journal de traçabilité : événements chaînés par empreintes, signés par le serveur (Ed25519), horodatés par un service extérieur (par défaut OpenTimestamps), table d'audit RGPD en ajout seul ; suppression d'événements impossible hors fonction de purge dédiée.
• Clé d'appareil terrain : signature ECDSA P-256 par clé non exportable du navigateur [STATUT DU DÉPLOIEMENT EN PRODUCTION : À CONFIRMER].
• Tests de sécurité automatisés rejoués à chaque mise à jour (suite du dépôt).

Non vérifié dans le code, à documenter ou à confirmer : chiffrement au repos (assuré par les prestataires), sauvegardes et durée de rétention, plan de continuité, procédure d'incident, revue des accès, certifications des prestataires. Le Sous-traitant n'affirme aucune certification (ISO 27001, SOC 2, HDS, etc.) pour lui-même.

Le Sous-traitant peut faire évoluer ces mesures sans diminuer le niveau global de sécurité.

7. Sous-traitants ultérieurs

7.1. Le Responsable de traitement donne une autorisation générale de recourir aux sous-traitants ultérieurs de la liste (Vercel, Neon, Cloudflare, Stripe, OpenTimestamps, IGN, OpenStreetMap, et sur activation LINA/Alterra Digital selon sa qualification).

7.2. Le Sous-traitant informe de tout ajout ou remplacement avec un préavis de [DÉLAI DE PRÉAVIS, ex. 30 jours]. Le Responsable de traitement peut s'y opposer par écrit pour un motif raisonnable lié à la protection des données ; à défaut d'accord, il peut résilier sans pénalité.

7.3. Le Sous-traitant impose à chaque sous-traitant ultérieur des obligations équivalentes et reste responsable de leur exécution envers le Responsable de traitement.

8. Droits des personnes et assistance

8.1. Le Sous-traitant aide le Responsable de traitement à répondre aux demandes d'exercice de droits. L'application fournit à l'administrateur de l'entreprise : « Exporter les données du client » (accès, portabilité ; inclut les liens CRM le cas échéant) et « Anonymiser ce client » (effacement des données personnelles, avec suppression des fichiers associés qui ne sont plus cités ailleurs).

8.2. Si le Sous-traitant reçoit directement une demande, il la transmet sans délai au Responsable de traitement et ne répond pas lui-même, sauf instruction.

8.3. Le journal de traçabilité n'est pas effacé sur demande ; il est conservé 5 ans sur la base de l'art. 17-3-e du RGPD et ne contient pas les coordonnées du client final. Le Responsable de traitement en informe les personnes concernées.

8.4. Le Sous-traitant l'aide aussi, dans la mesure du raisonnable, pour les analyses d'impact, les consultations préalables et le respect de l'art. 32. Les prestations dépassant le support courant peuvent être facturées sur devis : [CONDITIONS].

9. Durées de conservation

Sauf instruction contraire du Responsable de traitement : données personnelles du client final anonymisées 3 ans après la fin du déménagement ; journal de traçabilité conservé 5 ans puis purgé. Le Responsable de traitement peut déclencher plus tôt l'anonymisation d'un client. La suppression automatique est opérationnelle dès que le réglage de rétention est activé en production [STATUT À CONFIRMER].

10. Violation de données

Le Sous-traitant notifie le Responsable de traitement de toute violation de données personnelles dans les meilleurs délais, au plus tard [48] heures après en avoir eu connaissance, avec les informations dont il dispose (nature, catégories et nombre approximatif de personnes et de données, conséquences probables, mesures prises ou proposées), à [EMAIL DU RESPONSABLE]. Il coopère aux démarches du Responsable de traitement (notification CNIL sous 72 heures, information des personnes).

11. Fin du contrat

Au terme du Contrat, l'espace passe en lecture seule pendant [DURÉE, ex. 30 jours], période pendant laquelle le Responsable de traitement exporte ses données (art. 12 des CGV). Puis, selon son choix, restitution (export) et suppression de toutes les données et copies sous [DÉLAI, ex. 30 jours], sauf obligation légale de conservation. Une attestation de suppression est délivrée sur demande. Les sauvegardes sont purgées selon leur cycle normal de rotation : [DURÉE].

12. Audit

Le Sous-traitant met à disposition les informations nécessaires pour démontrer le respect de l'art. 28 et permet des audits réalisés par le Responsable de traitement ou un auditeur mandaté, avec un préavis de [DÉLAI, ex. 30 jours], une fois par an sauf incident, aux frais du demandeur, dans le respect de la confidentialité et de la sécurité des autres clients (isolation multi-entreprises).

13. Transferts hors Union européenne

La base de données est à Francfort et les fonctions sont exécutées en région fra1. Le stockage de fichiers est en cours de migration vers la juridiction UE de Cloudflare [À METTRE À JOUR]. Vercel, Neon, Cloudflare et Stripe étant des sociétés américaines, un accès ou un transfert depuis les États-Unis reste possible. Il est encadré par [MÉCANISME : CCT / DPF / autre : À CONFIRMER pour chaque prestataire]. Le Sous-traitant ne transfère aucune donnée hors UE en dehors de ces cas.

14. Responsabilité

Chaque partie répond de ses manquements au RGPD dans les conditions de l'art. 82. Entre les parties, la responsabilité du Sous-traitant est soumise aux limitations de l'art. 16 des CGV [PLAFOND SPÉCIFIQUE POUR LES VIOLATIONS DE DONNÉES : À DÉFINIR].

15. Droit applicable et juridiction

Droit français. Compétence exclusive du Tribunal de commerce de [VILLE TRIBUNAL], sous réserve des règles impératives.

Fait à [LIEU], le [DATE].

Annexe : descriptif synthétique du traitement