Contrat de sous-traitance (DPA — art. 28 RGPD) — QLYGO

1. Objet

Le présent accord encadre le traitement, par QLYGO (« le Sous-traitant »), des données personnelles pour le compte de la société cliente (« le Responsable »), dans le cadre du Service QLYGO, conformément à l'article 28 du RGPD.

2. Rôles

• Le Responsable (société cliente) détermine les finalités et les moyens : il décide quelles données de ses pétitionnaires il saisit et pourquoi.
• Le Sous-traitant (QLYGO) traite ces données uniquement sur instruction documentée du Responsable et pour fournir le Service.

3. Nature et finalité du traitement

Hébergement, stockage, affichage, génération de pièces DP, et le cas échéant envoi d'e-mails de notification, des données de dossiers de Déclaration Préalable.

4. Catégories de données et de personnes

• Personnes : pétitionnaires (clients de la société), et leurs représentants.
• Données : identité, coordonnées, date/lieu de naissance, adresse, parcelles cadastrales, photos de façade, et pour un pétitionnaire société : raison sociale, SIRET, représentant.

5. Portée de l'accès du Sous-traitant aux dossiers

Le Service est cloisonné par société : chaque société ne voit que ses propres dossiers, et le Sous-traitant n'accède pas aux dossiers du Responsable du seul fait d'héberger le Service.

L'accès du Sous-traitant aux dossiers n'est possible que dans deux cas, décidés par le Responsable :

• Prestation confiée : le Responsable demande au Sous-traitant de réaliser un dossier déterminé. L'accès est limité aux dossiers concernés et à la durée de la prestation.
• Accès de support : le Sous-traitant peut demander un accès d'assistance ; cet accès n'existe que si un administrateur du Responsable l'accorde explicitement. Il est tracé et révocable à tout moment par le Responsable, sans justification.

En dehors de ces deux cas, les dossiers ne sont pas accessibles au Sous-traitant. Seules les données de facturation (nombre de comptes, nombre de dossiers ayant fait l'objet d'une prestation) sont accessibles, à l'exclusion de leur contenu.

6. Obligations du Sous-traitant

• Traiter les données uniquement sur instruction du Responsable.
• Garantir la confidentialité (personnel tenu au secret).
• Mettre en œuvre des mesures de sécurité appropriées (cf. Politique de confidentialité § 8 : bcrypt, HTTPS/HSTS, cookies sécurisés, SQL paramétré, cloisonnement par société, anti-force-brute, anti-CSRF, double authentification).
• Assister le Responsable pour répondre aux demandes d'exercice de droits des personnes.
• Aider le Responsable pour la sécurité, les analyses d'impact et les notifications de violation.
• Notifier au Responsable toute violation de données sans délai après en avoir pris connaissance.
• Tenir un registre des traitements effectués pour le compte du Responsable.

7. Durée de conservation et fin de contrat

• Les données sont conservées pendant toute la durée du contrat.
• À la fin du contrat, le Responsable dispose de 30 jours pour exporter ses données. L'export est disponible en libre-service depuis son espace : tableau de l'ensemble de ses dossiers au format tableur, et archive complète contenant, pour chaque dossier, les pièces qui y sont rattachées.
• Passé ce délai de 30 jours, les données sont supprimées par un traitement automatique quotidien (dossiers, pièces jointes, brouillons, comptes rattachés), sauf demande écrite contraire du Responsable ou obligation légale de conservation.
• Le Responsable reste seul responsable de ses propres obligations de conservation (comptables, assurance, garanties liées aux travaux) sur les données qu'il aurait exportées.

8. Sous-traitants ultérieurs et connexions API

• Le Responsable autorise les sous-traitants ultérieurs suivants : OVH (hébergement du serveur, de la base et de la messagerie) et Stripe (paiement des abonnements).
• Le Client peut par ailleurs connecter lui-même, via l'API de QLYGO, des applications tierces de son choix (par exemple son propre outil de gestion). Ces connexions sont réalisées à son initiative et relèvent de sa responsabilité.
• QLYGO informe le Responsable de tout nouveau sous-traitant ultérieur et lui permet de s'y opposer pour motif légitime.

9. Transferts hors UE

Les données sont hébergées en UE (OVH). Les transferts éventuels hors UE (ex. Stripe, ou une application tierce connectée par le Client) sont encadrés par des clauses contractuelles types de la Commission européenne.

10. Sécurité et audit

Le Sous-traitant met à disposition du Responsable les informations et documents nécessaires pour démontrer le respect de l'article 28 (documentation de sécurité, réponses à un questionnaire). Le Responsable peut demander un audit, sur préavis écrit raisonnable, au maximum une fois par an, sans compromettre la confidentialité ni la sécurité des autres clients ; cette obligation peut être satisfaite par la fourniture de la documentation existante.

11. Responsabilité et durée

Chaque partie répond des dommages causés par un manquement qui lui est imputable (art. 82 du RGPD et CGV). Le présent accord s'applique pendant toute la durée du traitement des données pour le compte du Responsable.